Documento Programmatico sulla Sicurezza
annuncio pubblicitario
DOCUMENTO PROGRAMMATICO SULLA SICUREZZA Rev. 2 del 21/03/2007 Pagina 1 di 1 Documento Programmatico sulla Sicurezza Decreto Legislativo 196/2003 DOCUMENTO PROGRAMMATICO SULLA SICUREZZA Indice INDICE Rev 2 del 21/03/2007 Pagina 1 di 1 INDICE 01 PRESENTAZIONE DEL DOCUMENTO PROGRAMMATICO SULLA SICUREZZA 02 ELENCO DEI TRATTAMENTI E RIPARTIZIONE DEI COMPITI E DELLE RESPONSABILITA’ 03 ANALISI E VALUTAZIONE DEI RISCHI 04 LE MISURE DI PREVENZIONE E PROTEZIONE DEGLI STRUMENTI ELETTRONICI E DEI DATI PERSONALI 05 LINEE GUIDA PER IL RIPRISTINO DEI DATI 06 FORMAZIONE DEGLI INCARICATI 07 CRITERI PER LA SICUREZZA DEI DATI IN CASO DI AFFIDAMENTO DEI TRATTAMENTI ALL’ESTERNO DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 01 Rev. 2 del 21/03/2007 Presentazione del Documento Programmatico sulla Sicurezza Pagina 1 di 3 PRESENTAZIONE DEL DOCUMENTO PROGRAMMATICO SULLA SICUREZZA (DPS) 01.01 SCOPO 01.02 STRUTTURA DEL SICUREZZA (DPS) 01.03 PRINCIPI GENERALI 01.04 RESPONSABILITÀ ALLEGATI DOCUMENTO PROGRAMMATICO SULLA DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 01 Rev. 2 del 21/03/2007 Presentazione del Documento Programmatico sulla Sicurezza Pagina 2 di 3 01.01. Scopo Il presente Documento (costituente il Documento Programmatico sulla Sicurezza per brevità denominato DPS) è stato redatto dall’ERSU di Camerino, in qualità di titolare del trattamento dei dati personali, come entità nel suo complesso, ai sensi dell’art. 28 del D. Lgs. 30 giugno 2003, n. 196 (codice della privacy). Il DPS, redatto in base a quanto previsto dall’allegato B del codice della privacy, coinvolgendo i responsabili degli Uffici e delle Aree di Posizione Organizzative, ha lo scopo di descrivere le modalità di trattamento dei dati effettuati utilizzando strumenti elettronici, favorendo l’analisi e la valutazione delle minacce, che possono interessare il sistema informativo automatizzato dell’ente, al fine dell’adozione delle misure minime e idonee di sicurezza. 01.02. Struttura del Documento Programmatico sulla Sicurezza (DPS) Il presente documento è strutturato in sezioni, al fine di consentire una gestione flessibile e dinamica del documento medesimo e di favorire un agevole aggiornamento. In particolare, la revisione e l’aggiornamento del DPS devono avvenire con cadenza almeno annuale e ogni qualvolta sia necessario, a seguito di revisioni organizzative, ovvero dell’introduzione di nuove procedure o di innovazioni di natura tecnologica. L’aggiornamento deve avvenire entro il 31 marzo di ciascun anno e si ha l’obbligo di riferirne nella relazione accompagnatoria del bilancio di esercizio (come previsto dal punto 26 dell’allegato B del codice privacy). Il DPS è, altresì, corredato da allegati tecnici (che sono individuati dalla sigla AL seguita da una coppia di numeri separati da un punto – ad es. AL01.01): • la prima coppia di numeri indica la sezione di riferimento del documento; • la seconda coppia indica il numero d’ordine progressivo dell’allegato. Ad esempio il documento AL01.02 individua l’allegato numero 02 riferito alla sezione 01. 01.03. Principi generali Il presente documento sulla sicurezza si basa sui seguenti principi generali: • tutte le informazioni (dati, documenti, archivi, …) devono essere protette e mantenute; • • • • • • DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 01 Rev. 2 del 21/03/2007 Presentazione del Documento Programmatico sulla Sicurezza Pagina 3 di 3 per la riservatezza dei contenuti scambiati, la sicurezza deve essere garantita anche a livello delle reti di comunicazioni dati; tutte le operazioni di trattamento dei dati che sono effettuate utilizzando strumenti connessi alla rete di comunicazione elettronica dell’ente devono essere oggetto di tracciabilità, garantendo ove possibile il non ripudio delle operazioni svolte, utilizzando a tal fine un sistema di autenticazione informatica, che può basarsi anche sull’utilizzo di certificati di firma elettronica sicuri; devono essere predisposte adeguate misure di sicurezza per l’accesso ai locali che ospitano i server e le postazioni di lavoro, favorendo una localizzazione e ubicazione in unico luogo o in luoghi collegati, al fine di consentire una migliore gestione degli strumenti e della sicurezza attiva e passiva; ogni eventuale incidente o evento straordinario, che possa pregiudicare la sicurezza, deve essere oggetto di analisi e di rapporto scritto; tutti i progetti di nuove applicazioni/servizi, che sono di natura trasversale e interessano il sistema informativo automatizzato dell’Ente, devono essere valutati dall’Area CED, e inseriti nel presente documento; tutte le modifiche, eventualmente apportate ai processi organizzativi, devono essere inserite nel presente DPS. 01.04. Responsabilità L’Area CED deve procedere all’attuazione del DPS. Con cadenza annuale i Responsabili degli Uffici e delle Aree di Posizione Organizzative e del Responsabile del CED, ciascuno per quanto di propria competenza devono procedere alla rinnovazione dell’attività di monitoraggio secondo quanto previsto nelle sezioni 2, 3, 4 e 5 del presente DPS. Le risultanze dell’attività sopra indicate, approvate con determinazione del Direttore, costituiranno