ORDINE DEGLI PSICOLOGI DELLA TOSCANA DOCUMENTO PROGRAMMATICO SULLA SICUREZZA. (ai sensi dell allegato B, 19, d. lgs. 196/2003 e successive modifiche)

Transcript

1 ORDINE DEGLI PSICOLOGI DELLA TOSCANA DOCUMENTO PROGRAMMATICO SULLA SICUREZZA (ai sensi dell allegato B, 19, d. lgs. 196/2003 e successive modifiche) approvato dal Consiglio dell Ordine degli Psicologi della Toscana in data 12 novembre INDICE SEZIONE 1: GENERALITÀ 1.1. Introduzione 1.2. Oggetto e finalità 1.3. Termini e definizioni SEZIONE 2: IL SISTEMA INFORMATICO DEL CONSIGLIO DELL'ORDINE DEGLI PSICOLOGI DELLA TOSCANA: BREVE DESCRIZIONE 2.1. Locali: ubicazione e protezione degli archivi 2.2. Flussi documentali cartacei 2.3. Locali: collocazione degli strumenti informatici SEZIONE 3: ELENCO E DESCRIZIONE DEI TRATTAMENTI DEI DATI PERSONALI (REGOLA 19.1) 3.1. Oggetto e finalità 3.2. Elenco dei trattamenti: informazioni di base Tabella Elenco dei trattamenti: descrizione sintetica 3.3. Elenco dei trattamenti: descrizione degli strumenti utilizzati SEZIONE 4: DISTRIBUZIONE DEI COMPITI E DELLE RESPONSABILITÀ (REGOLA 19.2) 4.1. Contenuti 4.2. Informazioni essenziali Tabella "Organizzazione degli uffici preposti ai trattamenti" SEZIONE 5: ANALISI DEI RISCHI CHE INCOMBONO SUI DATI (REGOLA 19.3) 5.1. Contenuti 5.2. Informazioni essenziali 5.3. Tabella " Analisi dei rischi" 5.4. Tabella "Risorse" SEZIONE 6: MISURE DI PREVENZIONE E PROTEZIONE (REGOLA 19.4) 6.1. Contenuti 6.2. Informazioni essenziali 6.3. Informazioni descrittive e analitiche delle misure di sicurezza 6.4. Tabella "Le misure di sicurezza adottate o da adottare 6.5. Tabella Schede descrittive delle principali misure adottate" SEZIONE 7: CRITERI E MODALITÀ DI RIPRISTINO DELLA DISPONIBILITÀ DEI DATI (REGOLA 19.5) 7.1. Contenuti 7.2. Informazioni essenziali 7.3. Tabella Dettaglio delle attività di salvataggio 7.4. Tabella Dettaglio delle attività di ripristino SEZIONE 8: PIANIFICAZIONE DEGLI INTERVENTI FORMATIVI PREVISTI O SVOLTI (REGOLA 19.6) 8.1. Contenuti 1

2 8.2. Tabella "Dettaglio delle attività di formazione" SEZIONE 9: TRATTAMENTI AFFIDATI ALL ESTERNO (REGOLA 19.7) 9.1. Contenuti 9.2. Informazioni essenziali 9.3. Descrizione dei criteri per garantire l'adozione delle misure SEZIONE 10: NORME PRATICHE D'USO NOMINATIVI DEGLI INCARICATI 2

