Conformità al GDPR: uno sguardo approfondito ai tuoi dati sensibili in SAP

Diciamo che possiamo cominciare. Buongiorno a tutti e grazie per esservi registrati al nostro webinar con forme dal GDPR, uno sguardo approfondito ai tuoi dati sensibili in SAP. Io sono Feitiguinov e faccio parte del team marketing qui IPS Labs. Prima di iniziare vi preghiamo di notare che quest'ora il webinar è registrato e vi verrà poi mandata la registrazione al termine. Inoltre vi faccio notare che durante il webinar vi saranno due sondaggi e vi chiedo gentilmente di partecipare. Per vostre informazioni, I microfoni rimarranno disattivati per tutte e due altri webinar. Se avete domande vi preghiamo di inserirle nella tabella apposita domande di quel tuo webinar. Poi, se abbiamo tempo, alla Fender Webinar risponderemo, altrimenti manderemo la risposta via email. Per chi non ci conoscesse, questa è una piccola introduzione ai Business Labs. BureUSLabs è un'azienda internazionale di soluzioni software e servizi gestiti. Abbiamo oltre mille ottocento clienti in tutto il mondo e siamo presenti in cinquantacinque paesi con diverse lingue, incluso l'italiano. Una cosa di cui siamo molto fieri è che facciamo parte del gruppo Elephant che diede l'uno por cento del fatturato ARP, che sarebbe Elephant Winews and People, che è un'organizzazione non profit che si impegna appunto a proteggere gli elefanti irrinuncia alle persone. L'agenda di questo webinar, oggi affronteremo diversi argomenti, tra cui misure preventive per proteggere I tuoi dati in SAP, come mettere in atto le migliori pratiche GDPR e una demo dei nostri prodotti Datavedact e DataD Esc Close. Alla fine guarderemo anche un caso del nostro cliente NESSLH e come APE Use Labs è aiutata ad essere conforme alle normative della privacy in oltre cento paesi. Questo webinar sarà presentato da Vittorio, che è un consulente tecnico SAP qui ai Biz Labs, con esperienza nell'implementazione e nel supporto di soluzioni per la gestione di dati aziendali in ambienti SAP. Questo è tutto per l'introduzione. Vittorio, ti cedo parola. Grazie mille Fait, allora possiamo quindi introdurre questo webinar parlando e in che modo le leggi sulla privacy hanno influenzato le aziende. Vediamo come in Europa ci sia una legge, un insieme di leggi che prendono il nome di GDPR che impongono alle compagnie e alle aziende la corretta gestione di quelli che sono I dati di dipendenti o dei customer o, in generale, di tutte quelle che sono le informazioni private personali. Quindi tutte quelle che sono le PAY, ovvero le informazioni che possono esporre quindi un soggetto che può essere un customer, quindi un cliente, un dipendente e che se non rispettate e quindi redatte in maniera corretta possono esporre l'azienda verso quelle che poi sono delle sanzioni. Come possiamo vedere in questa slide, l'Italia è uno dei paesi che ricevuto molte sanzioni legate al non corretto rispetto di quelle che sono le leggi del GDPR. GDPR non è una legge, è un insieme di leggi, un insieme di conformità che vanno rispettate E come possiamo vedere in questa slide abbiamo diverse compagnie da compagnie energetiche a compagnie di telecomunicazioni che non hanno rispettato in maniera corretta quelle che sono tali norme e tali normative. Ok, vediamo quindi questa roadmap. La roadmap sono sostanzialmente quelli che sono I pilastri della sicurezza che ogni azienda dovrebbe rispettare per evitare di incorrere in queste sanzioni. Prima di tutto, prima di introdurre quelle che sono quindi le migliori pratiche per evitare tali sanzioni, capiamo in primis quali sono I le leggi del GDPR che più interessano alle aziende in questo caso. Abbiamo l'articolo sedici e l'articolo diciassette che sono I pilastri di questo di queste normative del GDPR legate alla privacy. L'articolo sedici va a specificare che il qualsiasi dipendente, qualsiasi soggetto che abbia informazioni private all'interno di database di aziende è richiesto, nel momento in cui il soggetto richiede l'accesso a tali informazioni, vi sono dei tempi di decorrenza stabiliti secondo I quali il soggetto debba avere e ritornare in possesso delle sue informazioni. Inoltre l'articolo sedici afferma che tali informazioni debbano essere modificate in tempi