L'articolo 32 del Regolamento generale sulla protezione dei dati dell'UE (GDPR) richiede a titolari e responsabili del trattamento di applicare misure tecniche e organizzative appropriate per proteggere i dati personali. Si basa sul rischio: i controlli esatti dipendono dalla sensibilità dei dati, dalle minacce coinvolte e dallo stato dell'arte. In pratica, l'articolo 32 collega la conformità alla privacy all'ingegneria di sicurezza di base, inclusi controllo degli accessi, crittografia, autenticazione, registrazione, backup e ripristino sicuro.
Nella sicurezza informatica, l'articolo 32 è importante perché trasforma la sicurezza in un obbligo legale che può essere verificato dai regolatori. Le difese devono supportare riservatezza, integrità, disponibilità e resilienza, non solo politiche scritte. Una cattiva gestione delle password, un accesso privilegiato debole, API non sicure o un ripristino di emergenza non testato possono tutti indicare lacune nella conformità. Per chi difende, l'approccio più sicuro è dimostrare che i controlli sono progettati in base al rischio, monitorati durante il funzionamento e testati regolarmente, in modo che i dati personali rimangano protetti sia durante gli attacchi sia durante i guasti del sistema.