3 SEZIONE 1: GENERALITA' 1.1 Introduzione Il d.lgs. 30 giugno 2003 n. 196 e ss. mm. garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti, delle libertà fondamentali, nonché della dignità delle persone fisiche, con particolare riferimento alla riservatezza, all'identità personale e al diritto alla protezione dei dati personali. I principi fondamentali del codice in materia di protezione dei dati personali (d'ora in avanti "codice sulla privacy") sono: - principio di necessità nel trattamento dei dati: i sistemi informativi e i programmi informatici sono configurati riducendo al minimo l'utilizzazione di dati personali e di dati identificativi, in modo da escluderne il trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettono di identificare l'interessato solo in caso di necessità; - principio di trasparenza: il titolare del trattamento deve provvedere ad informare l'interessato oralmente o per iscritto circa una serie di elementi caratterizzanti l'attività di trattamento dei dati personali che lo riguardano; - adozione delle misure minime: le misure minime di sicurezza di cui agli artt del codice sulla privacy e di cui all'allegato B (disciplinare tecnico in materia di misure minime di sicurezza) devono essere adottate obbligatoriamente dal titolare del trattamento; - adozione di misure di sicurezza idonee: i dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta Oggetto e finalità Il "Documento programmatico sulla sicurezza dei dati" rappresenta lo standard di sicurezza dei dati trattati sugli elaboratori del Consiglio dell'ordine degli Psicologi della Toscana ed è quindi lo strumento chiave per gestire al meglio tutti gli aspetti relativi alla sicurezza informativa dei dati e delle risorse di elaborazione che necessitano di protezione. Il presente Documento viene aggiornato nel caso di cambiamento degli standard di sicurezza adottati e contiene idonee informazioni riguardo: - l'elenco dei trattamenti dei dati personali; - la distribuzione dei compiti e delle responsabilità nell'ambito delle strutture preposte al trattamento dei dati; - l'analisi dei rischi che incombono sui dati; - le misure da adottare per garantire l'integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità; - la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a distruzione o a danneggiamento; - la previsione di interventi formativi degli incaricati del trattamento; - la descrizione dei criteri da adottare per garantire l'adozione delle misure minime di sicurezza in caso di trattamenti di dati personali affidati, in conformità al codice, all'esterno della struttura del titolare Termini e definizioni Ai fini del Documento si intende: - per trattamento qualunque operazione o complesso di operazioni, svolti con o senza l'ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione dei dati, anche se non registrati in una banca dati; - per dato personale qualunque informazione relativa a persona fisica, persona giuridica, ente, associazione o organismo, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso il numero di identificazione personale; - per dati sensibili i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni o organizzazioni a carattere religioso, filosofico politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale; 3