celeri secondo la richiesta dell'utente del customer o del dipendente, quindi di colui che detiene tale informazione. Quindi vediamo che l'articolo sedici in pratica ci dice ci dà la la possibilità di richiedere I nostri dati, le nostre informazioni. Poi c'è l'articolo diciassette del GDPR, l'articolo diciassette che invece è un articolo che dà la possibilità al dipendente, al customer, all'individuo di poter redarre, mascherare, anonimizzare quelle che sono le sue informazioni all'interno di un sistema di un'azienda all'interno di una banca dati di un'azienda Perfetto iniziamo quindi con quelli che sono I pilastri della sicurezza per far sì che queste norme vengano vengano rispettate. In primis un'azienda per poter far sì che sia conforme al GDPR necessità di valutare gli impatti di quelli che sono di quella che potenzialmente un mancato rispetto delle norme del GDPR, quindi in primis identificare quelli che sono I rischi. Successivamente cercare quindi per identificare I rischi e per identificare l'impatto sull'azienda cercare e mappare tutte quelle che sono le informazioni le PAE cioè le personal informative information, quindi tutte le informazioni che possano rilevare che possano dare una una chiara visione di quelle che sono nomi, cognomi, indirizzi ricevute, quindi qualsiasi informazione privata. Come facciamo questo? Ovviamente questo viene quindi Ai Views Labs propone uno strumento che è chiamato data disclose che poi dopo vedremo nel dettaglio che consente all'azienda di mappare in maniera veloce, in maniera quindi efficace tutte quelle che sono le informazioni personali informative all'interno non solo degli oggetti di business di un sistema ma all'interno di vari sistemi all'interno di vari sistemi che possono essere poi collegati ai sistemi SAP che dopo vedremo in maniera più dettagliata. Poi vi è quindi esaminare gli accessi e controllare I rischi. Dopo aver quindi compreso I diversi PII è importante comprendere I rischi associati, ma soprattutto è importante revisionare quali sono gli utenti, quali sono gli user che hanno accesso a tali informazioni private, a tali informazioni a rischio, e quindi esaminare questi accessi, controllare questi ruoli risulta essere oneroso, risulta essere un un processo complesso che può esser facilitato attraverso quello che è lo strumento di età disclus, quindi ripeto ancora la ditta disclus, dopo vedremo nel dettaglio cosa questo ci consente e come verrà utilizzata nella live dem. Poi abbiamo eliminare l'aritrato in produzione. Nei sistemi di produzione ovviamente è importante quella che è la pulizia dei backloft nei sistemi di produzione, sistemi di produzione che contengono informazioni quindi personali, informazioni private e quindi è importante non è non esiste né alcuna giustificazione legale che possa imporre la permanenza di tale informazione all'interno dell'insieme di produzione oltre quelli che oltre quelli che sono I termini di decorrenza massimi per poter per poter avere la quindi la ritenzione di questi di questi dati all'interno dei sistemi live ovvero sistemi di produzione. Poi abbiamo la gestione dei dati sensibili nelle copie di produzione. Un altro aspetto fondamentale è la gestione di dati sensibili provenienti quindi da sistemi di produzione. Spesso per effettuare test accurati vengono create copie di questi dati provenienti da produzione all'interno dei sistemi di test sostanzialmente. Quindi in molti casi tale pratica avviene senza il consenso esplicito dei dipendenti o dei clienti quindi è ovvio è ovvio pensare che questo possa sollevare importanti questioni di conformità e privacy nel momento in cui si si vanno a svolgere dei test all'interno di sistemi di testing ma con dati provenienti da sistemi di produzione. Poi vi è quindi il processo aziendale per le richieste di accesso ai dati personali ed è qui che si ritorna all'articolo sedici, ovvero questo problema riguarda quello che è dunque la richiesta da parte di un utente di accedere ai propri dati personali detenuti all'interno di un'azienda. Le normative in materia ovviamente come ho detto prima sono cambiate, in modo drastico riducendo molto I tempi a disposizione per le aziende nel rispondere a tali richieste e nell'ovviamente fornire