Analisi Dei Rischi
annuncio pubblicitario
Documento programmatico sulla sicurezza dell’Ipab "La Pieve" di Breganze Versione 1.3 Breganze, marzo 2011 Indice - Presentazione e gestione del D.P.S. pag. 3 - Analisi dei rischi pag. 5 - Analisi della situazione aziendale pag. 10 - Misure minime di sicurezza pag. 11 - Autorizzazione accessi informatici pag. 17 - Gestione antivirus e gestione programmi informatici aventi per scopo o per effetto il danneggiamento di un sistema informatico o telematico pag. 20 - Gestione backup e disaster recovery pag. 22 - Procedura gestione firewall pag. 24 - Dati personali trattati all’esterno dell’organizzazione pag. 26 - Amministratori di Sistema Pag. 27 2 Presentazione e gestione del Documento Programmatico sulla Sicurezza SCOPO e CONTENUTO Il presente Documento Programmatico sulla sicurezza descrive l’esito dell’analisi dei rischi e la distribuzione delle responsabilità e dei compiti nell’ambito delle strutture preposte al trattamento dei dati personali, al fine di definire: i criteri tecnici e organizzativi per la protezione delle aree e dei locali interessati dalle misure di sicurezza nonché le procedure per controllare l’accesso delle persone autorizzate ai locali medesimi; a) i criteri e le procedure per assicurare l’integrità e disponibilità dei dati; b) previsione di un programma di revisione; c) i criteri e le procedure per il ripristino all’accesso dei dati (Piano di Disaster recovery); d) i criteri per garantire la predisposizione delle misure minime nel caso di trattamenti affidati all’esterno della struttura aziendale. e) i criteri e le procedure per la sicurezza della trasmissione dei dati, ivi compresi quelli per le registrazioni di accesso per via telematica; f) l’elaborazione di un piano di formazione per rendere edotti gli incaricati del trattamento dei rischi individuati e dei modi per prevenire danni. Gli obbiettivi del Documento Programmatico sulla Sicurezza sono: • fornire le informazioni e gli strumenti necessari per l’attività di programmazione del Sistema per la protezione dei dati personali; • diffondere all'interno dell'Azienda le linee guida e le prescrizioni relative alla sicurezza del trattamento dei dati personali; • favorire l'applicazione e il rispetto di tali prescrizioni; • favorire l'evoluzione e il miglioramento del Sistema per la protezione e tutela dei dati personali; • fungere da documento guida nella messa in atto delle misure di monitoraggio e di controllo. Riguardo al contenuto il DPS è articolato nelle seguenti parti: Parte I - Analisi situazione aziendale Descrizione del Sistema Informatico Aziendale Analisi dei trattamenti dei dati personali Analisi ed elenco dei trattamento dati particolari Struttura organizzativa funzionale al trattamento dati e singole responsabilità L'analisi dei rischi e dei danni conseguenti Parte II: Misure di sicurezza adottate o da adottare Procedure operative al fine di garantire la predisposizione delle misure minime di sicurezza previste dal Disciplinare tecnico di cui all’allegato B) del D. Lgs 196/2003. Misure per garantire l’integrità e la disponibilità dei dati Criteri per la protezione delle aree e dei locali e procedure di controllo per l’accesso; 3 Criteri e procedure per il ripristino dell’accesso ai dati (disaster recovery); Criteri per garantire la predisposizione delle misure minime nel caso di trattamento affidati all’esterno della struttura aziendale; CAMPO DI APPLICAZIONE Il presente documento si applica al trattamento dei dati personali effettuato con strumenti elettronici o comunque automatizzati e altri strumenti non cartacei della IPAB LA Pieve. RESPONSABILITÀ Il Titolare del trattamento dati, unitamente al Responsabile e/o Responsabile della misure di sicurezza, con il presente Documento programmatico sulla sicurezza adotta preventivamente delle procedure informatiche, organizzative e tecniche, che consentano agli incaricati del trattamento, l’accesso ai soli dati necessari per lo svolgimento dell’attività individuata nel mansionario che è parte integrante dello stesso Documento programmatico sulla sicurezza. In particolare per la gestione ed organizzazione del DPSS sono descritti nella tabella sottostante i seguenti compiti con le relative responsabilità: Compiti Responsabile Gestione del DPSS e le relative revisioni. Titolare, Responsabile del trattamento e Responsabile misure di sicurezza. Gestione delle procedure per l’attivazione Responsabile delle misure di sicurezza. e il funzionamento delle credenziali di autenticazione e dei sistemi di autorizzazione. Distribuzione del DPSS Titolare del trattamento, Responsabile del trattamento. Conservazione e gestione di tutta la Responsabile del trattamento. documentazione privacy RIFERIMENTI NORMATIVI Il presente documento soddisfa le prescrizioni delle seguenti normative: • Regio decreto 22.4.1941 n.633 "Protezione del diritto d'autore e di altri diritti connessi al suo esercizio.", d.lgs. 29.12.1992 n. 518 “Tutela del diritto d’autore sul software e attuazione della direttiva 91/250/CEE relativa alla tutela giuridica dei programmi per elaboratore" e successive norme di tutela (L. 26/07/2000 ). • Legge 23 dicembre 1993, n. 547 "Modificazioni ed integrazioni alle norme del codice penale e del codice di procedura penale in tema di criminalità informatica". • D.Lgs 196 del 30 giugno 2003 (Codice in materia di protezione dei dati personali) e suo Disciplinare tecnico (Allegato B) • Ultime linee Guida ambito sanitario “La protezione dei dati personali dalla parte del paziente” 4 Analisi Dei Rischi Premessa L’analisi dei rischi, prevista al punto 19 del Disciplinare tecnico di cui all’allegato B) del D. Lgs. 196/2003, costituisce la fase di partenza