Dagli aspetti legali a quelli relativi alla sicurezza
AUSED ha organizzato un incontro con Salesforce durante il webinar “Salesforce Platform” del 10 novembre scorso nel quale si sono affrontati alcuni aspetti che ruotano attorno a questa rinomata piattaforma. Sono intervenuti Tommaso Fè, Stefano La Rosa e Marco Dragoni, rispettivamente Regional Sales Director, Legal Counsel e Cloud Architect di Salesforce. Nello specifico, oltre a una breve panoramica della soluzione, si è entrati in tre particolari tematiche. La prima ha riguardato gli aspetti legali delle piattaforme cloud, successivamente si è passati a presentare gli standard nella tecnologia Salesforce e, infine, sono stati illustrati gli scenari di sicurezza e privacy, sui quali ci soffermeremo più avanti. In questa particolare fase dell’incontro sono anche intervenuti, con il loro punto di vista da CIO, Luca Guerra (Prima Power) e Luigi Pignatelli (Zeiss).
L’evento è stato aperto dallo stesso Pignatelli che ha illustrato il ruolo dello User Group, all’interno di AUSED, che prende il nome di USFIT: si tratta dell’unico User Group ad essere riconosciuto ufficialmente da Salesforce in Italia. USFIT è in sostanza la community ufficiale degli utenti Salesforce che ha come principale obiettivo quello di mettere a disposizione delle aziende utenti delle soluzioni Salesforce una piattaforma e un network strutturato dove poter condividere esperienze, idee, progetti e best practice. La community rappresenta inoltre un tavolo di confronto continuo con Salesforce Italia, che riconosce con estremo interesse USFIT come interlocutore privilegiato per le proprie attività e strategie. Lo User Group al momento è focalizzato a un suo “revamp” dopo il periodo della pandemia e durante l’incontro si è detto aperto a nuove iscrizioni da parte di qualsiasi azienda utilizzatrice ma anche da parte di quelle aziende che ancora non utilizzano la piattaforma Salesforce e che vogliono avvicinarsi per conoscerla meglio.
Venendo a Salesforce, è stato ricordato che si tratta di un’unica piattaforma in grado di offrire soluzioni flessibili per le aziende in ambito SaaS. Da un punto di vista legal, indipendentemente dall’articolo 32 del GDPR, Salesforce protegge il dato del cliente utilizzando tutti gli strumenti standard o attraverso specifici add-on. Questo permette di assicurarlo nel suo intero processo, di avere una governance IT per renderlo disponibile nel più breve tempo possibile anche in caso di incidenti e a monitorarlo durante tutto il suo percorso all’interno dei processi aziendali e di vendita. In un modello di responsabilità condivisa, Salesforce prepara i clienti a evolvere in uno scenario in cui la sicurezza dei dati è sempre più a rischio. In questo senso offre soluzioni specifiche per mettere le informazioni sempre più in sicurezza e educa i clienti sulle differenti opzioni che mettono a loro disposizione. Allo stesso tempo, lato clienti, è necessario che essi adottino controlli sulla sicurezza all’interno della propria realtà aziendale, siano in grado di monitorare continuamente il comportamento degli utenti e i relativo log degli eventi, il tutto proteggendo i dati sensibili in accordo con la compliance.
Il problema della perdita dei dati è stato sviluppato attraverso la metafora del tubetto di dentifricio: una volta che il dentifricio è uscito (perdita di dati) è molto difficile farlo rientrare nel tubetto e ripulire il “tavolo” dove si è depositato. In Salesforce il lato Privacy e Sicurezza è “by design” e si sono accennati temi quali Trust & Compliance, certificazioni e audit, Data Process Addendum, meccanismi di data transfer e localizzazione dei dati.
Il webinar ha successivamente introdotto degli esempi di perdita di dati con conseguenti punti di vista da parte dei due CIO citati inizialmente. L’articolo 32 del GDPR, ai punti a, b, c e d sottolinea l’importanza di proteggere, assicurare, poter gestire e monitorare i dati. Nel primo esempio l’operatrice telefonica di un customer service che lavora 12 ore al giorno riceve e accetta una proposta di lavoro da un’azienda concorrente molto più interessante. L’operatrice lascia il posto dove si trova non prima di salvare un report con tutti i suoi contatti in modo da sfruttare le sue relazioni anche nella nuova attività. Siamo davanti a un caso specifico di Internal Data Breach. Si tratta una azione fraudolenta da parte di chi si impossessa dei dati, ma anche da parte dell’azienda che ne farà uso attraverso la nuova assunta. Questo esempio porta a determinare la reale necessità per le aziende di capire cosa accade all’interno delle piattaforme e dei vari database. Occorrono controlli sull’integrità dei dati e per l’IT servono strumenti di controllo touch point per touch point. Si tratta evidentemente di un problema pressante per tutti i CIO e DPO in azienda che richiede un elemento di controllo con appositi log in caso di investigazione. Certo, in aziende di tipo strutturato questo esempio non dovrebbe accadere (e con il Transaction Security in funzione non accade), tuttavia è fondamentale che venga effettuata una formazione a tutta lo staff aziendale, instaurando una vera e propria cultura della protezione del dato.
