Capitolo 8
Cybersicurezza e protezione delle informazioni
Sicurezza, minimizzazione e risposta agli incidenti nei sistemi che trattano dati delle persone.
8.1 Dati e finalità
I fascicoli del personale possono raccogliere informazioni identificative, economiche e particolarmente sensibili. Occorre individuare quali dati siano necessari per ciascun processo ed evitare di raccogliere informazioni per la sola disponibilità. La minimizzazione riduce sia i rischi di uso improprio sia i costi di protezione.
La base giuridica, l’informativa alle persone e i tempi di conservazione devono essere analizzati in funzione della finalità. Nel lavoro, lo squilibrio tra le parti può incidere sulla validità del consenso. Una casella generica non deve essere utilizzata in sostituzione di tale analisi [R2].
8.2 Accesso e separazione delle funzioni
Il controllo degli accessi deve applicare il principio del privilegio minimo. L’autenticazione a più fattori aggiunge protezione, ma non elimina la necessità di riesaminare autorizzazioni, dispositivi e procedure. Un account correttamente autenticato può essere usato impropriamente o disporre di autorizzazioni eccessive.
Le operazioni rilevanti richiedono tracciabilità e riesame. Quando possibile, devono essere separati compiti incompatibili come modificare un dato e approvarne l’effetto economico. Le verifiche periodiche aiutano a individuare autorizzazioni ereditate che non rispondono più a una funzione legittima.
8.3 Minacce specifiche dell’IA
Un assistente può rivelare informazioni se combina fonti senza rispettare le autorizzazioni. Può anche seguire istruzioni malevole presenti in un documento o generare una risposta che sembri ufficiale senza esserlo. I controlli devono applicarsi all’accesso ai dati e alle azioni disponibili, non soltanto al testo visibile.
Le prove devono includere documenti manipolati, interrogazioni di estrazione e richieste fuori ambito. Le informazioni riservate non devono essere inviate a servizi esterni senza garanzie e autorizzazioni appropriate. Anche i registri d’uso necessitano di limiti per non conservare dati superflui.
8.4 Incidenti e continuità
La risposta agli incidenti richiede responsabili, canali di segnalazione e procedure collaudate. Occorre dare priorità al contenimento del problema, alla conservazione delle evidenze e alla valutazione delle conseguenze. Gli obblighi di comunicazione o notifica vanno analizzati in base all’incidente e alla normativa applicabile.
Le copie di sicurezza devono essere verificate mediante ripristini. Una copia non verificata offre una sicurezza apparente. La continuità richiede anche modalità alternative di lavoro quando una piattaforma non è disponibile, soprattutto nei processi che incidono su retribuzioni o diritti.
8.5 Conservazione e riesame
I tempi di conservazione devono rispondere a finalità e obblighi identificati. Conservare indefinitamente può aumentare l’esposizione senza apportare valore. La cancellazione deve considerare sistemi attivi, esportazioni e ciclo delle copie di sicurezza.
La protezione dei dati è una pratica continua. I cambiamenti di uso, fornitori o integrazioni richiedono un riesame dei controlli. Quando previsto, una valutazione d’impatto consente di studiare i rischi prima del trattamento e documentare misure, limiti e decisioni ancora aperte [R2].
Questionari
Comprensione del capitolo & Dilemmi delle risorse umane
I dilemmi non prevedono un punteggio morale e non vengono utilizzati per valutare le candidature.