In che modo DSPM favorisce la preparazione alla conformità con il GDPR, il CCPA e l'HIPAA

La conformità al GDPR, al CCPA e all’HIPAA non è più un semplice esercizio di verifica puntuale, bensì una disciplina operativa continua. La gestione dello stato di sicurezza dei dati (DSPM) aiuta le organizzazioni a mantenere una visibilità costante su dove risiedono i dati soggetti a regolamentazione, chi può accedervi e quale possa essere il loro livello di esposizione.

Per i team responsabili della privacy, della sicurezza e della preparazione agli audit, la sfida non consiste semplicemente nell’individuare i dati sensibili una volta sola, bensì nel tenere il passo con l’espansione del cloud, la crescita del SaaS, lo storage ibrido e l’evoluzione delle modalità di accesso. Il DSPM offre un supporto in tal senso, individuando costantemente dati personali, informazioni sui consumatori e informazioni sanitarie protette all’interno di archivi cloud, applicazioni SaaS e ambienti ibridi.

Questo è importante perché la preparazione alla conformità dipende non solo dalla conoscenza della posizione in cui si trovano i dati soggetti a regolamentazione, ma anche da chi può accedervi, in che modo sono esposti e quali azioni correttive debbano essere intraprese per prime. In pratica, ciò significa passare da inventari statici a prove aggiornate e difendibili.

Quando, nell’ottobre 2024, l’ICO del Regno Unito ha introdotto un nuovo quadro di riferimento per gli audit in materia di protezione dei dati, ha ribadito l’importanza di una governance, di una documentazione e di controlli verificabili in tutte le principali pratiche di protezione dei dati. Il GDPR, il CCPA e l’HIPAA richiedono ciascuno ben più di una semplice intenzione normativa. Esigono infatti che le organizzazioni comprendano il proprio ambiente di dati in modo sufficientemente approfondito da poter agire di conseguenza.

Perché il DSPM è fondamentale per la preparazione alla conformità

I programmi di conformità falliscono quando i team non sono in grado di rispondere rapidamente a domande fondamentali: di quali dati soggetti a regolamentazione disponiamo? Dove sono archiviati? Chi può accedervi? Sono esposti a rischi eccessivi? A cosa occorre porre rimedio per primo?

DSPM è stato progettato proprio per colmare tale lacuna di visibilità. Individua e classifica i dati sensibili in modo continuo, anziché basarsi su campioni periodici o fogli di calcolo compilati manualmente. Aiuta inoltre i team a dare priorità ai risultati più rilevanti, in modo che le attività di conformità siano legate all’esposizione effettiva anziché a supposizioni.

Secondo il “Data Breach Investigations Report 2026” di Verizon, che ha analizzato oltre 31.000 incidenti di sicurezza e 22.000 violazioni confermate in 145 paesi, il 62% delle violazioni ha comunque coinvolto un fattore umano: ingegneria sociale, configurazioni errate, uso improprio delle credenziali ed errori. Tuttavia, i dati del 2026 evidenziano un problema sempre più grave: per la prima volta nei 19 anni di storia del rapporto, lo sfruttamento delle vulnerabilità ha superato il furto di credenziali come principale punto di accesso alle violazioni, rappresentando il 31% di tutte le violazioni, mentre le violazioni nella catena di fornitura di terze parti sono aumentate del 60% e ora rappresentano il 48% del totale. Nel frattempo, la «shadow AI» — ovvero l’uso non autorizzato da parte dei dipendenti di servizi di intelligenza artificiale generativa — è triplicata, passando dal 15% al 45% della forza lavoro in un solo anno, con il 67% che accede agli strumenti di intelligenza artificiale da dispositivi aziendali utilizzando account non aziendali. Queste tendenze non operano in modo isolato. Un singolo file sovraesposto o un repository SaaS condiviso può creare contemporaneamente un percorso di sfruttamento delle vulnerabilità, un rischio di accesso da parte di terzi e un flusso di dati non monitorato verso uno strumento di IA non autorizzato, innescando contemporaneamente problemi di privacy, sicurezza e governance in diversi quadri normativi.

In che modo il DSPM si articola con la preparazione al GDPR

La conformità al GDPR dipende dall’accuratezza dei registri, dalla minimizzazione dei dati, dal controllo degli accessi e dalla capacità di rispondere con sicurezza alle richieste relative ai diritti degli interessati. DSPM sostiene questi obiettivi aiutando le organizzazioni a individuare i dati personali presenti nei sistemi cloud e SaaS, a identificare gli archivi eccessivamente esposti e a mantenere gli inventari più aggiornati.

