Analisi Dei Rischi

Documento programmatico
sulla sicurezza
dell’Ipab "La Pieve"
di Breganze
Versione 1.3
Breganze, marzo 2011
Indice
-
Presentazione e gestione del D.P.S.
pag. 3
-
Analisi dei rischi
pag. 5
-
Analisi della situazione aziendale
pag. 10
-
Misure minime di sicurezza
pag. 11
-
Autorizzazione accessi informatici
pag. 17
-
Gestione antivirus e gestione programmi informatici
aventi per scopo o per effetto il danneggiamento
di un sistema informatico o telematico
pag. 20
-
Gestione backup e disaster recovery
pag. 22
-
Procedura gestione firewall
pag. 24
-
Dati personali trattati all’esterno dell’organizzazione
pag. 26
-
Amministratori di Sistema
Pag. 27
2
Presentazione e gestione del
Documento Programmatico sulla
Sicurezza
SCOPO e CONTENUTO
Il presente Documento Programmatico sulla sicurezza descrive l’esito dell’analisi dei
rischi e la distribuzione delle responsabilità e dei compiti nell’ambito delle strutture
preposte al trattamento dei dati personali, al fine di definire:
i criteri tecnici e organizzativi per la protezione delle aree e dei locali interessati dalle
misure di sicurezza nonché le procedure per controllare l’accesso delle persone
autorizzate ai locali medesimi;
a) i criteri e le procedure per assicurare l’integrità e disponibilità dei dati;
b) previsione di un programma di revisione;
c) i criteri e le procedure per il ripristino all’accesso dei dati (Piano di Disaster
recovery);
d) i criteri per garantire la predisposizione delle misure minime nel caso di
trattamenti affidati all’esterno della struttura aziendale.
e) i criteri e le procedure per la sicurezza della trasmissione dei dati, ivi compresi quelli
per le registrazioni di accesso per via telematica;
f) l’elaborazione di un piano di formazione per rendere edotti gli incaricati del
trattamento dei rischi individuati e dei modi per prevenire danni.
Gli obbiettivi del Documento Programmatico sulla Sicurezza sono:
•
fornire le informazioni e gli strumenti necessari per l’attività di programmazione
del Sistema per la protezione dei dati personali;
•
diffondere all'interno dell'Azienda le linee guida e le prescrizioni relative alla
sicurezza del trattamento dei dati personali;
•
favorire l'applicazione e il rispetto di tali prescrizioni;
•
favorire l'evoluzione e il miglioramento del Sistema per la protezione e tutela dei
dati personali;
•
fungere da documento guida nella messa in atto delle misure di monitoraggio e di
controllo.
Riguardo al contenuto il DPS è articolato nelle seguenti parti:
Parte I - Analisi situazione aziendale
Descrizione del Sistema Informatico Aziendale
Analisi dei trattamenti dei dati personali
Analisi ed elenco dei trattamento dati particolari
Struttura organizzativa funzionale al trattamento dati e singole responsabilità
L'analisi dei rischi e dei danni conseguenti
Parte II: Misure di sicurezza adottate o da adottare
Procedure operative al fine di garantire la predisposizione delle misure minime di
sicurezza previste dal Disciplinare tecnico di cui all’allegato B) del D. Lgs 196/2003.
Misure per garantire l’integrità e la disponibilità dei dati
Criteri per la protezione delle aree e dei locali e procedure di controllo per l’accesso;
3
Criteri e procedure per il ripristino dell’accesso ai dati (disaster recovery);
Criteri per garantire la predisposizione delle misure minime nel caso di trattamento
affidati all’esterno della struttura aziendale;
CAMPO DI APPLICAZIONE
Il presente documento si applica al trattamento dei dati personali effettuato con
strumenti elettronici o comunque automatizzati e altri strumenti non cartacei della IPAB
LA Pieve.
RESPONSABILITÀ
Il Titolare del trattamento dati, unitamente al Responsabile e/o Responsabile della
misure di sicurezza, con il presente Documento programmatico sulla sicurezza adotta
preventivamente delle procedure informatiche, organizzative e tecniche, che consentano
agli incaricati del trattamento, l’accesso ai soli dati necessari per lo svolgimento
dell’attività individuata nel mansionario che è parte integrante dello stesso Documento
programmatico sulla sicurezza.
In particolare per la gestione ed organizzazione del DPSS sono descritti nella tabella
sottostante i seguenti compiti con le relative responsabilità:
Compiti
Responsabile
Gestione del DPSS e le relative revisioni.
Titolare, Responsabile del trattamento e
Responsabile misure di sicurezza.
Gestione delle procedure per l’attivazione Responsabile delle misure di sicurezza.
e il funzionamento delle credenziali di
autenticazione
e
dei
sistemi
di
autorizzazione.
Distribuzione del DPSS
Titolare del trattamento, Responsabile del
trattamento.
Conservazione e gestione di
tutta la Responsabile del trattamento.
documentazione privacy
RIFERIMENTI NORMATIVI
Il presente documento soddisfa le prescrizioni delle seguenti normative:
• Regio decreto 22.4.1941 n.633 "Protezione del diritto d'autore e di altri diritti
connessi al suo esercizio.", d.lgs. 29.12.1992 n. 518 “Tutela del diritto d’autore
sul software e attuazione della direttiva 91/250/CEE relativa alla tutela giuridica
dei programmi per elaboratore" e successive norme di tutela (L. 26/07/2000 ).
• Legge 23 dicembre 1993, n. 547 "Modificazioni ed integrazioni alle norme del
codice penale e del codice di procedura penale in tema di criminalità
informatica".
• D.Lgs 196 del 30 giugno 2003 (Codice in materia di protezione dei dati personali)
e suo Disciplinare tecnico (Allegato B)
• Ultime linee Guida ambito sanitario “La protezione dei dati personali dalla parte
del paziente”
4
Analisi Dei Rischi
Premessa
L’analisi dei rischi, prevista al punto 19 del Disciplinare tecnico di cui all’allegato B) del
D. Lgs. 196/2003, costituisce la fase di partenza delle attività di definizione e attuazione
della politica di sicurezza aziendale.