4 - per dati giudiziari i dati personali indicati nell'art. 4, comma 1, lett. e), del codice in materia di privacy; - per dati comuni i dati personali diversi da quelli sensibili e giudiziari; - per dato anonimo il dato che in origine o a seguito di trattamento non può essere associato ad un interessato identificato o identificabile; - per titolare del trattamento il Consiglio dell'ordine degli Psicologi della Toscana; - per responsabile del trattamento la persona fisica, giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione o organismo preposti dal titolare al trattamento dei dati personali; - per incaricato del trattamento la persona fisica individuata formalmente dal titolare o dal responsabile del trattamento all'interno delle varie unità operative e da questi autorizzata a compiere le operazioni di trattamento dei dati stessi; - per banca dati qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti; - per comunicazione il dare conoscenza dei dati personali ad uno o più soggetti determinati diversi dall'interessato, dal responsabile e dagli incaricati, anche tramite la messa a disposizione o consultazione; - per diffusione il dare conoscenza dei dati personali a soggetti indeterminati in qualunque forma, anche tramite la messa a disposizione o consultazione; - per blocco la conservazione di dati personali per i quali è stata sospesa ogni altra operazione di trattamento; - per Garante l'autorità di cui alla parte III, titolo II, del codice in materia di privacy; - per circolazione interna la comunicazione di dati personali all'interno degli uffici del Consiglio dell'ordine. SEZIONE 2: IL SISTEMA INFORMATICO DEL CONSIGLIO DELL'ORDINE DEGLI PSICOLOGI DELLA TOSCANA: BREVE DESCRIZIONE 2.1 Locali: ubicazione e protezione degli archivi L Ordine degli Psicologi della Toscana è un ente di diritto pubblico istituito in base alla legge n. 56/89. Ha sede unica in Firenze, via Panciatichi, 38/5. Gli archivi cartacei contenenti i fascicoli degli iscritti, l archivio cartaceo riferito agli affari generali dell Ordine e gli archivi contabili si trovano nella sede dell Ordine. Gli armadi in cui sono conservati i fascicoli degli iscritti e quelli dell archivio affari generali vengono chiusi a chiave alla fine dell orario di apertura degli uffici. Le chiavi sono custodite dal personale dipendente addetto e incaricato come da elenco. Parte degli archivi contabili e i documenti riferiti alla materia disciplinare sono collocati in armadi separati e gestiti da personale elencato in un diverso elenco. L accesso alla sede è regolamentato per il pubblico e le metodologie di accesso sono consentite solo per orari e metodi definiti ed esposti. Non esistono aree di promiscuità fra pubblico e addetti Flussi documentali cartacei Le modalità di trattamento generali dei flussi documentali cartacei sono regolamentate come segue. Tutti gli incaricati che abbiano la necessità di maneggiare i supporti cartacei nell ambito dei rispettivi trattamenti sono tenuti ad agire nel rispetto delle seguenti regole: 1) Obbligo di riservatezza: per i documenti cartacei valgono le medesime considerazioni dei dati generici, relativamente alla necessità di non divulgazione né volontaria né involontaria. 2) Tutti gli incaricati sono obbligati a non lasciare documenti cartacei incustoditi. 3) Il documento cartaceo deve restare a disposizione dell incaricato solamente per il tempo necessario alla sua elaborazione informatica. 4) Qualora un documento cartaceo non necessitasse di elaborazione informatica viene immediatamente archiviato nell archivio cartaceo sotto chiave. 5) Solo gli incaricati hanno diritto di accedere in archiviazione e/o consultazione all archivio cartaceo. 6) L archivio cartaceo è sito nella sede della società. 7) Nessun soggetto terzo deve essere lasciato solo nella sede dell Ordine senza il controllo a vista di un incaricato. 8) La modalità di accesso ai documenti da parte di un soggetto terzo è regolata dalle vigenti norme di legge e dalle disposizioni regolamentari adottate in materia dal Consiglio Locali: collocazione degli strumenti informatici 4

5 L Ordine utilizza una rete di personal computers, alcuni dei quali con funzioni server. I PC sono collegati tramite una rete locale e a Internet. In uso vi sono anche strumenti atti alla riproduzione cartacea delle informazioni elettroniche ed alla trasmissione telemeatica sia di documenti elettronici che cartacei. La gestione elettronica delle informazioni è realizzata mediante un sistema gestionale realizzato dall Ordine, il quale ne detiene la proprietà intellettuale e le sorgenti software. La descrizione del sistema informativo dell Ordine e nel documento Descrizione del sistema Informativo OPT che, sottoscritto dall Amministratore e Responsabile del sistema informativo, integra il presente documento e nel quale sono elencati tutte le aziende esterne che forniscono consulenza/assistenza informatico/telematica all ordine. 5