tali dati. Quindi è importante esser consapevoli di quali sono le informazioni e quali sono I diritti che il customer, che il dipendente nel momento in cui voglia richiedere I propri dati. E così anche per la rimozione di tali dati, quindi non solo la richiesta ma anche la rimozione. Ed ecco perché oltre allo strumento data che abbiamo visto prima, che ci consentirà di trovare dove sono queste informazioni personali, abbiamo anche lo strumento data redact che poi vedremo nella live oggi, nella demo che ci consentirà di mascherare, anonimizzare, rimuovere tali informazioni personali. Poi abbiamo quella che è l'identificazione proattiva dei dati da rimuovere. Questo è un altro concetto molto importante perché le normative sulla privacy richiedono ora una gestione proattiva della conservazione dei dati personali. Non è più lecito conservarli a tempo indeterminato senza una base legale valida, quindi ovviamente c'è bisogno di uno strumento che proattivamente vada all'interno dei nostri sistemi ad identificare quelli che sono I tempi di decorrenza di tali informazioni. Ed ecco che introduciamo il terzo strumento, ovvero Data retain. Data retain ci consente di notificarci in maniera tempestiva di quelli che sono I dati che sono ovviamente a rischio e non sono più legalmente giustificabili non è più legalmente giustificabile la loro persistenza all'interno dei nostri sistemi e poi abbiamo Audi televisioni continue. Ovviamente con l'evoluzione degli ambienti IT ovviamente quindi con nuove app, cloud e terze parti è essenziale integrare la privacy nei processi aziendali. Quindi collaborare con gli auditor, adottare tecnologie affidabili e ovviamente coinvolgere figure interne competenti che vadano ad identificare quelli che sono I rischi legati al GDPR, quindi alla privacy delle informazioni ma allo stesso tempo che non vadano ad impattare su quelli che sono I processi di business che inevitabilmente devono continuare ad essere svolti all'interno dell'azienda. Bene Quanti dati quindi personali identificabili si possono accumulare in un sistema SAP nell'arco di quindici anni di utilizzo? Ovviamente questa è una domanda molto interessante perché SAP, ovviamente, come sistema ERP, vediamo che I vari oggetti di business sono tra di loro interconnessi: fornitori, customer, employ sono tutti ovviamente connessi e alcune informazioni possono essere ramificate e diramate all'interno di più oggetti di business e addirittura in più sistemi. Ecco perché introduciamo quindi un esempio. Vediamo che abbiamo al centro qui il nostro sistema SAP impiegato dall'azienda e ad esempio questa azienda è un'azienda di beni e servizi. L'azienda un dipendente che ovviamente viene configurato all'interno del sistema SAP come tale dipendente. Il dipendente poi attua dei viaggi di lavoro, attua poi quella che è una richiesta dell'expances, quindi di quelle che sono diciamo le ricevute di tale viaggio e se il sistema SAP è un sistema S4HANA, allora sappiamo bene che ci sarà un tale dipendente sarà configurato come oggetto business, come business partner. A sua volta, essendo quindi un dipendente dell'azienda, ma l'azienda fornendo beni e servizi tale soggetto tale persona può anche acquistare dall'azienda e quindi all'interno del sistema sa tale dipendente sarà anche configurato come cliente quindi abbiamo che il nome e cognome di tale persona sarà non solo nell'oggetto di business dipendente, non solo nel business partner, non solo come cliente, ma vediamo che quindi queste informazioni viaggiano all'interno di quelli che sono I diversi oggetti di business all'interno dei vari sistemi SAP e basti pensare che solo questo vale per un sistema il sistema quindi che stiamo considerando il sistema SAP quindi quando si parla di informazioni informazioni private personali il rispetto del GDPR, il rispetto di questa informazione e quindi la ritenzione, la l'anonimizzazione di tali di tali nomi, cognomi o ricevute risulta essere molto molto complesso. Quindi come possiamo vedere qui in questa slide I dati in SAP tutto è connesso dai dipendenti, fornitori, indirizzi, nomi e cognomi. Adesso cosa attua quindi Epheuselabs per poter risolvere, per poter quindi andare a migliorare quelle che sono quindi questi processi