Data Security »

Rispetta la conformità alla legge POPI Act
utilizzando DataSecurity Plus

La Protection of Personal Information Act (chiamata anche POPI Act o POPIA) è una legge sulla protezione dei dati emanata dal Parlamento sudafricano. Essa disciplina il modo in cui le organizzazioni locali ed estere raccolgono, utilizzano, archiviano, eliminano oppure gestiscono le informazioni personali in Sudafrica.


ManageEngine DataSecurity Plus consente di indirizzare i requisiti della legge POPI Act:

  • Individuando informazioni personali situate in ambienti di archiviazione aziendale.
  • Monitorando l’attività degli utenti su file contenenti dati sensibili.
  • Proteggendo i file sensibili da fughe di dati accidentali e dannose.
  • Fornendo informazioni dettagliate e avanzate sulle autorizzazioni di sicurezza e sull’archiviazione dei file.
  • Semplificando i controlli POPIA con report dettagliati.

E tanto altro.

Come DataSecurity Plus aiuta ad acquisire la conformità POPIA

La presente tabella elenca le varie sezioni della legge POPIA indirizzate da DataSecurity Plus.

Contenuti della sezione della legge POPIA Come procedere In che modo DataSecurity Plus aiuta

Sezione 10

Le informazioni personali possono essere elaborate solo se, dato lo scopo del trattamento, sono adeguate, rilevanti e non eccessive.

 Assicurati di non avere raccolto informazioni personali che non sono necessarie per le tue attività.
Le informazioni personali che archivi devono essere elaborate solo dai dipendenti che devono accedere ad esse per svolgere il loro il lavoro.
Individuazione dei dati:
Ricerca le informazioni personali dell’interessato archiviate dalla tua organizzazione. Quindi crea un inventario, consentendo a chi acquisisce i dati di garantire che saranno archiviati soltanto quelli necessari.

Analisi delle autorizzazioni:
Elenca gli utenti che hanno accesso ai dati, insieme ai dettagli di quali azioni ciascun utente può svolgere.

Analisi dei dati ROT:
Identifica file vecchi, non aggiornati e senza modifiche e assicurati che le informazioni personali non rimangano archiviate oltre il periodo di conservazione previsto.

Sezione 11(4)

Se un interessato si oppone al trattamento delle informazioni personali, il responsabile non ha più il permesso di continuare il trattamento di tali informazioni.

 Trova tutte le istanze delle informazioni personali dell’interessato e prendi le misure necessarie per interrompere il trattamento dei dati.
Corrispondenza parola chiave:
Identifica i dati abbinati a una parola chiave di destinazione, consentendo un preciso e rapido recupero delle informazioni personali da eliminare.

Automazione della risposta:
Una volta trovata la corrispondenza della parola chiave, chi acquisisce i dati può automatizzarne l’eliminazione, metterla in quarantena o svolgere un’azione personalizzata per limitarne l’uso, eseguendo file batch.

Sezione 14(1)

I record delle informazioni personali non devono essere mantenuti più a lungo del necessario per l’acquisizione degli scopi per cui tali informazioni sono state raccolte o successivamente elaborate.

 Le organizzazioni non devono tenere le informazioni personali per più tempo del necessario e sono tenute a eseguire revisioni periodiche, per identificare e indirizzare i dati archiviati oltre il periodo previsto.
Analisi dei file:
Contribuisce a generare criteri di conservazione dei dati, trovando dati ridondanti, obsoleti e banali nei tuoi archivi e rimuovendo i file che hanno superato il loro periodo di conservazione.

Sezione 14(2)

I record di informazioni personali possono essere mantenuti per periodi che superano quelli contemplati nel sottoparagrafo (14(1)) per scopi cronologici, statistici o di ricerca, se il responsabile ha consolidato misure di sicurezza adeguate per evitare che essi vengano utilizzati per altri scopi.

 Quando vengono archiviate informazioni personali sensibili per lunghi periodi, le organizzazioni sono tenute a implementare controlli che garantiscano la sicurezza, l’integrità e la riservatezza dei dati.
Monitoraggio dell'integrità dei file:
  1. Controlla in tempo reale ogni tentativo riuscito e non riuscito di creare, leggere, scrivere, eliminare, spostare, rinominare, copiare o incollare un file oppure modificarne le autorizzazioni.
  2. Mantiene una traccia di controllo dettagliata per l’analisi approfondita e per comprovare la conformità alle normative.

Sicurezza dei dati:
  1. Attiva avvisi istantanei qualora venga registrato un volume sospettosamente alto di modifiche ai file o se un utente modifica un file critico durante l’orario di chiusura.
  2. Blocca i tentativi di esfiltrazione dei file sensibili attraverso gli endpoint.

Valutazione delle autorizzazioni effettive:
Aiuta a garantire la riservatezza dei dati analizzando le effettive autorizzazioni. In tal modo, gli amministratori dei dati possono verificare che gli utenti non abbiano più privilegi di quelli richiesti per il loro ruolo.

