Il processo di formazione del DPS
In cosa consiste
Il processo di formazione del DPS (Documento Programmatico della Sicurezza) prevede una preliminare conoscenza dell'azienda, ed una successiva stesura del primo DPS.
Negli anni successivi il DPS deve essere integrato con le variazioni e gli adeguamenti nel contempo intercorso.
Il supporto offerto da SkyNet va dal solo coordinamento e verifica della formazione del DPS, che può eseguire quindi il cliente, sino alla effettiva stesura ed implementaziione dellenecessarie misure presso l'azienda
A) Analisi preliminare
- analisi della situazione logistica e geografica aziendale
- studio ed analisi dei flussi informativi e delle loro finalità
- determinazione elenco e caratteristiche dei trattamenti (dati personali e sensibili)
- analisi generale del sistema informativo aziendale
- recupero informazioni sulla gestione dei supporti removibili contenenti dati personalie/o sensibili
- analisi dei rischi ai quali sono soggetti i dati
B) Consulenza organizzativa
- definizione organigramma a termini di legge (titolari, responsabili, incaricati)
- individuazione dei soggetti esterni del trattamento dati (studi professionali, call-center, servizi in outsourcing)
- individuazione degli “incaricati” al trattamento dati personali
- individuazione degli “incaricati” al trattamento dati sensibili
- misure minime di sicurezza adottate in caso di trattamento dati affidato all'esterno
C) Elaborazione atti
- studio e redazione dell'informativa (clienti, fornitori, dipendenti, ecc..) ed eventuale lettera di richiesta del “consenso”
- preparazione lettera di nomina dei responsabili e lettera di incarico al trattamento dei dati, con relative istruzioni e regole da adottare
- preparazione lettere per richiesta adozione misure minime di sicurezza in caso di incarichi di consulenza esterni
- stesura del Documento Programmatico sulla Sicurezza
D) Misure minime di sicurezza
- elaborazione delle regole di sicurezza da adottare per la protezione degli archivi cartacei e delle banche dati in cui sono conservati i dati
- descrizione misure adottate per garantire l'integrità e la disponibilità dei dati (sia per i supporti cartacei che elettronici)
- valutazione ed indicazioni per l'adeguamento alle misure minime di sicurezza per i trattamenti cartacei
- valutazione ed indicazioni per l'adeguamento alle misure minime di sicurezza per i trattamenti con strumenti elettronici
E) Formazione
- corso per la conoscenza di base della legislazione riguardante la privacy per il personale interno all'azienda
- corso rivolto al personale aziendale riguardante la sicurezza delle postazioni di lavoro su personal computer, con particolare attenzione alle minacce relative a intrusioni, virus, malware, social engineering, e comportamenti “pericolosi” su internet
- corso per il personale aziendale riguardante le tecniche di Backup dei dati, locale, centralizzato, remoto
F) Consulenza ed assistenza anni successivi
- aggiornamento del Documento Programmatico sulla Sicurezza
- verifica dell'osservanza delle norme organizzative e delle procedure di trattamento adottate per gli adempimenti
- verifica dell'osservanza e del regolare impiego delle misure di sicurezza
- consulenza sui vari ambiti del sistema informativo aziendale per il corretto adeguamento alle indicazioni della legge
- revisione periodica dell'informativa, delle lettere di richiesta del consenso ed eventuale elaborazione di nuovi modelli
- aggiornamento e pubblicazione dell'elenco dei responsabili e degli incaricati
- audit per verifica della corretta applicazione del sistema di gestione degli adeguamenti relativi alla normativa sulla privacy adottato in azienda