delle attività di definizione e attuazione della politica di sicurezza aziendale. Per potere svolgere questa analisi sono state analizzate le principali caratteristiche tecniche degli edifici e dei locali in cui sono situati gli strumenti elettronici con cui si effettuano i trattamenti dei dati. Sono state, inoltre, analizzate le caratteristiche tecniche informatiche degli strumenti elettronici presenti in struttura. Sono state, infine, analizzate singolarmente tutte le banche dati, da quelle che contengono dati comuni a quelle sensibili. L’obiettivo dell’analisi dei rischi è, da un lato, acquisire consapevolezza e visibilità sul livello di esposizione al rischio del proprio patrimonio informativo e, dall’altro, avere una mappa delle contromisure di sicurezza da realizzare. Metodologia di analisi L’analisi dei rischi è effettuata sulla base delle linee guida per la definizione di un piano per la sicurezza dei sistemi informativi automatizzati elaborate dal CNIPA (Centro Nazionale per l’Informatica nella Pubblica Amministrazione). La quantizzazione del rischio è basata su considerazioni soggettive unitamente all’istituzione di una scala semiqualitativa che individuerà varie soglie di rischio. La scala individuata prevede quattro indici di rischio: Indice Descrizione Lieve Con questa soglia viene individuato un rischio molto basso che identifica una minaccia remota e comunque rapidamente reversibile od ovviabile. (L) Medio (M) Grave o Gravissimo (G) Con questa soglia viene individuato un rischio superiore al precedente identificante una minaccia remota ma i cui effetti non sono totalmente o parzialmente reversibili od ovviabili. In tale caso è già consigliabile pensare ad accorgimenti per contenere il rischio. Con queste soglie viene individuato un rischio che è sicuramente inaccettabile pensare di correre, pertanto dovrà sicuramente essere attivato un insieme di contromisure (di natura fisica, logica, organizzativa) per abbattere il rischio e contenerlo a livelli accettabili. 5 Analisi dei rischi sui luoghi fisici Elemento di rischio Accesso non autorizzato ai locali / Sottrazione di strumenti contenenti dati Livello Rischio Motivazione Medio Per accedere ai locali, durante l’orario di lavoro, è necessario passare tramite una reception. In orario non lavorativo, gli uffici sono tutti rigorosamente chiusi a chiave. La struttura non è dotata di sistema di allarme, non è previsto un controllo notturno nella zona uffici da parte di agenzie di vigilanza. Allagamento Lieve Area non soggetta ad inondazioni o calamità di questo tipo Incendio Lieve I locali sono protetti attraverso sistemi antincendio, a norma con il D.Lgs. 81/08 6 Analisi dei rischi sulle risorse hardware Elemento di rischio Uso non autorizzato dell’hardware / Manomissione – Sabotaggio Probabilità/ frequenza di guasto Intercettazione delle trasmissioni Rischi connessi a black-out ripetuti o di durata anomala, o a sbalzi eccessivi della energia elettrica Supporti di memorizzazione : utilizzo improprio e/o malfunzioname nti Livello Rischio Media Lieve Lieve Lieve Lieve Motivazione L’utilizzo dell’hardware è soggetto all’uso di password: in avvio viene richiesta l’autenticazione di utente di dominio, con password complessa (10 caratteri, con obbligo di utilizzo di caratteri numerici e speciali), la cui modifica viene forzata a cadenza trimestrale. Il Server è dislocato in un locale specifico, chiuso a chiave, ed accessibile solamente agli Amministratori di Sistema, ed all’operatrice che effettua la sostituzione settimanale dei supporti di backup. Il locale adibito a CED, è dotato di impianto di condizionamento, ma non prevede sistemi di allarme, né dispositivi di rilevamento fumo o incendio. Alle risorse non accedono persone non autorizzate, e la manutenzione è effettuata da tecnici di fiducia. L’hardware acquistato è di qualità, storicamente non ha mai dato problemi rilevanti ed è sempre soggetto a controlli e manutenzione. Normalmente è prevista la sostituzione periodica delle postazioni client. L’accesso ad internet è consentito tramite autorizzazione su firewall: le regole sul firewall sono gestite direttamente dagli Amministratori di Sistema. Il server dispone di gruppo di continuità che forniscono energia di buona qualità (stabilizzazione) e impedisce l’improvvisa assenza di corrente elettrica. La struttura dispone inoltre di un gruppo elettrogeno che interviene in caso di interruzione della fornitura di energia. Al fine di ovviare al rischio che vengano perse copie di dati o dati storici, si provvede ad effettuare in via precauzionale più copie su supporti diversi (IOMega Rev e Ultrium LTO), e conservati in luoghi fisici distinti: non vengono utilizzati appositi contenitori (armadi, cassette ignifughe, casseforti ignifughe) E’ da tenere in considerazione anche la veloce obsolescenza di apparati e sistemi di input/output, ed anche le modalità con cui i dati sono memorizzati nei supporti stessi, ovvero il programma utilizzato per eseguire tale memorizzazione. Qualora il programma utilizzato non fosse più disponibile perché obsoleto, va fatta la conversione in modo che i dati siano memorizzati in un formato leggibile. 