Black Box: strumento per la gestione dei dati riservati Black Box: strumento per la gestione dei dati riservati

Nuova soluzione integrata per essere conformi alla normativa vigente sulla data retention nelle aziende

Ad oggi, oltre l'85% delle verifiche effettuate dalla Guardia di Finanza in merito di trattamento dei dati si conclude con un'ammenda. Malgrado l'opinione diffusa, non basta disporre di un DPS aggiornato per fornire risposte adeguate, soprattutto quando i dati a cui ci si riferisce sono gestiti attraverso strumenti informatici che supportano gli adempimenti burocratici ed amministrativi a carico dell'azienda. Che ci sia una certa arretratezza culturale in gran parte delle Pmi italiane in fatto di tecnologia e IT è risaputo. I problemi finanziari ed economici, conseguenza dell ' attuale crisi, hanno ulteriormente aggravato la situazione. È un problema che investe un po' tutti i settori produttivi. Esistono però ambiti in cui questa arretratezza, o trascuratezza, può avere conseguenze il cui costo va ben al di là della semplice conseguenza legale, andando ad impattare sugli aspetti penali in termini di responsabilità ed economico-produttivi in termini di interruzione delle attività. Le norme vigenti (DLgs 196/2003) impongono che i file di log (i diari di sistema) comprovanti gli accessi degli Amministratori di sistema siano raccolti e conservati per almeno 6 mesi in formato immodificabile. I requisiti si articolano in: mantenimento dei dati di accesso ai sistemi; conservazione dei dati relativi ad un periodo non inferiore ai sei mesi; garanzia di non modificabilità dei dati. Mentre i primi due aspetti sono facilmente realizzabili con le funzionalità presenti in ogni sistema operativo, il terzo non è disponibile e nemmeno così ovvio come si può pensare: normalmente i file di log sono normali file di testo, accessibili con qualsiasi editor e quindi facilmente alterabili. Normalmente riportano i dati relativi a eventi che si verificano sui sistemi e indicano la data, l'evento e chi lo ha causato. Questo per ogni computer presente in azienda. I dati non possono semplicemente essere criptati dal momento che chi gestisce il sistema deve essere in grado di ricostruirne la storia per effettuare le analisi del caso, ad esempio in caso di malfunzionamento del sistema. Qualcuno ci ha pensato e da alcuni mesi lo propone con successo sul mercato. Una società del comprensorio della Brianza, la Antares srl ha brevettato e reso disponibile un prodotto che interviene proprio in questo ambito. La Black Box risponde infatti ai requisiti richiesti dalla normativa. La Black Box è costituita da hardware sigillato e software proprietario (il protocollo Antares brevettato). L'hardware è costituito da un PC che oltre alle consuete caratteristiche dispone di un supporto di memorizzazione (hard disk) da 1.5 Tera per garantire la retention (conservazione) dei dati per il periodo previsto. Il sistema provvede ad effettuare una copia dei dati cifrandoli con chiave asimmetrica RSA da 2048 che garantisce l'inaccessibilità dei dati. Solo l'autorità giudiziaria può accedere ai dati così conservati, per i quali è certificato che non sono stati modificati. Ma quello dei log dei sistemi non è il solo aspetto che questo prodotto affronta con successo: di fatto qualsiasi dato che possa essere registrato può essere gestito con questo prodotto. Proviamo a fare un esempio di utilizzo che illustra questo ulteriore vantaggio. Molte aziende utilizzano, per la propria sicurezza interna, delle videocamere che riprendono gli accessi agli ambienti. Si pensi ad esempio ad un negozio, ad un passo carraio e si potrebbero illustrare altri casi. Attualmente, per non incorrere in sanzioni da parte degli organi competenti, praticamente tutti gli utilizzatori di sistemi di sicurezza eliminano in modo automatico i dati nell'arco delle 24 ore. Questo tuttavia può contrastare con i bisogni dell'azienda in caso ad esempio di effrazione che venga rilevata a distanza superiore all'intervallo di mantenimento dei dati, come nel caso non infrequente di un fine settimana lungo (ferragosto, I maggio, Natale, etc.). L'inviolabilità dei dati registrati invece garantisce la possibilità di conservare i dati anche per lunghi periodi senza violare il diritto alla riservatezza. Concludendo, si può affermare che il prodotto Black Box consente di rispettare le norme di legge con un costo veramente ridotto (a conti fatti inferiore alla spesa dell ' ammenda comminata dagli organi preposti).

