Un assicuratore che offre un'assicurazione contro i rischi informatici di solito chiede una combinazione di documenti: un prospetto dei dati personali che elaborate e per quale scopo, una descrizione delle vostre misure di sicurezza tecniche e organizzative, prove che abbiate concordato condizioni con i fornitori che elaborano dati per vostro conto, e un protocollo per il caso in cui qualcosa vada storto. Alcuni assicuratori richiedono questi elementi separatamente, altri li elaborano in un unico questionario digitale.
Non esiste un elenco normativo di documenti per un'assicurazione contro i rischi informatici. Il RGPD stesso impone un obbligo di rendicontazione: un'organizzazione deve essere in grado di dimostrare di riflettere sulla protezione dei dati personali e di avere tutto in ordine. Come appaia questa dimostrabilità è stabilito dall'assicuratore stesso, non dalla legge. Questo è precisamente il dettaglio che viene più facilmente trascurato al momento dell'acquisto: gli imprenditori cercano il modulo o il certificato che sia sufficiente, mentre gli assicuratori in pratica vogliono soprattutto vedere che esista un insieme coerente.
Cosa un assicuratore di solito desidera vedere
Il nucleo della maggior parte dei questionari è un registro delle attività di trattamento: un prospetto dei dati personali che elaborate, con quale scopo, per quanto tempo li conservate e chi ha accesso. Inoltre, spesso viene chiesto dei contratti di incarico di responsabile del trattamento con soggetti che elaborano dati per vostro conto, come il vostro sistema di contabilità, il vostro sistema di gestione delle risorse umane o uno strumento di marketing. Una terza parte ricorrente è il protocollo per le violazioni di dati: come identificate un incidente, chi informate all'interno della vostra organizzazione e come valutate se una notifica all'Autorità Garante per la protezione dei dati personali sia necessaria. Chi ha dubbi se un evento rientra in tale categoria, può vedere in poche domande dove si trova approssimativamente la situazione.
Gli assicuratori spesso guardano oltre il RGPD. Domande su backup, politiche sulle password, autenticazione a due fattori e chi ha accesso a quali sistemi all'interno dell'azienda rientrano nella sicurezza informatica in senso lato. Ciò si sovrappone alla privacy, ma non è la stessa cosa: un'azienda può avere un bel registro delle attività di trattamento e allo stesso tempo una debole sicurezza tecnica, o viceversa. Un prospetto delle misure che avete già adottato aiuta a collegare questi due aspetti; si veda anche come questi vengono considerati nella valutazione dei dati e della privacy.
Perché la dimostrabilità è diversa da un marchio di qualità
Una domanda frequente è se un certificato ISO o un altro marchio di qualità sostituisce la prova che un assicuratore cerca. Un certificato può contare, ma raramente sostituisce la domanda sulla vostra situazione specifica: quali dati elabora esattamente questa azienda, con quali fornitori lavora e cosa accade se qualcosa va storto. Le autorità di controllo e gli assicuratori guardano a cose simili su questo punto, ma con un obiettivo diverso: l'autorità di controllo valuta il rispetto della legge, l'assicuratore stima un rischio prima di emettere una polizza. Questa differenza spiega perché due assicuratori a volte richiedono documenti leggermente diversi, mentre la base sottostante — il registro, i contratti, il protocollo — rimane sempre la stessa.
Cosa potete già preparare
È saggio iniziare da ciò che esiste già: quale software e quali fornitori utilizza la vostra azienda e se esiste un contratto di incarico di responsabile del trattamento. Successivamente si tratta di documentare ciò che effettivamente accade: quali dati si trovano dove, chi può accedervi e quanto a lungo vengono conservati. Per le aziende che lo mappano per la prima volta, un prospetto strutturato di domande frequenti è un buon punto di partenza; si veda risposte a domande che ritornano più spesso nelle richieste di questo tipo.
Chi preferisce prima capire come è strutturato un tale elenco di documenti e su quali informazioni si basa può leggerlo nella banca di conoscenze. Lì troverà per ogni argomento una risposta breve con il riferimento nel testo ufficiale, in modo che possa verificare da dove deriva un requisito; veda ad esempio in la knowledge base con spiegazioni per argomento prima di parlare con un assicuratore.
Da documenti isolati a un registro operativo
La parte più difficile di questo momento d'acquisto non è redigere un singolo documento, ma mantenerlo aggiornato. Un registro dei trattamenti redatto un anno fa e non aggiornato da allora spesso non è più in linea con i software che un'azienda nel frattempo utilizza. Un sistema che fa crescere il registro insieme al software effettivamente utilizzato, e che tiene traccia di quali contratti con responsabili del trattamento mancano ancora, fa una grande differenza nel momento in cui un assicuratore all'improvviso lo richiede.
Se questo al momento riguarda la vostra azienda e quali documenti concretamente vi servono, è una cosa che è meglio discutere direttamente con l'assicuratore stesso o con un consulente; questo articolo fornisce chiarimenti, non consulenza legale sulla vostra polizza specifica.
Volete prima vedere voi stessi dove si trova più o meno la vostra azienda? La scansione rapida gratuita offre un'indicazione in poche domande, e nella banca di conoscenze troverete per ogni argomento la risposta breve con il riferimento allegato. Se poi volete mantenere il registro e il monitoraggio strutturalmente, leggerete su cosa costa il sistema attorno ad esso cosa è incluso.