consenso ai cookie tuo consenso ai cookie è stato disattivato in sordina tre giorni fa, e te ne stai accorgendo solo ora. Sai chi ha apportato la modifica o quando è successo?
Per i siti WordPress che trattano dati personali, la registrazione delle attività svolge un ruolo importante nel garantire la conformità alle norme sulla privacy e la responsabilità.
In questo articolo vedremo perché la registrazione delle attività è fondamentale ai fini della conformità e come implementarla in WordPress.
Perché la registrazione delle attività è fondamentale per la conformità alle norme sulla privacy
La registrazione delle attività crea un registro strutturato e datato di ciò che è accaduto sul tuo sito WordPress: chi ha fatto cosa e quando.
Senza di esso, si opera praticamente alla cieca. Se un utente modifica i permessi, elimina dei contenuti o modifica un'impostazione che influisce sulle modalità di raccolta o trattamento dei dati personali, è necessario disporre di una registrazione chiara di tale azione per poterla verificare o giustificare in un secondo momento.
Un registro delle attività ben configurato registra in genere eventi quali:
- Accessi degli utenti e tentativi di accesso non riusciti
- Creazione o modifica dei contenuti
- Modifiche ai ruoli o alle autorizzazioni degli utenti
- Installazione, aggiornamento o rimozione di plugin
- Modifiche alla configurazione o alle impostazioni
Questo livello di visibilità aiuta gli amministratori e gli esperti di conformità nelle attività di audit, garantendo la conformità continua attraverso l'identificazione di comportamenti sospetti e l'analisi dei tentativi di accesso non autorizzati.
Esaminiamo alcuni casi pratici in cui i registri delle attività contribuiscono al rispetto della normativa sulla privacy.
#1 Migliorare la responsabilità e la trasparenza
Il principio di responsabilità previsto dal GDPR articolo 5, paragrafo 2) impone ai titolari del trattamento di dimostrare la conformità ai principi fondamentali della protezione dei dati di cui all'articolo 5, paragrafo 1, quali la liceità, la limitazione dei dati e la limitazione delle finalità.
Un registro completo delle attività può aiutare a documentare le operazioni effettuate sul sito web e può facilitare la raccolta di prove ai fini dei processi di conformità.
Ad esempio, se un amministratore reimposta la password di un utente, il registro delle attività registra chi ha avviato la reimpostazione e quando è avvenuta.
Ciò consente al team di verificare che le modifiche relative all'accesso all'account siano state legittime e debitamente autorizzate, anziché essere il risultato di un accesso non autorizzato.
Guarda l'esempio nella schermata qui sotto.
#2 Individuare modifiche rischiose o accidentali
I siti web WordPress sono in continua evoluzione. I contenuti vengono aggiornati, i plugin configurati e diversi utenti modificano le impostazioni.
Queste modifiche possono talvolta compromettere le impostazioni sulla privacy senza che nessuno se ne accorga.
La registrazione delle attività consente agli amministratori di verificare quando si sono verificate modifiche non autorizzate o accidentali, contribuendo a garantire che i controlli di sicurezza e privacy rimangano intatti.
Ad esempio, un utente potrebbe disattivare accidentalmente consenso ai cookie del tuo sito.
Se la registrazione delle attività è abilitata, gli amministratori possono ricevere una notifica immediata quando si verifica questo tipo di modifica e ripristinare la configurazione corretta prima che il sito entri in stato di non conformità.
Ad esempio, guarda lo screenshot qui sotto.
#3 Indagare più rapidamente sugli incidenti
I registri delle attività forniscono una cronologia di molti eventi di WordPress che hanno preceduto e accompagnato un incidente, facilitando notevolmente le indagini.
Se un amministratore riceve un avviso che segnala che un utente con privilegi limitati è stato inaspettatamente elevato al ruolo di amministratore, il registro delle attività consente di verificare facilmente quando è stata effettuata tale modifica e da chi.
Ciò consente al team di valutare se l'azione fosse legittima o se facesse parte di un incidente di sicurezza che richiede un intervento ulteriore.
Guarda l'esempio nella schermata qui sotto.
Esiste un altro aspetto della registrazione dei dati altrettanto importante: dimostrare che i visitatori abbiano fornito un consenso valido prima della raccolta dei loro dati.