Fonte: Pmi.it - Autore: Ferdinando Cermelli

Adempimenti Privacy Amministratori di Sistema: la scadenza del 15/12 si avvicina

Recenti interventi legislativi del Garante della privacy hanno promosso l'ambito dell’integrità e della sicurezza dei dati, come forma di tutela e protezione della privacy, al centro dell’attenzione da parte di chi si trova a gestire grandi quantità di dati o a essere responsabile del loro trattamento e della loro conservazione in seno ad aziende o istituzioni. Da un lato, la legge 133/2008 ha introdotto semplificazioni in tema di privacy per professionisti e piccole/medie aziende; dall’altro, il Decreto Legislativo 207/2008 ha inasprito le sanzioni relative al trattamento dei dati non effettuato in modo corretto. In tale contesto, per quel che riguarda gli Amministratori di Sistema, la nuova normativa alla quale occorre che le società pubbliche e private si adeguino entro il 15 dicembre 2009, prevede che per gli amministratori di sistema venga adottata la procedura di identificazione informatica ovvero devono essere registrati gli accessi logici ai sistemi di elaborazioni e agli archivi informatici da parte degli amministratori di sistema. Le registrazioni del tipo access e log devono rispondere ai requisiti di completezza, inalterabilità e accesso alla verifica della loro integrità adeguate al raggiungimento dello scopo per cui sono richieste. Le registrazioni devono comprendere i riferimenti temporali, la descrizione dell’evento che le ha generate e devono essere conservate per un periodo non inferiore a sei mesi. In relazione a questo adempimento mi risulta che il software che consenta questo tipo di operazione abbia dei costi che difficilmente piccole realtà e direi in molti casi anche grandi realtà non possono sostenere. Mi riferisco in particolare ai tagli previsti per la scuola e al fatto che questo tipo di adempimento coinvolge appunto anche tutte le scuole italiane con responsabilità primaria del dirigente scolastico. Mi chiedo se in casi come questo non fosse meglio prima di uscire con una richiesta di adempimento ed una scadenza, interagire con quantomeno i Ministeri relativi alle realtà che verrebbero coinvolte (Istruzione, Pubblica Amministrazione, Interni etc). Se non ci sono le disponibilità economiche come si può pretendere che una P.A. che ogni giorno si trova di fronte a nuove problematiche da gestire possa metter mano al portafoglio per garantire la tutela della privacy? Perché in casi come questo non mettersi d'accordo prima e prevedere un software fatto sviluppare mediante un bando dal Ministero preposto e messo a disposizione di tutta la P.A. italiana? Infine come è possibile essere certi che la soluzione sofware che si va ad acquisire adempia esattamente ai criteri dettati dal Garante sulla Privacy? Per superare anche questo ostacolo credo che nel caso della Pubblica Amministrazione debba esserci una presa di posizione da parte del Ministro Brunetta facendo sviluppare una soluzione ad hoc che possa essere fornita gratuitamente, dando un taglio diverso a seconda della realtà (piccola, media, grande). In caso contrario ci troveremo in una situazione dove pochissime realtà saranno realmente a norma e soprattutto non si raggiungerà il risultato di fare in modo che l'operato dell'Amministatore di Sistema si possa di fatto verificare. E ci troveremo di fronte all'ennesima proroga o in alternativa ad un'adempimento non rispettato e alla successiva mancanza di controlli che di fatto non avrebbero molto senso.

