Cos'è un Dato Sensibile?

Con l'avvento della trasformazione digitale — stimolata dall'aumento del lavoro remoto legato alla pandemia — le aziende ora memorizzano la maggior parte dei loro dati in formato digitale. Sebbene il passaggio alla memorizzazione digitale dei dati sia incredibilmente conveniente e promuova una maggiore collaborazione ed efficienza, ha anche aperto la porta a un numero senza precedenti di attacchi informatici e data breach.

Negli ultimi anni, diversi paesi, stati e settori hanno approvato normative sulla protezione dei dati sempre più rigorose che regolano il modo in cui le aziende gestiscono i dati sensibili.

Definizione dei dati sensibili

Le persone spesso usano i termini dati sensibili, dati personali e dati confidenziali in modo interscambiabile. Nell'uso comune, i dati sensibili sono qualsiasi informazione che non si desidera venga divulgata. Tuttavia, quando si tratta di obblighi legali, la definizione di dati sensibili è più specifica.

I dati sensibili rappresentano una categoria speciale di dati che necessita di protezioni aggiuntive a causa delle conseguenze che la loro esposizione può comportare. Se i dati sensibili vengono esposti, c'è un'elevata probabilità di danni finanziari, personali o alla reputazione se finiscono nelle mani sbagliate. Comprendere il significato dei dati sensibili è fondamentale per le organizzazioni per garantire che proteggano adeguatamente le informazioni personali e confidenziali dall'accesso non autorizzato.

Dati Personali vs. Dati Sensibili

Le informazioni personali sono qualsiasi dato che può essere utilizzato per identificare una persona. Informazioni come nomi, indirizzi o numeri di telefono sono dati personali. In alcuni casi, la tua email può essere considerata dato personale — ad esempio, se è yourname@yourcompany.com. I dati personali possono includere anche informazioni che qualcuno può utilizzare per confermare che ti trovavi in un luogo specifico, come le tue impronte digitali o filmati di te su una telecamera di sicurezza.

Le informazioni sensibili sono un sottoinsieme di dati personali che possono essere utilizzati per danneggiare una persona in qualche modo. Il tuo nome è un dato personale, ma il tuo numero di previdenza sociale è un dato sensibile perché un attore malevolo potrebbe utilizzarlo per rubare la tua identità. Non tutti i dati personali sono sensibili.

Tipi di dati sensibili

Generalmente, i dati sensibili non sono disponibili pubblicamente e appartengono a una delle diverse categorie ad alto rischio. Alcuni esempi di dati personali sensibili includono:

Dati finanziari

Le informazioni relative allo stato finanziario di una persona o entità sono considerate dati sensibili. Questo include:

• Numeri di conto bancario
• Informazioni su carte di credito e debito
• Storia creditizia
• Presentazione delle dichiarazioni fiscali

Le aziende che accettano, elaborano, trasmettono o memorizzano informazioni sulle carte di pagamento devono attenersi allo standard Payment Card Industry Data Security Standard (PCI DSS). Esso impone rigorose pratiche di gestione della sicurezza per proteggere i dati dei titolari delle carte.

Dati Personali

I dati personali, noti anche come Informazioni Personali Identificabili (PII), sono qualsiasi informazione che può essere utilizzata per identificare un individuo specifico. Regolamenti come il EU General Data Protection Regulation (GDPR) e il California Consumer Privacy Act (CCPA) proteggono i dati personali. Sebbene entrambi i regolamenti proteggano i dati personali, li definiscono leggermente in modo diverso.

• Il GDPR definisce i 'dati personali' come qualsiasi informazione relativa a una persona fisica identificata o identificabile ('soggetto dei dati'). I dati personali possono essere diretti, come un nome, un numero di identificazione, dati di localizzazione o un identificativo online. Possono anche essere indiretti, come le caratteristiche fisiche, le informazioni sulla salute o gli indicatori di identità culturale o sociale.
• Il CCPA ha una definizione di dati personali molto più ampia. Include qualsiasi informazione che identifica, si riferisce a, descrive, fa riferimento a, è in grado di essere associata con, o potrebbe ragionevolmente essere collegata, direttamente o indirettamente, con un consumatore particolare o una famiglia.

Il GDPR si applica alle imprese che gestiscono i dati personali di qualsiasi cittadino dell'UE, mentre il CCPA si applica alle imprese che gestiscono i dati di qualsiasi residente dello stato della California. Entrambi i regolamenti prescrivono ampie misure di protezione dei dati che le organizzazioni devono seguire per prevenire accessi non autorizzati o violazioni.

Protected Health Information (PHI)

Le Protected Health Information (PHI) secondo il Health Insurance Portability and Accountability Act (HIPAA) si riferiscono a qualsiasi informazione sullo stato di salute, sulla fornitura di assistenza sanitaria o sul pagamento per l'assistenza sanitaria che può essere collegata a un individuo. Include una vasta gamma di identificativi personali così come informazioni sulle condizioni di salute fisica o mentale passate, presenti o future di una persona.

I fornitori di assistenza sanitaria, i fornitori di assicurazioni, gli enti di compensazione sanitaria e le loro entità commerciali devono seguire le linee guida HIPAA nel trattamento dei dati dei pazienti. HIPAA include misure rigorose su come le PHI possono essere utilizzate e divulgate.

Dati sensibili a rischio

I dati sensibili si trovano in tipi di dati strutturati e non strutturati in varie applicazioni e sistemi di archiviazione. Il movimento dei dati è piuttosto limitato all'interno dei repository di dati strutturati come un database di SQL server, il che ti dà più controllo su come vengono trasmessi e protetti. Tuttavia, i file memorizzati in repository non strutturati come condivisioni di file e siti SharePoint tendono a muoversi più liberamente, rendendo più difficile individuare esattamente dove esistono. Questi dati nascosti sono più difficili da controllare e proteggere.