l’aggiornamento delle sezioni e degli allegati del DPS. ALLEGATI AL01.01 – Elenco degli allegati al DPS AL01.02 – Allegato B al D.Lgs. 196/2003 (codice privacy) – Disciplinare tecnico in materia di misure minime di sicurezza DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 02 Rev. 2 del 21/03/2007 Elenco dei trattamenti e ripartizione dei compiti e delle responsabilità Pagina 1 di 4 ELENCO DEI TRATTAMENTI E RIPARTIZIONE DEI COMPITI E DELLE RESPONSABILITÀ 02.01 SCOPO 02.02 NOMINA DEI RESPONSABILI DEL TRATTAMENTO 02.03 ELENCO DEI TRATTAMENTI DEI DATI PERSONALI 02.04 RIPARTIZIONE DEI COMPITI E DELLE RESPONSABILITÀ ALLEGATI DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 02 Rev. 2 del 21/03/2007 Elenco dei trattamenti e ripartizione dei compiti e delle responsabilità Pagina 2 di 4 02.01. Scopo Scopo della presente sezione è definire le modalità operative per consentire all’Area CED e ai responsabili del trattamento di procedere all’attività di monitoraggio, al fine di redigere l’elenco dei trattamenti e di determinare il relativo ambito, per l’individuazione degli incaricati. Inoltre, vengono definiti in modo analitico i compiti da assegnare ai responsabili del trattamento e le relative istruzioni scritte da impartite agli incaricati. 02.02. Nomina dei responsabili del trattamento I responsabili degli Uffici e delle Aree di Posizione Organizzative dell’ERSU di Camerino, indicati nell’allegato “Organigramma dell’ERSU di Camerino” (AL02.01), considerata l’esperienza, la capacità e l’affidabilità, sono nominati, ai sensi dell’art. 29, comma 2 del codice privacy, responsabili del trattamento. Ai responsabili del trattamento sono assegnati i compiti analiticamente specificati, ai sensi del comma 4 dell’articolo 29 del codice privacy, riportati nel manuale della privacy (allegato al presente DPS - AL02.04). 02.03. Elenco dei trattamenti dei dati personali Il punto 19.1 dell’allegato B al codice della privacy (riportato in allegato al presente DPS – AL01.02) richiede che nel DPS debba essere riportato l’elenco dei trattamenti, al fine di procedere all’analisi dei rischi e all’adozione delle misure di sicurezza e di protezione. Per la redazione del predetto elenco dei trattamenti, l’Area CED ha predisposto una scheda per il monitoraggio, con relative istruzioni e linee guida per la corretta compilazione, il cui modello è riportato in allegato (AL02.02), che è stata inviata ai responsabili del trattamento. Le risultanze dell’attività svolta sono riportate in allegato al presente DPS (AL02.03), che costituisce l’elenco completo dei trattamenti, da utilizzare anche come determinazione dell’ambito dei trattamenti, al fine delle individuazione degli incaricati da parte dei responsabili del trattamento. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 02 Rev. 2 del 21/03/2007 Elenco dei trattamenti e ripartizione dei compiti e delle responsabilità Pagina 3 di 4 02.04. Ripartizione dei compiti e delle responsabilità L’elenco e la determinazione dell’ambito dei trattamenti (con la specificazione delle tipologie di operazioni e della natura dei dati oggetto di trattamento), costituiscono la base di riferimento per una organica ripartizione dei compiti e delle responsabilità. I responsabili del trattamento, ai sensi dell’art. 30, comma 2 del codice della privacy, individuano ciascun dipendente e collaboratore della propria area in qualità di incaricato del trattamento, associando a ciascun operatore l’ambito del trattamento individuato nell’allegato “Elenco dei trattamenti” (AL02.03). Ai responsabili e agli incaricati del trattamento sono impartite le istruzioni scritte contenute nel Manuale della privacy riportato in allegato (AL02.04), costituenti parte integrante e sostanziale del presente DPS, consegnate a ciascun incaricato all’atto dell’individuazione, in adempimento di quanto previsto dall’allegato B (paragrafo 19.6) e descritto nella sezione 06 del presente DPS. Con cadenza annuale, i responsabili del trattamento, devono procedere alla rinnovazione dell’attività di monitoraggio, utilizzando il modello di scheda riportata in allegato (AL02.02), al fine dell’aggiornamento dell’ambito di trattamento consentito ai singoli incaricati del trattamento e agli addetti alla manutenzione e alla gestione degli strumenti elettronici (in ottemperanza a quanto previsto dal punto 15 dell’allegato B al codice della privacy). All’esito della rinnovazione dell’attività di monitoraggio, i responsabili degli Uffici e delle Aree di Posizione Organizzative aggiornano le schede riportate in allegato al DPS (AL02.03). Il responsabile pro-tempore dell’Area CED è nominato quale amministratore di sistema e ad esso sono impartiti i compiti riportati nel Manuale della privacy (AL02.04). Per quanto riguarda la gestione del sistema di sicurezza, l’amministratore di sistema può delegare a terzi, che per esperienza, capacità ed affidabilità forniscano idonea garanzia di adempimento, i seguenti compiti: a) verifica della idoneità e della configurazione degli strumenti anti-intrusione e per la protezione da programmi virus, ai sensi dell’art. 615-quinquies del codice penale; b) aggiornamento e controllo delle vulnerabilità dei programmi per elaboratore; c) effettuazione, gestione e conservazione delle copie di salvataggio, anche al fine della garanzia del ripristino dei dati in tempi certi. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 02 Rev. 2 del 21/03/2007 Elenco dei trattamenti e ripartizione dei compiti e delle responsabilità Pagina 4 di 4 ALLEGATI AL02.01 – Organigramma dell’ERSU di Camerino AL02.02 – Scheda per il monitoraggio “Elenco dei trattamenti” AL02.03 – Elenco dei trattamenti AL02.04 – Manuale della Privacy DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 03 Rev. 2 del 21/03/2007 Analisi e valutazione dei rischi Pagina 1 di 4 ANALISI E VALUTAZIONE DEI RISCHI 03.01 SCOPO 03.02 RESPONSABILITÀ 03.03 CRITERI PER L’INDIVIDUAZIONE DEI RISCHI 03.04 CRITERI PER LA VALUTAZIONE DEI RISCHI ALLEGATI DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 03 Rev. 2 del 21/03/2007 Analisi e valutazione dei rischi Pagina 2 di 4 03.01. Scopo Scopo della presente sezione è definire i criteri e le modalità operative per procedere all’analisi e alla valutazione dei rischi, secondo quanto previsto dal punto 19.3. dell’allegato B del codice della privacy, al fine dell’adozione delle misure di sicurezza per la protezione dei dati specificate nella sezione 04. 03.02. Responsabilità L’ERSU di Camerino (di seguito denominato ente) in qualità di titolare del trattamento, come entità nel suo complesso, secondo quanto previsto dal codice privacy, deve procedere all’adozione delle misure di sicurezza idonee e minime. Tuttavia, l’articolo 29 del codice della privacy consente al titolare di poter nominare uno o più responsabili del trattamento, che “per esperienza, capacità ed affidabilità fornisca idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento, ivi compreso il profilo relativo alla sicurezza”. L’analisi e la valutazione dei rischi è effettuata dai responsabili del trattamento e dall’amministratore di sistema. 03.03. Criteri per l’individuazione dei rischi L’adeguatezza delle misure di sicurezza deve essere valutata, secondo le linee guida indicate in questo documento, tenendo conto delle conoscenze acquisite in base al progresso tecnico, alla natura dei dati trattati e alle specifiche caratteristiche del trattamento. A tal proposito, la check-list riportata in allegato (AL03.01) è stata inviata ai Responsabili degli Uffici e delle Aree di Posizione Organizzative indicati nell’allegato “Organigramma dell’ERSU di Camerino” (AL02.02) al fine della raccolta di informazioni relative alla sicurezza e protezione dei dati personali e all’adozione delle misure di sicurezza. Le check-list così compilate sono riportate in allegato al presente DPS (AL03.02), costituendone parte integrante e sostanziale. Per motivi di protezione del sistema informativo dell’ente e dei dati personali oggetto di trattamento, gli allegati della presente sezione sono da considerarsi riservati e non possono essere oggetto di pubblicazione e diffusione. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 03 Rev. 2 del 21/03/2007 Analisi e valutazione dei rischi Pagina 3 di 4 Saranno soggetti ad accesso controllato e selezionato, per finalità di controllo da parte dell’autorità giudiziaria, degli organi politici e di eventuali terzi, portatori di un interesse diretto, concreto e attuale. L’amministratore di sistema, coadiuvato da propri collaboratori, ha proceduto a verificare il rispetto delle misure di sicurezza e delle procedure, utilizzando il modello riportato nell’allegato AL03.03, riguardanti i sotto elencati asset da proteggere: - rete di comunicazione elettronica; - server; - elaboratori elettronici; - informazioni di natura sensibile; - dati personali comuni; - personale. La lista di controllo compilata è riportato in allegato al presente DPS (AL03.04), costituendone parte integrante e sostanziale. L’amministratore di sistema, coadiuvato da propri collaboratori ha inoltre provveduto all’analisi dei rischi, servendosi dell’apposita lista di controllo (riportata in allegato – AL03.05), in cui sono specificate le diverse possibili minacce (classificate per tipologia – come rischi naturali, umani e attività illecite), che possono interessare le procedure informatiche e i dati personali trattati con strumenti elettronici. L’analisi dei rischi svolta per macro-processi e riguardante gli asset da proteggere, costituisce parte integrante e sostanziale del presente DPS (AL03.06). 03.04. Criteri per la valutazione dei rischi Una volta individuati i singoli fattori di rischio, si deve procedere alla valutazione dei rischi oggetto di analisi, attraverso una indicizzazione, che sia riferita alle possibili perdite. La valutazione deve essere condotta partendo dal massimo possibile rischio fino a considerare il rischio probabile, che rappresenta quello da considerare effettivamente e concretamente. In particolare, si deve tener conto di due indici: - la probabilità (P), che riguarda la frequenza riscontrata o riscontrabile dell’evento (o minaccia) considerati; - la gravità (D), da valutarsi in termini quantitativi. Per cui per ogni minaccia si avrà un fattore di rischio R, che sarà la risultante del prodotto della probabilità (P) e della gravità (D), secondo la formula DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 