Salesforce Security 101: Cos'è la conformità PII?

La tua organizzazione Salesforce memorizza alcune delle informazioni più sensibili dei tuoi clienti e potenziali clienti. Queste informazioni sensibili, note anche come informazioni personali identificabili (PII), sono il fulcro delle tue operazioni di vendita e marketing — ma possono anche portare a grandi preoccupazioni per la sicurezza.

Purtroppo, basta una sola violazione della sicurezza perché i tuoi clienti perdano fiducia nella tua azienda — e perché la tua attività ne risenta di conseguenza. Il mancato assicuramento delle informazioni personali identificabili porta a pesanti multe normative e cause legali, e ancora peggio, potrebbe causare danni irreparabili alla tua attività.

In questo post, stiamo analizzando cosa sia esattamente il PII e come mantenere la sicurezza e la conformità continuando a gestire operazioni commerciali efficaci.

Cos'è il PII?

Le informazioni personali identificabili sono qualsiasi dato che può essere utilizzato per identificare direttamente un individuo specifico. Include, ovviamente, il nome e cognome di una persona, indirizzo email, numero di assicurazione sociale, numero di telefono o indirizzo — ma anche cose più oscure come gli indirizzi IP.

Ci sono due tipi di PII: sensibili e non sensibili. I PII non sensibili sono generalmente qualsiasi cosa nel registro pubblico, come un indirizzo o un numero di telefono aziendale. I PII sensibili, d'altra parte, includono cose come numeri di conto bancario, informazioni sul passaporto o dettagli della carta di credito — dati che sono tipicamente protetti da quadri giuridici o regolamentari sulla privacy.

Cos'è la conformità PII?

Ci sono diversi standard normativi che regolano la conformità dei dati personali. Alcuni di essi influenzano solo le organizzazioni con sede in un determinato paese/regione; altri, come il GDRP dell'UE, interessano qualsiasi impresa operante in quella regione. Ecco una panoramica di alcune delle normative che sono più comunemente nel campo di applicazione per le imprese nordamericane:

• GDPR. Il Regolamento Generale sulla Protezione dei Dati è un quadro normativo che si concentra sulla protezione dei dati nell'UE (Unione Europea) e nello SEE (Spazio Economico Europeo). Tra le altre cose, il GDPR affronta l'uso improprio e lo sfruttamento dei dati dei consumatori. Le multe per la violazione di questi requisiti di conformità PII sono tra le più alte al mondo, arrivando fino a 20 milioni di euro.
• CCPA. The California Consumer Privacy Act (CCPA) is the first of its kind in the US. The CCPA provides California residents with the ability to control how businesses process their personal information. Businesses will now have to honor requests from California residents to access, delete, and opt out of sharing or selling their information.
• GLBA. Il Gramm-Leach Bliley Act è un quadro legislativo statunitense che si concentra su come le istituzioni finanziarie proteggono e condividono i dati sensibili dei loro clienti. Il GLBA richiede che le istituzioni comunichino con i consumatori riguardo l'utilizzo dei loro dati e offrano loro l'opzione di non partecipare alla condivisione dei dati.
• PCI DSS. Lo standard di sicurezza delle informazioni dell'industria delle carte di pagamento Data Security stabilisce gli standard di sicurezza informatica per le aziende che lavorano con informazioni sulle carte di credito. Questa legge richiede a tutte le aziende che lavorano con informazioni sulle carte di credito di mantenere la cybersecurity attraverso l'uso di firewall, crittografia, aggiornamenti regolari, restrizioni di accesso, ecc. Scopri come sfruttare il File Integrity Monitoring for PCI DSS qui.
• HIPAA. Il Health Insurance Portability and Accountability Act è uno standard di conformità noto che mira a proteggere le informazioni sensibili dei pazienti, note anche come protected health information (PHI). HIPAA richiede ai fornitori di assistenza sanitaria e ad altre aziende che lavorano con PHI di avere adeguate misure di ridondanza e sicurezza in atto, con requisiti specifici riguardo a questioni come l'accesso fisico e online, il trasferimento dei dati e audit regolari.

Il nuovo impostazione di sicurezza PII di Salesforce

Per garantire la sicurezza dei consumatori, Salesforce ha introdotto una nuova impostazione di sicurezza nella loro versione Winter ‘22 chiamata Enhanced Personal Information Management permission. Questo permesso limita gli utenti esterni dal visualizzare informazioni personali nei vostri record utente. Per impostazione predefinita, questa nuova funzionalità consente di scegliere fino a 20 campi da proteggere impostando la categoria di conformità di ciascun campo come “PersonalInfo”. Gli amministratori possono scegliere quali campi sono considerati informazioni personali — e una volta che un campo è impostato come “PersonalInfo”, sarà nascosto agli altri utenti esterni.

Per istruzioni su come configurare questo nuovo permesso, clicca qui.

Protezione dei dati personali

La protezione delle informazioni personali identificabili (PII) si estende ben oltre l'ambito di Salesforce. Comprende sia i controlli tecnici che fisici e spesso dipende dalle specificità delle organizzazioni — come lavorano, con cosa lavorano e a quali requisiti di conformità sono soggetti. Detto ciò, alcune pratiche generali migliori per la protezione delle PII includono:

• Individuare tutte le informazioni sensibili nel tuo sistema
• Utilizing data classification to accurately identify and categorize the types of information in your system. We have a post walking you through data classification here.
• Eliminare o archiviare qualsiasi informazione sensibile che non è più necessaria o in uso
• Utilizzando la crittografia (questa potrebbe essere la più importante!)
• Implementare processi di offboarding adeguati per i dipendenti
• Identificare ed eliminare eventuali errori di autorizzazione
• Minimizzare la raccolta dei dati

Il costo di una violazione dei dati

Come abbiamo accennato, le informazioni sui clienti rappresentano alcuni dei dati più critici con cui lavora la vostra azienda, ma sono anche i più vulnerabili. Nel 2018, le PII hanno rappresentato il 97% delle violazioni della sicurezza, portando a conseguenze finanziarie significative per le aziende colpite.

Il Cost of a Data Breach Report di IBM afferma che il costo medio di una violazione dei dati PII nel 2020 era di 3,86 milioni di dollari — una cifra che sale a 7,13 milioni per il settore sanitario. Per mettere queste cifre in prospettiva, le violazioni dei dati PII costano tipicamente a un'organizzazione 150 dollari per record; più dati dei clienti conservi, più sei vulnerabile.

Con tutto ciò detto, è fondamentale che le organizzazioni conoscano l'importanza di proteggere i dati personali in Salesforce. Le tecniche di protezione dei dati sopra menzionate vi metteranno sulla giusta strada — ma se memorizzate molti dati nel vostro Salesforce Org (o in qualsiasi applicazione aziendale), dovreste considerare di investire in un data security software per aiutarvi a proteggere efficacemente i vostri dati personali e allo stesso tempo monitorare le minacce alla sicurezza.

Mettiti in contatto con Netwrix per scoprire come i nostri strumenti di Data Security possono aiutarti a iniziare.