Un secondo esempio ha prospettato il ruolo di un consulente esterno che lavora come partner certificato Salesforce e che sta implementando la soluzione presso un’azienda. Dovendo testare la soluzione stessa in un ambiente dove serve integrarsi con i dati reali del cliente egli ha accesso a ogni tipo di informazione (ordini, date, ecc) e decide di condividere questi dati con un suo conoscente non troppo onesto. In questo scenario il CIO si trova in una condizione in cui i dati sono persi per sempre, inclusa la lista completa dei clienti ora disponibile sul dark web, ovviamente non controllabile dalla sua azienda. Lo stesso ruolo del DPO si trova nella condizione di affermare che l’azienda non è in grado di garantire l’uso improprio dei dati ottenuti dai loro clienti. Per i CIO presenti al webinar si tratta di uno scenario plausibile dove è impossibile eliminare del tutto questo rischio, tuttavia il consiglio che emerge è quello di seguire al meglio l’obbligo normativo, scegliere sempre partner certificati e aumentare il controllo sulle persone attraverso un percorso formativo che instauri la cultura della sicurezza del dato. Altro punto è quello di segregare il più possibile le responsabilità delle persone, anche se questo risulta molto più semplice dal lato utente rispetto a chi lavora sugli aspetti tecnici. In questo ambito emerge la necessità di non avere l’IT come unico responsabile di ciò che accade al dato in azienda, ma occorrerebbe la responsabilizzazione di tutte le funzioni aziendali.
Come soluzione specifica all’esempio sopra riportato, Salesforce ha segnalato il mascheramento dei dati in ambito di test. Questo permette una pseudo anonimizzazione di alcuni campi (per esempio il nome Rossi diventa Bianchi) mentre altri campi, come il numero d’ordine, possono rimanere invariati dal momento che non c’è più un match specifico col nome vero del cliente. Naturalmente resta da sviluppare l’allineamento con tutti i sistemi aziendali.
Un ultimo esempio ha riguardato il tipico cliente b2c che condivide i propri dati con l’azienda. Avendo espresso le proprie preferenze inizialmente, decide di contattare il customer service o per farsi cancellare del tutto o per modificare le stesse preferenze. Questa attività porta via all’operatore del customer service molto tempo: il CIO sa che l’agente potrebbe spendere il suo tempo migliorando la customer satisfaction invece di ricercare e modificare dati esistenti. Per questo occorrerebbero strumenti automatici. L’agente stesso potrebbe erroneamente modificare le preferenze di contatto preso dall’alto carico di lavoro e andando così a scontrarsi, per altro, con la necessità del DPO che deve garantire la compliance con le regole più recenti. Questo ennesimo esempio ha ribadito che si tratta di un tema molto sentito dall’introduzione del GDPR. In molte aziende, inclusa quella rappresentata da Pignatelli, tutte le attività lato consumatore relative all’estrazione di dati, revoca consensi, diritto all’oblio sono gestite in tempo reale sul portale, ma anche allineate con tutti i sistemi in essere, tanto da avere in caso di restore uno script che tiene memoria di chi deve essere anonimizzato. Ciò che risulta molto importante è che i sistemi, in una fase di eventuale audit, siano dimostrabili come sistemi solidi di controllo. La complicanza è che lavorando in un ecosistema dove le informazioni vengono condivise all’interno e all’esterno con terze parti, per quanto qualificate e regolamentate da un punto di vista legale e GDPR, risulta essere un esercizio piuttosto complesso.
Per Guerra il GDPR ha introdotto il concetto di “Privacy by design” che ha iniziato a far capire ai tecnici che certe attività vanno realizzate nello stesso momento in cui vengono disegnati i sistemi e i processi. Servirebbero semplicità e meccanismi di enbedding tra le piattaforme in grado di permettere di cancellare o tenere traccia della storicità del dato. Vi sono procedure da snellire il più possibile, perché il lavoro dell’IT non deve essere fatto di procedure ma di operatività e attenzione al business.
In conclusione, durante l’incontro, Salesforce ha ricordato che esistono soluzioni da parte loro in grado di semplificare il più possibile queste problematiche in modo da poter dedicare più tempo alle vendite, grazie all’integrazione personalizzata con gli strumenti aziendali e al reporting on-demand. Affidarsi a loro significa entrare in una community inclusiva di oltre dieci milioni di innovatori e pionieri chiamati trailblazer. E se qui in Italia si decide poi di entrare anche a far parte dello User Group USFIT, l’unica associazione ufficiale di Salesforce nel nostro Paese, si accede così a un canale diretto che permette di confrontarsi come utilizzatori privilegiati e contribuisce a definire strategie e servizi in collaborazione con l’azienda che ha sede a San Francisco e uffici in tutto il mondo.
