ISO/IEC 27018, i dati personali nel cloud
Dove sono i dati personali, chi li tratta per conto tuo e chi può vederli: la norma che unisce privacy e cloud, con le evidenze che arrivano dai tuoi ambienti.
Privacy e cloud pubblico
La ISO/IEC 27018 è il codice di condotta per la protezione dei dati personali nel cloud pubblico. Si rivolge ai fornitori cloud che trattano dati personali per conto dei clienti, cioè che agiscono da responsabili del trattamento, e a chi sceglie quei fornitori e deve sapere quali garanzie chiedere.
Per un'azienda italiana il legame con il GDPR è diretto: posta, documenti e anagrafiche stanno quasi sempre in un cloud pubblico, e il titolare del trattamento resta responsabile di come sono custoditi.
Si affianca alla ISO/IEC 27017, che copre la sicurezza dei servizi cloud in generale, e si innesta sul sistema di gestione della ISO/IEC 27001.
I requisiti della ISO 27018 sui dati personali
- Trattamento dei dati personali solo secondo le istruzioni del cliente
- Nessun uso dei dati per scopi propri del fornitore, come il marketing
- Trasparenza su dove e come i dati sono trattati
- Trasparenza sui sub-fornitori coinvolti nel trattamento
- Supporto al cliente nell'esercizio dei diritti degli interessati
- Notifica al cliente delle violazioni dei dati personali
- Restituzione e cancellazione dei dati alla fine del servizio
- Riservatezza del personale e controllo degli accessi ai dati
Dalla mappa dei dati alle verifiche sul cloud
L'autovalutazione ISO 27018 misura il divario. Poi la piattaforma documenta dove stanno i dati personali e chi può accedervi.
| Requisito ISO 27018 | Come lo copre Dottor Box |
|---|---|
| Misura del divario | Gap analysis sui controlli per i dati personali nel cloud |
| Dove sono i dati personali | Registro dei trattamenti con i trattamenti proposti dai metadati di Google Drive e i rilievi sui dati da verificare |
| Accesso ai dati | Microsoft Entra ID e Google Workspace: privilegi, account ospite, app di terze parti con accesso alla posta e ai file |
| Condivisione verso l'esterno | Verifica delle impostazioni di condivisione dei file e dei gruppi aperti |
| Fornitori e sub-fornitori | Supply Chain e nomine dei responsabili esterni con la Modulistica GDPR |
| Violazioni dei dati | Incident Response e Data Breach: registro delle violazioni con le fasi tracciate |
| Controlli e procedure | Compliance e GRC: la ISO 27018 è fra le norme del modulo, con procedure e Dichiarazione di Applicabilità |
Sai dove sono i dati e chi li vede
Una mappa dei dati
Il registro dei trattamenti parte dall'analisi del tuo Drive, che legge solo i metadati e mai i contenuti.
Dati fuori posto
Curriculum troppo vecchi, documenti d'identità e cedolini su spazi personali: rilievi con motivo e rimedio.
Accessi verificati
Chi ha privilegi e quali app di terze parti leggono posta e file, controllato con regolarità.
Fornitori qualificati
Questionari ai fornitori cloud e nomine dei responsabili esterni, tutto in un posto.
"È in cloud" non è una risposta per l'auditor. Una mappa dei trattamenti e una verifica delle configurazioni lo sono.
ISO 27018: domande frequenti
Che differenza c'è fra ISO 27017 e ISO 27018?
La ISO/IEC 27017 riguarda la sicurezza dei servizi cloud in generale e divide le responsabilità fra fornitore e cliente. La ISO/IEC 27018 si concentra sui dati personali trattati nel cloud pubblico. Spesso si adottano insieme.
La ISO 27018 sostituisce il GDPR?
No. È uno standard volontario che aiuta a dimostrare buone pratiche nel trattamento dei dati personali in cloud; gli obblighi di legge restano quelli del GDPR.
La scansione di Google Drive legge i miei documenti?
No. Legge solo i metadati, come i nomi delle cartelle e dei file, mai i contenuti. Da lì propone i trattamenti come bozza e segnala i dati da verificare, con motivo e rimedio.
I moduli che lavorano per la ISO 27018
Registro dei trattamenti
Il registro dell'articolo 30 GDPR, con i trattamenti proposti dall'analisi del tuo Drive.
Scopri di più VedereMicrosoft Entra ID
La postura di sicurezza del tenant Microsoft 365 su 72 indicatori, in sola lettura.
Scopri di più VedereGoogle Workspace
35 controlli sul catalogo CIS per la configurazione di Google Workspace, posta compresa.
Scopri di più GovernareModulistica GDPR
Nomine, informative e lettere di incarico per tutto il personale, generate in un passaggio.
Scopri di più ConformitàISO/IEC 27017
I controlli di sicurezza specifici per i servizi cloud.
Scopri di più ConformitàGDPR
Registro dei trattamenti, nomine, misure dell'art. 32 e data breach.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.