Per potere svolgere questa analisi sono state analizzate le principali caratteristiche
tecniche degli edifici e dei locali in cui sono situati gli strumenti elettronici con cui si
effettuano i trattamenti dei dati. Sono state, inoltre, analizzate le caratteristiche
tecniche informatiche degli strumenti elettronici presenti in struttura. Sono state, infine,
analizzate singolarmente tutte le banche dati, da quelle che contengono dati comuni a
quelle sensibili.
L’obiettivo dell’analisi dei rischi è, da un lato, acquisire consapevolezza e visibilità sul
livello di esposizione al rischio del proprio patrimonio informativo e, dall’altro, avere una
mappa delle contromisure di sicurezza da realizzare.
Metodologia di analisi
L’analisi dei rischi è effettuata sulla base delle linee guida per la definizione di un piano
per la sicurezza dei sistemi informativi automatizzati elaborate dal CNIPA (Centro
Nazionale per l’Informatica nella Pubblica Amministrazione).
La quantizzazione del rischio è basata su considerazioni soggettive unitamente
all’istituzione di una scala semiqualitativa che individuerà varie soglie di rischio. La scala
individuata prevede quattro indici di rischio:
Indice
Descrizione
Lieve
Con questa soglia viene individuato un rischio molto
basso che identifica una minaccia remota e comunque
rapidamente reversibile od ovviabile.
(L)
Medio
(M)
Grave o Gravissimo
(G)
Con questa soglia viene individuato un rischio
superiore al precedente identificante una minaccia
remota ma i cui effetti non sono totalmente o
parzialmente reversibili od ovviabili. In tale caso è già
consigliabile pensare ad accorgimenti per contenere il
rischio.
Con queste soglie viene individuato un rischio che è
sicuramente inaccettabile pensare di correre, pertanto
dovrà sicuramente essere attivato un insieme di
contromisure (di natura fisica, logica, organizzativa)
per abbattere il rischio e contenerlo a livelli accettabili.
5
Analisi dei rischi sui luoghi fisici
Elemento di
rischio
Accesso non
autorizzato ai
locali /
Sottrazione di
strumenti
contenenti dati
Livello
Rischio
Motivazione
Medio
Per accedere ai locali, durante l’orario di lavoro, è
necessario passare tramite una reception.
In orario non lavorativo, gli uffici sono tutti
rigorosamente chiusi a chiave.
La struttura non è dotata di sistema di allarme, non è
previsto un controllo notturno nella zona uffici da parte
di agenzie di vigilanza.
Allagamento
Lieve
Area non soggetta ad inondazioni o calamità di questo
tipo
Incendio
Lieve
I locali sono protetti attraverso sistemi antincendio, a
norma con il D.Lgs. 81/08
6
Analisi dei rischi sulle risorse hardware
Elemento di
rischio
Uso non
autorizzato
dell’hardware /
Manomissione –
Sabotaggio
Probabilità/
frequenza di
guasto
Intercettazione
delle
trasmissioni
Rischi connessi
a black-out
ripetuti o di
durata anomala,
o a sbalzi
eccessivi della
energia
elettrica
Supporti di
memorizzazione
: utilizzo
improprio e/o
malfunzioname
nti
Livello
Rischio
Media
Lieve
Lieve
Lieve
Lieve
Motivazione
L’utilizzo dell’hardware è soggetto all’uso di password:
in avvio viene richiesta l’autenticazione di utente di
dominio, con password complessa (10 caratteri, con
obbligo di utilizzo di caratteri numerici e speciali), la cui
modifica viene forzata a cadenza trimestrale.
Il Server è dislocato in un locale specifico, chiuso a
chiave, ed accessibile solamente agli Amministratori di
Sistema, ed all’operatrice che effettua la sostituzione
settimanale dei supporti di backup.
Il locale adibito a CED, è dotato di impianto di
condizionamento, ma non prevede sistemi di allarme,
né dispositivi di rilevamento fumo o incendio.
Alle risorse non accedono persone non autorizzate, e la
manutenzione è effettuata da tecnici di fiducia.
L’hardware acquistato è di qualità, storicamente non ha
mai dato problemi rilevanti ed è sempre soggetto a
controlli e manutenzione.
Normalmente è prevista la sostituzione periodica delle
postazioni client.
L’accesso ad internet è consentito tramite
autorizzazione su firewall: le regole sul firewall sono
gestite direttamente dagli Amministratori di Sistema.
Il server dispone di gruppo di continuità che forniscono
energia di buona qualità (stabilizzazione) e impedisce
l’improvvisa assenza di corrente elettrica.
La struttura dispone inoltre di un gruppo elettrogeno
che interviene in caso di interruzione della fornitura di
energia.
Al fine di ovviare al rischio che vengano perse copie di
dati o dati storici, si provvede ad effettuare in via
precauzionale più copie su supporti diversi (IOMega
Rev e Ultrium LTO), e conservati in luoghi fisici distinti:
non vengono utilizzati appositi contenitori (armadi,
cassette ignifughe, casseforti ignifughe)
E’ da tenere in considerazione anche la veloce
obsolescenza di apparati e sistemi di input/output, ed
anche le modalità con cui i dati sono memorizzati nei
supporti stessi, ovvero il programma utilizzato per
eseguire tale memorizzazione.
Qualora il programma utilizzato non fosse più
disponibile perché obsoleto, va fatta la conversione in
modo che i dati siano memorizzati in un formato
leggibile.
7
Analisi dei rischi sulle risorse dati
Elemento di
rischio
Accessi esterni
non autorizzati
/ Cancellazione
non autorizzata
o manomissione
di dati
Livello
Rischio
Lieve
Perdita di dati
lieve
Attacchi da
virus
Lieve
Intercettazione
di informazioni
in rete
Lieve
Motivazione
L’accesso alle risorse dati in formato elettronico
avviene solo tramite gli elaboratori protetti da
password.
All’archivio cartaceo possono accedere solo i diretti
incaricati che possiedono le chiavi degli armadi in cui
sono custoditi dati sensibili.
