La Governance della CyberSecurity
I principi stabiliti dal GDPR hanno una relazione diretta con il dato, oppure mediata quando sembrano riferirsi alle operazioni di trattamento. Questo è il motivo per cui il dato è centrale e richiede che sia costantemente curato rispetto a :
- liceità, cioè esistenza di una base giuridica per poterlo trattare; correttezza, cioè assenza di comportamenti potenzialmente lesivi nei confronti dell’interessato;
- trasparenza, cioè garanzia dell’esercizio del controllo (inteso come una via di mezzo dei verbi inglesi to check e to manage) da parte dell’interessato;
- minimizzazione, cioè utilizzo solo e soltanto se indispensabile per le finalità previste;
- limitazione della conservazione, cioè utilizzo solo per il tempo necessario al raggiungimento delle finalità previste;
- esattezza, cioè aderenza alla realtà del momento al quale si riferisce;
- sicurezza, cioè disponibilità, integrità e riservatezza.
Questi sono i principi, previsti dall’art. 5 del GDPR, che costituiscono la base sulla quale edificare il modello di ciclo di vita del dato all’interno di ogni organizzazione.
IL DATA MANAGER
Considerata la centralità del dato, un ruolo sempre più necessario all’interno di ogni organizzazione è quello del Data Manager, cioè il professionista attraverso il quale ogni organizzazione applica i principi di privacy by design e privacy by default, previsti dal GDPR.
È l’esperto al quale è affidata l’ordinaria amministrazione dell’elemento più importante: il dato e la sua sicurezza.
Gli obiettivi che sono affidati al data manager sono duplici:
1.garantire che il ciclo di vita del dato sia effettuato secondo criteri di qualità e, conseguentemente, conformi alle previsioni di normative e standard internazionali;
2.garantire che l’organizzazione sappia rispondere ai diritti degli stessi interessati e, di conseguenza, sappia tutelarli, evitando di incorrere nelle sanzioni previste dal GDPR.
Molte organizzazioni si sono, doverosamente, affrettate ad individuare il Data Protection Officer, il responsabile del trattamento ed a capire quali erano i nuovi adempimenti per essere conformi al GDPR.
Ma è sufficiente? No.
La sostenibilità nel tempo della compliance al GDPR passa, soprattutto, dalla presenza del Data Manager e dalla sua esatta collocazione all’interno dell’organizzazione e dal suo rapporto con le altre figure (siano esse obbligatorie o facoltative). Per questo è importante spiegare quali sono i tratti distintivi del Data Manager (detto anche CDO Chief Digital Officer) per delinearne le attività specifiche.
Il Chief Digital Officer (CDO) o il Chief Digital Information Officer (CDIO) o più semplicemente Data Manager, è un professionista con una dimostrata esperienza che aiuta un’azienda, un’organizzazione o un ente pubblico ad affrontare la trasformazione digitale, utilizzando le nuove tecnologie e i big data per raggiungere più rapidamente obiettivi di miglioramento e crescita aziendale. Non si tratta solo di un esperto digitale, ma piuttosto di un manager con pluriennale esperienza nel proprio settore, consapevolezza del business model, con forti capacità multidisciplinari, in grado di guidare l’azienda nella digital transformation, pianificandone obiettivi, strumenti e tempistiche. La trasformazione digitale non riguarda solo l’uso di determinate tecnologie, ma comporta prima di tutto un vero cambiamento culturale all’interno dell’azienda, a partire dalle persone che la compongono e che lavorano per essa. La più grande responsabilità per questo ruolo emergente rimane quella di guidare l’azienda nella trasformazione e accompagnarla nell’adozione degli strumenti giusti e dei processi migliori per incrementare l’efficienza e ottimizzare le strategie di business.