Amministratore di sistema: proroga al 15 dicembre

Ebbene sì: tutti ci confidavano. La scadenza del 30 giugno per l'adozione delle misure inerenti gli amministratori di sistema, è stata prorogata. Data slittata al 15 dicembre 2009. Possiamo tirare un sospiro di sollievo? Non tanto. Il provvedimento di proroga non ha impattato molto sul testo originale del provvedimento. A parte qualche aggiunta qua e là in merito alle competenze del responsabile (responsabile privacy o della sicurezza? Responsabile del trattamento...) l'Autorità non ha modificato gli adempimenti basilari. La proroga più che altro si presume essere il risultato dello spoglio del materiale pervenuto presso l'Ufficio del Garante a seguito della consultazione pubblica. Vicenda anomala quest'ultima. Il 28 novembre 2008 l'Autorità Garante in materia di trattamento dati personali emanava il provvedimento sull'amministratore di sistema. Solo diversi mesi dopo (a maggio) lanciava dal sito istituzionale una pubblica consultazione con la quale chiedeva espressamente di ricevere “osservazioni” sul provvedimento in oggetto. E le osservazioni non devono essere mancate! Vicenda anomala, dicevo. In genere sarebbe stato auspicabile che la consultazione pubblica venisse anticipata prima dell'emanazione del provvedimento. Oppure che avesse ad oggetto una bozza di provvedimento, se proprio vogliamo utilizzare lo strumento della pubblica consultazione. Fatto sta, che l'Autorità deve aver trovato particolarmente allarmanti le osservazioni pervenutele. Nel provvedimento di proroga datato 25 giugno e visionabile alla pagina web http://www.garanteprivacy.it/garante/doc.jsp?ID=1626595, nelle premesse si legge espressamente che il Garante (ai fini dell'emissione del provvedimento di proroga) ha tenuto conto dei numerosi contributi pervenuti, sia da singoli titolari del trattamento sia da associazioni rappresentative di categoria, che evidenziano taluni problemi applicativi relativi alla completa attuazione di alcune delle misure e degli accorgimenti prescritti nel Provvedimento; inoltre ha considerato che, oltre ai predetti contributi, sono pervenute anche richieste di differimento dei termini indicati nel provvedimento del 12 febbraio 2009; ha rilevato pertanto l'opportunità di integrare e parzialmente modificare il Provvedimento recependo alcune delle indicazioni emerse nel corso della consultazione pubblica per facilitare il corretto adempimento alle prescrizioni impartite, senza compromettere il livello di tutela assicurato agli interessati. Insomma, la mezza sommossa popolare avvenuta trasversalmente in tutti i settori dove vi sono “fruitori di amministratori di sistema” ha dato qualche risultato. Per taluni ancora non soddisfacente. Restano fermi i punti più critici: l'obbligo di conservare minimo sei mesi i log di accesso degli ads, nonché la descrizione dell'evento che ha generato l'accesso, che dovranno essere conservati in modo completo, integro ed inalterabile. Il problema nel provvedimento è da sempre annidato in questo punto. Intanto perché tecnicamente complesso procedere a quanto sopra. Secondariamente perché conservare solo l'evento che genera l'accesso dell'ads, non vuole dire certo profilare le attività del medesimo, rendendo così parzialmente vano la volontà di monitoraggio dell'ads espressa nelle premesse del provvedimento. Forse che la proroga rappresenti un primo passo per “valutare” una riformulazione di alcuni passaggi, senza essere costretti a combinare il testo del provvedimento con le FAQ pubblicate sul sito del Garante (che nella “gerarchia delle fonti” lasciano un po' di perplessità”)? Nel frattempo molte realtà aziendali e pubbliche si sono organizzate: tutto sommato taluni hanno scoperto di avere davvero vulnerabilità sul fronte ads, in particolare sugli ads esterni, spesso non detenendo una vera e propria mappatura dei medesimi. Altri hanno verificato la commistione esistente sui ruoli degli ads interni, procedendo ad una riformulazione anche degli organigrammi. Insomma, benché un po' forzate, alcune conseguenze in materia di “sicurezza” non sono mancate... e non siamo ancora al 15 dicembre!

Fonte: Consulentelegaleinformatico.it - Autore: Valentina Frediani

(http://consulentelegaleinformatico.it/approfondimentidett.asp?id=207)

Amministratori di sistema: è tempo di nuove regole

La privacy è ormai un tema sentito anche grazie all’interesse mostrato dal Garante e dalle varie normative che ne prescrivono gli ambiti di applicazione. Prorogato al 30 giugno l’adeguamento alle regole dedicate agli amministratori di sistema. ma sono ancora tanti i dubbi.