03 Rev. 2 del 21/03/2007 Analisi e valutazione dei rischi Pagina 4 di 4 R=PxD Probabilità (P) 1 - improbabile Danni dovuti a eventi 1 – lieve molto rari 2 – poco Danni dovuti ad eventi 2 – medio probabile rari, occasionali ed inattesi 3 – probabile Danni dovuti a eventi 3 – grave normali Danno (D) Danni reversibili e sanabili Danni sanabili in modo quasi completo Danni che comportano interruzione di servizio – non sanabile in modo completo 4 – molto Danni dovuti ad eventi 4 – molto Danni irreversibili e non probabile continui e frequenti grave sanabili La valutazione del rischio è la risultante del prodotto dell’indice di probabilità e di quello di danno. La valutazione del rischio effettuata dall’amministratore di sistema costituisce parte integrante e sostanziale del presente DPS (AL03.06). Con cadenza annuale i responsabili del trattamento devono procedere alla rinnovazione dell’attività di monitoraggio, utilizzando la check-list riportata in allegato (AL03.01) e le relative risultanze devono essere allegate al presente DPS (AL 03.02). L’amministratore di sistema, sempre annualmente, deve: a) verificare il rispetto delle misure di sicurezza e delle procedure, utilizzando il modello riportato in allegato (AL03.03) e riportare le risultanze nell’allegato al presente DPS (AL03.04); b) integrare l’elenco dei rischi riportati nell’allegato (AL03.05); c) rinnovare l’analisi e la valutazione dei rischi, utilizzando la predetta lista di controllo (AL03.05) e riportare l’esito del processo considerato nell’allegato al presente DPS (AL03.06). ALLEGATI AL03.01 – Modello di check-list per lo stato di adozione delle misure di sicurezza AL03.02 – Stato di adozione delle misure di sicurezza per unità di trattamento AL03.03 – Modello di check-list per la verifica del rispetto delle misure di sicurezza e delle procedure AL03.04 – Verifica del rispetto delle misure di sicurezza e delle procedure AL03.05 – Elenco dei rischi AL03.06 – Analisi e valutazione dei rischi DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 04 Rev. 2 del 21/03/2007 Le misure di prevenzione e protezione degli strumenti elettronici e dei dati personali Pagina 1 di 7 LE MISURE DI PREVENZIONE E PROTEZIONE DEGLI STRUMENTI ELETTRONICI E DEI DATI PERSONALI 04.01 SCOPO 04.02 LINEE GUIDA E INDIRIZZI IN TEMA DI GESTIONE DELLA SICUREZZA 04.03 GLI OBBLIGHI DI SICUREZZA SECONDO IL CODICE DELLA PRIVACY 04.04 MISURE ED AZIONI PER IL CORRETTO TRATTAMENTO DEL RISCHIO 04.05 IL PROGRAMMA DELLE MISURE DI PREVENZIONE E PROTEZIONE DEGLI STRUMENTI ELETTRONICI E DEI DATI ALLEGATI DI DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 04 Rev. 2 del 21/03/2007 Le misure di prevenzione e protezione degli strumenti elettronici e dei dati personali Pagina 2 di 7 04.01. Scopo Scopo della presente sezione è fornire indirizzi per la protezione degli strumenti elettronici e dei dati personali dalle minacce. 04.02. Linee guida e indirizzi in tema di gestione della sicurezza Secondo la definizione ISO, la sicurezza è “l’insieme delle misure atte a garantire la disponibilità, l’integrità e la riservatezza delle informazioni gestite” e dunque l’insieme di tutte le misure atte a difendere il sistema informatico dalle possibili minacce d’attacco. Rendere sicuro un sistema informatico non significa esclusivamente attivare un insieme di contromisure specifiche, di carattere tecnologico ed organizzativo, che neutralizzino tutti gli attacchi ipotizzabili al sistema di servizi, ma significa, in particolare, collocare ciascuna delle contromisure individuate in una politica organica di sicurezza, che tenga conto dei vincoli (tecnici, logistici, organizzativi, amministrativi e legislativi) imposti dalla struttura tecnica ed organizzativa, in cui il sistema di servizi opera e che giustifichi ciascuna contromisura in un quadro complessivo. A livello internazionale il tema sicurezza è affrontato in modo sistematico dal 1995 (norme BS7799). Principale obiettivo di un sistema di sicurezza è la salvaguardia delle informazioni. Lo standard BS7799 individua tre aspetti fondamentali relativi alla sicurezza delle informazioni: • Confidenzialità : solo gli utenti autorizzati possono accedere alle informazioni necessarie; • Integrità: protezione contro alterazioni o danneggiamenti; tutela dell’accuratezza e completezza dei dati; • Disponibilità:le informazioni sono rese disponibili quando occorre e nell’ambito di un contesto pertinente. L’approccio alla sicurezza deve avvenire in una logica di prevenzione (risk management) piuttosto che in una logica di gestione delle emergenze o di semplice controllo/vigilanza. L’architettura per rispondere alle esigenze di sicurezza è costituita da 3 elementi fondamentali: • le politiche dell’organizzazione, • gli strumenti organizzativi e tecnologici, • gli atteggiamenti individuali. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 04 Rev. 2 del 21/03/2007 Le misure di prevenzione e protezione degli strumenti elettronici e dei dati personali Pagina 3 di 7 Un sistema di gestione della sicurezza delle informazioni efficiente ed efficace permette all’organizzazione di: • mantenersi aggiornata su nuove minacce e vulnerabilità e prenderle in considerazione in modo sistematico; • trattare incidenti e perdite in ottica di prevenzione e di miglioramento continuo del sistema; • sapere quando politiche di sicurezza e procedure non sono implementate, in tempo utile per prevenire danni; • implementare politiche e procedure di primaria importanza. Le BS7799 affrontano il problema sicurezza ad alto livello, indipendentemente dalla tecnologia, concentrandosi principalmente sulla gestione della sicurezza. Per la corretta applicazione delle norme BS7799 è necessario predisporre ed attuare adeguati strumenti e controlli per la gestione e il controllo della sicurezza. Tali norme forniscono un’utile base per l’effettiva gestione della sicurezza, grazie anche alla presenza di indicazioni relative alla creazione di politiche di sicurezza, alla formazione e sensibilizzazione di tutto il personale, nonché alle azioni da intraprendere per garantire la continuità delle attività. L’applicazione delle BS7799 consente di: • • • verificare l’adeguatezza dei processi per il trattamento delle informazioni; dimostrare che sono rispettati i requisiti espressi in contratti, leggi o regolamenti; valutare il rapporto costi/benefici dei propri investimenti. 04.03. Gli obblighi di sicurezza secondo il codice della privacy L’art. 1 del codice della privacy riconosce a ciascun soggetto “il diritto alla protezione dei dati personali”. Questo diritto assume una duplice rilevanza: a) sotto un profilo esterno, si sostanzia nel potere di controllo sul processo di trattamento svolto da terzi riconosciuto a ciascun interessato, secondo quanto previsto dall’art. 7 del codice della privacy; b) per quanto concerne i titolari del trattamento, il diritto alla protezione dei dati personali si sostanzia, principalmente, nell’obbligo di adottare le misure di sicurezza a protezione dei dati dal rischio di minacce. Per minaccia si intende un evento non desiderato da parte di chi lo subisce, sia deliberato, sia accidentale, capace di arrecare un danno, che può essere conseguenza specifica della perdita o distruzione dei dati, anche accidentale, dell’accesso abusivo, di un trattamento illecito o non consentito. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 04 Rev. 2 del 21/03/2007 Le misure di prevenzione e protezione degli strumenti elettronici e dei dati personali Pagina 4 di 7 Per misura minima di sicurezza il codice della privacy intende “il complesso delle misure tecniche, informatiche, organizzative, logistiche o procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi specifici previsti dall’articolo 31 del codice privacy”. Per misura idonea di sicurezza, invece, si deve intendere ogni azione preventiva di contrasto che, “in relazione alle conoscenze acquisiste in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento”, sia finalizzata a “ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”. Le misure idonee di sicurezza devono essere adottate a seguito di una valutazione delle minacce possibili, che devono essere considerate dal titolare del trattamento, che all’uopo si avvale di uno o più soggetti nominati responsabili del trattamento. Le misure idonee di sicurezza devono essere adottate secondo la filosofia dell’autodeterminazione, per cui occorre tendere costantemente alla riduzione al minimo dei rischi, che possono interessare i dati personali oggetto di trattamento in seno all’ente e il sistema informativo automatizzati nel suo complesso. Il legislatore, infatti, definisce l’obbligo di adozione di misure di sicurezza idonee in termini funzionali, obbligando, come detto, ad una valutazione tesa ad eliminare (ove possibile) ovvero a ridurre i rischi, senza provvedere a specificare quali debbano essere tali misure, che sono affidate alla valutazione discrezionale del titolare, a seguito di un processo organico e dinamico di analisi del rischio, descritto nel presente documento alla sezione 03. Al fianco delle misure idonee di sicurezza, al fine di favorire un livello omogeneo di sicurezza per ogni soggetto che tratti i dati personali, il legislatore ha previsto (ai sensi dell’articolo 33 del codice della privacy) un obbligo di adozione di misure minime, che sono individuate dagli articoli 34 e 35 del codice della privacy e specificate dall’allegato B del medesimo codice (AL01.02). Le misure minime sono ripartite e specificate a seconda della diversa tipologia di strumenti utilizzati, siano essi elettronici ovvero non elettronici. Per strumenti elettronici, secondo la definizione del codice della privacy, si intendono “gli elaboratori, i programmi per elaboratore e qualunque dispositivo elettronico o comunque automatizzato con cui si effettua il trattamento”. L’omessa adozione delle misure minime di sicurezza costituisce condotta penalmente rilevante ai sensi dell’articolo 169, comma 1 del codice della privacy, il quale dispone che: “Chiunque, essendovi tenuto, omette di adottare le misure DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 04 Rev. 2 del 21/03/2007 Le misure di prevenzione e protezione degli strumenti elettronici e dei dati personali Pagina 5 di 7 minime previste dall’articolo 33 è punito con l’arresto sino a due anni o con l’ammenda da diecimila euro a cinquantamila euro”. Si tratta di un reato omissivo proprio, per il quale