7 Analisi dei rischi sulle risorse dati Elemento di rischio Accessi esterni non autorizzati / Cancellazione non autorizzata o manomissione di dati Livello Rischio Lieve Perdita di dati lieve Attacchi da virus Lieve Intercettazione di informazioni in rete Lieve Motivazione L’accesso alle risorse dati in formato elettronico avviene solo tramite gli elaboratori protetti da password. All’archivio cartaceo possono accedere solo i diretti incaricati che possiedono le chiavi degli armadi in cui sono custoditi dati sensibili. Tutti i dati residenti sul server vengono copiati due volte alla settimana su IOMega Rev; una volta a settimana (al venerdì) viene fatta una copia integrale su supporto esterno Ultrium entrambi crittografati. I supporti IOMega Rev rimangono nello stesso locale del server: i supporti Ultrium vengono sostituiti al lunedì e custoditi in un armadio presso gli uffici ragioneria / economato. Nessun supporto è riposto in cassetta o cassaforte ignifuga. Tuttavia per ridurre il presente rischio, i supporti di back up vengono custoditi in edifici separati. Tutta la rete è protetta da software antivirus TrendMicro versione Server installato sul server e a cascata sui client (OfficeScan) e da sistema firewall. Firewall 8 Analisi dei rischi sulle risorse software Elemento di rischio Accesso non autorizzato alle basi dati connesse Errori software che minacciano l’integrità dei dati Presenza di un codice non conforme alle specifiche del programma Livello Rischio Lieve Lieve Lieve Motivazione I software CBA che trattano i dati controllano l’accesso tramite una finestra di autenticazione (finestra di Login), con obbligo di variazione della password di accesso a cadenza trimestrale. I software sono utilizzati da tempo e non hanno mai causato la perdita o il danneggiamento dei dati trattati. I programmi sono forniti da produttori che operano nel settore con la massima serietà da molti anni. Analisi dei rischi sulle risorse professionali Elemento di rischio Errore materiale Carenza di consapevolezza, disattenzione, incuria Sottrazione di credenziali di autorizzazione Livello Rischio Lieve Lieve Lieve Motivazione Gli incaricati sono stati edotti sulle procedure messe in atto all’ interno dell’azienda relativamente al trattamento dei dati personali Gli incaricati sono stati edotti sulle procedure messe in atto all’ interno dell’azienda relativamente al trattamento dei dati personali Le credenziali di autenticazione vengono cambiate dal singolo utente su richiesta automatica, periodica del sistema 9 Analisi Della Situazione Aziendale Descrizione del sistema informatico aziendale Il capitolo rappresenta gli elementi fondamentali del sistema informatico dell’ I.P.A.B. "La Pieve", con particolare riguardo agli aspetti hardware e ai collegamenti esistenti con le varie strutture aziendali. In particolare è descritta l’architettura del sistema, individuandone gli elementi rilevanti ai fini della sicurezza informatica. L’I.P.A.B. “La Pieve” opera presso la sede centrale di Breganze (VI), in via Pieve 42, su una rete aziendale così strutturata: • • • • • • • • • 1 Server di dominio Windows Server, che opera come domain controller, file server e mail server; 1 dispositivo NAS Western Digital WD Sharespace per il backup dei dati posizionato lontano dalla sala server; 1 dispositivo di backup UltriumLto (200/400 GB) installato su server, per copie settimanali su supporto estraibile; 1 Firewall, per il controllo sul traffico di rete; 1 Router, su linea ADSL (Interbusiness); 1 Router di proprietà dell’ULSS 4 Alto Vicentino, per la connessione di alcuni Thin Client alla rete ospedaliera; Circa 20 client collegati in rete alla sede principale (C.D.R.); 2 Client collegati in rete, via fibra ottica, dallo stabile esterno ove risiede la Scuola dell’Infanzia ed il Nido; 3 Client collegati in rete, via fibra ottica, dallo stabile esterno ove opera il centro diurno disabili. Solo uno dei tre client può accedere ai dati dell’Ente (Dominio Microsoft) in quanto gli altri due sono usati dagli utenti per navigazione e videoscrittura. 10 Misure minime di sicurezza PROCEDURE OPERATIVE AL FINE DI GARANTIRE LA PREDISPOSIZIONE DELLE MISURE DI SICUREZZA PREVISTE DAL DISCIPLINARE TECNICO. L’obiettivo della Politica di Sicurezza è di garantire il rispetto delle prescrizioni di sicurezza e un livello minimo di protezione, attraverso l’adozione delle misure minime di sicurezza, come da artt. 33-35 D.lgs 196/03, e Disciplinare tecnico (allegato B) sia un livello idoneo di sicurezza come da art. 31 D.lgs 196/03, in relazione alle tipologie di dati aziendali trattati, alle modalità di trattamento e agli strumenti utilizzati. La Politica di Sicurezza si basa sull’adozione di misure di tipo fisico, logico e organizzativo e che qui sono riportate in forma sintetica e gestite dalle procedure aziendali inserite nel presente Documento Programmatico. Comprende aspetti legati alla: sicurezza fisica diretta a prevenire accessi fisici non autorizzati, danni o interferenze con lo svolgimento dei servizi IT e a proteggere le apparecchiature hardware da danni accidentali o intenzionali. Comprende, quindi, anche la sicurezza degli impianti di alimentazione e di condizionamento, la manutenzione dell’hardware e la protezione da manomissioni o furti; sicurezza logica diretta alla protezione dell’informazione e di conseguenza di dati, applicazioni, sistemi e reti; sicurezza organizzativa diretta alla definizione di ruoli, compiti, responsabilità e procedure per regolamentare gli aspetti organizzativi della Politica di Sicurezza. 