Multifunzione a noleggio: il disco che esce dall'azienda
A fine contratto la multifunzione a noleggio è tornata al fornitore. Dentro c'erano anni di scansioni: buste paga, documenti d'identità, contratti. Nessuno sapeva che avesse un disco.
Il caso, reso anonimo, riguarda un'organizzazione certificata ISO/IEC 27001. Il noleggio scade, il fornitore ritira l'apparecchio e ne installa uno nuovo in mezza giornata. L'inventario degli asset elencava server, PC e portatili, mentre le stampanti comparivano come "periferiche", senza alcuna indicazione sulla memoria interna.
Nella ISO/IEC 27001:2022 il riferimento è il controllo A.7.14, sulla dismissione sicura o il riutilizzo delle apparecchiature: prima che un dispositivo esca, i supporti che contengono informazioni vanno verificati, e i dati cancellati in modo sicuro o il supporto distrutto. Il controllo, però, si applica soltanto a ciò che l'organizzazione sa di possedere. Il problema stava quindi a monte, nell'inventario richiesto dal controllo A.5.9.
Per la protezione dei dati la domanda cambia. Sul disco c'erano dati personali, anche dei dipendenti. Se il fornitore può accedervi, occorre valutare se si è verificata una violazione ai sensi dell'articolo 33 del GDPR, e l'esito dipende da che cosa il fornitore ha fatto di quel disco. Durante il contratto, inoltre, il tecnico dell'assistenza poteva accedere al dispositivo: un trattamento che, se c'è, va regolato con l'articolo 28.
Il sistema qualità offre una terza lettura. L'ufficio acquisti valutava il fornitore su tempi di intervento e costo copia, come prevede il punto 8.4 della ISO 9001:2015 per i servizi forniti dall'esterno. La restituzione a fine contratto era anch'essa un servizio, ma nessuno l'aveva descritta.
Infine il contratto: nessuna clausola sulla cancellazione del disco, nessuna attestazione da parte del fornitore. Senza quel passaggio scritto, la riservatezza dipende dalla prassi di chi ritira l'apparecchio.
La stessa macchina compariva in tre documenti, con tre funzioni diverse, e in nessuno come supporto di memoria. Ciascun sistema era in ordine rispetto alla propria norma, mentre il rischio stava nel punto in cui nessuno dei tre guardava.
Nel vostro inventario degli asset, le multifunzioni compaiono come dispositivi che conservano dati?