Sezione 14(4)

È necessario che un responsabile distrugga o elimini un record di informazioni personali oppure lo deidentifichi, non appena ragionevolmente possibile, dal momento in cui non sia più autorizzato a mantenerlo.

 Elimina le informazioni personali sensibili se raggiungono il limite della durata di conservazione, se non c’è più bisogno di elaborarle o se l’interessato ne richiede l’eliminazione.
Individuazione dei dati:
Identifica le informazioni personali del soggetto che hai archiviato, utilizzando la corrispondenza con parole chiave ed espressioni regolari, e rimuovile dallo spazio di archiviazione aziendale.

Analisi dei dati ROT:
Identifica e automatizza l’eliminazione di file vecchi.

Sezione 14(6)

Il responsabile deve limitare l’elaborazione delle informazioni personali.

 Assicurati che l’accesso a informazioni personali sensibili sia limitato in caso di controversie e fornisci l’accesso solo quando necessario.
Principio del privilegio minimo (POLP):
  1. Traccia le modifiche alle autorizzazioni, elenca le autorizzazioni effettive, identifica i file a cui ogni dipendente può avere accesso, trova gli utenti con privilegio di controllo completo, valuta la vulnerabilità dei file, eccetera, per supportare l’implementazione della metodologia POLP.
  2. Puoi eventualmente generare report di queste autorizzazioni o configurare programmazioni consegne report, per rivedere periodicamente le autorizzazioni file.

Sezione 15(1)

L’ulteriore trattamento delle informazioni personali deve essere in accordo o compatibile con gli scopi per cui sono state raccolte.

 Distribuisci misure di rilevamento e limitazione dell’uso anomalo delle informazioni personali.
Avvisi istantanei, risposte automatiche:
  1. Attiva avvisi quando le attività degli utenti in file server, cluster di failover, server gruppi di lavoro o workstation violano i criteri configurati per il trattamento dei dati.
  2. Puoi anche eseguire script per arrestare automaticamente computer, sessioni utente o altro.

Sezione 16(1)

È necessario che un responsabile esegua tutti i passaggi ragionevolmente possibili per far sì che le informazioni personali siano complete, precise, non ingannevoli e aggiornate, ove necessario.

 Identifica e verifica la correttezza delle informazioni personali archiviate dalla tua organizzazione.
Individuazione dei dati:
  1. Utilizza l’individuazione dei dati per trovare le informazioni personali dell’interessato, utilizzando una serie di parole chiave univoche, ad esempio il numero di identificazione nazionale, i dettagli della carta di credito, gli ID e-mail, ecc.
  2. Fornisce report dettagliati sulla posizione delle informazioni personali e sulle autorizzazioni ad esse assegnate.

Analisi dei dati ROT:
Ricerca i file più datati rispetto a quanto indicato dall’utente, cosa utile per trovare i dati che devono essere aggiornati.

Sezione 17

È necessario che un responsabile mantenga la documentazione di tutte le operazioni di elaborazione.

 Traccia ogni azione eseguita sulle informazioni personali, dalla raccolta all’eliminazione.
Monitoraggio delle modifiche ai file:
  1. Controlla le modifiche effettuate a file e cartelle in tempo reale, con le informazioni su chi ha avuto accesso a quale file, quando e da dove.
  2. Fornisce report dettagliati per controlli di conformità.
  3. Mantiene una traccia di controllo dettagliata per l’ulteriore analisi e per adempiere ai requisiti di conformità.

Sezione 19(1)

È necessario che un responsabile protegga l’integrità e la riservatezza delle informazioni personali in suo possesso o sotto il suo controllo, prendendo misure tecniche e organizzative che siano appropriate e ragionevoli, per prevenire

  1. la perdita, il danneggiamento o la distruzione non autorizzata di informazioni personali e
  2. l’accesso o il trattamento illecito di informazioni personali.
 Implementa una soluzione per la prevenzione della perdita di dati (DLP), per prevenire la fuga accidentale o dannosa di informazioni personali sensibili.
Analisi delle autorizzazioni:
Elenca ogni utente che può accedere a un file contenente informazioni personali, per verificare se necessita di privilegi.

Prevenzione della perdita di dati endpoint:
  1. Monitora l’uso di dispositivi di archiviazione rimovibili negli endpoint.
  2. Blocca lo spostamento di file sensibili su dispositivi USB o tramite e-mail come allegati.
  3. Previene fughe di dati accidentali attivando prompt di sistema sul rischio di spostamento di dati critici.
  4. Riduce i tempi di risposta a incidenti con avvisi istantanei e un meccanismo automatico di risposta alle minacce.

Rilevamento risposta ai ransomware:
Identifica potenziali attacchi ransomware e ne limita la diffusione, arrestando automaticamente server infetti e mettendo in quarantena file corrotti.