11 Misure di sicurezza di tipo fisico adottate Descrizione misura Custodia degli archivi cartacei Custodia dei supporti magnetici esterni Note ed indicazioni per la corretta applicazione Tutti i documenti cartacei contenenti dati personali sono conservati in armadi chiusi a chiave o in uffici chiusi a chiave. Gli incaricati potranno prelevare i documenti necessari per il trattamento per il tempo necessario a tale operazione dopo di che avranno il compito di riporli nei luoghi preposti alla loro conservazione. Sarà compito dell’incaricato che preleva i documenti garantire che questi ultimi siano richiusi, sotto chiave, nel periodo di temporanea assenza dal posto di lavoro. Rischi Contrastati Misura in essere Accesso non autorizzato Furto di dati I supporti ausiliari di memorizzazione Perdita di dati (Ultrium, DVD o altro, contenenti backup e backup image o copie che consentono il restore delle macchine o di database ) utilizzati per le attività di backup o di salvataggio, vengono conservati all’interno di armadi, in locali distinti da quello ove risiedono gli elaboratori che contengono gli stessi dati. Le chiavi di accesso ai locali dove sono riposti i supporti sono in possesso solamente alle persone autorizzate. Dispositivi antincendio I locali della sede sono dotati di estintori Incendio per la soppressione dei focolai di incendio. Continuità dell’alimentazione elettrica I Server sono collegati ad un gruppo di Incendio continuità che garantisce una Allagamento stabilizzazione dell’energia elettrica Perdita dati erogata. Tale gruppo, in conseguenza di un’improvvisa assenza di energia, garantisce un’autonomia temporale necessaria ad avviare le corrette procedure di spegnimento dell’elaboratore. Verifica della leggibilità dei supporti di backup Verifica automatica del nastro dopo ogni Perdita dati back up. Invio di email con report 12 Misura da adottare Misure di sicurezza di tipo logico adottate Descrizione misura Codice di identificazione personale e parola chiave riservata Note ed indicazioni per la corretta applicazione Rischi Contrastati Le parole chiave assegnate inizialmente dal Responsabile misure di sicurezza, sono state cambiate al primo accesso degli incaricati. Tali parole chiave dovranno essere tenute segrete e modificate periodicamente ogni tre o sei mesi (in base alla presenza o meno di dati sensibili). Uso non autorizzato dell’hardware Accessi non consentiti alle basi dati connesse Misura in essere Manomissione Sabotaggio I client e i server sono stati protetti con programma antivirus. Si provvede all’aggiornamento dei sistemi operativi, del software di database e del software applicativo, Predisposizione compatibilmente con la verifica e la aggiornamento software certezza che il nuovo software appena rilasciato non crei nuovi problemi o blocchi al sistema informatico attuale, del quale va garantito il funzionamento (disponibilità). Perdita di dati Attacchi da virus Le linee di comunicazione verso Internet sono protette mediante firewall, utilizzando le seguenti politiche di Perdita di dati sicurezza: Sistemi di Protezione della rete • • è negato tutto ciò che non è esplicitamente ammesso; in caso di caduta o guasto del firewall, qualora non si attivi un firewall di backup, tutte le comunicazioni vengono bloccate. Intercettazione di informazioni in rete Attacchi esterni Sono stati individuati gli archivi dei quali effettuare il backup periodico in base alla loro importanza e criticità, alla Definizione delle modalità di esecuzione e frequenza di aggiornamento e alla possibilità di ricostruire i dati in base frequenza per Perdita di dati agli archivi cartacei custoditi per l’effettuazione di assicurarne l’integrità. salvataggio di copie di dati e programmi E’ stato centralizzato il sistema di backup: periodicamente vengono riviste le politiche di backup. 13 Misura da adottare Descrizione misura Registrazione accessi(LOG) Note ed indicazioni per la corretta applicazione Rischi Contrastati Devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo di verifica per cui sono richieste. Uso non autorizzato dell’hardware 14 Accessi non consentiti alle basi dati connesse Manomissione Sabotaggio Misura in essere Misura da adottare Misure di sicurezza di tipo organizzativo adottate Descrizione misura Note ed indicazioni per la corretta applicazione Sulla base dell’analisi dei rischi è stato redatto il presente Documento Analisi dei rischi e Programmatico sulla Sicurezza. Documento Programmatico sulla Sicurezza Rischi Contrastati Misura in essere Errore materiale Carenza di consapevolezza , disattenzione, incuria Perdita di dati Piano di formazione degli incaricati Identificazione degli incaricati preposti alle attività di accertamento È stato predisposto un piano di formazione degli incaricati. Sono stati individuati e nominati per iscritto gli incaricati preposti al trattamento. Carenza di consapevolezza, disattenzione, incuria Sottrazione di credenziali di Agli incaricati, congiuntamente alla lettera di nomina, sono state indicate le autorizzazione Perdita di dati norme operative e di sicurezza a cui attenersi alla luce delle novità introdotte dal nuovo Testo unico sulla privacy. Indicazione del custode delle copie delle credenziali di autenticazione. Il Responsabile del trattamento dei dati custodisce in cassaforte le credenziali di autenticazione di accesso ad ogni apparato con profilo di amministratore Sottrazione credenziali di autorizzazione Errore materiale Indicazione del Responsabile misure di sicurezza Il Responsabile delle misure di sicurezza coincide con il Responsabile del trattamento. Sarà compito del Responsabile delle misure di sicurezza segnalare, direttamente o per mezzo di figura delegata, agli Amministratori di sistema attivazione e disattivazione delle credenziali di accesso. Clausola di “conformità” Il modello di clausola di conformità alle misure di sicurezza è stato consegnato agli amministratori di sistema e all’azienda che collabora nella gestione dei sistemi informativi. Entrambi con tale modello dichiareranno che gli interventi effettuati sono conformi alle disposizioni dello stesso codice. 