non rileva il dolo o la colpa. Tuttavia, l’articolo 169, comma 2 del codice della privacy prevede l’istituto del cosiddetto ravvedimento operoso, che consiste nella possibilità concessa all’autore del reato, all’atto dell’accertamento o, nei casi più complessi, anche con successivo atto del Garante, di: 1) adempiere entro un termine alle prescrizioni impartite, al fine della regolarizzazione del proprio sistema e delle misure di sicurezza non adottate in precedenza (il periodo di tempo concesso per l’adeguamento è prorogabile in caso di particolare complessità o per l’oggettiva difficoltà dell’adempimento e comunque non superiore a sei mesi); 2) provvedere, nei sessanta giorni successivi allo scadere del termine, ove risultasse il corretto adempimento rispetto alle prescrizioni ricevute dall’autorità Garante, a pagare una somma pari al quarto del massimo dell’ammenda stabilita per la contravvenzione, ossia una somma di 12.500 euro; 3) ottenere l’estinzione del reato, a seguito del positivo riscontro dell’avvenuto adempimento degli obblighi di adeguamento alle prescrizioni e del pagamento dell’ammenda in misura ridotta. 04.04. Misure ed azioni per il corretto trattamento del rischio Le misure minime di sicurezza, riportate in allegato (AL04.01), sono adottate dall’amministratore di sistema e dai responsabili del trattamento, ciascuno per quanto di propria competenza e con riferimento al settore e alla struttura di pertinenza. Come detto, gli obblighi di protezione concernono anche l’adozione di misure idonee di sicurezza, per cui in questo paragrafo si intendono delineare gli indirizzi per una corretta gestione dei rischi oggetto di analisi e valutazione, secondo quanto descritto nella sezione 03. Le azioni necessarie per l’adozione di idonee misure di sicurezza riguardano: a) la prevenzione: attività che permette di impedire gli accadimenti negativi, agendo direttamente sulla diminuzione della probabilità di manifestazione delle minacce; b) la protezione: attività che permette di diminuire la gravità degli effetti causati eventualmente dall’accadimento dell’evento di pericolo. Dopo aver analizzato e valutato i fattori di rischio, relativi ai rischi di distruzione o perdita dei dati, di accesso abusivo e di trattamento illecito o non consentito, con specifico riferimento alle garanzie di riservatezza, integrità e disponibilità dei dati devono essere individuate le misure di prevenzione e protezione. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 04 Rev. 2 del 21/03/2007 Le misure di prevenzione e protezione degli strumenti elettronici e dei dati personali Pagina 6 di 7 L’insieme delle misure preventive e protettive costituisce un programma di fondamentale importanza nell’ambito della politica per la Sicurezza, poiché fornisce una guida operativa, che permette di gestire la Sicurezza con organicità e sistematicità e in modo dinamico. Il processo di gestione dei rischi, affidato all’amministratore di sistema e ai propri collaboratori, comporta la necessità di dover procedere nel valutare la possibilità di: − eliminare il rischio: consiste nel verificare se si possa fronteggiare in modo assoluto una minaccia annullandola completamente. Tra le ipotesi, possono figurare il rischio di accesso abusivo degli incaricati del trattamento interni, dovuto alla mancanza di un sistema di autenticazione per accedere al sistema operativo; − ridurre il rischio: ove non sia possibile eliminare in via assoluta la minaccia considerata, occorre verificare le possibilità di contenere il rischio in termini di probabilità di accadimento e di danno derivante. Si pensi, con riferimento al rischio di accesso abusivo, all’obbligo di fornire istruzioni per la scelta di una parola chiave robusta (ossia non facilmente associabile all’identità dell’incaricato) e con una lunghezza non inferiore aglio otto caratteri; − assumere il rischio in proprio, previa valutazione dei costi benefici, i responsabili della valutazione e trattamento dei rischi possono decidere l’assunzione da parte dell’ente di una certa quota di rischio, segnalando annualmente al Direttore dell’ente tale circostanza mediante la redazione di un report; − trasferire il rischio a terzi contrattualmente (si tratta della forma di trasferimento non assicurativo): si pensi alla stipulazione di un contratto con soggetto esterno per il servizio di back-up, che garantisca la ridondanza e la facoltà del ripristino dell’uso e della disponibilità dei dati personali in caso di danneggiamento o di blocco del sistema; − stipulare un contratto di assicurazione per il trasferimento del rischio ad un soggetto terzo dietro pagamento di un premio assicurativo. Quest’ultima soluzione deve essere valutata ove non sia possibile procedere nel trattamento del rischio secondo quanto delineato ai punti precedenti; tale scelta in apparenza può sembrare più agevole, ma, in realtà, in un sistema di gestione del rischio comporta un costo fisso a fronte di un evento che non è detto che si verifichi. 