6 SEZIONE 3: ELENCO E DESCRIZIONE DEI TRATTAMENTI DEI DATI PERSONALI (REGOLA 19.1) 3.1 Oggetto e finalità L attività professionale dell Ente comporta il trattamento da parte del titolare (Consiglio dell Ordine degli Psicologi della Toscana) e degli incaricati (come meglio in seguito definiti) di dati personali, che comprendono anche dati sensibili e giudiziari. Nella presente sezione sono elencati e descritti i trattamenti effettuati dall'ordine. 3.2 Elenco dei trattamenti: informazioni di base La natura e la tipologia dei dati trattati dall'ordine degli Psicologi della Toscana e le operazioni eseguibili sugli stessi sono descritte in dettaglio nell'allegato sub A) al Regolamento sulla tutela riservatezza di dati personali approvato dal Consiglio dell'ordine degli Psicologi della Toscana in data 29 dicembre 2004 e poi modificato in data 12 novembre I trattamenti dei dati eseguiti dall'ordine degli Psicologi della Toscana sono qui di seguito identificati, con indicazione sintetica relativa alla natura dei dati, alle operazioni eseguibili su di essi, alla struttura di riferimento e al responsabile del trattamento Tabella Elenco dei trattamenti: descrizione sintetica Identificativo trattamento e tipologia dei dati 1 a) Iscritti: dati personali obbligatori degli iscritti all Albo Natura dei dati: sensibili e/o giudiziari Sì Operazioni Struttura di riferimento Responsabile raccolta, registrazione, organizzazione, Ufficio Affari generali, Ufficio Segretario del conservazione, consultazione, elaborazione, Segreteria Iscritti, Ufficio Consiglio modificazione, selezione, estrazione, raffronto, Protocollo, Ufficio Contabilità, utilizzo, interconnessione, blocco Ufficio Acquisti e Gare comunicazione diffusione e cancellazione Ufficio Affari generali 1 b) Iscritti: dati personali No raccolta, registrazione, organizzazione, Ufficio Affari generali, Ufficio Segretario del facoltativi degli iscritti conservazione, consultazione, elaborazione, Segreteria Iscritti, Ufficio Consiglio all Albo modificazione, selezione, estrazione, raffronto, Protocollo, Ufficio Contabilità; utilizzo, interconnessione, blocco Ufficio Acquisti e Gare comunicazione e cancellazione Ufficio Affari generali 2 Fornitori: dati personali dei fornitori 3 Personale dipendente: dati personali del personale dipendente No raccolta, registrazione, consultazione Ufficio Affari generali,ufficio consultazione, organizzazione, conservazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco e comunicazione Protocollo, Ufficio Contabilità; Ufficio Acquisti e Gare Ufficio Affari generali, Ufficio Contabilità, Ufficio Acquisti e Sì raccolta, registrazione, consultazione Ufficio Affari generali, Ufficio Gare Protocollo; Ufficio Contabilità organizzazione, conservazione, elaborazione, modificazione, selezione, estrazione, raffronto, utilizzo, interconnessione, blocco, Ufficio Affari generali, Ufficio Contabilità consultazione, comunicazione 4 Corrispondenza e * * * * 5 Protocollo No raccolta, registrazione, organizzazione, conservazione Ufficio Affari generali, Ufficio Protocollo Segretario del Consiglio Segretario del Consiglio Segretario del Consiglio 6

7 * I trattamenti identificati come 1(a/b), 2 e 3 implicano ovviamente l impiego dei dati nella corrispondenza postale o a mezzo fax, o tramite le informazioni relative alla natura dei dati, alle operazioni eseguibili, alle strutture di riferimento e al responsabile restano immutate. Per i documenti su supporto elettronico (cartelle file system e messaggi di posta elettronica) si veda oltre Elenco dei trattamenti: descrizione degli strumenti utilizzati Nella tabella che segue sono elencati gli strumenti utilizzati per i singoli trattamenti effettuati dall Ordine degli Psicologi della Toscana alla data di redazione del Documento programmatico sulla sicurezza. Per ciascun tipo di trattamento, vengono indicati l eventuale banca dati, il luogo di custodia dei supporti di memorizzazione, la tipologia dei dispositivi di accesso e la tipologia di interconnessione. Identificativo del trattamento Eventuale banca dati Ubicazione fisica dei supporti di memorizzazione Tipologia di dispositivi di accesso Tipologia di interconnessione Iscritti a), b) Gestionale interno + cartelle file system Fornitori Gestionale interno + cartelle file system Hard Disk server e PC della sede + copie di backup su nastro Hard Disk server e PC della sede + copie di backup su nastro Dipendenti cartelle file system Hard Disk server e PC della sede + copie di backup su nastro Corrispondenza cartelle file system Hard Disk server e PC della sede + copie di backup su nastro Mail server + cartelle file system Protocollo Gestione protocollo + software immagina Hard Disk server e PC della sede + copie di backup su nastro Hard disk server e PC della sede + copie di backup su nastro Personal Computer Personal Computer Personal Computer Personal Computer Personal Computer Personal Computer Rete locale Rete locale Rete locale Rete locale Rete locale Rete Locale Nella colonna identificativo del trattamento è stato inserito l identificativo del trattamento. Nella colonna eventuale banca dati è stato indicato l archivio elettronico che, eventualmente, racchiude i dati relativi al corrispondente trattamento. In tale colonna è anche precisato, oltre ai software di gestione, se esiste una strutturazione di documenti su file system. L unico archivio elettronico che può contenere dati sensibili è quello relativo agli iscritti. È previsto altresì che documenti realizzati internamente possano contenere dati sensibili. Tali documenti possono essere archiviati solamente in una cartella specifica del file system del server, il cui accesso è protetto da password. Nella colonna ubicazione fisica dei supporti di memorizzazione è stato indicato che la banca dati e le cartelle strutturate ad albero nel file system sono memorizzate sul disco fisso del server della sede dell Ordine e sui dischi fissi dei PC della stessa sede. Le copie di sicurezza sono gestite mediante la procedura di backup descritta nel documento Descrizione del sistema Informativo OPT. Nella colonna tipologia di dispositivi d accesso è stato precisato che l accesso ai dati da parte degli incaricati al trattamento avviene tramite personal computer connessi alla rete locale della sede dell Ordine e solamente tramite autenticazione gestita dal server locale. 7

