Audit tecnico completo delle misure di sicurezza informatica rispetto ai requisiti del GDPR art.32. Scopri cosa funziona, cosa manca e cosa fare per essere davvero conformi.
Molte aziende hanno un consulente privacy che ha aggiornato le informative e il registro dei trattamenti, ma nessuno ha verificato le misure tecniche di sicurezza. L'art.32 del GDPR richiede misure appropriate: crittografia, controllo accessi, log, procedure di ripristino. Queste devono essere implementate, non solo dichiarate.
L'audit GDPR tecnico di EUpras verifica ogni controllo tecnico richiesto dal Regolamento: dalla crittografia dei dati in transito e a riposo, al controllo degli accessi, alla gestione dei log, alle procedure di backup e disaster recovery. Report dettagliato con evidenze e piano di remediation.
Analizziamo ogni misura tecnica richiesta dall'art.32: non chiediamo solo se esiste, verifichiamo che funzioni. Test pratici, screenshot, log come evidenze.
Il report non e un questionario compilato. Ogni controllo verificato ha la propria sezione con: stato (conforme/non conforme/parziale), evidenza fotografica o documentale, descrizione del gap e raccomandazione.
Non tutti i gap hanno lo stesso impatto sul rischio GDPR. Prioritizziamo in base all'entita dei dati trattati, alla probabilita di incidente e alla gravita delle conseguenze.
Ogni gap e accompagnato da un piano di remediation: cosa fare, come farlo, effort stimato e impatto sulla conformita. Un piano concreto, non solo raccomandazioni generiche.
Il report tecnico e progettato per essere utilizzato dal DPO o dal consulente privacy per aggiornare il Registro dei trattamenti e la documentazione GDPR.
Dopo 6 mesi dalla prima verifica eseguiamo un audit di follow-up per verificare che i gap siano stati chiusi. Indispensabile per dimostrare il miglioramento continuo.
Definizione del perimetro di audit, raccolta della documentazione esistente (Registro trattamenti, DPIA, policy).
Analisi sul campo di ogni controllo tecnico: crittografia, accessi, log, backup, incident response. Test pratici con evidenze.
Stesura del report con risultati, evidenze, gap identificati e piano di remediation prioritizzato.
Sessione di presentazione del report con il responsabile IT e il DPO. Spiegazione di ogni finding e del piano di remediation.
Dipende dalla dimensione dell'organizzazione e dal numero di sistemi che trattano dati personali. Per una PMI tipica (20-100 dipendenti) l'audit richiede 1-2 giorni di analisi sul campo piu 1-2 giorni per la stesura del report.
Il Garante non certifica specifici audit di terze parti. L'audit costituisce pero una documentazione solida della diligenza del titolare del trattamento, utile in caso di ispezione o reclamo.
No. L'audit tecnico viene eseguito principalmente con accessi in sola lettura ai sistemi e analisi della documentazione. L'impatto sull'operativita e minimo.
L'audit richiede il coinvolgimento del responsabile IT per l'accesso ai sistemi e la spiegazione delle configurazioni, e del DPO (o chi svolge quella funzione) per la parte documentale. Un giorno o due di disponibilita e sufficiente.
Un assessment gratuito della tua infrastruttura. Scopri cosa funziona, cosa no e cosa si può migliorare — senza impegno.