Sezione 19(2)

Il responsabile deve adottare misure ragionevoli per

  1. identificare tutti i rischi interni ed esterni, ragionevolmente prevedibili, per le informazioni personali in suo possesso o sotto il suo controllo;
  2. consolidare e mantenere appropriate misure di sicurezza per la tutela dai rischi identificati.
 Identifica e valuta i rischi per le informazioni personali che hai archiviato. Implementa misure di attenuazione del rischio.
Valutazione dei rischi relativi ai dati:
Calcola il punteggio di rischio dei file contenenti informazioni personali, analizzandone le autorizzazioni, il volume e il tipo di regole violate, insieme ai dettagli dei controlli, ed altro.

Prevenzione della perdita di dati endpoint:
Classifica i file business-critical in base alla riservatezza e ne previene la fuga attraverso e-mail, USB, stampanti, ecc.

Sezione 22(2)

Una notifica di violazione deve tenere in considerazione qualunque misura ragionevolmente necessaria per determinare l’ambito della compromissione e ripristinare l’integrità del sistema informativo del responsabile.

 Effettua un’analisi forense delle potenziali cause e della portata di una violazione di dati.
Traccia di controllo dettagliata:
Mantiene una traccia di controllo completa di ogni azione riconducibile alla violazione di dati, supportando l’analisi efficace della causa radice della violazione e dei dati compromessi.

Sezione 23(1)

Un interessato ha il diritto di

  1. richiedere a un responsabile la conferma che è in possesso delle informazioni personali dell’interessato; e
  2. richiedere a un responsabile il record o una descrizione delle informazioni personali sull’interessato in suo possesso, comprese le informazioni sull’identità di tutte le parti che hanno o hanno avuto accesso alle stesse.
 Ricerca e condividi tutte le informazioni sull’interessato archiviate dalla tua organizzazione, insieme alle informazioni sugli individui che hanno accesso ad esse.
Individuazione dei dati:
  1. Ricerca le istanze delle informazioni personali archiviate nei file server Windows e nei cluster di failover.
  2. Effettua la scansione di numeri di identificazione nazionale, dettagli di carte di credito, ID e-mail e più di cinquanta altri tipi di dati personali sensibili, utilizzando regole e criteri preconfigurati di individuazione dei dati.

Analisi delle autorizzazioni di sicurezza:
Trova chi ha quali autorizzazioni rispetto a file contenenti le informazioni personali.

Controllo degli accessi ai file:
Controlla l’attività degli utenti nei file e fornisce dettagli su chi ha eseguito l’accesso a quale file, quando e da dove.

Sezione 24(1)

È possibile per un interessato richiedere a un responsabile la correzione o eliminazione delle informazioni personali in suo possesso che lo riguardano.

 Ricerca e rivedi tutte le istanze di informazioni non corrette sull’interessato.
Elimina i dati a cui l’interessato si oppone.
Individuazione dei dati:
Utilizza l’individuazione dei dati per trovare le informazioni personali dell’interessato e può eseguire file batch, per eliminarle o spostarle in una posizione sicura per il successivo trattamento.

Sezione 26

Un responsabile non ha il permesso di elaborare informazioni personali riguardanti credenze religiose o filosofiche, razza od origine etnica, appartenenza a sindacati, convinzione politica, stato di salute, orientamento sessuale, dati biometrici o fedina penale di un interessato, se non è autorizzato come da sezioni 27-31, POPIA.

 Le organizzazioni non possono raccogliere né archiviare le informazioni personali descritte senza la necessaria autorizzazione.
Individuazione dei dati:
Effettua la scansione di archivi dati per cercare il contenuto abbinabile a un’espressione regolare o una serie di parole chiave. Ciò consente alle organizzazioni senza la necessaria autorizzazione di rilevare e rettificare istanze delle informazioni personali di pertinenza ed evitare multe per inadempienza.

Valutazione dei rischi relativi ai dati:
Esegue report dei file che contengono le informazioni personali, insieme ai dettagli sulla posizione, su chi ha accesso ad esse, il loro punteggio di rischio, ed altro.

Dichiarazione di non responsabilità: La piena conformità a POPIA richiede una varietà di soluzioni, processi, persone e tecnologie. Il contenuto di questa pagina è fornito solo a scopo informativo e non deve essere considerato come una consulenza legale per la conformità alla legge POPI. ManageEngine non presta garanzie, espresse, implicite o legali, riguardo alle informazioni contenute in questo materiale.

Garantisci la sicurezza dei dati e la   conformità

DataSecurity Plus consente di soddisfare i requisiti di numerosi regolamenti di conformità, proteggendo i dati inattivi, in uso e in movimento.

Stai cercando una soluzione SIEM unificata che includa anche funzionalità DLP integrate? Prova subito Log360!

Versione di prova gratuita da 30 giorni