Compliance sicurezza: GDPR, PCI-DSS e ISO 27001 - Guida 2026

Riepilogo normative

• • 12 requisiti in 6 categorie
• • Audit annuale o SAQ
• • Scan trimestrali ASV
• • Livelli basati su volume transazioni

Approccio alla compliance

Conclusione

La compliance non dovrebbe essere l'obiettivo, ma un sottoprodotto di un buon programma di sicurezza. Costruisci sicurezza reale, non solo checkbox.

Domande frequenti

Quanto costa la certificazione ISO 27001?

Da €30.000 a €200.000+ per la preparazione, più €10.000-30.000/anno per audit di certificazione/sorveglianza. Dipende dalla dimensione.

Definire il perimetro di audit prima di scegliere i controlli

La differenza fra un progetto di conformita sostenibile e uno che si gonfia senza fine sta nell'identificazione immediata del perimetro: quali sistemi, processi e locali rientrano nello scope. Per il GDPR il perimetro segue il trattamento dei dati personali: ogni applicazione che li acquisisce, li conserva o li trasforma viene mappata nel registro dei trattamenti. Per PCI DSS il perimetro segue il ciclo di vita dei dati di pagamento, dall'acquisizione alla cancellazione. Un perimetro troppo ampio moltiplica i controlli da mantenere; uno troppo ristretto espone a non-conformita in fase di verifica.

La mappatura parte dagli inventari gia esistenti: registro dei trattamenti ex art. 30 GDPR, inventario dei sistemi gestito dall'IT, elenco degli applicativi che toccano pagamenti. Incrociando queste fonti si individua subito il divario: applicativi che trattano dati personali o di pagamento ma non compaiono in nessun documento. Ridurre il perimetro e poi una tecnica legittima e spesso la piu conveniente: se un'applicazione non ha bisogno di memorizzare i numeri di carta, quando possibile si elimina la memorizzazione e si riduce contestualmente lo scope di PCI DSS.

Il perimetro non e statico: va rivisto ogni volta che cambiano applicazioni, fornitori o flussi dati. Documentare le decisioni di delimitazione, con la data e il motivo, evita che una revisione successiva sembri un ripensamento arbitrario piuttosto che un aggiornamento lucido.

Ruoli e responsabilita: chi presidia cosa, con quale cadenza

La conformita non regge se resta compito di una sola persona. Il GDPR prevede, in molti casi, la nomina di un Data Protection Officer (artt. 37-39): coordina le revisioni, istruisce il titolare, riceve le segnalazioni degli interessati. Distinta e la figura che presidia la sicurezza tecnica, che nel contesto PCI DSS firma l'opinione di conformita. I confini esatti dipendono dalla struttura: interno o esterno, il DPO resta una funzione di controllo e consulenza e non scarica sul titolare la responsabilita del trattamento.

Un approccio operativo e assegnare, per ogni controllo, un titolare e una cadenza di revisione: l'aggiornamento del registro dei trattamenti, la periodicitia delle revisioni dei permessi, la valutazione periodica dei fornitori. La tabella cosi ottenuta diventa lo strumento di governance con cui dichiarare le lacune: se un controllo non ha un nominativo non e un controllo, e un desiderio. Aggiornare questo schema e piu utile di qualsiasi policy generica.

Quando la struttura non prevede una figura dedicata, un piano sostitutivo e piu realistico di una nomina fittizia: un comitato ridotto che si riunisce a cadenza fissa e annota in un verbale le decisioni prese. L'assenza di un referente chiaro si paga, in genere, al primo controllo: risposte frazionate e documenti che nessuno ha cura di aggiornare.

Fornitori, contratti e segnalazioni: la parte che salta i controlli

L'art. 28 del GDPR impone che ogni rapporto con un responsabile del trattamento sia disciplinato da contratto; PCI DSS prescrive analogamente che i fornitori terzi siano ritenuti responsabili per la sicurezza dei dati che trattano. In pratica l'itero e semplice: mappare chi tocca dati personali o di pagamento, verificare se esiste un accordo scritto, colmare il vuoto.

Il contratto deve coprire i punti duri: finalita e durata del trattamento, obbligo di notifica in caso di violazione, assistenza nelle valutazioni d'impatto, restituzione o cancellazione dei dati al termine del rapporto, tracciatura degli eventuali sub-responsabili. Un accordo che elenca solo prezzi e SLA non e un art. 28: e la mancanza di uno di questi elementi che al primo controllo diventa una non-conformita, non la scelta del fornitore in se.

Anche le segnalazioni degli interessati seguono lo stesso schema: un canale pubblico, un tempo massimo di risposta, un registro. In caso di audit, la presenza di una procedura scritta e di un registro delle segnalazioni pesa piu di qualunque dichiarazione d'intenti; inoltre dimostra attenzione concreta verso gli interessati e riduce il rischio che un quesito-inline degeneri in un reclamo formale verso ilGarante.