Lo scorso novembre 2008 è stato emanato un provvedimento (pubblicato nella Gazzetta Ufficiale n.300 del 24 dicembre 2008, ndr) che ha regolarizzato la figura del cosiddetto amministratore di sistema, individuando misure e accorgimenti ai quali questa figura professionale si deve attenere. La scadenza per l’adeguamento alla normativa era prevista per fine aprile 2009 ma i termini sono stati prorogati perché sono ancora molti i quesiti legittimi relativi all’esatta interpretazione delle norme. ZeroUno ha approfondito il tema (già affrontato nello scorso numero del Security Journal di marzo, vedi anche il Web Security Journal su http://www.zerounoweb.it/) con Wilmana Malatesta (nella foto), Integration Specialist di Visiant Security. “Va innanzitutto ricordato che la figura dell’amministratore di sistema è stata inserita per migliorare e agevolare la verifica delle norme sulla privacy”, esordisce Malatesta. “L’amministratore di sistema, secondo quanto stabilito dal Garante, è colui che gestisce e mantiene un sistema elaborativo e le sue componenti. Ciò significa che rientrano in questa categoria anche figure come l’amministratore di rete o il responsabile della singola applicazione custom, l’amministratore del data base o del sistema operativo, ecc. È immaginabile dunque la preoccupazione di enti e aziende che per essere compliant a questa norma devono prima di tutto capire chi, al loro interno, è o meno un amministratore di sistema secondo quanto stabilito dalla legge italiana”. Analizzando quindi quali sono i passi da intraprendere per regolarizzarsi, Malatesta sottolinea come sia fondamentale, come primo step, “Sensibilizzare il titolare del trattamento dei dati sull’importanza di questa figura, ossia far capire in azienda di che tipo di skill si tratti per poter quindi individuare le persone preposte a tale ruolo”. La persona competente, infatti, deve essere nominata individualmente e deve avere determinate caratteristiche: “Oltre alle competenze in materia - prosegue Malatesta -, deve naturalmente essere una persona di fiducia vista la tipologia di reato a cui si va incontro con l’inosservanza di queste regole (non c’è solo la responsabilità sulla privacy ma è prevista anche una responsabilità amministrativa che può tradursi in reato penale, ndr)”. Il passo successivo è legato alle attività che deve svolgere l’amministratore di sistema. “In aziende di medio-grandi dimensioni possono coesistere più amministratori di sistema ed è quindi fondamentale che, una volta nominati individualmente, vengano elencate in modo dettagliato le loro aree di competenza e le singole attività che devono svolgere”, spiega Malatesta ponendo l’accento anche sull’outsourcing. “Anche se un’azienda decide di esternalizzare le attività legate all’amministratore di sistema, deve comunque redigere l’elenco delle persone che possono accedere ai propri sistemi e delle attività che queste svolgono”.Le misure prescritte dal provvedimento, infatti, puntano i riflettori sulla registrazione degli accessi e sull’adozione di sistemi di controllo efficaci per monitorare tali accessi. “Non solo, le attività degli amministratori sono soggette a controllo annuale”, sottolinea Malatesta In conclusione, gli interventi necessari per adeguarsi a queste normative vanno almeno in due direzioni: “Da una parte sono necessari interventi organizzativi e di processo – conclude Malatesta – attraverso l’individuazione di ruoli e attività; dall’altra parte, servono anche interventi tecnologici finalizzati al monitoraggio e al controllo”.