L’articolo 30 del GDPR impone alle organizzazioni di conservare i registri delle attività di trattamento, e l’individuazione automatizzata contribuisce a rendere tali registri più accurati e gestibili rispetto ai soli fogli di calcolo compilati manualmente. L’articolo 5 sancisce la minimizzazione dei dati come principio fondamentale, mentre l’articolo 25 richiede la protezione dei dati fin dalla progettazione e per impostazione predefinita. Il DSPM supporta entrambi questi aspetti, rendendo visibili tempestivamente i dati sensibili e individuando i casi in cui sussiste un’esposizione non necessaria.

Per quanto riguarda i programmi relativi al GDPR, tra i risultati di massima priorità figurano spesso dati personali accessibili al pubblico, diffusi in modo eccessivo a livello interno o conservati secondo modalità che potrebbero essere in contrasto con le politiche di governance documentate.

La preparazione al GDPR comprende anche il supporto al diritto alla cancellazione ai sensi dell’articolo 17. DSPM può aiutare a individuare tutte le copie dei dati personali presenti in ambienti cloud e ibridi, compresi i backup e le unità condivise, consentendo così ai team di rispondere in modo più completo e coerente.

Le organizzazioni che si affidano a procedure annuali di mappatura manuale dei dati spesso incontrano difficoltà nel mantenere aggiornati i propri inventari, poiché i dati si spostano tra ambienti cloud e SaaS. DSPM contribuisce a ridurre tale scostamento effettuando scansioni continue e segnalando le modifiche non appena si verificano.

In che modo DSPM favorisce la conformità al CCPA

Il CCPA conferisce ai consumatori il diritto di conoscere, cancellare e correggere i propri dati personali, il che, nella pratica, impone alle organizzazioni di individuare dove tali dati siano conservati all’interno dei sistemi aziendali. Le linee guida del Dipartimento di Giustizia della California sottolineano inoltre che le imprese devono essere in grado di identificare i dati personali per singolo consumatore e per categoria.

Il DSPM contribuisce a individuare le informazioni personali dei consumatori all’interno di archivi, servizi collegati e strumenti di collaborazione. È in grado di supportare in modo più accurato la risposta alle richieste di accesso alle informazioni e aiuta i team a individuare dove i dati dei consumatori sono stati condivisi o sincronizzati, riducendo così il rischio che le operazioni di cancellazione risultino incomplete.

Ai fini della conformità al CCPA, i team spesso danno priorità alle informazioni personali dei consumatori che sono eccessivamente esposte, ampiamente condivise tra i sistemi collegati o difficili da tracciare durante i flussi di lavoro relativi all’accesso e alla cancellazione. Il trattamento previsto dal CCPA per le informazioni personali sensibili crea inoltre ulteriori esigenze di visibilità, poiché le organizzazioni devono sapere non solo che tali dati esistono, ma anche dove sono archiviati e in che misura sono accessibili.

Il DSPM può aiutare a individuare dove risiedono i dati dei consumatori e dove sono stati condivisi tra archivi e servizi collegati. Tale visibilità è particolarmente importante quando le informazioni sui consumatori compaiono in piattaforme SaaS, archivi cloud, sistemi di backup e ambienti ibridi che non facevano parte dell’inventario originario.

In che modo DSPM favorisce la conformità alla normativa HIPAA

I soggetti soggetti alla normativa HIPAA e i loro partner commerciali devono effettuare un’analisi accurata e approfondita dei rischi e delle vulnerabilità relativi alle informazioni sanitarie protette in formato elettronico (ePHI). La Norma sulla sicurezza dell’HHS chiarisce tale requisito, che risulta più difficile da soddisfare quando i dati sono distribuiti tra archivi cloud, posta elettronica, piattaforme di collaborazione, ambienti di sviluppo e sistemi di backup.

DSPM aiuta i team a individuare le informazioni sanitarie protette in formato elettronico (ePHI) in luoghi che spesso sfuggono ai processi di inventario tradizionali. È in grado di individuare le ePHI presenti nelle piattaforme di collaborazione, negli allegati e-mail, nei sistemi di backup o negli ambienti di sviluppo, fornendo ai team addetti alla sicurezza e alla conformità una comprensione più approfondita dei punti in cui sussiste un rischio di esposizione.

Ai fini della conformità all’HIPAA, i team spesso danno priorità alle informazioni sanitarie protette elettroniche (ePHI) che sono ampiamente accessibili, archiviate in repositori inattesi o esposte a causa di controlli di accesso inadeguati. Il DSPM può inoltre aiutare a identificare accessi con autorizzazioni eccessive e configurazioni di condivisione rischiose che potrebbero aumentare l’esposizione ai rischi legati all’HIPAA.

