Per i professionisti del settore legale, la possibilità di lavorare e collaborare da remoto nel cloud offre innumerevoli vantaggi, ma è importante essere consapevoli anche delle sfide e delle vulnerabilità in materia di sicurezza associate alla tecnologia cloud. Una violazione della sicurezza o il mancato rispetto di specifiche linee guida di conformità potrebbero potenzialmente esporre voi e il vostro team al rischio di gravi problemi legali e finanziari, per non parlare dei possibili tempi di inattività e della perdita della fiducia dei vostri clienti.

La buona notizia è che molti fornitori di servizi cloud affidabili offrono ai propri utenti la possibilità di avvalersi o di “ereditare” i controlli di sicurezza e conformità integrati già presenti nell’infrastruttura applicativa del fornitore stesso. Per aiutare al meglio voi e il vostro team legale a fare la scelta giusta in materia di fornitori di servizi cloud, abbiamo individuato 16 standard, certificazioni, rapporti di audit, normative e attestazioni, oltre a leggi statunitensi e internazionali, da considerare come indicatori del fatto che la vostra collaborazione con i singoli fornitori di servizi cloud sia sicura, protetta e conforme. Più di questi “requisiti” il vostro fornitore soddisfa o rispetta, più è in grado di disporre di controlli di sicurezza e conformità a beneficio e a tutela dei propri clienti cloud, compreso il vostro team legale.

16 controlli di conformità e sicurezza da verificare in un fornitore di servizi cloud

Questo elenco di controlli di conformità e sicurezza comprende la famiglia di norme e controlli 27000 dell’Organizzazione internazionale per la normazione (ISO), riconosciuta a livello mondiale, nonché norme internazionali di origine statunitense che non solo sono richieste all’interno dello Stato o del Paese di origine, ma sono state nel frattempo riconosciute più ampiamente come importanti parametri di riferimento in materia di sicurezza.