15 Perdita di dati Carenza di consapevolezza, disattenzione, incuria Perdita di dati Perdita di dati Errore materiale Misura da adottare Descrizione misura Piano di recupero (dopo un incidente). Custodia dei documenti cartacei Note ed indicazioni per la corretta applicazione Rischi Contrastati Misura in essere Va predisposto un piano il quale indichi, per il server e gli apparati principali dell’Azienda, come comportarsi per un corretto ripristino in caso di problemi o incidenti che coinvolgano il sistema informatico. Perdita di dati Carenza di consapevolezza, disattenzione, incuria I punti fondamentali della procedura sono descritti in un piano di disaster recovery a cura degli Amministratori di sistema. Quando gli atti e i documenti contenenti dati personali sensibili o giudiziari sono affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti, i medesimi atti o documenti sono custoditi dagli incaricati in modo che ad essi non accedano persone prive di autorizzazione. L’accesso agli archivi contenenti dati sensibili o giudiziari va controllato; le persone che vi accedono sono preventivamente autorizzate. 16 Misura da adottare Autorizzazione accessi informatici SCOPO Lo scopo della procedura, art 34 D.Lgs 196/03, è quello di adottare un sistema di autorizzazione inteso come un insieme di strumenti e modalità che abilitano l’accesso ai dati e alle modalità di trattamento degli stessi, in funzione del profilo di autorizzazione del richiedente. Tale procedura ha quindi lo scopo di provvedere a quali aree o dati l’utente può accedere e una volta entrato quali azioni può compiere. La finalità della procedura è quindi di definire modalità che consentano l’accesso agli strumenti elettronici solo a chi è autorizzato. Con tale procedura si verifica l’identità dell’utente abilitato al trattamento dei dati e si individuano delle procedure di gestione delle credenziali di autenticazione. Le credenziali di autenticazione consistono in un codice per l’identificazione dell’incaricato associato ad una parola chiave riservata conosciuta solamente dal medesimo. CAMPO DI APPLICAZIONE Questa procedura, che concerne il sistema informatico aziendale, si applica a tutte le aree aziendali e per tutti i sistemi contenenti archivi dati (sia in rete sia stand-alone) dell’ I.P.A.B. “La Pieve”. I profili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati sono individuati e configurati anteriormente all’inizio del trattamento, in modo da limitare l’accesso ai solo dati necessari per effettuare le operazioni di trattamento. RESPONSABILITÀ La password è scelta e tenuta celata da ciascun utente. Si ricorda che la password è personale e segreta. La password deve avere una lunghezza minima pari almeno a otto caratteri e deve inoltre rispettare una serie determinati requisiti: 1) non deve contenere riferimenti riconducibili allo stesso incaricato (ad esempio nome, data di nascita, ecc.). E’ consigliabile che ogni password contenga dati sia alfabetici che numerici; 2) Essere impostata dall’incaricato al primo utilizzo, essere mantenuta segreta e cambiata dallo stesso incaricato ogni sei mesi, ridotti a tre mesi nel caso che si trattano dati sensibili e giudiziari. Non deve, inoltre, essere divulgata; nel caso in cui si abbia il sospetto che qualcuno possa esserne venuto a conoscenza è obbligatorio darne comunicazione al Preposto alla Custodia delle copie delle credenziali e farla cambiare immediatamente (Nella fattispecie è stato affidato al responsabile delle misure di sicurezza il ruolo di custode delle copie delle credenziali). Periodicamente e almeno annualmente si deve verificare la sussistenza delle condizioni per la conservazione dei profili di autorizzazione. RIFERIMENTI DECRETO LEGISLATIVO 30 giugno 2003, n.196 Codice in materia di protezione dei dati personali • Art.33 (misure minime) • Art. 34 (Trattamenti con strumenti elettronici) 17 DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA (Artt. da 33 a 36 del codice) Trattamenti con strumenti elettronici CONTENUTO Procedure di accesso Il sistema presenta un “prompt” di accesso che richiede e verifica la password unitamente allo “User ID”, necessario per l’identificazione dell’utente e del profilo informatico (accesso, consultazione, possibilità di modifica dei dati degli archivi). Per accedere alla rete aziendale è necessario avere: • Uno USER ID (assegnato dal Responsabile delle misure di sicurezza); • Una PASSWORD (privata e segreta). Gestione user id Creazione Ogni Referente di area, al momento dell’inserimento di nuovo incaricato nella propria struttura o al momento di cambio di mansione del personale già presente, è tenuto a comunicare al Responsabile delle misure di sicurezza il nuovo profilo utente o la modifica di quello esistente. E’ infatti onere del Responsabile delle misure di sicurezza fissare i profili utente nel sistema informatico, anche in base alle indicazioni e disposizioni fornite dal Titolare del trattamento. Disattivazione User ID Lo User ID è disattivato e reso inutilizzabile dal Responsabile delle misure di sicurezza in caso si verifichino le seguenti condizioni: • inutilizzo dello stesso User ID per un periodo superiore a sei mesi; • uscita dall’Azienda del dipendente. Password La password, personale e segreta, non deve essere divulgata e nel caso in cui si abbia il sospetto che qualcuno possa esserne venuto a conoscenza, è obbligatorio cambiarla immediatamente. La lunghezza minima della password deve essere di almeno otto caratteri, salvo l’ipotesi che gli strumenti non consentano una tale lunghezza per limiti del sistema. Non può, inoltre, essere riproposta una password già utilizzata in precedenza. La password ha una durata di massimo tre/sei mesi a seconda della tipologia di dati trattati allo scadere dei quali dovrà essere ridefinita e reimpostata dall’utente. Per la definizione della password si tengano presenti i seguenti suggerimenti: - no riferimenti personali (nome, cognome, data di nascita ecc) - no solo lettere 18 Password