L'articolo 32 del GDPR è la norma dell'Unione europea che richiede ai titolari e ai responsabili del trattamento di utilizzare misure di sicurezza adeguate al rischio per i dati personali. Non prescrive un insieme fisso di controlli; invece, si aspetta che le organizzazioni valutino la sensibilità, le minacce probabili e l'impatto di una violazione, quindi applichino protezioni adeguate.
In pratica, ciò significa garanzie più forti per sistemi ad alto rischio come cartelle cliniche, dati finanziari o ampi archivi di identità. Le misure comuni includono la crittografia, il controllo degli accessi, l'autenticazione multifattore, la registrazione dei log, i backup e la capacità di ripristinare rapidamente i dati dopo un incidente. I difensori utilizzano l'articolo 32 come standard per progettare sistemi sicuri e dimostrare che le protezioni corrispondono alla sensibilità dei dati.
Negli attacchi, un accesso remoto debole, permessi eccessivi o un monitoraggio insufficiente spesso mostrano che i controlli dell'articolo 32 non erano abbastanza robusti rispetto al rischio. Una violazione può diventare non solo un incidente di sicurezza ma anche una mancata conformità, perché la legge si aspetta che le organizzazioni riducano sia gli accessi non autorizzati sia i danni che questi possono causare.