Servizi a valore

Servizi relativi a GDPR e Data Protection

Audit di Conformità GDPR e Gap Analysis: Valutazione dello stato attuale di conformità dell’azienda rispetto al GDPR, identificazione delle lacune e definizione di un piano di adeguamento. Questo include la verifica dei principi fondamentali del trattamento, come liceità, correttezza, trasparenza, limitazione della finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità e riservatezza.
Redazione e Revisione di Documentazione Privacy:
- Informative privacy (Art. 13 e 14 GDPR).
- Registri delle attività di trattamento (Art. 30 GDPR).
- Accordi di contitolarità (Art. 26 GDPR) e nomine a responsabile del trattamento (Art. 28 GDPR).
- Policy interne per la gestione dei dati personali.
- Valutazione d’Impatto sulla Protezione dei Dati (DPIA).
- Consulenza sulla Gestione dei Consensi (Art. 6 e 7 GDPR).
- Supporto nella Gestione dei Diritti degli Interessati: (artt.15-22 GDPR).
- Servizio di Videosorveglianza e Geolocalizzazione.
- Adeguamento Whistleblowing.
Servizio di Data Protection Officer (DPO) Esterno: assunzione del ruolo di DPO per aziende che ne hanno l’obbligo o che scelgono volontariamente di nominarlo (Artt. 37-39 GDPR).
Formazione del Personale: erogazione di corsi di formazione su misura per dipendenti e management sui principi del GDPR e sulle corrette prassi di trattamento dei dati. Il Considerando 74 del GDPR sottolinea la responsabilità del titolare del trattamento di mettere in atto misure adeguate ed essere in grado di dimostrarne la conformità, inclusa l’efficacia delle misure.
Trasferimenti Internazionali di Dati: consulenza sulla conformità dei trasferimenti di dati personali verso paesi terzi o organizzazioni internazionali.

Servizi relativi a NIS2 e Cybersecurity

Assessment di applicabilità NIS2: verifica se il cliente rientra nel novero dei “soggetti essenziali” o “importanti” ai sensi della Direttiva NIS2.
Implementazione di misure di gestione dei rischi di cibersicurezza: aiuto nell’adozione delle misure tecniche, operative e organizzative richieste dall’Art. 21 della NIS2.
Politiche di analisi dei rischi e di sicurezza dei sistemi informatici.
Gestione degli incidenti.
Continuità operativa, come la gestione del backup e il ripristino in caso di disastro, e gestione delle crisi.
Sicurezza della catena di approvvigionamento, compresi aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi.
Sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità.
Strategie e procedure per valutare l’efficacia delle misure di gestione dei rischi di cibersicurezza.
Pratiche di igiene informatica di base e formazione in materia di cibersicurezza.
Politiche e procedure relative all’uso della crittografia e, se del caso, della cifratura.
Sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione degli attivi.
Uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti.
Consulenza sulla sicurezza della catena di approvvigionamento (supply chain security).
Supporto nella notifica degli incidenti: assistenza nelle procedure di notifica degli incidenti significativi ai CSIRT (Computer Security Incident Response Team) competenti o alle autorità, come previsto dall’Art. 23 della NIS2.
Audit di sicurezza e penetration test: valutazione della robustezza dei sistemi attraverso audit e test di penetrazione, attività che possono essere svolte da fornitori di servizi di sicurezza gestiti.
Sviluppo di policy di cybersecurity: redazione di policy e procedure interne per la sicurezza informatica.
Formazione in cibersicurezza: corsi di formazione per aumentare la consapevolezza dei dipendenti sui rischi cyber e sulle buone pratiche (“igiene informatica” Art. 21(2)(g) NIS2).

Servizi relativi alla Gestione degli Incidenti Informatici ed alla continuità operativa

Questa competenza è cruciale sia per il GDPR (data breach) sia per la NIS2 (incidenti di sicurezza).

Sviluppo e Test di Piani di Risposta agli Incidenti (Incident Response Plan – IRP): Creazione di piani dettagliati per gestire efficacemente gli incidenti, dalla rilevazione alla risoluzione e al recupero, e simulazioni per testarne l’efficacia. La “gestione degli incidenti” è una misura minima richiesta dalla NIS2.
Supporto Operativo durante un Incidente: Assistenza diretta durante la gestione di un attacco informatico o di una violazione dei dati personali, coordinando le azioni tecniche, legali e di comunicazione.
Analisi Post-Incidente (Post-Mortem Analysis) e Remediation: Indagine sulle cause dell’incidente, valutazione dell’impatto e definizione di misure correttive per prevenire future occorrenze.