per l’accesso al dominio e all’utilizzo delle risorse di rete (credenziali di autenticazione ed autorizzazione) Per poter accedere alla rete ed utilizzare i vari applicativi e/o risorse gli incaricati possono disporre delle seguenti password: a) password di rete (utente in dominio, per accedere alle risorse in rete); b) password di accesso ai vari software applicativi; c) password per accedere via VPN alla rete aziendale; d) password per accedere alla posta elettronica. Rilascio di una nuova password Nel caso in cui un utente abbia dimenticato la password può richiederne la disabilitazione al Responsabile delle misure di sicurezza. Tale procedura potrà essere autorizzata anche qualora vi sia la documentata necessità di accedere al sistema tramite la user ID dell’utente momentaneamente impossibilitato a farlo personalmente. Dopo aver violato l’accesso disabilitando la password dell’utente, l’utente dovrà al più presto ridefinirne una nuova. 19 Gestione antivirus e Gestione programmi informatici aventi per scopo o per effetto il danneggiamento di un sistema informatico o telematico SCOPO Scopo di questa procedura é garantire la gestione e l’aggiornamento di dotazioni protettive contro il rischio di intrusione ad opera di programmi di cui all’art.615quinquies del codice penale come previsto dall’art.34 del D.Lgs. 196/03 e dal punto 1617 del Disciplinare tecnico. CAMPO DI APPLICAZIONE Questa procedura, che concerne il sistema informatico aziendale, si applica a tutte le aree organizzative dell’ I.P.A.B. “La Pieve”. RESPONSABILITÀ Il Titolare del trattamento predispone i mezzi necessari per l’installazione e il periodico aggiornamento dell’apposito programma antivirus. È compito degli Amministratori di sistema provvedere all’aggiornamento e al monitoraggio degli appositi programmi antivirus. Per quanto riguarda la difesa da programmi informatici che hanno come scopo o per effetto il danneggiamento o un cattivo funzionamento di un sistema informatico o telematico è compito degli Amministratori di sistema, nell’ambito di un test generale di verifica di corretto funzionamento del sistema, aggiornare periodicamente tali programmi. Tale test viene effettuato almeno ogni sei mesi. RIFERIMENTI DECRETO LEGISLATIVO 30 giugno 2003, n.196 Codice in materia di protezione dei dati personali Art.33 (misure minime) Art. 34 (Trattamenti con strumenti elettronici) DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA (Artt. da 33 a 36 del codice) Trattamenti con strumenti elettronici CONTENUTO L’intera rete aziendale è monitorata da apposito software Antivirus installato sul server e a cascata sui client. AGGIORNAMENTO ANTIVIRUS. L’aggiornamento del software antivirus è automatico e quotidiano. Gli Amministratori di sistema: - aggiornano il software antivirus rendendo disponibile l’ultima versione. 20 SCANSIONE ANTIVIRUS. Dati in rete. Automaticamente, tutti i dati registrati nelle memorie di massa in rete sono sottoposti al controllo antivirus. Dati in locale. I dati salvati sul disco fisso di ogni PC aziendale, sono sottoposti a controllo antivirus quotidianamente. L’attivazione del controllo è pianificata ed eseguita automaticamente da un apposito programma quando il PC è acceso. Se il controllo antivirus non risolve il problema o non evidenzia alcuna anomalia è necessario rivolgersi agli Amministratori di Sistema. Non è consentito all’utente di disattivare il programma antivirus. Tale operazione è consentita ai soli Amministratori di sistema. File di origine esterna. I file di origine esterna, vengono controllati automaticamente dal programma antivirus installato nei singoli P.C. 21 Gestione backup e Disaster Recovery SCOPO Lo scopo della procedura è definire le modalità e la frequenza di esecuzione delle copie di salvataggio dei dati e/o dei programmi residenti negli elaboratori strumentali all’attività aziendale. L’utilizzo di tali copie è previsto nel caso di danneggiamento o perdita dei dati memorizzati su disco ed avviene attraverso procedure di ripristino e disaster-recovery. CAMPO DI APPLICAZIONE Questa procedura, che concerne il sistema informatico aziendale, si applica a tutti i dati contenuti negli elaboratori e nei supporti di memoria di massa della rete aziendale dell’ I.P.A.B. “La Pieve”. La procedura di salvataggio, che può essere schedulata ed effettuata automaticamente, viene applicata a tutti gli archivi e programmi ritenuti critici dall’Azienda indipendentemente dal sistema sul quale sono inclusi (vedi censimento archivi). RESPONSABILITÀ Responsabile delle attività di “backup” è il Responsabile misure di sicurezza e/o eventuali incaricati precedentemente individuati. RIFERIMENTI DECRETO LEGISLATIVO 30 giugno 2003, n.196 Codice in materia di protezione dei dati personali • Art.31 • Art. 34 DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA (Artt. da 33 a 36 del codice) Trattamenti con strumenti elettronici 22 MODALITA’ INCARICATO DI SALVATAGGIO & PERSONALE Salvataggio Database Dati sensibili o / giudiziari Server contenuti Criteri individuati per il salvataggio Ubicazione di Struttura operativa conservazione incaricata del delle copie salvataggio Periodico I dati residenti sul server vengono salvati indicativamente due volte a settimana su unità NAS WD Sharespace. La copia dei dati è crittografata. CED Amministratore di Sistema Settimanale Diversi (CBA Documenti office) Si / No Una volta alla settimana un ulteriore salvataggio viene effettuato su Ultrium LTO 200/400: il backup è automatico, ed al termine viene inviato tramite email, il log delle operazioni svolte all’Amministratore di Sistema . Uff. I supporti a disposizione sono 5, utilizzati Ragioneria / a rotazione, garantendo pertanto una Economato