Sebbene il GDPR sia la legge sulla privacy dei dati più discussa, oltre il 70% dei paesi ha emanato normative sulla protezione dei dati. La maggior parte di queste normative condivide l’obiettivo comune di proteggere i dati personali sensibili, ma i dettagli variano. Questo mosaico di regolamentazioni sta costringendo le aziende a prendere il controllo dei propri dati sensibili. Per farlo, devono sapere dove si trovano e quali misure di sicurezza sono state implementate per ridurre l’esposizione dei dati sensibili.

Le aziende possono affrontare gravi conseguenze per non aver protetto adeguatamente i dati sensibili. In base al GDPR, un mancato rispetto particolarmente grave può comportare sanzioni superiori a 20 milioni di dollari o il 4% del fatturato globale annuo, a seconda di quale valore sia maggiore. Ad oggi, la multa più elevata è stata emessa a Meta, la società madre di Facebook. È stata multata di 1,3 miliardi di dollari per non aver protetto adeguatamente i dati sui cittadini dell'UE che venivano trasmessi agli Stati Uniti.

Protezione dei dati sensibili

Per evitare multe associate alla non conformità, è necessario trovare e proteggere i propri dati sensibili indipendentemente da dove si trovano. Un inventario di data classification ti aiuterà a identificare e classificare i dati in base alla loro sensibilità e importanza. Una volta fatto ciò, dovrai mantenere un inventario completo di tutte le tue risorse di dati, inclusi dove sono memorizzati, chi ha accesso ad essi e come vengono utilizzati.

Sapere dove sono memorizzati i tuoi dati è il primo passo per la conformità, ma dovrai anche assicurarti di avere i controlli giusti per prevenire accessi non autorizzati. Le aziende devono anche essere consapevoli ed evitare di raccogliere più dati del necessario, oltre a limitare la crescita dei dati eliminando quelli non necessari. Non devi proteggere i dati che non raccogli.

Come Netwrix può aiutare

Netwrix offre una piattaforma potente per aiutarti a governare l'accesso a tutti i tuoi dati sensibili, applicazioni e sistemi. Con oltre 40 moduli di raccolta dati integrati che identificano i dati sia su sistemi basati su cloud che on-premise, puoi mantenere il controllo delle tue risorse di dati ovunque siano memorizzate. Non devi preoccuparti di trascurare dati sensibili in formati non strutturati.

Netwrix’s Access Analyzer può aiutarti a ridurre il rischio di violazioni dei dati e superare facilmente le verifiche di conformità. Puoi proattivamente identificare le lacune nella tua postura di sicurezza come i permessi eccessivi degli utenti e gli account disabilitati che i malintenzionati potrebbero sfruttare. L'Access Analyzer rimedierà automaticamente alle minacce eliminando gli account inattivi e revocando i permessi eccessivi.

Seguendo il principio del privilege minimo, puoi monitorare chi sta accedendo ai tuoi dati e per quali scopi. Revoca rapidamente i privilegi non necessari per rafforzare la tua sicurezza dei dati. Contattaci oggi per richiedere una prova gratuita.

FAQ

Che cosa si considera dati sensibili?

I dati sensibili includono una gamma di informazioni che richiedono una protezione extra a causa del loro potenziale di abuso. Esempi di dati personali sensibili includono cartelle cliniche o informazioni finanziarie come dettagli di conti bancari, numeri di carte di credito e numeri di previdenza sociale. Include anche dati biometrici, come impronte digitali e riconoscimento facciale, numeri di identificazione personale da patenti di guida e passaporti, e informazioni aziendali riservate. Informazioni sull'origine razziale o etnica, opinioni politiche, credenze religiose o filosofiche, e orientamento e comportamento sessuale sono anch'essi considerati dati sensibili. Proteggere questi dati è fondamentale per prevenire abusi, furto d'identità e discriminazione.

Cosa non è considerato dati sensibili?

I dati non sensibili includono informazioni pubblicamente disponibili, come nomi senza dettagli identificativi aggiuntivi, titoli di lavoro generici, informazioni di contatto aziendali e dati anonimizzati dove gli identificatori personali sono stati rimossi. Questo tipo di dati presenta un rischio minimo se esposto e tipicamente non necessita di misure protettive speciali.

Quali informazioni sono considerate sensibili?

I dati sensibili sono caratterizzati dal potenziale di causare danni significativi se esposti, inclusi furto d'identità, perdite finanziarie o discriminazione. Tipicamente includono informazioni personali identificabili che possono identificare direttamente o indirettamente un individuo. Questi dati spesso riguardano la salute personale, lo stato finanziario, identificatori biometrici o operazioni aziendali confidenziali. Questi dati devono essere protetti per salvaguardare la privacy e la sicurezza e per conformarsi alle normative sulla protezione dei dati. I dati sensibili richiedono anche spesso un consenso esplicito per la raccolta e l'elaborazione a causa della loro natura intrinsecamente privata.

Quali sono i tre tipi di dati sensibili?

I tre principali tipi di dati sensibili sono le informazioni personali identificabili (PII), le informazioni sanitarie protette (PHI) e le informazioni finanziarie. Le PII includono dati che possono identificare un individuo, come nomi e numeri di previdenza sociale. Le PHI comprendono dati medici e relativi alla salute. Le informazioni finanziarie riguardano dettagli bancari, numeri di carte di credito e transazioni finanziarie.