LE COMPETENZE
Trattandosi di una figura relativamente recente, non esiste una definizione precisa delle competenze per essere un Data-Manager, ma sicuramente quelle che seguono sono caratteristiche che non possono mancare:
- Esperienza nel settore ICT di riferimento
- Organizzazione
- Dimostrate capacità relazionali e competenze come relatore / formatore
- Conoscenza provata su sistemi operativi, gestione di server, networking, database e reti di dati
- Approccio multidisciplinare
- Autorevolezza e capacità di coinvolgimento
- Capacità di cogliere le sfide
- Attenzione al livello di soddisfazione dei propri clienti
IL MANAGER DEL CAMBIAMENTO
Si comincia da una roadmap: senza un piano operativo non si riesce ad individuare una corretta direzione dei lavori. L’attività specifica del data manager è quella di assicurare un ciclo di vita del dato rispettoso:
- dei diritti degli interessati;
- delle policy stabilite dall’organizzazione;
- degli standard di qualità richiesti.
Questi tre punti sono tra loro inscindibili e richiedono, come prerequisito trasversale, la perfetta conoscenza della mappa completa dei dati trattati dall’organizzazione. Sembra che l'attenzione sia solo sulla tecnologia e sull'accelerazione che questa imprime all'organizzazione. Ma il business e i servizi non sono 100% digitali e sono condotti da esseri umani che prendono decisioni e le rendono operative. Quindi non è un tema solo di tecnologia. La capacità di condurre con successo una trasformazione digitale del business è determinata in larga parte da una chiara strategia digitale ideata e implementata da manager che riescano a far nascere una cultura aziendale in grado di governare il cambiamento e di abilitare il "nuovo". Cioè l'adozione di tecnologie digitali, seppure con approcci non strategici, in società particolarmente ricettive, può accelerare la nascita di una cultura digitale che induca poi una strategia intorno ad essa. Il fattore umano è quindi fondamentale. E non basta il singolo manager: può essere certamente il catalizzatore, ma poi l'azienda deve fare la sua parte.
DATA MANAGER vs DPO
Il data manager è una figura diversa dal Data Protection Officer per le seguenti ragioni: - lavora nell’organizzazione e partecipa alle decisioni che riguardano le finalità e le modalità di trattamento; - non ha il compito di sorvegliare l’osservanza del GDPR ma si occupa di curare il ciclo di vita del dato; - non ha obbighi con l’autorità di controllo; - non ha, di norma, contatti diretti con gli interessati, gli aventi diritto La diversità dei ruoli non esclude che data manager e DPO, insieme alle altre figure aziendali, siano in frequente contatto per assicurare un approccio olistico alla protezione dei dati personali. Un punto di contatto di particolare rilevanza tra le due figure è, per esempio, l’attuazione delle procedure di prevenzione e di gestione dei data breach.
DATA MANAGER vs IT MANAGER
Il data manager è una figura diversa dall’IT Manager.Infatti, l’IT Manager si occupa di progettare e gestire l’infrastruttura tecnologica di supporto ai processi aziendali. Il focus del data manager è invece, sui dati e deve considerare le soluzioni tecnologiche adottate come un assioma del suo quadro di riferimento. Anche in questo caso, è auspicabile che data manager e IT Manager, operino in stretta sinergia per ottimizzare le soluzioni tecnologiche finalizzandole al massimo livello di protezione dei dati personali.
DATA MANAGER vs RESPONSABILI ESTERNI DEL TRATTAMENTO
Il responsabile del trattamento è, per uniforme interpretazione dottrinaria del GDPR, un soggetto esterno all’organizzazione che esegue su incarico il trattamento dei dati personali. In realtà, il data manager è cruciale anche nella scelta dei responsabili del trattamento. Non si parla di mappa fisica (che è una specifica conoscenza dell’IT manager) ma di mappa logica e di flussi innescati dai processi di trattamento. Dunque il Data Manager può essere considerato a tutti gli effetti un manager che si inserisce alla guida del cambiamento : in ogni caso il ruolo dovrà essere abbastanza molto vicino alla dirigenza in modo da ricevere piena fiducia dall'area dirigenziale e poter raggiungere e mantenere i risultati di conformità attesi, in autonomia e con il budget concordato.
Sempre più aziende stanno cercando un Chief Digital Officer/Data Manager per guidare la trasformazione digitale.
Dove gli altri vedono un grande ostacolo, l'ennesimo adempimento, un buon Data-Manager costituirà una grande opportunità per la vostra organizzazione!
Massimo Ritota Web & Cloud Security Agency In Media Lab / Web & Cloud Agency