profondità di recupero pari a 5 settimane. Il supporto utilizzato nel fine settimana viene sostituito al lunedì mattina, inserendovi quello da utilizzare nel fine settimana successivo. I supporti non utilizzati sono in armadio chiuso a chiave presso l’ufficio ragioneria / economato. Amministratore di Sistema DISASTER RECOVERY Tutti i dati personali sono custoditi sul server SRV1. Nel caso di perdita dei soli dati, è possibile procedere come segue: Ripristinare i dati dal backup disponibile su nas \\nas1\bk. Le password per l'accesso alla condivisione e la chiave di crittografazione sono custodite in cassaforte. Gli archivi sono creati con il software “Acronis TrueImage Server” oppure (in alternativa) Ripristinare i dati dalle cassete LTO ULTRIUM, che sono create con il software di backup “Acronis trueimage server” installato su SRV1. Attenzione che il backup su LTO è eseguito di domenica: è consigliabile quindi recuperare i dati dal nas dove sono aggiornate più frequentemente. Nel caso di perdita di dati e sistema operativo di SRV1 Sia i backup su NAS che quelli su cassette LTO ULTRIIM sono una immagine completa dei dischi del server eseguita con Acronis True Image. E' quindi possibile recuperare completamente il sistema operativo e dati da tale immagine usando l'opportuno CD di boot di Acronis Trueimage Server. 23 Procedura gestione Firewall GENERALITÀ Il costo accessibile della connessioni Internet e la relativa efficienza delle tecnologie di comunicazione stanno cambiando il modo di lavorare. Internet espone il sistema a tutta una nuova gamma di rischi potenziali contro i quali è essenziale predisporre misure di sicurezza di maggiore efficacia come i Firewall. SCOPO E CAMPO DI APPLICAZIONE Lo scopo della procedura è definire responsabilità e modalità operative per assicurare il corretto funzionamento del Firewall. La procedura si applica per la sicurezza dei dati personali memorizzati sulla rete informatica aziendale dell’ I.P.A.B. “La Pieve”. La connessione ad internet è garantita da accesso su linea ADSL, tramite un firewall che gestisce gli accessi tenendo traccia dei contatti. La gestione delle regole di sicurezza, del settaggio e della verifica del corretto funzionamento del sistema sono gestite internamente dagli Amministratori di Sistema. RIFERIMENTI LEGISLATIVI DECRETO LEGISLATIVO 30 giugno 2003, n.196 Codice in materia di protezione dei dati personali • Art. 34 (Trattamenti con strumenti elettronici) DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA • (Artt. da 33 a 36 del codice) Trattamenti con strumenti elettronici MODALITÀ OPERATIVE Il Firewall (muro taglia-fuoco) è un sistema che, interposto tra la rete interna aziendale e l’esterno, si occupa di realizzare la politica di sicurezza e, controllando opportunamente i diritti di accesso, permette di limitare la bi-direzionalità del traffico informatico. Il Firewall controlla tutto ciò che entra o esce dalla rete a cui è abbinato usando una tecnica di ispezione denominata stateful inspection. Essa consiste nel comparare tutti i dati in transito con i profili di sicurezza predefiniti per garantire il fatto che tutto ciò che transita attraverso i Firewall sia autorizzato. Il sistema consente di resistere agli attacchi di esterni che cercano di penetrare di nascosto la rete aziendale, e fornisce un accesso remoto sicuro anche agli utenti aziendali che lavorano all’esterno dell’Azienda. 24 CONTROLLI Il Firewall consente di eseguire le seguenti attività sul traffico informatico: Bloccare tutti i tentativi di perseguire un’azione che non è abilitata dalla policy del Sistema Informativo dell’Azienda; Registrare eventi sospetti. NORME DI SICUREZZA Al fine di garantire la sicurezza, gli utenti incaricati del trattamento di dati personali comuni o sensibili, non devono fornire informazioni a persone sconosciute specialmente per telefono. Richieste di dati potranno essere valutate ed esaudite solamente se pervenute in forma scritta. 25 Dati personali trattati all’esterno dell’organizzazione GENERALITÀ In questa procedura viene fatto un quadro sintetico delle attività affidate a terzi che comportano il trattamento di dati, con l’indicazione sintetica del contesto giuridico o contrattuale (organizzativo e tecnico) in cui tale trasferimento si inserisce, in riferimento agli impegni assunti, anche all’esterno, per garantire la protezione dei dati stessi. SCOPO E CAMPO DI APPLICAZIONE Lo scopo della procedura è individuare la tipologia di dati personali trasferiti all’esterno, i soggetti a cui vengono trasferiti i dati ed i criteri adottati dal Titolare per un adeguato trattamento. RIFERIMENTI LEGISLATIVI Punto 19.7 DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA (Allegato B al D.lgs. 196/03) SOGGETTI ESTERNI E ATTIVITA’ ESTERNALIZZATE Di seguito sono riportate indicativamente le attività effettuate all’esterno, che comportano trattamenti di dati personali, con l’indicazione dei soggetti a cui vengono trasferiti i dati Descrizione attività esterna Tipo di dati Assistenza Legale per contenziosi e recupero crediti. Medicina del lavoro CRITERI DI GARANZIA DI ADEGUATO TRATTAMENTO Criteri di garanzia adottati dal Titolare per un adeguato trattamento di dati effettuati da soggetti esterni Soggetto e attività esternalizzate Assistenza Legale per contenziosi Medicina del lavoro Descrizione criteri di garanzia di adeguato trattamento Nomina a responsabile esterno del trattamento dati. Titolare autonomo nel trattamento dei dati. 26 Note AMMINISTRATORI DI SISTEMA L’ Ente si avvale delle funzioni di Amministratore di Sistema così articolate: 1) nomina Amministratore di Sistema con le seguenti funzioni: a) gestire il sistema informatico, nel quale risiedono le banche