per le aziende. Osserviamo questo video, quindi vediamo che cosa? Che EPUs Labs è partner decennale di SAP. Durante gli anni, quindi, EPUs Labs è riuscito a ottenere quella che è una mappatura di quelli che sono I modelli standard di tutti gli oggetti di business all'interno di SAP. Quindi questo cosa ci consente di fare? Ci consente di ritrovare l'informazione, ad esempio nome, in un oggetto che può essere ad esempio nome in un oggetto che può esser customer ma tale informazione e nome conservata anche in altri oggetti di business è possibile dunque rintracciarla ma non solo. Ciò che abbiamo fatto ancor di più significativo è stato introdurre il concetto di integrity map cioè si tratta di un approccio che ci consente di analizzare ogni singolo campo dell'oggetto di business ad esempio nome, il il campo privato che vogliamo anonimizzare non solo all'interno degli oggetti di business di un sistema ma anche di quelli che sono più sistemi a loro a loro volta quindi BDABIO Saxes Factor e così via connessi al nostro sistema SAP quindi questo ci consente di avere una visione trasversale all'interno dei diversi sistemi della sistema informazione poi andiamo avanti, vediamo un attimo, okay okay quindi cosa cosa succede nel momento in cui un'azienda si affida ai nostri prodotti di Epues Labs? Abbiamo quindi tre fasi, tre processi importanti. Il primo è quello che noi svolgiamo un workshop. Il workshop è attuato con I vostri team aziendali, con I team di compliance legale e lo scopo del workshop è quello di trovare un equilibrio, come ho detto prima, tra le esigenze della conformità normativa del GDPR e quindi del rispetto delle regole e quelle ovviamente operative del business che invece ovviamente deve continuare a funzionare. Successivamente dopo il workshop parte poi una mappatura iniziale quindi ripeto si usa il data di di SAP, si usa le integrety map che ho che ho citato in precedenza e ovviamente si vanno a mappare tutte quelle che sono le informazioni e si vanno a mappare tutte quelle che sono le PAIA di nostro interesse. E poi alla fine si va a creare quello che è un report finale. Questo report ovviamente conterrà sia I requisiti aziendali emersi dal workshop, sia ovviamente la scoperta tecnica di quelle che sono le informazioni da mascherare, da anonimizzare. Successivamente abbiamo adesso un pool, abbiamo un sondaggio. Quindi quali sono le vostre sfide in termini di conformità e sicurezza di dati SAP? Abbiamo sei punti, Fate se vuoi possiamo elencarli un attimino Certo, ho appena mandato il sondaggio, dovreste riuscire a vederlo nel vostro schermo. Vi do circa trenta secondi per rispondere e poi procediamo di eliminare le copie di produzione all'interno dei sistemi di testing e vedremo adesso quindi il secondo prodotto che è ditascure. Allora, eccoli qui, abbiamo I nostri quattro prodotti che come già accennato in precedenza vanno a ovviamente a risolvere queste sfide. Abbiamo partiamo dal primo, partiamo da ditta Secure. Da Secure in basso a sinistra consente, quindi come ho già detto, l'offuscamento di quelli che sono I dati negli ambienti di non produzione, quindi negli ambienti di testing. Si tratta di una anonimizzazione diretta dei dati, quindi a livello database, non si tratta di un mascheramento all'interno a livello di interfaccia utente, non stiamo semplicemente nascondendo le informazioni, ma vengono effettivamente rimossi quelle che sono le PAI. Questo ci consente, ovviamente, un corretto utilizzo di quelli che sono gli ammenete di test e quindi abbiamo Data Secure. Poi abbiamo altri tre prodotti: Data Disclose, il Data Redct e il Data Hitain. Questi sono tre prodotti collegati perché Data Disclose è il prodotto che utilizziamo, come ho detto prima, per la mappatura vista quindi fino ad adesso, raccogliamo le informazioni presenti nei vari oggetti di business, a loro volta presenti nei vari sistemi, e viene poi creato quello che è un pdf che viene poi inoltrato condiviso con quelli che sono I team di compliance legale, clienti e così via. Poi abbiamo il Dataridact che utilizza la mappatura di Data Disclose per poter andare a redarle, a offuscare quelle che sono le informazioni che noi vogliamo rimuovere in base a quella che è la policy creata. Ad esempio, qual