Tutti i dati residenti sul server vengono copiati due
volte alla settimana su IOMega Rev; una volta a
settimana (al venerdì) viene fatta una copia integrale
su supporto esterno Ultrium entrambi crittografati.
I supporti IOMega Rev rimangono nello stesso locale
del server: i supporti Ultrium vengono sostituiti al
lunedì e custoditi in un armadio presso gli uffici
ragioneria / economato.
Nessun supporto è riposto in cassetta o cassaforte
ignifuga. Tuttavia per ridurre il presente rischio, i
supporti di back up vengono custoditi in edifici
separati.
Tutta la rete è protetta da software antivirus
TrendMicro versione Server installato sul server e a
cascata sui client (OfficeScan) e da sistema firewall.
Firewall
8
Analisi dei rischi sulle risorse software
Elemento di
rischio
Accesso non
autorizzato alle
basi dati
connesse
Errori software
che minacciano
l’integrità dei
dati
Presenza di un
codice non
conforme alle
specifiche del
programma
Livello
Rischio
Lieve
Lieve
Lieve
Motivazione
I software CBA che trattano i dati controllano l’accesso
tramite una finestra di autenticazione (finestra di
Login), con obbligo di variazione della password di
accesso a cadenza trimestrale.
I software sono utilizzati da tempo e non hanno mai
causato la perdita o il danneggiamento dei dati trattati.
I programmi sono forniti da produttori che operano nel
settore con la massima serietà da molti anni.
Analisi dei rischi sulle risorse professionali
Elemento di
rischio
Errore
materiale
Carenza di
consapevolezza,
disattenzione,
incuria
Sottrazione di
credenziali di
autorizzazione
Livello
Rischio
Lieve
Lieve
Lieve
Motivazione
Gli incaricati sono stati edotti sulle procedure messe in
atto all’ interno dell’azienda relativamente al
trattamento dei dati personali
Gli incaricati sono stati edotti sulle procedure messe in
atto all’ interno dell’azienda relativamente al
trattamento dei dati personali
Le credenziali di autenticazione vengono cambiate dal
singolo utente su richiesta automatica, periodica del
sistema
9
Analisi Della Situazione Aziendale
Descrizione del sistema informatico aziendale
Il capitolo rappresenta gli elementi fondamentali del sistema informatico dell’ I.P.A.B.
"La Pieve", con particolare riguardo agli aspetti hardware e ai collegamenti esistenti
con le varie strutture aziendali.
In particolare è descritta l’architettura del sistema, individuandone gli elementi rilevanti
ai fini della sicurezza informatica.
L’I.P.A.B. “La Pieve” opera presso la sede centrale di Breganze (VI), in via Pieve 42,
su una rete aziendale così strutturata:
•
•
•
•
•
•
•
•
•
1 Server di dominio Windows Server, che opera come domain controller, file
server e mail server;
1 dispositivo NAS Western Digital WD Sharespace per il backup dei dati
posizionato lontano dalla sala server;
1 dispositivo di backup UltriumLto (200/400 GB) installato su server, per
copie settimanali su supporto estraibile;
1 Firewall, per il controllo sul traffico di rete;
1 Router, su linea ADSL (Interbusiness);
1 Router di proprietà dell’ULSS 4 Alto Vicentino, per la connessione di alcuni
Thin Client alla rete ospedaliera;
Circa 20 client collegati in rete alla sede principale (C.D.R.);
2 Client collegati in rete, via fibra ottica, dallo stabile esterno ove risiede la
Scuola dell’Infanzia ed il Nido;
3 Client collegati in rete, via fibra ottica, dallo stabile esterno ove opera il
centro diurno disabili. Solo uno dei tre client può accedere ai dati dell’Ente
(Dominio Microsoft) in quanto gli altri due sono usati dagli utenti per
navigazione e videoscrittura.
10
Misure minime di sicurezza
PROCEDURE OPERATIVE AL FINE DI GARANTIRE LA
PREDISPOSIZIONE DELLE MISURE DI SICUREZZA
PREVISTE DAL DISCIPLINARE TECNICO.
L’obiettivo della Politica di Sicurezza è di garantire il rispetto delle prescrizioni di
sicurezza e un livello minimo di protezione, attraverso l’adozione delle misure minime di
sicurezza, come da artt. 33-35 D.lgs 196/03, e Disciplinare tecnico (allegato B) sia un
livello idoneo di sicurezza come da art. 31 D.lgs 196/03, in relazione alle tipologie di
dati aziendali trattati, alle modalità di trattamento e agli strumenti utilizzati.
La Politica di Sicurezza si basa sull’adozione di misure di tipo fisico, logico e
organizzativo e che qui sono riportate in forma sintetica e gestite dalle procedure
aziendali inserite nel presente Documento Programmatico.
Comprende aspetti legati alla:
sicurezza fisica diretta a prevenire accessi fisici non autorizzati, danni o
interferenze con lo svolgimento dei servizi IT e a proteggere le apparecchiature
hardware da danni accidentali o intenzionali. Comprende, quindi, anche la sicurezza
degli impianti di alimentazione e di condizionamento, la manutenzione dell’hardware e
la protezione da manomissioni o furti;
sicurezza logica diretta alla protezione dell’informazione e di conseguenza di
dati, applicazioni, sistemi e reti;
sicurezza organizzativa diretta alla definizione di ruoli, compiti, responsabilità
e procedure per regolamentare gli aspetti organizzativi della Politica di Sicurezza.
11
Misure di sicurezza di tipo fisico adottate
Descrizione
misura
Custodia degli
archivi cartacei
Custodia dei
supporti
magnetici esterni
Note ed indicazioni per la corretta
applicazione
Tutti i documenti cartacei contenenti
dati personali sono conservati in armadi
chiusi a chiave o in uffici chiusi a chiave.
Gli incaricati potranno prelevare i
documenti necessari per il trattamento
per il
tempo necessario a tale
operazione dopo di che avranno il
compito di riporli nei luoghi preposti
alla loro conservazione. Sarà compito
dell’incaricato che preleva i documenti
garantire che questi ultimi siano
richiusi, sotto chiave, nel periodo di
temporanea assenza dal posto di lavoro.
