Convergenza tra Security e Safety. Analisi interpretativa GDPR e NIS 2

L'articolo analizza la convergenza tra i concetti di Security e Safety, evidenziando come le normative GDPR e NIS 2 possano favorire un approccio coordinato alla gestione del rischio. Vengono illustrati esempi pratici, come la risposta a un attacco ransomware, e si sottolinea l'importanza di un coordinamento operativo tra CISO e DPO. Si propongono modelli organizzativi ibridi e si evidenzia la necessità di processi, ruoli e strumenti condivisi per integrare la sicurezza digitale e fisica senza obblighi di fusione totale.

Nel campo della sicurezza, i concetti di Safety e Security costituiscono due domini analiticamente distinti. Tuttavia, quando questi termini vengono integrati in un unico ecosistema, la gestione separata sul piano operativo può risultare poco efficace.

Volendo dare una definizione semplificata, con il termine “Safety” si intende la protezione dai rischi accidentali; mentre con il termine “Security” si intende la protezione dalle minacce intenzionali.

Sebbene l’integrazione dei due domini non sia espressamente prevista da un punto di vista normativo come un obbligo generale per i soggetti interessati, l’interpretazione tra il GDPR e la Direttiva NIS 2 (recepita in Italia con il D.Lgs. 138/2024) può rendere opportuno coordinare questi concetti da un punto di vista operativo.

Ai sensi dell’articolo 24 comma 1 e 2 del D.Lgs 138/2024 vengono infatti obbligati i soggetti essenziali e importanti rientranti nel suo ambito di applicazione a adottare misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi per la sicurezza informatica. Tali misure basate su un approccio multirischio sono rivolte a proteggere i sistemi informativi e di rete e il loro ambiente fisico dagli incidenti. Questo può sostenere un coordinamento operativo, ma non equivale a un obbligo generale di integrare la cybersicurezza con ogni ambito della sicurezza fisica o sul lavoro.

La valutazione del rischio non dovrebbe essere pertanto una matrice compilata per obbligo o un esercizio formale, ma seguendo l’ottica NIS2, deve diventare il collante tra le attività aziendali, i servizi IT e le vulnerabilità.

Anche il GDPR, all’art. 5, par. 1, lett. f, seppur non richiamando esplicitamente entrambi i domini, fornisce una chiave di interpretazione per la loro relazione. La protezione dalla perdita, dalla distruzione o dal danno accidentali dei dati personali, può ricondursi, ad una analisi Safety. Quando il trattamento risulta non autorizzato o illecito si può avere una interpretazione vicina al concetto di Security. Occorre comunque far attenzione che il GDPR, non denomina espressamente questi due domini ma l’analisi svolta risulta frutto di un’interpretazione logica e ragionata.

Le due normative seppur gestendo ambiti e finalità differenti permettono un approccio organizzativo coordinato sfruttando la loro convergenza, considerando i rischi accidentali e quelli intenzionali, nonché le dimensioni fisica e digitale della protezione dei dati nel loro complesso.

L’incontro tra Safety e Security non finisce nella necessità di una visione integrata, ma la concretezza operativa diventa fondamentale. Si pensi alla predisposizione di un piano di emergenza in caso di incendio. Sebbene la priorità sia quella di tutelare l’incolumità delle persone, occorrerà salvaguardare i beni aziendali, compresi i sistemi e i dati in essi custoditi.

Prendiamo ad esempio un caso esemplificativo, un attacco ransomware in ambito sanitario che ha cifrato i dati clinici di migliaia di pazienti. Mentre il CISO, si occupa di coordinare le operazioni di disaster recovery e messa in sicurezza dei sistemi; al contempo, il DPO può supportare il titolare nella valutazione degli impatti sui dati personali e negli adempimenti previsti dal GDPR, cooperando con l’autorità di controllo secondo i propri compiti.Questo esempio conferma che nei momenti di crisi informatica il DPO e il CISO devono agire come una squadra affiatata, ciascuno apportando il proprio expertise ma con un obiettivo comune mitigare il cyber risk proteggendo al contempo i dati personali e la continuità del servizio.

La sinergia non si limita alle situazioni di emergenza, ma deve riflettersi anche nell’organizzazione ordinaria. Alcune realtà stanno sperimentando modelli organizzativi ibridi per garantire un coordinamento strutturale.

Alla luce di ciò, non resta che chiarire come tradurre concretamente questa esigenza di coordinamento attraverso la definizione di ruoli, processi e strumenti. Il rapporto tra Safety e Security non richiede necessariamente la fusione dei due ambiti, ma la collaborazione proporzionale e organizzata ai rischi. Sarà nel rispetto degli obblighi applicabili e delle diverse competenze che la convergenza tra la sicurezza digitale e fisica potrà tradursi in una gestione efficace e consapevole del rischio.

Lello Molinario

Lello Molinario si occupa di digital forensics, cybersecurity, investigazioni digitali ed ethical hacking. Integra esperienza operativa e ricerca accademica, con particolare attenzione alla digital evidence, alla first response e alla robustezza dei sistemi di AI applicati alla forensics.

Aree di competenza: Digital Forensics, Digital Evidence, Incident Response, Cybersecurity, Ethical Hacking, AI Security, DFIR, OSINT, Forensic Acquisition