è la Forza Italia Redct? La forza di è il fatto che se si hanno, ad esempio, record finanziari collegati a fornitori, ad esempio, la cancellazione del nome del fornitore in generale, anzi del fornitore, impiegherebbe anche la cancellazione di tutte le transazioni finanziarie di quell'oggetto di Business. Andando però semplicemente a rimuovere il nome, rimuovere l'informazione personale informativa tutte le transazioni del fornitore rimangono, ciò che viene eliminato è quindi è solamente quello che è il nome o l'informazione che vogliamo redarre, che vogliamo mascherare. E poi infine abbiamo il Data retail. Il Data retail che è il terzo prodotto collegato che, come già visto in precedenza, è quel prodotto che rappresenta la componente di identificazione proattiva del dato. Questa funzione quindi consente di analizzare tutti I dati nel sistema SAP e al fine di identificare quali quelli che sono gli elementi per cui non esiste più un obbligo o una giustificazione legale per la sua conservazione. Quindi Data Discluse li trova, li mappa, le tariffe li cancella e Dataridact li notifica di quelli che sono I tempi di decorrenza massimi che possono essere rispettati e Datasecure va invece a attuare una cancellazione a livello database per quanto riguarda invece I sistemi di testing. Quindi qui abbiamo una panoramica di quello che avete discusso, quindi il prodotto che ci consente di trovare I dati, le informazioni private, Qui abbiamo un'animazione. Quindi abbiamo il nostro il nostro sistema, vediamo che l'informazione sensibile è il cognome Aguilar e andiamo a trovarlo in tutti quelli che sono gli altri sistemi, quindi gli altri quattro sistemi collegati. Successivamente poi, come vedremo nella demo, tale informazione verrà ecco mostrata in maniera chiara quali sono I sistemi che la contengono, quali che quelle che sono le informazioni quindi esposte e successivamente poi viene taltare informazione viene poi tabellata e viene creato poi successivamente quello che è un PDF è criptato con password. Ovviamente, come abbiamo detto prima, tale pdf può esser poi spedito, inviato ai team di compliance legale o a quelli che sono I richiedenti di tale informazione. Successivamente poi vediamo come tale informazione, adesso vediamo anche la prossima slide, viene poi redatta con col Data Redux. Quindi c'è poi il prodotto seguente che ti dà redux quindi dopo averle trovate tali informazioni vengono poi anonimizzate mascherate e possiamo vedere anche tale nella tale prodotto nella successiva animazione. Quindi una volta che tali informazioni vengono trovate all'interno del sistema queste sono appunto I vari punti gialle all'interno della del sistema che stiamo vedendo. Successivamente, una volta individuate col Data Disclus vengono redatte. E' importante notare come ci siano anche delle policy di redazione e di mascheramento che possiamo creare in base a ciò che vogliamo ottenere da tale procedura. Perfetto poi adesso procediamo a una demo di quelli che sono quindi questi prodotti. Questo è ciò che ci si presenta davanti quando si accede ai nostri prodotti quindi di Vita Disclose ed Vita reduct. Queste sono le due icone che quindi possiamo andare a cliccare, la prima quindi ci condurrà a Data Discclose. In Data Discclose possiamo scegliere quello che è l'oggetto di business che vogliamo identificare ad esempio un dipendente e andiamo ad identificarlo quindi possiamo scegliere il nome, il cognome piuttosto che come il suo il numero di di dipendenti. In questo caso è uno sei zero cinque. Quindi in questo momento il nostro prodotto sta identificando dove questo dipendente è presente all'interno di vari oggetti di business all'interno dei vari sistemi. Il dipendente è stato trovato, quindi all'interno di un solo sistema, e queste sono le sue informazioni personali. Successivamente, quindi, se si procede vi è un'ultima vista dove vengono è possibile visualizzare le varie informazioni tale dipendente e poi si può creare quello che è un PDF, quindi un report, è criptato con password. Ecco vediamo come in basso a destra è possibile scegliere quella che è il metodo di quindi la password dei metodi di Incripitazione e poi infine abbiamo quello che è la redazione. Quindi si passa poi a scegliere