Rischi
Contrastati
Misura
in
essere
Accesso
non
autorizzato
Furto di dati
I supporti ausiliari di memorizzazione Perdita di dati
(Ultrium, DVD o altro, contenenti
backup e backup image o copie che
consentono il restore delle macchine o
di database ) utilizzati per le attività di
backup o di salvataggio,
vengono
conservati all’interno di armadi, in locali
distinti da quello ove risiedono gli
elaboratori che contengono gli stessi
dati.
Le chiavi di accesso ai locali dove sono
riposti i supporti sono in possesso
solamente alle persone autorizzate.
Dispositivi
antincendio
I locali della sede sono dotati di estintori Incendio
per la soppressione dei focolai di
incendio.
Continuità
dell’alimentazione elettrica
I Server sono collegati ad un gruppo di Incendio
continuità
che
garantisce
una Allagamento
stabilizzazione
dell’energia
elettrica
Perdita dati
erogata. Tale gruppo, in conseguenza di
un’improvvisa
assenza
di
energia,
garantisce
un’autonomia
temporale
necessaria ad avviare le corrette
procedure
di
spegnimento
dell’elaboratore.
Verifica della
leggibilità dei
supporti di
backup
Verifica automatica del nastro dopo ogni Perdita dati
back up. Invio di email con report
12
Misura
da
adottare
Misure di sicurezza di tipo logico adottate
Descrizione misura
Codice di identificazione
personale e parola
chiave riservata
Note ed indicazioni per la corretta
applicazione
Rischi
Contrastati
Le parole chiave assegnate inizialmente
dal Responsabile misure di sicurezza,
sono state cambiate al primo accesso
degli incaricati. Tali parole chiave
dovranno essere tenute segrete e
modificate periodicamente ogni tre o sei
mesi (in base alla presenza o meno di
dati sensibili).
Uso non
autorizzato
dell’hardware
Accessi non
consentiti alle
basi dati
connesse
Misura
in
essere
Manomissione
Sabotaggio
I client e i server sono stati protetti con
programma antivirus.
Si provvede all’aggiornamento dei
sistemi operativi, del software di
database e del software applicativo,
Predisposizione
compatibilmente con la verifica e la
aggiornamento software
certezza che il nuovo software appena
rilasciato non crei nuovi problemi o
blocchi al sistema informatico attuale,
del quale va garantito il funzionamento
(disponibilità).
Perdita di dati
Attacchi da
virus
Le linee di comunicazione verso Internet
sono protette mediante firewall,
utilizzando le seguenti politiche di
Perdita di dati
sicurezza:
Sistemi di Protezione
della rete
•
•
è negato tutto ciò che non è
esplicitamente ammesso;
in caso di caduta o guasto del
firewall, qualora non si attivi un
firewall di backup, tutte le
comunicazioni vengono bloccate.
Intercettazione
di informazioni
in rete
Attacchi
esterni
Sono stati individuati gli archivi dei quali
effettuare il backup periodico in base
alla loro importanza e criticità, alla
Definizione delle
modalità di esecuzione e frequenza di aggiornamento e alla
possibilità di ricostruire i dati in base
frequenza per
Perdita di dati
agli archivi cartacei custoditi per
l’effettuazione di
assicurarne l’integrità.
salvataggio di copie di
dati e programmi
E’ stato centralizzato il sistema di
backup: periodicamente vengono riviste
le politiche di backup.
13
Misura
da
adottare
Descrizione misura
Registrazione
accessi(LOG)
Note ed indicazioni per la corretta
applicazione
Rischi
Contrastati
Devono essere adottati sistemi idonei
alla registrazione degli accessi logici
(autenticazione informatica) ai sistemi
di elaborazione e agli archivi elettronici
da parte degli amministratori di sistema.
Le registrazioni (access log) devono
avere caratteristiche di completezza,
inalterabilità e possibilità di verifica della
loro integrità adeguate al
raggiungimento dello scopo di verifica
per cui sono richieste.
Uso non
autorizzato
dell’hardware
14
Accessi non
consentiti alle
basi dati
connesse
Manomissione
Sabotaggio
Misura
in
essere
Misura
da
adottare
Misure di sicurezza di tipo organizzativo adottate
Descrizione
misura
Note ed indicazioni per la corretta
applicazione
Sulla base dell’analisi dei rischi è stato
redatto il presente Documento
Analisi dei rischi e Programmatico sulla Sicurezza.
Documento
Programmatico
sulla Sicurezza
Rischi
Contrastati
Misura
in
essere
Errore
materiale
Carenza di
consapevolezza
, disattenzione,
incuria
Perdita di dati
Piano di
formazione degli
incaricati
Identificazione
degli incaricati
preposti alle
attività di
accertamento
È stato predisposto un piano di
formazione degli incaricati.
Sono stati individuati e nominati per
iscritto gli incaricati preposti al
trattamento.
Carenza di
consapevolezza,
disattenzione,
incuria
Sottrazione di
credenziali di
Agli incaricati, congiuntamente alla
lettera di nomina, sono state indicate le autorizzazione
Perdita di dati
norme operative e di sicurezza a cui
attenersi alla luce delle novità introdotte
dal nuovo Testo unico sulla privacy.
Indicazione del
custode delle
copie delle
credenziali di
autenticazione.
Il Responsabile del trattamento dei dati
custodisce in cassaforte le credenziali di
autenticazione di accesso ad ogni
apparato con profilo di amministratore
Sottrazione
credenziali di
autorizzazione
Errore
materiale
Indicazione del
Responsabile
misure di
sicurezza
Il Responsabile delle misure di sicurezza
coincide con il Responsabile del
trattamento. Sarà compito del
Responsabile delle misure di sicurezza
segnalare, direttamente o per mezzo di
figura delegata, agli Amministratori di
sistema attivazione e disattivazione
delle credenziali di accesso.
Clausola di
“conformità”
Il modello di clausola di conformità alle
misure di sicurezza è stato consegnato
agli amministratori di sistema e
all’azienda che collabora nella gestione
dei sistemi informativi.
