Provvedimento “Amministratori di sistema” del 27 novembre 2008
\n(G.U. n. 300 del 24 dicembre 2008)<\/p>\n
Risposte alle domande pi\u00f9 frequenti (FAQ) *<\/p>\n
1 Cosa deve intendersi per “amministratore di sistema”?
\n2\u00e0 degli ADS riguardi anche indirettamente servizi o sistemi che”
\n3 Il caso di uso esclusivo di un personal computer da parte di un solo amministratore di sistema rientra nell’ambito applicativo del
\n4 Relativamente all’obbligo di registrazione degli accessi logici degli AdS, sono compresi anche i sistemi client oltre che quelli server?
\n5 Cosa si intende per operato dell’amministratore di sistema soggetto a controllo almeno annuale?
\n6 Chiarire i casi di esclusione dall’obbligo di adempiere al provvedimento.
\n7 Cosa si intende per descrizione analitica degli ambiti di operativit\u00e0 consentiti all’ADS?
\n8 Oltre alla\u00a0 si deve andare pi\u00f9 in dettaglio? Si devono indicare i singoli sistemi e le singole operazioni affidate?
\n9 Cosa si intende per accesslog (l-in, log
\n10 Laddove il file di log contenga informazioni pi ampie, va preso tutto il log o solo la riga relativa all’access log?
\n11 Come va interpretata la caratteristica di completezza del log? Si intende che ci devono essere tutte le righe? L’adeguatezza rispetto allo
\nscopo della verifica deve prevedere un’analisi dei rischi?
\n12 Come va interpretata la caratteristica di inalterabilit\u00e0 dei log?
\n13 Si individuano livelli di robustezza specifici per la garanzia della integrit\u00e0 dei log
\n14 Quali potrebbero essere gli scopi di verifica rispetto ai quali valutare l’adeguatezza?
\n15 Cosa dobbiamo intendere per evento che deve essere registrato nel log? Solo l’accesso o anche le attivit\u00e0 eseguite?
\n16 Quali sono le finalit\u00e0 di audit che ci dobbiamo porre con la registrazione e raccolta di questi log?
\n17 Cosa si intende per “consultazione in chiaro”?
\n18 Il regime di conoscibilit\u00e0 degli amministratori di sistema \u00e8 da intendersi per i soli trattamenti inerenti i dati del personale e dei lavoratori?
\n19 La registrazione degli accessi \u00e8 relativa al sistema operativo o anche ai DBMS?
\n20 Nella designazione degli amministratori di sistema occorre valutare i requisiti morali?
\n21 Cosa si intende per “estremi identificativi” degli amministratori di sistema?
\n22 E’ corretto affermare che l’accesso a livello applicativo non rientri nel perimetro degli adeguamenti, in quanto l’accesso a una applicazione informatica \u00e8 regolato tramite profili autorizzativi che disciplinano per tutti gli utenti i trattamenti consentiti sui dati?
\n23 Si chiede se sia necessario conformarsi al provvedimento nel caso della fornitura di servizi di gestione sistemistica a clienti esteri (housing, hosting, gestione applicativa, archiviazione remota…) da parte di una societ\u00e0 italiana non titolare dei dati gestiti.
\n24 Si possono ritenere esclusi i trattamenti relativi all’ordinaria attivit\u00e0 di supporto delle manutenzione degli immobili sociali ecc…). Ci si riferisce ai trattamenti con strumenti elettronici finalizzati, ad esempio, alla gestione dell’autoparco, alle procedure di acquisto dei materiali di consumo, alla aziende, che non riguardino dati sensibili, giudiziari o di traffico telefonico\/telematico?<\/p>\n
<\/p>\n
1) Cosa deve intendersi per “amministratore di sistema”?