Fonte: Zerounoweb - Autore: Nicoletta Boldrini

30 giugno 2009: scadono gli adempimenti in materia di amministratore di sistema

Si è chiusa qualche giorno fa la consultazione pubblica indetta dall'Autorità Garante in materia di protezione dati personali.In realtà la consultazione pubblica sarebbe stata opportuna prima dell'emanazione del provvedimento avente forza normativa, ma soprattutto sarà da verificare cosa succederà ora, in prossimità della scadenza dell'obbligo di adeguamento normativo. Anche io come legale, avendo “masticato” il provvedimento tutti i santi giorni negli ultimi due mesi, ho prodotto delle osservazioni, qualcuna forse provocatoria – stimolata dagli informatici con cui lavoro, nettamente critici sul provvedimento – taluna indubbiamente e legalmente sensata (me lo dico da sola perchè ci credo!). Riscorrendo il provvedimento mi sono così resa conto che fondamentalmente ci sono dei “buchi neri”: non viene assolutamente affrontata la questione relativa all'ipotesi di amministratore di sistema all'estero (garantisco molto diffusa tra le aziende italiane!!!) né quella ancor più diffusa relativa all'outsourcing. Nel provvedimento si parla in questo ultimo caso di obbligo di richiedere la lista identificativa dei soggetti che possono accedere in qualità di amm.ri di sistema in occasione del rapporto di outsourcing, ma che se ne fa un'azienda di una lista identificativa se non seguono tutti gli altri obblighi relativamente alla loggatura? Loggo i miei amministratori di sistema interni e di quelli esterni tengo un elenco nominativo??? Forse mi sfugge qualcosa. Senza considerare che sarebbe anche opportuno che il testo di legge distinguesse la disciplina in relazione ad outsourcing esterno rispetto all'outsourcing interno.... situazioni giuridicamente e tecnicamente molto diverse tra loro. Dove vogliamo poi mettere la questione relativa alla descrizione dell'evento? Negli ultimi giorni in realtà sono venuta a conoscenza di un prodotto – israeliano – che consente loggatura e descrizione degli accessi dell'amministratore di sistema senza alcun problema, come del resto di prodotti ed implementazioni ne sono usciti diversi (Microsoft stessa ha implementato i propri sistemi http://www.microsoft.com/italy/pmi/privacy/default.mspx) ma sarebbe opportuno che l'Autorità chiarisse il concetto di descrizione. Nell'ultimo mese ne ho sentite di tutti i colori, anche di enti che terranno un registro cartaceo della descrizione degli eventi. Ritorno al passato nell'era dell'informatizzazione???!!! Inoltre il provvedimento ignora un aspetto prettamente legale non indifferente: loggare gli amm.ri di sistema significa fare un controllo a distanza del lavoratore... glielo vogliamo dire alle aziende ed agli enti di gestire i dati nel rispetto della privacy e dei diritti dei lavoratori? Glielo vogliamo dire che sarebbe opportuno incrementare l'informativa al dipendente amministratore di sistema e che l'accesso e la conservazone dei log non deve avere come scopo quello del controllo a distanza del lavoratore? Garanzie per tutti ma non per gli amm.ri di sistema??? Il provvedimento include poi tra gli amministratori di sistema, gli amministratori di base dati. Sono da considerarsi tali coloro che gestiscono in locale una banca dati, già nominati peraltro incaricati al trattamento? L'ipotesi è assai diffusa, ma se confermata la suddetta interpretazione – da molti sostenuta a spada tratta - verrebbe annullata la ratio del provvedimento laddove richiede di porre attenzione a figure speciali (se nomino il 50% degli operatori - in una azienda o un ente - amm.ri di sistema, cade sostanzialmente la particolarità del provvedimento... senza considerare che dovranno essere tutti loggati con una massificazione di dati ingestibile e rischio alto di inapplicazione della normativa) ; inoltre il testo mi impone di individuare gli amm.ri di sistema tenendo conto dell'esperienza, capacità ed affidabilità, e che tali figure siano in grado di fornirmi idonee garanzie sotto il profilo della sicurezza; di fatto l'amministratore di basi di dati, spesso è solo un incaricato che si attiene alle misure di sicurezza imposte dal titolare, quindi ha un profilo “tecnicamente” basso, non qualificato come generalmente in informatica è l'amministratore di sistema vero e proprio; si osserva pertanto che gioverebbe un inquadramento maggiore della figura dell'amministratore di sistema, più orientato sotto il profilo informatico, dovendo osservare che il soggetto meno controllabile è quello più esperto ad eludere il controllo, e quindi in ambiente informatico non certo il singolo operatore ma l'administrator vero e proprio.Per quanto riguarda poi i tempi di conservazione dei log, vengono imposti minimo 6 mesi, e massimo? Forse un anno considerato che annualmente il titolare deve fare la verifica delle competenze e capacità dell'amm.re? Può darsi, ma si brancola nel buio nell'applicare un testo che dovrebbe prestarsi a dare maggiori “istruzioni” ai destinatari dell'applicazione. Il provvedimento di per sé ed idealmente ha una logica, ma lo sviluppo del testo normativo non può prescindere dagli aspetti tecnico-informatici ed applicativi. Altrimenti rischia di venir accantonata l'applicazione... Vedo un lungo lavoro per l'Autorità Garante, ma confidiamo in maggiori spiegazioni e più applicabilità del provvedimento!