Entrambi con tale modello dichiareranno
che gli interventi effettuati sono
conformi alle disposizioni dello stesso
codice.
15
Perdita di dati
Carenza di
consapevolezza,
disattenzione,
incuria
Perdita di dati
Perdita di dati
Errore
materiale
Misura
da
adottare
Descrizione
misura
Piano di recupero
(dopo un
incidente).
Custodia dei
documenti
cartacei
Note ed indicazioni per la corretta
applicazione
Rischi
Contrastati
Misura
in
essere
Va predisposto un piano il quale indichi,
per il server e gli apparati principali
dell’Azienda, come comportarsi per un
corretto ripristino in caso di problemi o
incidenti che coinvolgano il sistema
informatico.
Perdita di dati
Carenza di
consapevolezza,
disattenzione,
incuria
I punti fondamentali della procedura
sono descritti in un piano di disaster
recovery a cura degli Amministratori di
sistema.
Quando gli atti e i documenti contenenti
dati personali sensibili o giudiziari sono
affidati agli incaricati del trattamento
per lo svolgimento dei relativi compiti, i
medesimi atti o documenti sono
custoditi dagli incaricati in modo che ad
essi non accedano persone prive di
autorizzazione.
L’accesso agli archivi contenenti dati
sensibili o giudiziari va controllato; le
persone che vi accedono sono
preventivamente autorizzate.
16
Misura
da
adottare
Autorizzazione accessi informatici
SCOPO
Lo scopo della procedura, art 34 D.Lgs 196/03, è quello di adottare un sistema di
autorizzazione inteso come un insieme di strumenti e modalità che abilitano l’accesso ai
dati e alle modalità di trattamento degli stessi, in funzione del profilo di autorizzazione
del richiedente. Tale procedura ha quindi lo scopo di provvedere a quali aree o dati
l’utente può accedere e una volta entrato quali azioni può compiere.
La finalità della procedura è quindi di definire modalità che consentano l’accesso agli
strumenti elettronici solo a chi è autorizzato. Con tale procedura si verifica l’identità
dell’utente abilitato al trattamento dei dati e si individuano delle procedure di gestione
delle credenziali di autenticazione. Le credenziali di autenticazione consistono in un
codice per l’identificazione dell’incaricato associato ad una parola chiave riservata
conosciuta solamente dal medesimo.
CAMPO DI APPLICAZIONE
Questa procedura, che concerne il sistema informatico aziendale, si applica a tutte le
aree aziendali e per tutti i sistemi contenenti archivi dati (sia in rete sia stand-alone)
dell’ I.P.A.B. “La Pieve”.
I profili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati sono
individuati e configurati anteriormente all’inizio del trattamento, in modo da limitare
l’accesso ai solo dati necessari per effettuare le operazioni di trattamento.
RESPONSABILITÀ
La password è scelta e tenuta celata da ciascun utente.
Si ricorda che la password è personale e segreta.
La password deve avere una lunghezza minima pari almeno a otto caratteri e deve
inoltre rispettare una serie determinati requisiti: 1) non deve contenere riferimenti
riconducibili allo stesso incaricato (ad esempio nome, data di nascita, ecc.). E’
consigliabile che ogni password contenga dati sia alfabetici che numerici; 2) Essere
impostata dall’incaricato al primo utilizzo, essere mantenuta segreta e cambiata dallo
stesso incaricato ogni sei mesi, ridotti a tre mesi nel caso che si trattano dati sensibili e
giudiziari.
Non deve, inoltre, essere divulgata; nel caso in cui si abbia il sospetto che qualcuno
possa esserne venuto a conoscenza è obbligatorio darne comunicazione al Preposto alla
Custodia delle copie delle credenziali e farla cambiare immediatamente (Nella fattispecie
è stato affidato al responsabile delle misure di sicurezza il ruolo di custode delle copie
delle credenziali).
Periodicamente e almeno annualmente si deve verificare la sussistenza delle condizioni
per la conservazione dei profili di autorizzazione.
RIFERIMENTI
DECRETO LEGISLATIVO 30 giugno 2003, n.196 Codice in materia di protezione dei dati
personali
• Art.33 (misure minime)
• Art. 34 (Trattamenti con strumenti elettronici)
17
DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA
(Artt. da 33 a 36 del codice)
Trattamenti con strumenti elettronici
CONTENUTO
Procedure di accesso
Il sistema presenta un “prompt” di accesso che richiede e verifica la password
unitamente allo “User ID”, necessario per l’identificazione dell’utente e del profilo
informatico (accesso, consultazione, possibilità di modifica dei dati degli archivi).
Per accedere alla rete aziendale è necessario avere:
•
Uno USER ID (assegnato dal Responsabile delle misure di sicurezza);
•
Una PASSWORD (privata e segreta).
Gestione user id
Creazione
Ogni Referente di area, al momento dell’inserimento di nuovo incaricato nella propria
struttura o al momento di cambio di mansione del personale già presente, è tenuto a
comunicare al Responsabile delle misure di sicurezza il nuovo profilo utente o la
modifica di quello esistente.
E’ infatti onere del Responsabile delle misure di sicurezza fissare i profili utente nel
sistema informatico, anche in base alle indicazioni e disposizioni fornite dal Titolare del
trattamento.
Disattivazione User ID
Lo User ID è disattivato e reso inutilizzabile dal Responsabile delle misure di sicurezza in
caso si verifichino le seguenti condizioni:
•
inutilizzo dello stesso User ID per un periodo superiore a sei mesi;
•
uscita dall’Azienda del dipendente.
Password
La password, personale e segreta, non deve essere divulgata e nel caso in cui si abbia il
sospetto che qualcuno possa esserne venuto a conoscenza, è obbligatorio cambiarla
immediatamente.
La lunghezza minima della password deve essere di almeno otto caratteri, salvo l’ipotesi
che gli strumenti non consentano una tale lunghezza per limiti del sistema. Non può,
inoltre, essere riproposta una password già utilizzata in precedenza. La password ha
una durata di massimo tre/sei mesi a seconda della tipologia di dati trattati allo scadere
dei quali dovrà essere ridefinita e reimpostata dall’utente.