GDPR 7, paragrafo 1,GDPR prevede che, qualora il trattamento si basi sul consenso, il titolare del trattamento debba essere in grado di dimostrare che l'interessato ha prestato il proprio consenso.
In pratica, ciò significa conservare un registro verificabile dei consensi: una prova di chi ha dato il consenso, quando e per cosa.
I registri dei consensi vengono solitamente gestiti da una gestione del consenso platform.
Registrano quando e in che modo un utente ha prestato o revocato il consenso, a cosa ha acconsentito e quale versione del banner o dello strumento di preferenze gli è stata mostrata.
Gli utenti del piano Termly possono accedere ai registri dettagliati dei consensi degli utenti direttamente dalla sezione "Registri dei consensi " della Termly ed esportarli quando necessario.
Insieme, i registri delle attività e dei consensi supportano diversi aspetti della conformità.
I registri delle attività offrono una panoramica delle attività degli utenti e del sistema sul sito, mentre i registri dei consensi forniscono la prova che è stato ottenuto il consenso degli utenti.
Come implementare la registrazione delle attività (WordPress)
Il web si basa in gran parte sui sistemi di gestione dei contenuti, e WordPress da solo è alla base di oltre il 42,5% di tutti i siti web.
Mentre la maggior parte delle piattaforme CMS non dispone di un sistema integrato e intuitivo di registrazione delle attività adatto alle attività di auditing, WordPress è una delle piattaforme più facili da personalizzare; inoltre, iniziare a utilizzarlo è semplice e richiede solo pochi minuti.
Utilizzeremo WP Activity Log, una delle soluzioni più diffuse nell'archivio di WordPress, con oltre 300.000 installazioni attive e, cosa importante, compatibile con Termly.
Per iniziare:
- Vai su Plugin > Aggiungi nuovo plugin nella tua dashboard di WordPress.
- Cerca "WP Activity Log", quindi fai clic su "Installa ora" e "Attiva".
- La procedura guidata ti accompagnerà nella configurazione iniziale, chiedendoti di aggiungere un avviso nella pagina di accesso che informi gli utenti che la loro attività è monitorata.
Di seguito puoi guardare un breve video che illustra questi passaggi.
Una volta configurato, il plugin inizia immediatamente a registrare i dati.
Puoi controllare l'attività in qualsiasi momento andando su WP Activity Log > Registro attività e modificare le impostazioni in WP Activity Log > Impostazioni.
Eventi monitorati da WP Activity Log
Ogni evento registrato nel registro delle attività di WP include la data e l'ora, l'utente e il suo ruolo, nonché l'indirizzo IP di origine, fornendo così il contesto necessario per le indagini di conformità.
Dal punto di vista della conformità alle norme sulla privacy, gli eventi più rilevanti includono:
- Modifiche ai post e alle pagine, comprese le modifiche all'Informativa sulla privacy e ai Termini e condizioni
- Attivazione e disattivazione dei plugin,
- Modifiche al codice di base di WordPress e alle impostazioni generali del sito
- Modifiche ai ruoli utente e alle autorizzazioni, comprese le modifiche all'account amministratore
Guarda l'esempio nella schermata qui sotto.
WP Activity Log tiene traccia anche direttamente degli eventi Termly, il che risulta particolarmente utile per i team che utilizzano Termly gestione del consenso platform per gestione del consenso platform.
Tra questi figurano:
- Collegare o scollegare il sito da un Termly
- Modifiche allo stato del banner di consenso
- Modifiche alle impostazioni di Auto Blocker nella configurazione di Banner
- Modifiche allo stato delle scansioni automatiche programmate
- Modifiche allo stato dell'elenco dei siti consentiti nel file robots.txt Termly
Guarda i dettagli nella schermata qui sotto.
Per un elenco completo degli eventi monitorati, puoi consultare la documentazione relativa agli ID degli eventi nel Registro attività di WordPress.
Funzionalità avanzate nell'edizione Premium
La versione gratuita di WP Activity Log offre un'ampia copertura delle attività degli utenti e del sistema.