Fonte: Consulentelegaleinformatico.it - Autore: Avv. Valentina Frediani

Provvedimento Garante Privacy del 27/11/2008: la figura dell'amministratore di sistema

Vorrei coinvolgere in questo post i Dirigenti Scolastici che oggi sono i titolari del trattamento dei dati e che si stanno adoperando per fare implementare il DPS così come previsto a cadenza annuale dalla normative sulla privacy (scadenza: 31/03/2009). Il 27 Novembre 2008 il Garante per la protezione dei dati personali ha emesso un provvedimento pubblicato sulla G.U. DEL 24/12/2008 relativamente a "Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema". Il Garante dunque ha messo in evidenza l'importanza dei rischi legati all'impiego di amministratori di sistema da parte del titolare del trattamento dei dati. Nello specifico la nuova norma dice: "RITENUTA la necessità di promuovere l'adozione di specifiche cautele nello svolgimento delle mansioni svolte dagli amministratori di sistema, unitamente ad accorgimenti e misure, tecniche ed organizzative, volti ad agevolare l'esercizio dei doveri di controllo da parte del titolare" ricordando a quest'ultimo le responsabilità civili e penali che derivano dal mancato adottamento delle idonee misura di sicurezza: "RILEVATO che i titolari sono tenuti, ai sensi dell'art.31 del Codice, ad adottare misure di sicurezza "idonee e preventive" in relazione ai trattamenti svolti, dalla cui mancata o non idonea predisposizione possono derivare responsabilità anche di ordine penale e civile (artt. 15 e 169 del Codice)".

Il Garante in buona sostanza mette in rilievo come nei sistemi informatici non adeguatamente sicurizzati, si possano manifestare "elevate criticità rispetto alla protezione dei dati", soprattutto nello svolgimento di mansioni di amministrazione di sistema o di tecniche ordinarie quali il salvataggio dei dati (backup/recovery). Il Garante prescrive dunque ai titolari (Dirigenti Scolastici) l'adozione, entro 120 giorni dalla pubblicazione in G.U. (24/12/08) e dunque entro il 24/04/2009, delle nuove ed obbligatorie misure di sicurezza nello specifico:

1. Valutazione delle caratteristiche soggettive nell'attribuzione della funzione di amministratore di sistema;

2. Designazione individuale dell'amministratore di sistema con elencazione analitica degli ambiti di operabilità;

3. Elenco degli amministratori di sistema da riportare nel DPS

4. Servizi di outsourcing. Il titolare deve comunque conservare gli estremi delle persone preposte quali amministratori di sistema;

5. Verifica delle attività degli amministratori di sistema almeno con cadenza annuale;

6. Registrazione degli accessi logici agli archivi elettronici.

I primi 5 punti sono atti formali che devono essere presi in considerazione in fase di stesura del nuovo DPS. Il punto 6 riguarda in particolare le procedure software in dotazione presso la scuola :

"Devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo per cui sono richieste. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore ai 6 mesi"

In buona sostanza le scuole devono utilizzare sistemi software che consentano di registrare gli accessi logici con un sistema di sicurezza non facilmente eludibile e devono farlo in modo che sia chiaramente rintracciabile l'evento che ha generato la registrazione (in particolare mi riferisco a procedure che gestiscano accesso a dati personali/sensibili quali i dati degli alunni o del personale).

Per completezza di informazione vedi il provvedimento sul sito del Garante.

Per meglio verificare la conformità del proprio sistema informatica alle attuali normative sulla privacy vi indico anche "Microsoft per la Privacy".

Fra i siti che parlano di privacy in generale Vi suggerisco in particolare http://www.consulentelegaleprivacy.it/ gestito ed aggiornato egregiamente dal team dell'Avv. Valentina Frediani.