Per la definizione della password si tengano presenti i seguenti suggerimenti:
-
no riferimenti personali (nome, cognome, data di nascita ecc)
-
no solo lettere
18
Password per l’accesso al dominio e all’utilizzo delle risorse di rete
(credenziali di autenticazione ed autorizzazione)
Per poter accedere alla rete ed utilizzare i vari applicativi e/o risorse gli incaricati
possono disporre delle seguenti password:
a)
password di rete (utente in dominio, per accedere alle risorse in rete);
b)
password di accesso ai vari software applicativi;
c)
password per accedere via VPN alla rete aziendale;
d)
password per accedere alla posta elettronica.
Rilascio di una nuova password
Nel caso in cui un utente abbia dimenticato la password può richiederne la
disabilitazione al Responsabile delle misure di sicurezza. Tale procedura potrà essere
autorizzata anche qualora vi sia la documentata necessità di accedere al sistema tramite
la user ID dell’utente momentaneamente impossibilitato a farlo personalmente.
Dopo aver violato l’accesso disabilitando la password dell’utente, l’utente dovrà al più
presto ridefinirne una nuova.
19
Gestione antivirus e Gestione programmi
informatici aventi per scopo o per effetto il
danneggiamento di un sistema informatico
o telematico
SCOPO
Scopo di questa procedura é garantire la gestione e l’aggiornamento di dotazioni
protettive contro il rischio di intrusione ad opera di programmi di cui all’art.615quinquies del codice penale come previsto dall’art.34 del D.Lgs. 196/03 e dal punto 1617 del Disciplinare tecnico.
CAMPO DI APPLICAZIONE
Questa procedura, che concerne il sistema informatico aziendale, si applica a tutte le
aree organizzative dell’ I.P.A.B. “La Pieve”.
RESPONSABILITÀ
Il Titolare del trattamento predispone i mezzi necessari per l’installazione e il periodico
aggiornamento dell’apposito programma antivirus. È compito degli Amministratori di
sistema provvedere all’aggiornamento e al monitoraggio degli appositi programmi
antivirus. Per quanto riguarda la difesa da programmi informatici che hanno come scopo
o per effetto il danneggiamento o un cattivo funzionamento di un sistema informatico o
telematico è compito degli Amministratori di sistema, nell’ambito di un test generale di
verifica di corretto funzionamento del sistema, aggiornare periodicamente tali
programmi. Tale test viene effettuato almeno ogni sei mesi.
RIFERIMENTI
DECRETO LEGISLATIVO 30 giugno 2003, n.196 Codice in materia di protezione dei dati
personali
Art.33 (misure minime)
Art. 34 (Trattamenti con strumenti elettronici)
DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA
(Artt. da 33 a 36 del codice)
Trattamenti con strumenti elettronici
CONTENUTO
L’intera rete aziendale è monitorata da apposito software Antivirus installato sul server
e a cascata sui client.
AGGIORNAMENTO ANTIVIRUS.
L’aggiornamento del software antivirus è automatico e quotidiano.
Gli Amministratori di sistema:
-
aggiornano il software antivirus rendendo disponibile l’ultima versione.
20
SCANSIONE ANTIVIRUS.
Dati in rete.
Automaticamente, tutti i dati registrati nelle memorie di massa in rete sono sottoposti al
controllo antivirus.
Dati in locale.
I dati salvati sul disco fisso di ogni PC aziendale, sono sottoposti a controllo antivirus
quotidianamente. L’attivazione del controllo è pianificata ed eseguita automaticamente
da un apposito programma quando il PC è acceso.
Se il controllo antivirus non risolve il problema o non evidenzia alcuna anomalia è
necessario rivolgersi agli Amministratori di Sistema.
Non è consentito all’utente di disattivare il programma antivirus.
Tale operazione è consentita ai soli Amministratori di sistema.
File di origine esterna.
I file di origine esterna, vengono controllati automaticamente dal programma antivirus
installato nei singoli P.C.
21
Gestione backup e Disaster
Recovery
SCOPO
Lo scopo della procedura è definire le modalità e la frequenza di esecuzione delle copie
di salvataggio dei dati e/o dei programmi residenti negli elaboratori strumentali
all’attività aziendale.
L’utilizzo di tali copie è previsto nel caso di danneggiamento o perdita dei dati
memorizzati su disco ed avviene attraverso procedure di ripristino e disaster-recovery.
CAMPO DI APPLICAZIONE
Questa procedura, che concerne il sistema informatico aziendale, si applica a tutti i dati
contenuti negli elaboratori e nei supporti di memoria di massa della rete aziendale dell’
I.P.A.B. “La Pieve”.
La procedura di salvataggio, che può essere schedulata ed effettuata automaticamente,
viene applicata a tutti gli archivi e programmi ritenuti critici dall’Azienda
indipendentemente dal sistema sul quale sono inclusi (vedi censimento archivi).
RESPONSABILITÀ
Responsabile delle attività di “backup” è il Responsabile misure di sicurezza e/o
eventuali incaricati precedentemente individuati.
RIFERIMENTI
DECRETO LEGISLATIVO 30 giugno 2003, n.196 Codice in materia di protezione dei dati
personali
•
Art.31
•
Art. 34
DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA
(Artt. da 33 a 36 del codice)
Trattamenti con strumenti elettronici
22
MODALITA’
INCARICATO
DI
SALVATAGGIO
&
PERSONALE
Salvataggio
Database Dati sensibili o
/
giudiziari
Server
contenuti
Criteri individuati per il salvataggio
Ubicazione di Struttura operativa
conservazione
incaricata del
delle copie
salvataggio
Periodico
I dati residenti sul server vengono salvati
indicativamente due volte a settimana su
unità NAS WD Sharespace.
La copia dei dati è crittografata.
CED
Amministratore di
Sistema
Settimanale
Diversi
(CBA
Documenti
office)
Si / No
Una volta alla settimana un ulteriore
salvataggio viene effettuato su Ultrium
LTO 200/400: il backup è automatico, ed
al termine viene inviato tramite email, il
log delle operazioni svolte
all’Amministratore di Sistema
.