dati personali, in osservanza al Disciplinare tecnico allegato al Codice della privacy (D.lgs. 30 giugno 2003 n. 196) e sue successive modifiche ed aggiornamenti, attenendosi anche alle disposizioni del Titolare e/o del Responsabile in tema di sicurezza; b) predisporre ed aggiornare un sistema di sicurezza informatico idoneo a rispettare le prescrizioni dell’art. 31 e seguenti del D.lgs. n. 196/2003, adeguandolo anche alle eventuali future norme in materia di sicurezza. Più specificatamente, in base al sopra citato vigente Disciplinare tecnico, fatte salve le successive integrazioni dello stesso, l’Amministratore di sistema dovrà: • assegnare e gestire il sistema di autenticazione informatica secondo le modalità indicate nel Disciplinare tecnico e quindi, fra le altre, generare, sostituire ed invalidare, in relazione agli strumenti ed alle applicazioni informatiche utilizzate, le parole chiave ed i Codici identificativi personali da assegnare agli incaricati del trattamento dati, svolgendo anche la funzione di custode delle copie delle credenziali; • procedere, più in particolare, alla disattivazione dei Codici identificativi personali, in caso di perdita della qualità che consentiva all’utente o incaricato l’accesso all’elaboratore, oppure nel caso di mancato utilizzo dei Codici identificativi personali per oltre 6 (sei) mesi dietro specifica richiesta del Responsabile trattamento dati dell’Ente (come da DPS approvato con delibera del Cda n. 22 del 26.03.2009); • adottare adeguati programmi antivirus, firewall ed altri strumenti software o hardware atti a garantire la massima misura di sicurezza nel rispetto di quanto dettato dal Dlgs.196/2003 ed utilizzando le conoscenze acquisite in base al progresso tecnico software e hardware, verificandone l’installazione, l’aggiornamento ed il funzionamento degli stessi in conformità allo stesso Disciplinare tecnico; • adottare tutti i provvedimenti necessari ad evitare la perdita o la distruzione, anche solo accidentale, dei dati personali. L’Amministratore di sistema dovrà anche assicurarsi della qualità delle copie di back-up dei dati e della loro conservazione in luogo adatto e sicuro; • indicare al personale competente o provvedere direttamente alla distruzione e smaltimento dei supporti informatici di memorizzazione logica o alla cancellazione dei dati per il loro reimpiego, alla luce del Provvedimento del Garante per la Protezione dei Dati personali del 13 ottobre 2008 in materia di smaltimento strumenti elettronici; • cooperare nella predisposizione del documento programmatico sulla sicurezza per la parte concernente il sistema informatico ed il trattamento informatico dei dati; • verificare, su specifica richiesta dell’Ente, sugli interventi informatici esterni diretti al sistema informativo dell’IPAB; • predisporre ed implementare le eventuali ulteriori misure minime di sicurezza imposte dal Disciplinare tecnico per il trattamento informatico dei dati sensibili e per la conseguente tutela degli strumenti elettronici; c) coordinare assieme al Titolare e/o al Responsabile, le attività operative degli incaricati del trattamento nello svolgimento delle mansioni loro affidate per garantire un corretto, lecito e sicuro trattamento dei dati personali nell’ambito del sistema informatico; d) collaborare con il Titolare e/o con il Responsabile, per l’attuazione delle prescrizioni impartite dal Garante; e) comunicare prontamente al Titolare e/o al Responsabile, qualsiasi situazione di cui sia venuto a conoscenza che possa compromettere il corretto trattamento informatico dei dati personali; f) verificare il rispetto delle norme sulla tutela del diritto d’autore sui programmi di elaboratore installati nei pc. presenti nell’unità produttiva e segnalare eventuali non conformità alla Direzione. 27 Per l’espletamento dell’incarico, vengono assegnate all’Amministratore di sistema le credenziali di autenticazione che gli permettono l’accessibilità al sistema per lo svolgimento delle funzioni assegnate. I log della sua attività di accesso al sistema svolta nell’espletamento dell’incarico verranno conservati per almeno 6 (sei) mesi. Vengono inoltre assegnati all’Amministratore di sistema i necessari poteri e supporti economici ed organizzativi per l’adeguamento di tutte le misure minime di sicurezza, come previsto dalle vigenti disposizioni in materia di sicurezza del trattamento dei dati. L’Ipab provvederà, con cadenza almeno annuale, a svolgere le dovute verifiche sulle attività compiute dall’Amministratore di sistema. È obbligo di quest’ultimo prestare all’Ipab la sua piena collaborazione per il compimento delle verifiche stesse; in ogni caso, è tenuto a predisporre, con cadenza annuale, una relazione scritta delle attività svolte in esecuzione delle incombenze affidatigli. 2) nomina Amministratore di Sistema con le seguenti funzioni: - creazione/abilitazione/cancellazione utenti e gestione credenziali di accesso; impostazione diritti utente sulle cartelle condivise; gestione utenti e credenziali di accesso anche su software Sipcar; assegnazione e controllo caselle di posta elettronica. Per l’espletamento dell’incarico, vengono assegnate all’Amministratore di sistema le credenziali di autenticazione che gli permettono l’accessibilità al sistema per lo svolgimento delle funzioni assegnate. I log della sua attività di accesso al sistema svolta nell’espletamento dell’incarico verranno conservati per almeno 6 (sei) mesi. Vengono inoltre assegnati all’Amministratore di sistema i necessari poteri e supporti economici ed organizzativi per l’adeguamento di tutte le misure minime di sicurezza, come previsto dalle vigenti disposizioni in materia di sicurezza del trattamento dei dati. 28