\nIn assenza di definizioni normative e tecniche condivise, nell’ambito del provvedimento del Garante l’amministratore di sistema \u00e8 assunto quale figura professionale dedicata alla gestione e alla manutenzione di impianti di elaborazione con cui vengano effettuati trattamenti di dati personali, compresi i sistemi di gestione delle basi di dati, i sistemi software complessi quali i sistemi ERP (Enterprise resource planning) utilizzati in grandi aziende e organizzazioni, le reti locali e gli apparati di sicurezza, nella misura in cui consentano di intervenire sui dati personali.<\/p>\n
Il Garante non ha inteso equiparare gli “operatori di sistema” di cui agli articoli del Codice penale relativi ai delitti informatici, con gli “amministratori di sistema”: questi ultimi sono dei particolari operatori di sistema, dotati di specifici privilegi.<\/p>\n
Anche il riferimento al d.P.R. 318\/1999 nella premessa del provvedimento \u00e8 puramente descrittivo poich\u00e9 la figura definita in quell’atto normativo (ormai abrogato) \u00e8 di minore portata rispetto a quella cui si fa riferimento nel provvedimento.<\/p>\n
Non rientrano invece nella definizione quei soggetti che solo occasionalmente intervengono (p.es., per scopi di manutenzione a seguito di guasti o malfunzioni) sui sistemi di elaborazione e sui sistemi .<\/p>\n
<\/p>\n
2) Cosa vuol dire la locuzione “Qualora l’attivit\u00e0 degli ADS riguardi anche indirettamente servizi o sistemi che\u2026”
\nI titolari sono tenuti a instaurare un regime di conoscibilit\u00e0 dell’identit\u00e0 degli amministratori di sistema, quale forma di trasparenza interna all’organizzazione a tutela dei lavoratori, nel caso in cui un amministratore di sistema, oltre a intervenire sotto il profilo tecnico in generici trattamenti di dati personali in un’organizzazione, tratti anche dati personali riferiti ai lavoratori operanti nell’ambito dell’organizzazione medesima o sia nelle condizioni di acquisire conoscenza di dati a essi riferiti (in questo senso il riferimento nel testo del\u00a0 all'”anche indirettamente\u2026”).<\/p>\n
<\/p>\n
3) Il caso di uso esclusivo di un personal computer da parte di un solo amministratore di sistema rientra nell’ambito applicativo del provvedimento?
\nNon \u00e8 possibile rispondere in generale. In diversi casi, anche con un personal computer possono essere effettuati delicati trattamenti rispetto ai quali il titolare ha il dovere di prevedere e mettere in atto anche le misure e gli accorgimenti previsti nel provvedimento. Nel caso-limite di un titolare che svolga funzioni di unico amministratore di sistema, come pu\u00f2 accadere in piccolissime realt\u00e0 d’impresa, non si applicheranno le previsioni relative alla verifica delle attivit\u00e0 dell’amministratore n\u00e9 la tenuta del log degli accessi informatici.<\/p>\n
<\/p>\n
client oltre che quelli server?
\nSi, anche i client, intesi come “postazioni di lavoro informatizzate”, sono compresi tra i sistemi per cui devono essere registrati gli accessi degli AdS.<\/p>\n
Nei casi pi\u00f9 semplici tale requisito pu\u00f2 essere soddisfatto tramite funzionalit\u00e0 gi\u00e0 disponibili nei pi\u00f9 diffusi sistemi operativi, senza richiedere necessariamente l’uso di strumenti softwarehardware aggiuntivi. Per esempio, la registrazione locale dei dati di accesso su una postazione, in determinati contesti, pu\u00f2 essere ritenuta idonea al corretto adempimento qualora goda di sufficienti garanzie di integrit\u00e0.<\/p>\n
Sar\u00e0 comunque con valutazione del titolare che dovr\u00e0 essere considerata l’idoneit degli strumenti disponibili oppure l’adozione di strumenti pi\u00f9 sofisticati, quali la raccolta dei log centralizzata e l’utilizzo di dispositivi non riscrivibili o di tecniche crittografiche per la verifica dell’integrit\u00e0 delle registrazioni.<\/p>\n
<\/p>\n
5) Cosa si intende per operato dell’amministratore di sistema soggetto a controllo almeno annuale?
\n\u00c8 da sottoporre a verifica l’attivit\u00e0 svolta dall’amministratore di sistema nell’esercizio delle sue funzioni. Va verificato che le attivit\u00e0 svolte dall’amministratore di sistema siano conformi alle mansioni attribuite, ivi compreso il profilo relativo alla sicurezza.<\/p>\n
<\/p>\n
6) Chiarire i casi di esclusione dall’obbligo di adempiere al provvedimento.
\nSono esclusi i trattamenti effettuati in ambito pubblico e privato a fini amministrativo-contabili che, ponendo minori rischi per gli interessati, sono stati oggetto delle misure di semplificazione introdotte nel corso del 2008 per legge (art. 29 d.l. 25 giugno 2008, n. 112, conv., con mod., con l. 6 agosto 2008, n. 133; art. 34 del Codice; Provv. Garante 27 novembre 2008).<\/p>\n
<\/p>\n
7) Cosa si intende per descrizione analitica degli ambiti di operativit\u00e0 consentiti all’ADS? [Rif. comma 2, lettera d]
\nIl provvedimento prevede che all’atto della designazione di un amministratore di sistema, venga fatta “elencazione analitica” degli ambiti di operativit\u00e0 consentiti in base al profilo di autorizzazione assegnato, ovvero la descrizione puntuale degli stessi, evitando l’attribuzione di ambiti insufficientemente definiti, analogamente a quanto previsto al comma 4 dell’art. 29 del Codice riguardante i responsabili del trattamento.<\/p>\n
<\/p>\n
8) Oltre alla job description si deve andare pi\u00f9 in dettaglio? Si devono indicare i singoli sistemi e le singole operazioni affidate?