Uff.
I supporti a disposizione sono 5, utilizzati
Ragioneria /
a rotazione, garantendo pertanto una
Economato
profondità di recupero pari a 5 settimane.
Il supporto utilizzato nel fine settimana
viene sostituito al lunedì mattina,
inserendovi quello da utilizzare nel fine
settimana successivo.
I supporti non utilizzati sono in armadio
chiuso a chiave presso l’ufficio ragioneria /
economato.
Amministratore di
Sistema
DISASTER RECOVERY
Tutti i dati personali sono custoditi sul server SRV1.
Nel caso di perdita dei soli dati, è possibile procedere come
segue:
Ripristinare i dati dal backup disponibile su nas \\nas1\bk. Le password per l'accesso
alla condivisione e la chiave di crittografazione sono custodite in cassaforte. Gli archivi
sono creati con il software “Acronis TrueImage Server”
oppure (in alternativa)
Ripristinare i dati dalle cassete LTO ULTRIUM, che sono create con il software di backup
“Acronis trueimage server” installato su SRV1. Attenzione che il backup su LTO è
eseguito di domenica: è consigliabile quindi recuperare i dati dal nas dove sono
aggiornate più frequentemente.
Nel caso di perdita di dati e sistema operativo di SRV1
Sia i backup su NAS che quelli su cassette LTO ULTRIIM sono una immagine completa
dei dischi del server eseguita con Acronis True Image. E' quindi possibile recuperare
completamente il sistema operativo e dati da tale immagine usando l'opportuno CD di
boot di Acronis Trueimage Server.
23
Procedura gestione Firewall
GENERALITÀ
Il costo accessibile della connessioni Internet e la relativa efficienza delle tecnologie di
comunicazione stanno cambiando il modo di lavorare.
Internet espone il sistema a tutta una nuova gamma di rischi potenziali contro i quali è
essenziale predisporre misure di sicurezza di maggiore efficacia come i Firewall.
SCOPO E CAMPO DI APPLICAZIONE
Lo scopo della procedura è definire responsabilità e modalità operative per assicurare il
corretto funzionamento del Firewall.
La procedura si applica per la sicurezza dei dati personali memorizzati sulla rete
informatica aziendale dell’ I.P.A.B. “La Pieve”.
La connessione ad internet è garantita da accesso su linea ADSL, tramite un firewall che
gestisce gli accessi tenendo traccia dei contatti.
La gestione delle regole di sicurezza, del settaggio e della verifica del corretto
funzionamento del sistema sono gestite internamente dagli Amministratori di Sistema.
RIFERIMENTI LEGISLATIVI
DECRETO LEGISLATIVO 30 giugno 2003, n.196 Codice in materia di protezione dei dati
personali
•
Art. 34 (Trattamenti con strumenti elettronici)
DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA
•
(Artt. da 33 a 36 del codice)
Trattamenti con strumenti elettronici
MODALITÀ OPERATIVE
Il Firewall (muro taglia-fuoco) è un sistema che, interposto tra la rete interna aziendale
e l’esterno, si occupa di realizzare la politica di sicurezza e, controllando
opportunamente i diritti di accesso, permette di limitare la bi-direzionalità del traffico
informatico.
Il Firewall controlla tutto ciò che entra o esce dalla rete a cui è abbinato usando una
tecnica di ispezione denominata stateful inspection. Essa consiste nel comparare tutti i
dati in transito con i profili di sicurezza predefiniti per garantire il fatto che tutto ciò che
transita attraverso i Firewall sia autorizzato.
Il sistema consente di resistere agli attacchi di esterni che cercano di penetrare di
nascosto la rete aziendale, e fornisce un accesso remoto sicuro anche agli utenti
aziendali che lavorano all’esterno dell’Azienda.
24
CONTROLLI
Il Firewall consente di eseguire le seguenti attività sul traffico informatico:
Bloccare tutti i tentativi di perseguire un’azione che non è abilitata dalla policy del
Sistema Informativo dell’Azienda;
Registrare eventi sospetti.
NORME DI SICUREZZA
Al fine di garantire la sicurezza, gli utenti incaricati del trattamento di dati personali
comuni o sensibili, non devono fornire informazioni a persone sconosciute specialmente
per telefono. Richieste di dati potranno essere valutate ed esaudite solamente se
pervenute in forma scritta.
25
Dati personali trattati all’esterno
dell’organizzazione
GENERALITÀ
In questa procedura viene fatto un quadro sintetico delle attività affidate a terzi che
comportano il trattamento di dati, con l’indicazione sintetica del contesto giuridico o
contrattuale (organizzativo e tecnico) in cui tale trasferimento si inserisce, in riferimento
agli impegni assunti, anche all’esterno, per garantire la protezione dei dati stessi.
SCOPO E CAMPO DI APPLICAZIONE
Lo scopo della procedura è individuare la tipologia di dati personali trasferiti all’esterno,
i soggetti a cui vengono trasferiti i dati ed i criteri adottati dal Titolare per un adeguato
trattamento.
RIFERIMENTI LEGISLATIVI
Punto 19.7 DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA
(Allegato B al D.lgs. 196/03)
SOGGETTI ESTERNI E ATTIVITA’ ESTERNALIZZATE
Di seguito sono riportate indicativamente le attività effettuate all’esterno, che
comportano trattamenti di dati personali, con l’indicazione dei soggetti a cui vengono
trasferiti i dati
Descrizione attività esterna
Tipo di dati
Assistenza Legale per contenziosi
e recupero crediti.
Medicina del lavoro
CRITERI DI GARANZIA DI ADEGUATO TRATTAMENTO
Criteri di garanzia adottati dal Titolare per un adeguato trattamento di dati effettuati da
soggetti esterni
Soggetto e attività
esternalizzate
Assistenza Legale per contenziosi
Medicina del lavoro
Descrizione criteri di garanzia di
adeguato trattamento
Nomina a responsabile esterno del
trattamento dati.