04.05. Il programma delle misure di prevenzione e di protezione degli strumenti elettronici e dei dati Il programma delle misure di sicurezza da adottare per la rete di comunicazione elettronica dell’ente e per la protezione dei server centrali, secondo gli indirizzi contenuti nel presente DPS, è redatto dell’amministratore di sistema, che deve essere coadiuvato dai responsabili del trattamento e dai propri collaboratori, addetti alla manutenzione e gestione degli strumenti elettronici. DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 04 Rev. 2 del 21/03/2007 Le misure di prevenzione e protezione degli strumenti elettronici e dei dati personali Pagina 7 di 7 Il programma così redatto costituisce parte integrante e sostanziale del presente DPS (AL04.02) e deve essere verificato ed aggiornato, con determinazione Del Direttore, nell’ottica di un miglioramento continuo della Sicurezza almeno con cadenza annuale e comunque ogni qualvolta si verifichi la necessità, a seguito di malfunzionamenti o di interventi di natura tecnologica o organizzativa nel sistema informatico dell’ente, oppure per iniziativa dei responsabili, che riscontrino necessità di intervento o non conformità, tecniche e/o normative. Obiettivo delle misure programmate è quello di ridurre il valore dell’indice di rischio relativo ad ogni singola minaccia oggetto di valutazione, attraverso l’adozione, da parte dei singoli responsabili, delle misure idonee di protezione; le risultanze di tali misure per la protezione dei dati personali (manuali, procedure, registri, etc) sono contenute nell’allegato AL04.03. Sono previste anche modalità per la verifica dell’adozione delle misure programmate e per il monitoraggio della idoneità delle stesse. È importante anche definire a quali soggetti è affidata la responsabilità dell’adozione e verifica delle misure di protezione, secondo quanto delineato nella sezione 02 del presente DPS, dell’applicazione di tali contromisure e dell’eventuale controllo dell’efficacia delle stesse. In particolare, i responsabili del trattamento possono individuare uno o più incaricati del controllo del rispetto delle misure minime, impartendo specifiche istruzioni, ad integrazione di quelle riportate in allegato alla sezione 02 del DPS (AL02.04). Coloro che vengono incaricati di verificare l’efficacia delle misure di protezione e prevenzione adottate devono avere la possibilità di controllare che i soggetti incaricati si attengano alle regole che gli sono state impartite e che le modalità di utilizzo degli strumenti siano coerenti con quanto stabilito dal presente DPS e oggetto di programmazione (AL04.02). In caso di difformità con quanto previsto, gli incaricati dei controlli devono riferire al responsabile del trattamento in forma scritta i termini della non conformità e le condizioni in cui si è fatta la verifica. Sarà cura del responsabile adottare le dovute contromisure, per risolvere le non conformità riscontrate. ALLEGATI AL04.01 – Elenco delle misure minime di sicurezza adottate AL04.02 – Piano delle misure idonee di sicurezza AL04.03 – Procedure e registri per la protezione dei dati personali DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 05 Rev. 2 del 21/03/2007 Linee guida per il ripristino dei dati Pagina 1 di 2 LINEE GUIDA PER IL RIPRISTINO DEI DATI 05.01 SCOPO 05.02 IL PIANO DI RISPRISTINO ALLEGATI DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 05 Rev. 2 del 21/03/2007 Linee guida per il ripristino dei dati Pagina 2 di 2 05.01. Scopo Scopo della presente sezione è fornire gli indirizzi all’amministratore di sistema per garantire la continuità operativa nel trattamento dei dati personali, adottando un piano di ripristino. 05.02. Il piano di ripristino Il punto 23 dell’allegato B del codice della privacy prevede l’obbligo dell’adozione di misure idonee per garantire il ripristino dei dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni. Il piano di ripristino deve essere redatto dall’amministratore di sistema, secondo gli indirizzi di seguito riportati, e costituisce parte integrante e sostanziale del presente DPS (AL05.01). Nel piano di ripristino devono essere riportati: 1) gli eventi che possono causare la distruzione o il danneggiamento dei dati o degli strumenti elettronici; 2) la definizione dei ruoli e delle responsabilità; 3) la descrizione delle azioni da intraprendere in caso di emergenza al fine del ripristino dei dati e del sistema. Il piano di ripristino deve essere aggiornato con cadenza almeno annuale. ALLEGATI AL05.01 – Piano di ripristino del sistema informatico dell’ERSU di Camerino DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 06 Rev. 2 del 21/03/2007 Formazione degli incaricati Pagina 1 di 2 FORMAZIONE DEGLI INCARICATI 06.01 SCOPO 06.02 PROGRAMMAZIONE DELLA FORMAZIONE DEGLI INCARICATI ALLEGATI DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 06 Rev. 2 del 21/03/2007 Formazione degli incaricati Pagina 2 di 2 06.01. Scopo Scopo della presente sezione è descrivere gli indirizzi per la programmazione di interventi formativi degli incaricati. 