Modello per i responsabili della protezione dei dati
Il principio del doppio controllo implica che le misure importanti non debbano essere di competenza esclusiva di una singola persona né essere attuate da una sola persona. L'obiettivo è quello di limitare gli errori e le possibilità di abuso, poiché la probabilità che una singola persona sia compromessa è maggiore rispetto alla probabilità che due persone agiscano congiuntamente in modo improprio.
In origine, il principio deriva dal Gestione della qualità e dell'autenticazione, ma sta acquisendo sempre maggiore importanza anche nel campo della protezione dei dati.
Un esempio classico di questo principio è il cosiddetto “secondo parere” nel campo delle decisioni mediche. Ma anche nel settore bancario o nella pubblica amministrazione si riscontrano procedure di controllo a doppio controllo.
Il principio del doppio controllo nelle varianti simmetrica e asimmetrica
Per il responsabile della protezione dei dati, il principio del doppio controllo riveste un ruolo particolare, tra l’altro, nella definizione di un modello di diritti e ruoli, in particolare per quanto riguarda i diritti degli amministratori, nonché nella documentazione delle operazioni di cancellazione.
Tale disposizione può essere, ad esempio, inserita nelle linee guida aziendali sulla protezione dei dati. In questo modo si garantisce che l’accesso all’archivio delle e-mail sia consentito solo quando sono connessi due amministratori. Tuttavia, nella fase di attuazione sussiste il rischio che i controlli diventino superficiali se i responsabili si affidano l’uno all’altro. Pertanto, nell’ambito del principio del doppio controllo, è opportuno rispettare anche una struttura organizzativa gerarchica.
I software standard come SAP hanno stabilito, in particolare per gli infotipi HR, il principio del doppio controllo in caso di modifica degli infotipi tramite i cosiddetti indicatori di blocco. Un record di dati è quindi presente, ma diventa completo solo quando un altro titolare dei diritti lo sblocca. Questo processo può essere pianificato in una variante simmetrica e in una asimmetrica.
Nella variante asimmetrica, un utente può creare, modificare ed eliminare record. Questi vengono inizialmente bloccati automaticamente. Un altro utente può a sua volta bloccarli e sbloccarli. Non appena l’utente B ha sbloccato i record, l’utente A non può più modificarli. Ciò sarebbe nuovamente possibile solo se l’utente B bloccasse nuovamente i record.
Nella variante simmetrica entrambi gli utenti dispongono degli stessi diritti, ma in modo reciproco, ovvero l'autorizzazione non può essere concessa dall'utente che ha creato i record.
Implementare il principio del doppio controllo come TOM
Anche se la GDPR sebbene non prescriva espressamente il principio del doppio controllo, esso può rientrare nell’ambito delle misure tecniche e organizzative (TOM) ai sensi dell’art. 32 GDPR uno strumento adeguato per garantire la sicurezza dei Elaborazione rappresentare.
In particolare, nell’assegnazione e nell’utilizzo di diritti di accesso privilegiati, nell’approvazione di modelli di autorizzazione, nell’esportazione di grandi volumi di dati o nella fase finale Cancellazione Nel trattamento dei dati personali, il principio del doppio controllo può contribuire a ridurre il rischio di errori operativi, abusi e accessi non autorizzati.
Le imprese dovrebbero quindi verificare, nell’ambito della propria analisi dei rischi, per quali operazioni di trattamento sia opportuno e proporzionato un controllo supplementare da parte di una seconda persona.
Ulteriori informazioni: Linee guida per la revisione dei sistemi informativi (IS) versione 4.0 del BSI
German 
English 
Italian 
French