IL TIMONE E LA LENTE – VOLUME 4

ISO/IEC 27001:2022 — L’Ingegneria del Dato
e Integrazione GDPR

Volume 4 della collana “Il timone e la lente”

Un hotel custodisce molto più delle valigie e degli oggetti personali dei propri ospiti.

Custodisce identità.

Numeri di carte di credito. Preferenze. Abitudini. Informazioni commerciali. Dati dei dipendenti. Immagini di videosorveglianza. In alcuni casi, persino informazioni sanitarie raccolte nelle aree Wellness e SPA.

Tutto questo patrimonio è invisibile.

Ed è proprio per questo che può essere dimenticato fino al momento in cui qualcosa va storto.

“ISO/IEC 27001:2022 — L’Ingegneria del Dato” parte da un principio fondamentale: la sicurezza delle informazioni non è semplicemente un problema informatico.

È un problema di governo dell’impresa.

Un firewall può proteggere una rete, ma non può sostituire una Direzione che non conosce i propri rischi.

Un antivirus non può correggere una password condivisa.

Un fornitore IT non può assumersi al posto della Proprietà la responsabilità di sapere chi accede ai dati degli ospiti, dove questi vengono conservati, per quanto tempo rimangono disponibili e cosa accade quando un sistema critico smette di funzionare.

La ISO/IEC 27001:2022 diventa quindi l’architettura attraverso cui l’hotel può governare il proprio patrimonio informativo.

Il volume integra questa prospettiva con il GDPR, collegando la tutela dei diritti della persona a un sistema organizzativo capace di trasformare gli obblighi normativi in processi realmente applicati. Non conformità documentale e vulnerabilità tecnica vengono così ricondotte a un’unica domanda: il dato è veramente protetto durante tutto il suo ciclo di vita?

Il percorso segue ancora una volta le prospettive caratteristiche della collana “Il timone e la lente”.

La Proprietà osserva il dato come un asset strategico.

Contesto, parti interessate, leadership, GDPR, obblighi di conformità, politica di sicurezza, KPI, rischio informatico, budgeting della cyber-resilienza, supply chain digitale e consapevolezza diventano elementi di governo, non semplicemente questioni tecniche delegate all’esterno.

Il Management operativo entra invece nella realtà quotidiana dell’hotel.

Chi può accedere al PMS?

Come vengono gestite le credenziali del personale stagionale?

Quanto è sicuro il Wi-Fi degli ospiti?

Cosa accade ai dati delle carte di pagamento?

Come vengono protetti i sistemi di domotica, le serrature elettroniche, la videosorveglianza e le informazioni raccolte dalla SPA?

E soprattutto: cosa succede quando qualcosa fallisce?

Da qui entrano nel sistema la gestione del data breach, la Business Continuity digitale, la resilienza tecnologica e la capacità dell’hotel di continuare a funzionare anche quando una parte della propria infrastruttura informatica viene compromessa.

Perché oggi un attacco ransomware che blocca il PMS non rappresenta soltanto un guasto tecnico.

Può significare reception paralizzata, impossibilità di accedere alle prenotazioni, sistemi di pagamento inutilizzabili e perdita della capacità stessa di erogare il servizio.

L’Auditor interno utilizza quindi la Lente per osservare ciò che normalmente rimane invisibile.

Checklist su PMS, Wi-Fi e server, audit GDPR, near miss digitali, cyber-awareness del personale, audit dei fornitori cloud, analisi della data retention, Root Cause Analysis dei data breach, verifica dei backup, prove di disaster recovery, gerarchie di accesso e penetration test permettono di confrontare la sicurezza dichiarata con quella realmente esistente.

Infine, l’Auditor esterno e il percorso di certificazione conducono l’organizzazione attraverso Stage 1, Stage 2, evidenze oggettive, rilievi, mantenimento della certificazione e integrazione con gli altri sistemi ISO.

Il volume dedica inoltre un’attenzione particolare alla supply chain digitale.

Oggi una parte considerevole dell’infrastruttura alberghiera non appartiene fisicamente all’hotel.

PMS in cloud, OTA, software house, sistemi di pagamento, piattaforme di prenotazione, domotica e servizi esterni costituiscono una rete di dipendenze nella quale la vulnerabilità di un fornitore può diventare immediatamente la vulnerabilità dell’hotel.

Ma la tecnologia non è l’unica superficie di rischio.

Il fattore umano rimane centrale.

Password condivise, credenziali lasciate attive dopo la cessazione del rapporto di lavoro, dispositivi personali utilizzati senza controllo, phishing e social engineering possono aprire porte che nessun investimento tecnologico riesce a chiudere da solo.

Per questo la cyber-awareness diventa parte della cultura professionale dell’hotel.

E qui il volume introduce uno dei suoi concetti più interessanti: la riservatezza come componente del servizio alberghiero.

La discrezione non appartiene più soltanto al concierge che sa mantenere un segreto.

Nell’hotellerie digitale, discrezione significa garantire che anche il sistema sappia mantenere quel segreto.

Non un libro sugli antivirus.

Non un manuale destinato esclusivamente ai tecnici informatici.

Ma un testo dedicato a costruire un hotel nel quale la fiducia dell’ospite continui a esistere anche quando la sua identità diventa un insieme di bit.

Perché accogliere significa anche custodire.

E oggi custodire un ospite significa custodire anche il suo dato