06.02. Programmazione della formazione degli incaricati Il punto 19.6. dell’allegato B del codice della privacy prevede l’obbligo di programmare interventi formativi degli incaricati del trattamento, al fine di renderli edotti: a) dei rischi che incombono sui dati; b) delle misure disponibili per prevenire eventi dannosi; c) dei profili della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività; d) delle responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare. L’ERSU di Camerino ritiene che la formazione dei responsabili e degli incaricati sia un elemento fondamentale ed indefettibile per sostenere una cultura del rispetto della riservatezza e per garantire la corretta adozione degli adempimenti previsti dal codice della privacy. I corsi di formazione, tenuti da docenti esperti, dovranno delineare i principi generali del codice della privacy, le regole fondamentali di comportamento e avere un taglio pratico ed operativo. Il programma di formazione degli incaricati deve essere allegato alla presente sezione (AL06.01), unitamente all’indicazione dei materiali informativi e operativi messi a disposizione dal docente incaricato, favorendone la massima diffusione, anche con strumenti elettronici. ALLEGATI AL06.01 – Piano di formazione e materiali segnalati e distribuiti ai partecipanti DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 07 Rev. 2 del 21/03/2007 Criteri per la sicurezza dei dati in caso di affidamento dei trattamenti all’esterno Pagina 1 di 3 CRITERI PER LA SICUREZZA DEI DATI IN CASO DI AFFIDAMENTO DEI TRATTAMENTI ALL’ESTERNO 07.01 SCOPO 07.02 CRITERI PER LA SICUREZZA DEI DATI IN CASO DI AFFIDAMENTO DEI TRATTAMENTI ALL’ESTERNO DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 07 Rev. 2 del 21/03/2007 Criteri per la sicurezza dei dati in caso di affidamento dei trattamenti all’esterno Pagina 2 di 3 07.01. Scopo Scopo della presente sezione è delineare gli indirizzi e le azioni da adottare per l’affidamento all’esterno dei trattamenti di dati personali. 07.02. Criteri per la sicurezza dei dati in caso di affidamento dei trattamenti all’esterno Nel caso di affidamento di attività di trattamento di dati, di cui è titolare l’ERSU di Camerino, a soggetti esterni si pongono due problemi: a) il primo riguarda la legittimazione al trasferimento dei dati personali oggetto di trattamento: il far conoscere dati personali a soggetti terzi, diversi dall’interessato, dal responsabile e dall’incaricato del trattamento, in qualunque forma, costituisce operazione di comunicazione, che, ove effettuata da parte di un soggetto pubblico nei confronti di soggetti privati e avente ad oggetto dati comuni, è ammessa solamente se prevista da legge o da regolamento (ai sensi dell’articolo 19, comma 3 del codice privacy) . Per i dati sensibili, per comunicare i dati a terzi occorre una specifica autorizzazione di legge o di regolamento, che determini i tipi di dati e la specifica operazione ivi considerata; b) in secondo luogo, la definizione di criteri, per favorire l’adozione delle misure di sicurezza, secondo quanto previsto dall’allegato B (punto 19.7). Ove la comunicazione dei dati personali sia finalizzata a consentire l’adempimento di funzioni o di compiti assegnati ad un soggetto terzo (con un atto formale) per scopi istituzionali dell’ente titolare, si ritiene opportuno dover procedere alla nomina del soggetto esterno in qualità di responsabile. La conseguenza di una tale determinazione, è che la conoscenza dei dati personali, da parte di questo soggetto, non concreterebbe una operazione di comunicazione dei dati e che il soggetto privato si trova ad operare con le regole di legittimazione proprie del soggetto pubblico titolare del trattamento. La nomina dei responsabili esterni deve essere effettuata dalla struttura e dal responsabile, che stipula il contratto o comunque l’atto di affidamento di una certa attività o servizio, per il quale è necessario un trattamento di dati detenuti dall’ente titolare. I Responsabili degli Uffici e delle Aree di Posizione Organizzative indicati nell’allegato “Organigramma dell’ERSU di Camerino” (AL02.02), che possono essere autorizzati a procedere alla nomina dei responsabili esterni di trattamento, secondo le disposizioni dell’art. 29 del codice della privacy e quanto stabilito in AL02.04, devono verificare che il soggetto affidatario si attenga ai seguenti criteri generali, al DOCUMENTO PROGRAMMATICO SULLA SICUREZZA SEZIONE 07 Rev. 2 del 21/03/2007 Criteri per la sicurezza dei dati in caso di affidamento dei trattamenti all’esterno Pagina 3 di 3 fine di garantire l’adozione delle misure di sicurezza, ai sensi del punto 19.7 dell’allegato B del codice privacy: a) impartire ai propri collaboratori e preposti allo svolgimento delle operazioni di trattamento istruzioni scritte; b) adottare procedure per la gestione delle credenziali di autenticazione; c) gestire correttamente i profili di autorizzazione, attraverso la definizione dei poteri di visualizzazione, elaborazione, modifica dei dati; d) verificare il rispetto delle istruzioni impartite agli incaricati e favorire eventuali visite ispettive o audit da parte del personale incaricato dei controlli per conto dell’ERSU di Camerino; e) verificare i criteri adottati per l’analisi dei rischi, secondo la classificazione adottata dall’ente; f) dare conoscenza delle risultanze della valutazione dei rischi (secondo l’uso di indici riferiti a probabilità e danno); g) fornire, se richiesto, l’elenco delle misure di sicurezza adottate; h) adottare procedure di monitoraggio e di aggiornamento del sistema di sicurezza.
