Fermo restando che per "minaccia", ai sensi della Norma ISO 27001, si intende:

• la potenziale causa di un INCIDENTE, che potrebbe comportare una violazione del sistema informativo oppure compromettere le attività aziendali.

l' Allegato 2 (Criteri per una valutazione d'impatto sulla protezione dei dati accettabile) delle citate Linee guida stabilisce che:

.... omissis ....

0. i rischi per i diritti e le liberta' degli interessati sono gestiti (articolo 35, paragrafo 7 lettera c)):

   • l'origine, la natura, la particolarita' e la gravita' dei rischi (cfr. considerando 84) o, piu' in particolare, per ciascun rischio (accesso illegittimo, modifica indesiderata escomparsa dei dati) vengono determinate dalla prospettiva degli interessati: .....omissis ....

   • si considerano le FONTI di rischio (considerando 90);

   • sono individuati gli impatti potenziali per i diritti e le liberta' degli interessati in caso di eventi che includono l'accesso illegittimo, la modifica indesiderata e la scomparsa dei dati;

   • sono individuate MINACCE che potrebbero determinare un accesso illegittimo, una modifica indesiderata e la scomparsa dei dati; .....omissis....

Al fine di individuare le potenziali cause di un INCIDENTE che potrebbe comportare una violazione del sistema informativo oppure compromettere le attività aziendali, è opportuno fare riferimento:

• alle Norme ISO 27000 serie, COBIT, US NIST serie SP 800 nonchè Linee guida per la sicurezza IT dell’Ufficio Federale di sicurezza informatica tedesco.

Fonte: Autorità Garante - GRUPPO DI LAVORO ARTICOLO 29 PER LA PROTEZIONE DEI DATI - Linee guida in materia di valutazione d'impatto sulla protezione dei dati e determinazione della possibilita' che il trattamento "possa presentare un rischio elevato" ai fini del regolamento (UE) 2016/679