Consulenza sulla Notifica di Data Breach (GDPR Art. 33-34): Supporto nella valutazione della necessità di notificare una violazione dei dati personali all’autorità di controllo e, se del caso, agli interessati.

Servizi relativi alla Videosorveglianza

Audit di Conformità degli Impianti di Videosorveglianza: Verifica della liceità degli impianti esistenti, del rispetto dei principi di necessità, proporzionalità, finalità, e minimizzazione dei dati.
Progettazione di Sistemi di Videosorveglianza Privacy-by-Design: Consulenza nella fase di progettazione e installazione per garantire la conformità fin dall’origine, inclusa la scelta dell’angolo visuale delle riprese, limitato agli spazi di pertinenza
Redazione di Documentazione Specifica:
- Informative “brevi” (cartellonistica) e “complete”.
- Policy interne per l’accesso e la gestione delle immagini registrate.
- Nomine per gli incaricati dell’accesso alle immagini.

DPIA per Sistemi di Videosorveglianza Complessi: Valutazione d’impatto per sistemi che presentano rischi elevati per i diritti e le libertà degli interessati (es. monitoraggio su larga scala, uso di tecnologie innovative come il “software Video Analytics”.
Consulenza sulla Conservazione delle Immagini: Definizione dei tempi di conservazione in linea con le finalità perseguite e i provvedimenti del Garante (es. conservazione estesa per specifici contesti di rischio, come i Data Center.
Misure di Sicurezza per i Dati Video: Indicazioni sulle misure tecniche e organizzative per proteggere le registrazioni da accessi abusivi o perdite, come la cifratura e la gestione degli accessi con credenziali.

Servizi relativi all'Etica dell'Intelligenza Artificiale (IA)

Con la crescente diffusione dell’IA, emergono nuove sfide etiche e di conformità, soprattutto quando l’IA tratta dati personali o prende decisioni che impattano sugli individui.

AI Ethics Impact Assessment (AEIA) / Algorithmic Impact Assessment (AIA): Valutazione degli impatti etici e sui diritti fondamentali derivanti dall’uso di sistemi di IA, con un focus su trasparenza, equità, non discriminazione, accountability e rispetto della privacy.
Sviluppo di Framework di Governance dell’IA: Creazione di policy, linee guida e processi interni per garantire uno sviluppo e un utilizzo responsabile e etico dell’IA, in linea con i principi del GDPR (es. liceità, correttezza, trasparenza.
Consulenza sulla Trasparenza e Spiegabilità degli Algoritmi: Supporto per rendere i processi decisionali algoritmici più comprensibili agli utenti e agli stakeholder.
Strategie di Mitigazione dei Bias: Analisi e consulenza per identificare e mitigare i bias (pregiudizi) nei dati e negli algoritmi di IA che potrebbero portare a discriminazioni.
Formazione sull’Etica dell’IA: Sensibilizzazione e formazione del personale sui rischi etici e sulle best practice per un’IA responsabile.
Consulenza sull’Uso Etico dei Dati per l’Addestramento dell’IA: Verifica che i dati utilizzati per addestrare i modelli di IA siano raccolti e trattati in modo etico e conforme al GDPR.

Servizi Integrati e a Valore Aggiunto Specifico

La forza di un professionista con questo set di competenze risiede nella capacità di offrire soluzioni integrate:

Cyber-Data Resilience Program: Un programma completo che combina misure di cybersecurity (NIS2), protezione dei dati (GDPR) e gestione degli incidenti per rendere l’azienda più resiliente agli attacchi e alle violazioni.
Secure AI Development Lifecycle: Consulenza che integra sicurezza informatica, privacy by design ed etica dell’IA in tutte le fasi di sviluppo e implementazione di soluzioni di intelligenza artificiale.
Compliance Management per Tecnologie Emergenti: Supporto per aziende che adottano tecnologie innovative (IoT, Big Data, IA, blockchain) per navigare il complesso panorama normativo e dei rischi.
Supporto nella Gestione dei Fornitori (Vendor Risk Management): Valutazione integrata dei fornitori sotto il profilo della data protection (Art. 28 GDPR).