quella che è la policy di nostro interesse per dare tale dato e successivamente quindi si accede al Data Redct come prodotto e qui vediamo I vari oggetti di business che sono pronti per la redazione. Ad esempio il dipendente che è stato selezionato è James Abbott. Vediamo che in questo caso accedendo alle sue informazioni personali tale dipendente quello che adesso è un nome redatto. Di fatto qui vediamo il suo nome James Abbott e qui abbiamo le informazioni che volevamo arredare appunto adesso si chiama John Doo. In questo caso quindi vediamo che il materiale informativo rimane uguale ma l'informazione da mascherare è quella che poi viene impattata. Questa è una prima vista all'interno ovviamente di Data Reduct ma se noi adesso accediamo al Ticod P2, quindi P20, per visualizzare quello che è il nostro dipendente e cerchiamo quello che è il suo numero identificativo. Ecco quindi in questo caso è zero zero dieci nove otto zero sei lo andiamo a cercare all'interno di della della schermata di SAP e vediamo che anche qui il suo nome sarà redatto non più come James Abot ma bensì come John Do e quindi vediamo che il mascheramento è avvenuto in maniera concreta su quello che è il sistema dove tale informazione veniva conservata bene poi andiamo alla prossima slide Fait vuoi introdurre un attimino la domanda? Ecco questo è un piccolo sondaggio un po' per chiedere se si sa che cos'è un periodo di conservazione. Adesso ve lo mando e vi chiedo gentilmente di partecipare. Abbiamo risposte miste e sì abbiamo l'ottanta per cento che dice che il periodo massimo entro il quale I dati devono essere cancellati e un venti per cento che dice che il periodo è il minimo di conservazione dei dati. Quindi, Vittoria, dicci tu qual è la risposta? Ok, un periodo di conservazione è in questo caso il periodo massimo entro il quale I dati devono essere cancellati. Ovviamente questo è il caso in cui, ripetiamo, possiamo adoperare I datariduct. Datariten ci consente di non solo identificare quello che è il dato, ma notificarci in maniera tempestiva, di sicuro che è il periodo massimo di conservazione grazie al quale poi possiamo adoperare Data Disclus per trovare tale dato e Data Redux per redarlo, mascherarlo e anonimizzarlo. Concludiamo quindi questo webinar con quello che è il caso NESLE. NESLE utilizza un sistema SAP molto ampio e complesso e, ovviamente, per rispettare il GDPR e le leggi locali sulla privacy negli oltre cento paesi in cui è SLAL locata, SLAL operato quelli che sono I nostri prodotti quindi l'intera suite di Data privacy che è appunto Data Discluse, Datari Duct, Dataritain e Data Secure in questo caso per implementare quelli che erano dei controlli specifici per ogni paese, per ogni quindi regola di conservazione dei vari dati negli oltre cento paesi in cui NESL è presente. Quindi, ovviamente, ogni paese requisiti di conservazione diversi e complessi con oltre cinque-dieci periodi di conservazione e NESL è riuscita a evitare sanzioni, è riuscita a risultare perfettamente a norma rispetto a quelle che sono le leggi del GDPR e quindi le leggi di compliance legale, evitando quindi sanzioni e risultando essere quindi conforme alle regole adoperando I nostri prodotti. Questo era quindi l'ultimo Face Study che volevamo mostrare, adesso possiamo avere un tempo per le domande. Fait, ci sono domande? Per ora abbiamo una domanda veloce e tradotto, uno chiede se abbiamo la soluzione disponibile solo per SAP ECC. Allora, possiamo connettere no, possiamo connettere la soluzione anche ad altre piattaforme all'interno dell'ecosistema SAP, quindi possiamo connettere ad esempio la nostra soluzione a Saxes Factor ma in generale a quelle che sono le varie piattaforme all'interno del sistema SAP ciò che non è possibile fare al momento e su cui stiamo lavorando è connettere a piattaforme esterne all'ecosistema SAP, quindi come possono essere ad esempio Workdays o Salesforce. Ci sono Fit altre domande? No, questa è l'ultima e siamo già over time quindi vi chiede gentilmente le solite domande di mandarla via email, nelle email iscritte a questa presentazione e vi verrà comunque come è andata la registrazione del webinar di oggi. Vi ringrazio tutti per il vostro tempo e buona giornata. Arrivederci.