Tuttavia, per le organizzazioni con requisiti di conformità in materia di privacy più rigorosi, le edizioni Premium ed Enterprise offrono diverse funzionalità utili:
- Slack istantanei via SMS, e-mail e Slack : ricevi notifiche in caso di eventi critici, come l'assegnazione di un ruolo di amministratore a un utente o modifiche alla configurazione che potrebbero influire sull'accesso ai dati personali.
- Ricerca avanzata e filtri: individua rapidamente gli eventi specifici rilevanti per un'indagine normativa o di sicurezza senza dover scorrere manualmente migliaia di voci di registro.
- Generazione e pianificazione dei report del registro delle attività: crea report relativi agli utenti e al sistema completamente personalizzabili e pianifica la loro generazione su base giornaliera, settimanale, mensile o trimestrale.
- Archiviazione esterna dei log: esegui il mirroring dei log delle attività su un database esterno o su un sistema di gestione dei log come AWS CloudWatch, Papertrail o Loggly.
- Archiviazione dei log: trasferisci i dati dei log più vecchi in un database separato per mantenere snello il log attivo senza perdere la cronologia di conformità.
Dai un'occhiata all'esempio nella schermata qui sotto.
Migliori pratiche per garantire la conformità alle norme sulla privacy nei registri delle attività
La registrazione delle attività è più efficace quando viene monitorata attivamente e integrata in un quadro più ampio di governance della privacy e di pratiche di sicurezza, piuttosto che essere considerata come una semplice registrazione passiva.
Per garantire che i registri consentano un monitoraggio efficace, è opportuno seguire queste pratiche:
- Indicare la registrazione dei log nella vostra Informativa sulla privacy: normative come il GDPR trasparenza sulle modalità di trattamento dei dati personali. Se i registri delle attività contengono dati personali, il loro utilizzo deve essere indicato nella vostra informativa sulla privacy e gestito in conformità con le basi giuridiche e le politiche di conservazione appropriate.
- Imposta una politica di conservazione dei log: il principio di limitazione della conservazione GDPRrichiede che i dati personali vengano conservati solo per il tempo necessario. Applica lo stesso ragionamento ai tuoi log. Definisci un periodo di conservazione che soddisfi i tuoi requisiti di conformità e configura di conseguenza le impostazioni di conservazione di WP Activity Log.
- Garantire l'integrità dei registri: l'archiviazione dei registri in un sistema separato o in un database esterno contribuisce a ridurre il rischio che gli hacker modifichino o cancellino i dati in caso di compromissione del sito. La conservazione di registri affidabili è particolarmente importante qualora questi dovessero essere necessari nel corso di un'indagine o di un audit di conformità.
- Predisponete una procedura di risposta alle violazioni: GDPR le violazioni dei dati vengano valutate e, se necessario, segnalate. Sapere in anticipo come il vostro team utilizzerà i dati di log durante un incidente vi consentirà di agire rapidamente quando sarà necessario.
- Monitorate i registri in modo proattivo: configurate gli avvisi per gli eventi critici e controllate regolarmente i registri delle attività. Effettuare controlli periodici, insieme gestione del consenso vostre gestione del consenso generali in materia di privacy e gestione del consenso , aiuta a individuare tempestivamente eventuali problemi, prima che una modifica alla configurazione o un aggiornamento delle autorizzazioni comporti un rischio di non conformità.
La registrazione delle attività rafforza la sicurezza e la tracciabilità del tuo sito WordPress, documentando le operazioni che potrebbero influire sui dati personali e sulla configurazione del sito.
Scritto da Natasha Piirainen
Natasha Piirainen è una scrittrice specializzata in privacy con una laurea in inglese e filosofia conseguita presso il Wheaton College e oltre 10 anni di esperienza professionale nello sviluppo di contenuti basati sulla ricerca.
Leggi tutti i post di Natasha Piirainen
Revisionato da Masha Komnenic CIPP/E, CIPM, CIPT, FIP
Masha Komnenic è consulente legale e Direttore della Privacy Globale Termly, laureata in giurisprudenza presso l'Università di Belgrado. È specializzata nell'implementazione, nel monitoraggio e nella verifica della conformità aziendale alle normative sulla privacy (HIPAA, PIPEDA, Direttiva ePrivacy, GDPR, CCPA, POPIA, LGPD).
Leggi tutti i post revisionati da Masha Komnenic CIPP/E, CIPM, CIPT, FIP