Nel gennaio 2025 l’HHS ha proposto importanti aggiornamenti alla Norma di sicurezza HIPAA, segnalando crescenti aspettative in merito a pratiche di sicurezza informatica più rigorose e a una documentazione più completa in materia di protezione delle ePHI. Ciò rende la visibilità continua ancora più importante, poiché le organizzazioni devono dimostrare di sapere dove si trovano i dati sanitari soggetti a regolamentazione e in che modo vengono protetti.

DSPM e altri controlli di sicurezza

Il DSPM non sostituisce i controlli esistenti; costituisce piuttosto il livello di visibilità che li rende più precisi ed efficaci.

Il DLP tradizionale è efficace nel prevenire i movimenti non autorizzati, ma necessita di un contesto di dati accurato. Il CASB offre visibilità sull’utilizzo dei servizi SaaS, mentre il DSPM analizza in modo più approfondito i dati e le configurazioni all’interno di tali applicazioni. Nell’ambito di un’architettura completa Security Service Edge SSE), il DSPM guida le decisioni relative alle politiche su gateway web, accesso zero-trust e protezione dalle minacce, fornendo approfondimenti incentrati sui dati che consentono ai team di sicurezza aziendali di prendere decisioni informate.

Ciò rende il DSPM un utile complemento al DLP, al CASB e all’SSE. Il DSPM fornisce il livello di consapevolezza, mentre tali strumenti garantiscono l’applicazione delle misure di sicurezza.

In che modo il DSPM dovrebbe aiutare i team a

Un programma DSPM efficace dovrebbe aiutare i team a rispondere alle seguenti domande:

• Dove vengono archiviati i dati soggetti a normative negli ambienti cloud, SaaS, di collaborazione, di backup e ibridi?

• Chi può accedervi?

• Quali repository sono eccessivamente esposti?

• Quali risultati hanno il maggiore impatto sulla conformità?

• Quale intervento correttivo dovrebbe essere effettuato per primo?

L'approccio tecnico varia a seconda dell'ambiente, ma il DSPM combina generalmente l'individuazione, la classificazione e l'analisi del contesto di accesso in archivi sia strutturati che non strutturati.

Soluzioni DSPM efficaci dovrebbero garantire una classificazione accurata e una flessibilità sufficiente a supportare i tipi di dati e i flussi di lavoro specifici di ciascuna organizzazione.

Come stabilire le priorità negli interventi correttivi

Non tutti i risultati meritano la stessa urgenza. I team dovrebbero stabilire le priorità in base all’impatto normativo, al livello di esposizione e alla sensibilità dei dati in questione.

Per quanto riguarda i programmi relativi al GDPR, tra i risultati di massima priorità figurano spesso dati personali accessibili al pubblico, diffusi in modo eccessivo a livello interno o conservati secondo modalità che potrebbero essere in contrasto con le politiche di governance documentate.

Ai fini della conformità al CCPA, i team spesso attribuiscono priorità alle informazioni personali dei consumatori che sono eccessivamente esposte, ampiamente condivise tra i sistemi collegati o difficili da tracciare durante i flussi di lavoro relativi all’accesso e alla cancellazione.

Ai fini della conformità alla normativa HIPAA, i team spesso attribuiscono priorità alle informazioni sanitarie protette in formato elettronico (ePHI) che sono ampiamente accessibili, archiviate in repositori inattesi o esposte a causa di controlli di accesso inadeguati.

I flussi di lavoro di correzione possono includere azioni automatizzate, ove supportate, nonché l’inoltro ai responsabili dei dati e ai team addetti alla conformità per la revisione.

Perché la visibilità continua è importante

Gli ambienti cloud cambiano troppo rapidamente perché le attività di mappatura annuali possano continuare a essere affidabili. Vengono introdotti nuovi strumenti SaaS, le modalità di accesso cambiano, le copie si moltiplicano e i dati soggetti a normative possono essere spostati senza preavviso.

Le attività di conformità risultano più complesse quando i dati soggetti a regolamentazione si trovano in posizioni non incluse nell’inventario originale. DSPM contribuisce a ridurre tale rischio individuando continuamente i dati, evidenziando i rischi di esposizione e tenendo informati i team man mano che l’ambiente cambia.

Ciò è particolarmente importante in un contesto in cui le aspettative normative continuano a evolversi, con le proposte di aggiornamento dell’HIPAA, il processo normativo in corso relativo al CCPA e l’emergere di nuove leggi sulla privacy a livello globale.