Continuità Operativa, Disaster Recovery e protezione dei dati

Da alcuni anni a questa parte, si sente sempre più spesso parlare di Disaster Recovery (DR) e di Continuità Operativa (CO).
Di cosa si tratta? Per quale motivo se ne parla tanto? E come si incontrano o come si scontrano questi concetti con quello di protezione dei dati personali?
Il fatto che le nostre amministrazioni pubbliche, per singola scelta o per obblighi di legge, siano sempre più informatizzate, dematerializzate e quindi digitali, significa in primo luogo che i nostri comuni, le nostre ASL, ecc. stanno andando in modo deciso nella direzione della modernità.
Ma significa anche che con i nuovi contesti nascono per le amministrazioni nuovi problemi e nuovi impegni.
Andiamo con ordine: prima di tutto, la Costituzione del nostro Stato sancisce con l’articolo 97 l’obbligo per gli uffici pubblici di organizzarsi in modo che sia assicurato il buon andamento dell’amministrazione.
E il buon andamento dell’attività della pubblica amministrazione significa per il singolo ente realizzare l’interesse pubblico, conformandosi ai criteri di efficacia ed efficienza.
Il Testo Unico sulla Privacy (D.Lgs. n.196/2003), aggiunge uno specifico obbligo di sicurezza (articolo 31) nel trattare i dati personali, obbligando i titolari del trattamento a ridurre al minimo i rischi di accessi non autorizzati, distruzione o perdita anche accidentale dei dati.
Anche se il focus della normativa sulla privacy è rivolto ai dati personali, sensibili e giudiziari, la necessità di salvaguardare i dati è un aspetto rilevante del Codice Privacy: con l’articolo 34, per esempio, il Codice prevede quale misura minima di sicurezza per il trattamento di dati personali effettuato con strumenti elettronici, l’adozione di procedure per la custodia di copie di sicurezza e per il ripristino della disponibilità dei dati e dei sistemi. E la descrizione dei criteri e delle modalità con cui effettuare il recovery dei dati in seguito a distruzione o danneggiamento era uno dei punti di cui si componeva l’abrogato Documento Programmatico sulla Sicurezza (DPS).
Sempre nel Codice Privacy, il legislatore afferma che gli obblighi di sicurezza vanno considerati in relazione alle conoscenze acquisite con il progresso tecnico.
Ma non esiste una sicurezza assoluta: la sicurezza va adeguata continuamente, di pari passo con il progresso tecnologico.
E se il legislatore chiede ai nostri enti pubblici di diventare amministrazioni sempre più digitali, allora è chiaro che la rincorsa verso adeguati livelli di sicurezza non si fermerà mai.
In questo contesto, si inserisce il concetto di Continuità Operativa.
Secondo la definizione presente sul sito di DigitPA, la Continuità Operativa è costituita dall’insieme delle attività volte a minimizzare gli effetti distruttivi, o comunque dannosi, di un evento che ha colpito un’organizzazione o parte di essa, garantendo la continuità delle attività in generale.
Ne parla l’articolo 50 bis, inserito nel nuovo Codice dell’Amministrazione Digitale (D.Lgs. n.35/2010), che si basa sul principio secondo cui la Pubblica Amministrazione ha l’obbligo di assicurare la continuità dei propri servizi, quale presupposto per garantire il corretto e regolare svolgimento della vita nel Paese.
L’articolo 50 bis prevede la predisposizione da parte di tutte le pubbliche amministrazioni di un Piano di Continuità Operativa che includa un Piano di Disaster Recovery, entro 15 mesi dalla data di entrata in vigore del decreto (il 25/01/2011).
La norma obbliga inoltre le stesse pubbliche amministrazioni alla stesura di un documento denominato Studio di Fattibilità Tecnica (SFT), sul quale l’Ente nazionale per la digitalizzazione della Pubblica Amministrazione (DigitPA) esprime parere determinante.
In effetti, per noi cittadini è molto positivo pensare che le amministrazioni pubbliche stiano riducendo i flussi cartacei, a favore di processi totalmente informatizzati. E ci rassicura credere che la modernizzazione non solo migliorerà la qualità dei servizi erogati, ma aiuterà la Pubblica Amministrazione anche a diminuire i costi di erogazione, migliorando la trasparenza e l’efficienza generale del sistema pubblico.
Ma questo non è possibile senza piani dettagliati e robusti di Disaster Recovery che garantiscano in termini accettabili la Continuità Operativa: non si può “fare e-government” senza la CO.
In questo senso, possiamo affermare che il tema della Continuità Operativa non può essere considerato un componente opzionale delle infrastrutture informatiche e di telecomunicazione (ICT) degli enti pubblici: con l’articolo 50 bis, la CO diventa un elemento essenziale nella definizione e nella gestione delle infrastrutture stesse.
Ma non ci si può occupare di CO senza confrontarsi con la privacy: non si possono redigere piani per la Continuità Operativa che non tengano nella giusta considerazione la riservatezza dei dati da salvaguardare, unitamente alle caratteristiche di proporzionalità, non eccedenza e finalità con cui la conservazione dei dati viene effettuata.
Sarebbe opportuno, per esempio, commisurare il periodo di conservazione dei dati dei backup ai tempi di conservazione dell’informazione che si intende salvaguardare, nel rispetto delle finalità con cui la stessa conservazione è effettuata.
E i siti di disaster recovery necessari per poter garantire che i nostri enti pubblici siano in grado di svolgere le loro funzioni anche nei casi più malaugurati, non devono diventare luoghi in cui il trattamento dei dati possa avvenire in deroga alle norme sulla privacy.
Si pensi, per esempio, alle tanto meravigliose quando rischiose possibilità che vengono oggi dalle tecnologie di “cloud computing”: possiamo decidere di affidare la memorizzazione dei nostri dati ad un insieme talmente indistinto e confuso di risorse, da non sapere neppure più se si trovano ancora nel territorio dello Stato o almeno in un Paese del’Unione Europea.
A questo proposito, il Garante per la protezione dei dati personali, ha fornito già alcuni mesi orsono indicazioni per un uso consapevole dei servizi cloud, ponendo l’accento sul fatto che il trasferimento (e il transito) anche temporaneo di dati personali in Paesi che non assicurano livelli adeguati di tutela è vietato dall’articolo 45 del Codice Privacy.
Garantire la Continuità Operativa rispettando la privacy, quindi, significa uscire dall’ambito specialistico dell’ICT ed entrare, finalmente, in un contesto in cui i responsabili dei Sistemi Informativi, i responsabili privacy, i responsabili dei servizi e i responsabili delle infrastrutture collaborano e si affiancano nella predisposizione (e in caso di necessità, anche nell’attuazione) di piani comuni dettagliati e documentati, che siano in grado di assicurare la continuità delle operazioni indispensabili per i diversi servizi e il ritorno all’operatività dopo il verificarsi di un evento disastroso, in un contesto di necessario rispetto della riservatezza dei dati trattati.
E i possibili scenari di crisi (e di disastro) sono purtroppo numerosi, anche senza pensare ad attacchi terroristici o minacce atomiche: i black-out, i terremoti, le alluvioni e le inondazioni sono eventi fisici non inconsueti, in questo nostro Paese sempre più dematerializzato…