1. La norma ISO 27001 specifica i requisiti per l'istituzione, l'attuazione, il mantenimento e il miglioramento continuo di un Sistema di gestione della sicurezza delle informazioni (ISMS) nel contesto dell'organizzazione.
2. La norma ISO 27017 fornisce indicazioni sugli aspetti relativi alla sicurezza delle informazioni nel cloud computing e nei servizi cloud, oltre a ulteriori indicazioni di attuazione per i controlli pertinenti specificati nella norma ISO/IEC 27002.
3. La norma ISO 27018 definisce obiettivi di controllo, misure di controllo e linee guida comunemente accettati per l'attuazione di misure volte a proteggere le informazioni personali identificabili (PII) in conformità con i principi di protezione della privacy stabiliti nella norma ISO/IEC 29100 per l'ambiente di cloud computing pubblico.
4. La norma ISO 27701 è un’estensione della norma ISO/IEC 27001 in materia di privacy, concepita per potenziare l’attuale Sistema di Gestione della Sicurezza delle Informazioni (SGSI) con requisiti aggiuntivi, al fine di definire, implementare, mantenere e migliorare continuamente un Sistema di Gestione delle Informazioni sulla Privacy (PIMS). Inoltre, i controlli previsti dalla norma ISO 27701 rispondono a molti dei requisiti del Regolamento generale sulla protezione dei dati (GDPR) dell’UE; pertanto, la certificazione relativa ai controlli della norma ISO 27701 può essere utilizzata anche per convalidare in modo indipendente la conformità al GDPR.
5. I rapporti SOC (Service Organization Controls) aiutano le aziende a instaurare un clima di fiducia nei propri processi di erogazione dei servizi e nei relativi controlli. Ciò avviene grazie a informazioni dettagliate e garanzie sulla capacità di un fornitore di servizi cloud di rispettare alcuni o tutti i Principi di fiducia: sicurezza, disponibilità, privacy, trattamento dei dati, integrità e riservatezza.
6. Lo standard federale per l'elaborazione delle informazioni (FIPS) (140-3) specifica i requisiti di sicurezza che devono essere soddisfatti dai moduli crittografici ed è uno standard fondamentale quando si ha a che fare con settori altamente regolamentati. È importante sottolineare le differenze tra lo standard FIPS 140-2, che soddisfa i requisiti di resistenza alla manomissione, e lo standard FIPS 140-3, che soddisfa requisiti più elevati in materia di protezione contro la manomissione. Inoltre, lo standard FIPS 140-2 riguarda solo i requisiti di sicurezza dopo il completamento, mentre lo standard FIPS 140-3 valuta ora i requisiti di sicurezza in tutte le fasi della creazione del modulo crittografico: progettazione, implementazione e implementazione operativa finale.
7. Il Federal Risk and Authorization Management Program (FedRAMP) è un programma di certificazione a livello governativo statunitense che offre un approccio standardizzato alla valutazione della sicurezza, all'autorizzazione e al monitoraggio continuo dei prodotti e dei servizi cloud forniti ad agenzie governative, fornitori e clienti.
8. Le Export Administration Regulations (EAR) sono norme di controllo delle esportazioni gestite da diversi dipartimenti del governo degli Stati Uniti, tra cui il Dipartimento del Commercio degli Stati Uniti, che amministra le EAR per regolamentare l’esportazione di beni a “doppio uso”, compresi i dati tecnici e l’assistenza tecnica, progettati per scopi commerciali ma che potrebbero avere applicazioni militari, quali computer, aeromobili e agenti patogeni.
9. I requisiti e le norme contenuti nel “Defense Federal Acquisition Regulation Supplement” (DFARS) hanno lo scopo di garantire l’integrità delle informazioni non classificate soggette a controllo (CUI), ovvero delle informazioni sensibili di proprietà del governo degli Stati Uniti che possono essere detenute o utilizzate da terzi quali fornitori, partner e associazioni di categoria.
10. Il Federal Information Security Management Act (FISMA) è una legge statunitense che definisce un quadro di riferimento per le linee guida e gli standard di sicurezza volti a proteggere le informazioni e le operazioni governative.
11. L'Health Insurance Portability and Accountability Act (HIPAA) definisce misure di tutela della privacy standardizzate a livello nazionale per le cartelle cliniche dei pazienti e altre informazioni sanitarie fornite e gestite principalmente da piani sanitari, medici, ospedali e altri operatori sanitari negli Stati Uniti. Tuttavia, può applicarsi anche ai datori di lavoro che offrono piani sanitari collettivi e a qualsiasi azienda o persona fisica che fornisca servizi a medici, operatori sanitari e compagnie assicurative.
12. La norma SEC 17a-4 si applica ai broker-dealer statunitensi e ad altre parti interessate che negoziano titoli o operano in qualità di intermediari per conto dei trader, incluse banche, società di intermediazione mobiliare e società di intermediazione azionaria, imponendo loro di conservare tutti i documenti aziendali per un periodo non inferiore a sei anni su supporti non riscrivibili e non cancellabili, con i primi due anni in un luogo facilmente accessibile.
13. Le clausole modello dell’UE sono clausole contrattuali standardizzate utilizzate negli accordi tra i fornitori di servizi e i loro clienti per garantire che qualsiasi dato personale che esca dallo Spazio economico europeo venga trasferito nel rispetto delle leggi dell’UE in materia di protezione dei dati e soddisfi i requisiti del GDPR.
14. Le linee guida sulla sicurezza del cloud dell’Australian Cyber Security Centre (ACSC) forniscono indicazioni agli enti del Commonwealth, ai fornitori di servizi cloud (CSP) e ai valutatori del programma Infosec Registered Assessors Program (IRAP) su come effettuare una valutazione completa della sicurezza dei CSP e dei loro servizi.
15. Il Regolamento generale sulla protezione dei dati (GDPR) disciplina le modalità con cui le aziende proteggono i dati personali dei cittadini dell’UE ed è diventato la normativa di riferimento in materia di privacy per molti paesi.
16. Il California Consumer Privacy Act (CCPA) è una legge statale volta a rafforzare i diritti alla privacy e la tutela dei consumatori per i residenti dello Stato della California, negli Stati Uniti.

Scegli una soluzione cloud che dia priorità alla sicurezza e alla conformità

Scegliere di collaborare con un fornitore di servizi cloud la cui conformità a molti di questi diversi standard e normative sia stata verificata vi consente di fare affidamento sui controlli di conformità e sicurezza da ciò derivanti, o di “ereditarli”, come richiesto da tali standard e leggi. La dirigenza della vostra organizzazione, il vostro team legale e i vostri clienti possono stare tranquilli sapendo che i vostri dati sono in mani sicure e competenti.

In quanto soluzione cloud nativa progettata appositamente per i professionisti del settore legale, NetDocuments offre a te e al tuo team i rigorosi controlli di sicurezza e conformità più adatti all’attività legale, consentendovi al contempo di lavorare e collaborare in modo semplice ed efficiente.

Per saperne di più su come NetDocuments possa aiutarti ad adempiere agli obblighi di conformità e alle richieste dei clienti in materia di protezione delle informazioni sensibili, contattaci oggi stesso al numero (866) 638-3627 oppure clicca qui per richiedere una demo.

Leggi l'articolo originale di David su questo argomento pubblicato nell'edizione estiva 2022 della rivista rivista "Peer to Peer".