Alcuni recenti data breach, cioè violazioni della privacy, sono stati causati dallo smaltimento di apparecchiature elettroniche e informatiche sulle quali erano stati trattati i dati, senza che le stesse fossero sottoposte a procedure che ne garantissero l’assoluta eliminazione delle informazioni immagazzinate. Un caso particolarmente clamoroso è stato quello che ha interessato Morgan & Stanley, che ha accettato di pagare 60 milioni di dollari per saldare i reclami ricevuti dai propri clienti dopo che la banca non ha gestito correttamente la disattivazione dei data center legati alla sua attività di gestione patrimoniale. Morgan & Stanley ha dismesso due data center associati alle sue operazioni di gestione patrimoniale negli Stati Uniti e non è riuscita a valutare o affrontare efficacemente i rischi associati allo smantellamento del proprio hardware e a supervisionare correttamente la gestione dello stesso da parte del fornitore cui aveva affidato il servizio.
Purtroppo, quello dello smaltimento delle apparecchiature elettroniche e informatiche è un adempimento spesso trascurato, in particolare nelle piccole e medie imprese ove si ritiene sufficiente la semplice formattazione del disco o addirittura la sola eliminazione dei file. Sovente le aziende donano i loro sistemi, divenuti obsoleti, a scuole, enti benefici e associazioni. Un’azione meritevole che, nel caso non si attuino le dovute procedure, potrebbe causare una vera a propria violazione di dati personali.
Cosa dice la normativa italiana sullo smaltimento delle apparecchiature informatiche
Nella normativa italiana, tale argomento è stato approfondito dal provvedimento “Rifiuti di apparecchiature elettriche ed elettroniche (Raee) e misure di sicurezza dei dati personali” – 13 ottobre 2008 pubblicato in G.U. n. 287 del 9 dicembre 2008. Le prescrizioni del provvedimento sono tali da imporre ai titolari procedure che devono essere puntualmente assolte e documentate e sono riferite non solo ai personal computer o ai server, ma a tutti i supporti elettronici su cui sono trattati i dati (iPhone, tablet, dischi removibili, chiavette usb, cd rom, floppy disk).
Il provvedimento RAEE prevede due tipi di procedure, dettagliate negli allegati a) e b) del provvedimento
- procedure da attuare quando le apparecchiature elettroniche sono destinate a essere reimpiegate o riciclate;
- procedure da attuare quando le apparecchiature elettroniche sono destinate a essere smaltite.
Procedure da attuare quando le apparecchiature elettroniche sono destinate a essere reimpiegate o riciclate
Le misure, applicabili allo smaltimento di apparecchiature elettroniche o informatiche, possono essere preventive, ovvero attuate al momento della memorizzazione dei dati:
1. Cifratura di singoli file o gruppi di file, di volta in volta protetti con parole-chiave riservate, note al solo utente proprietario dei dati, che può con queste procedere alla successiva decifratura. Questa modalità richiede l’applicazione della procedura di cifratura ogni volta che sia necessario proteggere un dato o una porzione di dati (file o collezioni di file), e comporta la necessità per l’utente di tenere traccia separatamente delle parole-chiave utilizzate.
2. Memorizzazione dei dati sui dischi rigidi (hard-disk) dei personal computer o su altro genere di supporto magnetico od ottico (cd-rom, dvd-r) in forma automaticamente cifrata al momento della loro scrittura, tramite l’uso di parole-chiave riservate note al solo utente. Può effettuarsi su interi volumi di dati registrati su uno o più dispositivi di tipo disco rigido o su porzioni di essi (partizioni, drive logici, file-system) realizzando le funzionalità di un c.d. file-system crittografico (disponibili sui principali sistemi operativi per elaboratori elettronici, anche di tipo personal computer, e dispositivi elettronici) in grado di proteggere, con un´unica parola-chiave riservata, contro i rischi di acquisizione indebita delle informazioni registrate. L’unica parola-chiave di volume verrà automaticamente utilizzata per le operazioni di cifratura e decifratura, senza modificare in alcun modo il comportamento e l’uso dei programmi software con cui i dati vengono trattati. Oppure possono essere misure da attuarsi al momento in cui i dispositivi devono essere riutilizzati ed è quindi necessario eliminare di dati negli stessi contenuti:
3. Cancellazione sicura delle informazioni, ottenibile con programmi informatici (quali wiping program o file shredder) che provvedono, una volta che l´utente abbia eliminato dei file da un´unità disco o da analoghi supporti di memorizzazione con i normali strumenti previsti dai diversi sistemi operativi, a scrivere ripetutamente nelle aree vuote del disco (precedentemente occupate dalle informazioni eliminate) sequenze casuali di cifre “binarie” (zero e uno) in modo da ridurre al minimo le probabilità di recupero di informazioni anche tramite strumenti elettronici di analisi e recupero di dati.
Il numero di ripetizioni del procedimento considerato sufficiente a raggiungere una ragionevole sicurezza (da rapportarsi alla delicatezza o all´importanza delle informazioni di cui si vuole impedire l´indebita acquisizione) varia da sette a trentacinque e incide proporzionalmente sui tempi di applicazione delle procedure, che su dischi rigidi ad alta capacità (oltre i 100 gigabyte) possono impiegare diverse ore o alcuni giorni), a secondo della velocità del computer utilizzato.
4. Formattazione “a basso livello” dei dispositivi di tipo hard disk (low-level formatting–LLF), laddove effettuabile, attenendosi alle istruzioni fornite dal produttore del dispositivo e tenendo conto delle possibili conseguenze tecniche su di esso, fino alla possibile sua successiva inutilizzabilità;
5. Demagnetizzazione (degaussing) dei dispositivi di memoria basati su supporti magnetici o magneto-ottici (dischi rigidi, floppy-disk, nastri magnetici su bobine aperte o in cassette), in grado di garantire la cancellazione rapida delle informazioni anche su dispositivi non più funzionanti ai quali potrebbero non essere applicabili le procedure di cancellazione software (che richiedono l’accessibilità del dispositivo da parte del sistema a cui è interconnesso).
b) Procedure da attuare nel caso i rifiuti elettrici, elettronici o informatici siano destinati allo smaltimento
Nel caso che i sistemi o i supporti siano destinati a essere smaltiti, il provvedimento prevede diverse opzioni cui il titolare può ricorrere per assicurarsi che i dati precedentemente contenuti nei sistemi non siano in alcun modo recuperabili. Due di queste prevedono la distruzione fisica del supporto o il danneggiamento permanente dello stesso:
- punzonatura o deformazione meccanica;
- distruzione fisica o di disintegrazione (usata per i supporti ottici come i cd-rom e i dvd);
In alternativa si può procedere alla demagnetizzazione ad alta intensità del supporto.
Il Titolare dovrà in ogni caso documentare quale tipo di procedura è stata attuata e su quali sistemi, redigendo un apposito verbale da mantenere agli atti, e da esibire in caso di verifica da parte dell’Autorità. Nel caso in cui, per attuare le misure a protezione dei dati, il Titolare si sia avvalso di soggetti terzi, sarà opportuno che il soggetto incaricato di attuare la misura di sicurezza ne rilasci attestazione al titolare, certificando quali misure siano state adottate nello specifico e su quali sistemi. Insomma, durante le operazioni di smaltimento di rifiuti elettronici o informatici occorre sempre prestare la giusta attenzione.