\nNo, \u00e8 sufficiente specificare l’ambito di operativit\u00e0 in termini pi\u00f9 generali, per settori o per aree applicative, senza obbligo di specificarlo rispetto a singoli sistemi, a meno che non sia ritenuto necessario in casi specifici.<\/p>\n
<\/p>\n
9) Cosa si intende per access log (log-in, , tentativi falliti di accesso, altro?…) [Rif. comma 2, lettera f]
\nPer access log si intende la registrazione degli eventi generati dal sistema di autenticazione informatica all’atto dell’accesso o tentativo di accesso da parte di un amministratore di sistema o all’atto della sua disconnessione nell’ambito di collegamenti interattivi a sistemi di elaborazione o a sistemi software.<\/p>\n
Gli event records generati dai sistemi di autenticazione contengono usualmente i riferimenti allo “username” utilizzato, alla data e all’ora dell’evento (timestamp), una descrizione dell’evento (sistema di elaborazione o software utilizzato, se si tratti di un evento di log-in, di log-out, o di una condizione di errore, quale linea di comunicazione o dispositivo terminale sia stato utilizzato\u2026).<\/p>\n
<\/p>\n
10) Laddove il filelog\u00f9 ampie, va preso tutto il log o solo la riga relativa all’access log? [Rif. comma 2, lettera f]
\nQualora il sistema di log adottato generi una raccolta dati pi\u00f9 ampia, comunque non in contrasto con le disposizioni del Codice e con i principi della protezione dei dati personali, il requisito del provvedimento \u00e8 certamente soddisfatto. Comunque \u00e8 sempre possibile effettuare un’estrazione o un filtraggio dei logfiles al fine di selezionare i soli dati pertinenti agli AdS.<\/p>\n
<\/p>\n
11) Come va interpretata la caratteristica di completezza del log? Si intende che ci devono essere tutte le righe? L’adeguatezza rispetto allo scopo della verifica deve prevedere un’analisi dei rischi?
\nLa caratteristica di completezza \u00e8 riferita all’insieme degli eventi censiti nel sistema di , che deve comprendere tutti gli eventi di accesso interattivo che interessino gli amministratori di sistema su tutti i sistemi di elaborazione con cui vengono trattati, anche indirettamente, dati personali. L’analisi dei rischi aiuta a valutare l’adeguatezza delle misure di sicurezza in genere, e anche delle misure tecniche per garantire attendibilit\u00e0 ai log qui richiesti.<\/p>\n
<\/p>\n
12) Come va interpretata la caratteristica di inalterabilit\u00e0 dei log?
\nCaratteristiche di mantenimento dell’integrit\u00e0 dei dati raccolti dai sistemi di log sono in genere disponibili nei pi\u00f9 diffusi sistemi operativi, o possono esservi agevolmente integrate con apposito software. Il requisito pu essere ragionevolmente soddisfatto con la strumentazione software in dotazione, nei casi pi\u00f9 semplici, e con l’eventuale esportazione periodica dei dati di log su supporti di memorizzazione non riscrivibili. In casi pi\u00f9 complessi i titolari potranno ritenere di adottare sistemi pi\u00f9 sofisticati, quali i log server centralizzati e “certificati”.<\/p>\n
\u00c8 ben noto che il problema dell’attendibilit\u00e0 dei dati di audit, in genere, riguarda in primo luogo la effettiva generazione degli auditable events e, successivamente, la loro corretta registrazione e manutenzione. Tuttavia il provvedimento del Garante non affronta questi aspetti, prevedendo soltanto, come forma minima di documentazione dell’uso di un sistema informativo, la generazione del log degli “accessi” (login) e la loro archiviazione per almeno sei mesi in condizioni di ragionevole sicurezza e con strumenti adatti, in base al contesto in cui avviene il trattamento, senza alcuna pretesa di instaurare in modo generalizzato, e solo con le prescrizioni del provvedimento, un regime rigoroso di registrazione degli usage data dei sistemi informativi.<\/p>\n
<\/p>\n
13) Si individuano livelli di robustezza specifici per la garanzia della integrit\u00e0?
\nNo. La valutazione \u00e8 lasciata al titolare, in base al contesto operativo (cfr. faq n. 14).<\/p>\n
<\/p>\n
14) Quali potrebbero essere gli scopi di verifica rispetto ai quali valutare l’adeguatezza?
\nQuelli descritti al paragrafo 4.4 del provvedimento e ribaditi al punto 2, lettera e), del dispositivo. L’adeguatezza \u00e8 da valutare in rapporto alle condizioni organizzative e operative dell’organizzazione.<\/p>\n
<\/p>\n
15) Cosa dobbiamo intendere per evento che deve essere registrato nel log? Solo l’accesso o anche le attivit\u00e0 eseguite?