Titolare autonomo nel trattamento dei
dati.
26
Note
AMMINISTRATORI DI SISTEMA
L’ Ente si avvale delle funzioni di Amministratore di Sistema così articolate:
1) nomina Amministratore di Sistema con le seguenti funzioni:
a) gestire il sistema informatico, nel quale risiedono le banche dati personali, in
osservanza al Disciplinare tecnico allegato al Codice della privacy (D.lgs. 30 giugno
2003 n. 196) e sue successive modifiche ed aggiornamenti, attenendosi anche alle
disposizioni del Titolare e/o del Responsabile in tema di sicurezza;
b) predisporre ed aggiornare un sistema di sicurezza informatico idoneo a rispettare le
prescrizioni dell’art. 31 e seguenti del D.lgs. n. 196/2003, adeguandolo anche alle
eventuali future norme in materia di sicurezza. Più specificatamente, in base al sopra
citato vigente Disciplinare tecnico, fatte salve le successive integrazioni dello stesso,
l’Amministratore di sistema dovrà:
• assegnare e gestire il sistema di autenticazione informatica secondo le modalità
indicate nel Disciplinare tecnico e quindi, fra le altre, generare, sostituire ed
invalidare, in relazione agli strumenti ed alle applicazioni informatiche utilizzate, le
parole chiave ed i Codici identificativi personali da assegnare agli incaricati del
trattamento dati, svolgendo anche la funzione di custode delle copie delle credenziali;
• procedere, più in particolare, alla disattivazione dei Codici identificativi personali, in
caso di perdita della qualità che consentiva all’utente o incaricato l’accesso
all’elaboratore, oppure nel caso di mancato utilizzo dei Codici identificativi personali
per oltre 6 (sei) mesi dietro specifica richiesta del Responsabile trattamento dati
dell’Ente (come da DPS approvato con delibera del Cda n. 22 del 26.03.2009);
• adottare adeguati programmi antivirus, firewall ed altri strumenti software o
hardware atti a garantire la massima misura di sicurezza nel rispetto di quanto
dettato dal Dlgs.196/2003 ed utilizzando le conoscenze acquisite in base al progresso
tecnico software e hardware, verificandone l’installazione, l’aggiornamento ed il
funzionamento degli stessi in conformità allo stesso Disciplinare tecnico;
• adottare tutti i provvedimenti necessari ad evitare la perdita o la distruzione, anche
solo accidentale, dei dati personali. L’Amministratore di sistema dovrà anche
assicurarsi della qualità delle copie di back-up dei dati e della loro conservazione in
luogo adatto e sicuro;
• indicare al personale competente o provvedere direttamente alla distruzione e
smaltimento dei supporti informatici di memorizzazione logica o alla cancellazione dei
dati per il loro reimpiego, alla luce del Provvedimento del Garante per la Protezione
dei Dati personali del 13 ottobre 2008 in materia di smaltimento strumenti elettronici;
• cooperare nella predisposizione del documento programmatico sulla sicurezza per la
parte concernente il sistema informatico ed il trattamento informatico dei dati;
• verificare, su specifica richiesta dell’Ente, sugli interventi informatici esterni diretti
al sistema informativo dell’IPAB;
• predisporre ed implementare le eventuali ulteriori misure minime di sicurezza
imposte dal Disciplinare tecnico per il trattamento informatico dei dati sensibili e per
la conseguente tutela degli strumenti elettronici;
c) coordinare assieme al Titolare e/o al Responsabile, le attività operative degli
incaricati del trattamento nello svolgimento delle mansioni loro affidate per garantire un
corretto, lecito e sicuro trattamento dei dati personali nell’ambito del sistema
informatico;
d) collaborare con il Titolare e/o con il Responsabile, per l’attuazione delle prescrizioni
impartite dal Garante;
e) comunicare prontamente al Titolare e/o al Responsabile, qualsiasi situazione di cui
sia venuto a conoscenza che possa compromettere il corretto trattamento informatico
dei dati personali;
f) verificare il rispetto delle norme sulla tutela del diritto d’autore sui programmi di
elaboratore installati nei pc. presenti nell’unità produttiva e segnalare eventuali non
conformità alla Direzione.
27
Per l’espletamento dell’incarico, vengono assegnate all’Amministratore di sistema le
credenziali di autenticazione che gli permettono l’accessibilità al sistema per lo
svolgimento delle funzioni assegnate. I log della sua attività di accesso al sistema svolta
nell’espletamento dell’incarico verranno conservati per almeno 6 (sei) mesi.
Vengono inoltre assegnati all’Amministratore di sistema i necessari poteri e supporti
economici ed organizzativi per l’adeguamento di tutte le misure minime di sicurezza,
come previsto dalle vigenti disposizioni in materia di sicurezza del trattamento dei dati.
L’Ipab provvederà, con cadenza almeno annuale, a svolgere le dovute verifiche sulle
attività compiute dall’Amministratore di sistema. È obbligo di quest’ultimo prestare
all’Ipab la sua piena collaborazione per il compimento delle verifiche stesse; in ogni
caso, è tenuto a predisporre, con cadenza annuale, una relazione scritta delle attività
svolte in esecuzione delle incombenze affidatigli.
2) nomina Amministratore di Sistema con le seguenti funzioni:
-
creazione/abilitazione/cancellazione utenti e gestione credenziali di accesso;
impostazione diritti utente sulle cartelle condivise;
gestione utenti e credenziali di accesso anche su software Sipcar;
assegnazione e controllo caselle di posta elettronica.
Per l’espletamento dell’incarico, vengono assegnate all’Amministratore di sistema le
credenziali di autenticazione che gli permettono l’accessibilità al sistema per lo
svolgimento delle funzioni assegnate. I log della sua attività di accesso al sistema svolta
nell’espletamento dell’incarico verranno conservati per almeno 6 (sei) mesi.
Vengono inoltre assegnati all’Amministratore di sistema i necessari poteri e supporti
economici ed organizzativi per l’adeguamento di tutte le misure minime di sicurezza,
come previsto dalle vigenti disposizioni in materia di sicurezza del trattamento dei dati.
28