\nIl provvedimento non chiede in alcun modo che vengano registrati dati sull’attivit\u00e0 interattiva (comandi impartiti, transazioni effettuate) degli amministratori di sistema. Si veda la risposta alla faq n. 11.<\/p>\n
<\/p>\n
16) Quali sono le finalit\u00e0 di audit che ci dobbiamo porre con la registrazione e raccolta di questi ?
\nLa raccolta dei log serve per verificare anomalie nella frequenza degli accessi e nelle loro modalit (orari, durata, sistemi cui si \u00e8 fatto accesso\u2026). L’analisi dei log pu\u00f2 essere compresa tra i criteri di valutazione dell’operato degli amministratori di sistema.<\/p>\n
<\/p>\n
17) Cosa si intende per “consultazione in chiaro”?
\nIl riferimento in premessa (par. 1 “Considerazioni preliminari”) \u00e8 alla criticit\u00e0 di mansioni che comportino la potenzialit\u00e0 di violazione del dato personale anche in condizioni in cui ne sia esclusa la conoscibilit\u00e0, come pu\u00f2<\/p>\n
<\/p>\n
18) Il regime di conoscibilit\u00e0 degli amministratori di sistema \u00e8 da intendersi per i soli trattamenti inerenti i dati del personale e dei lavoratori?
\nSi.<\/p>\n
<\/p>\n
19) La registrazione degli accessi \u00e8 relativa al sistema operativo o anche ai DBMS?
\ndata base management systems (DBMS), che vanno registrate.<\/p>\n
<\/p>\n
20) Nella designazione degli amministratori di sistema occorre valutare i requisiti morali? [Rif. comma 2, lettera a]
\nNo. Il riferimento alle caratteristiche da prendere in considerazione, al comma 2, lettera a), del dispositivo, \u00e8 all’esperienza, alla capacit\u00e0 e all’affidabilit del soggetto designato. Si tratta quindi di qualit\u00e0 tecniche, professionali e di condotta, non di requisiti morali.<\/p>\n
<\/p>\n
21) Cosa si intende per “estremi identificativi” degli amministratori di sistema?
\nSi tratta del minimo insieme di dati identificativi utili a individuare il soggetto nell’ambito dell’organizzazione di appartenenza. In molti casi possono coincidere con nome, cognome, funzione o area organizzativa di appartenenza.<\/p>\n
<\/p>\n
22) \u00c8 corretto affermare che l’accesso a livello applicativo non rientri nel perimetro degli adeguamenti, in quanto l’accesso a una applicazione informatica \u00e8 regolato tramite profili autorizzativi che disciplinano per tutti gli utenti i trattamenti consentiti sui dati?
\nSi. L’accesso applicativo non \u00e8 compreso tra le caratteristiche tipiche dell’amministratore di sistema e quindi non \u00e8 necessario, in forza del provvedimento del Garante, sottoporlo a registrazione.<\/p>\n
<\/p>\n
23) Si chiede se sia necessario conformarsi al provvedimento nel caso della fornitura di servizi di gestione sistemistica a clienti esteri (housing, hosting, gestione applicativa, archiviazione remota…) da parte di una societ\u00e0 italiana non titolare dei dati gestiti.
\nIl\u00a0 si rivolge solo ai titolari di trattamento. I casi esemplificati prefigurano al pi\u00f9 una responsabilit\u00e0 di trattamento (secondo il Codice italiano), e sono quindi esclusi dall’ambito applicativo del provvedimento.<\/p>\n
<\/p>\n
24) Si possono ritenere esclusi i trattamenti relativi all’ordinaria attivit\u00e0 di supporto delle aziende, che non riguardino dati sensibili, giudiziari o di traffico telefonico\/telematico? Ci si riferisce ai trattamenti con strumenti elettronici finalizzati, ad esempio, alla gestione dell’autoparco, alle procedure di acquisto dei materiali di consumo, alla manutenzione degli immobili sociali ecc…).
\nTali trattamenti possono considerarsi compresi tra quelli svolti per ordinarie finalit\u00e0 amministrativo-contabili e, come tali, esclusi dall’ambito applicativo del provvedimento.<\/p>\n","protected":false},"excerpt":{"rendered":"
Provvedimento “Amministratori di sistema” del 27 novembre 2008 (G.U. n. 300 del 24 dicembre 2008) Risposte alle domande pi\u00f9 frequenti (FAQ) * 1 Cosa deve intendersi per “amministratore di sistema”? 2\u00e0 degli ADS riguardi anche indirettamente servizi o sistemi che” 3 Il caso di uso esclusivo di un personal computer\u2026<\/p>\n