8 SEZIONE 4: DISTRIBUZIONE DEI COMPITI E DELLE RESPONSABILITÀ (REGOLA 19.2) 4.1. Contenuti In questa sezione è costruita una mappa che associa ad ogni struttura aziendale i trattamenti da questa effettuati, descrivendo sinteticamente l organizzazione della struttura medesima e le relative responsabilità Informazioni essenziali Gli uffici dell Ordine hanno una struttura articolata in un solo livello che viene descritta sinteticamente nella tabella che segue insieme con i trattamenti a cui l ufficio è addetto Tabella Organizzazione degli uffici preposti ai trattamenti Nella tabella che segue sono elencati, alla data di redazione del Documento programmatico sulla sicurezza, gli organi e gli uffici dell Ordine degli Psicologi preposti ai trattamenti. Ufficio addetto al trattamento Ufficio Affari Generali Ufficio Contabilità Ufficio Segreteria Iscritti Ufficio Acquisti e gare Trattamenti operati dall ufficio Compiti dell ufficio Responsabile Tutti i trattamenti (1-5) Trattamento 1a (escluse comunicazione, diffusione, cancellazione) Trattamento 1 b) (l intero trattamento per quanto concerne i dati contabili; modalità di trattamento escluse: comunicazione, cancellazione; escluso il trattamento di dati sensibili) Trattamento 2 Trattamento 3 Trattamento 4 Trattamento 5 (solo consultazione) Trattamento 1 a (escluse comunicazione, diffusione, cancellazione) Trattamento 1 b) (modalità di trattamento escluse: comunicazione, cancellazione, escluso il trattamento di dati sensibili se non nella fase di raccolta) Trattamento 4 Trattamento 5 (solo consultazione) Trattamento 1 a (escluse comunicazione, diffusione, cancellazione,) Trattamento 1 b) (modalità di trattamento escluse: comunicazione, cancellazione; escluso il trattamento di dati sensibili se non nella fase di raccolta) Trattamento 2 Gestire e coordinare il corretto svolgimento dell attività istituzionale in tutti i suoi aspetti. Gestire il corretto svolgimento dell attività contabile dell Ordine. Gestire il corretto svolgimento dell attività di segreteria dei professionisti iscritti all Ordine. Gestire il corretto svolgimento della gestione acquisti e gare Segretario del Consiglio Segretario del Consiglio Segretario del Consiglio Segretario del Consiglio 8

9 Trattamento 4 Trattamento 5 (solo consultaz.) Ufficio Protocollo Trattamento 1 a (escluse comunicazione, diffusione, cancellazione) Gestione protocollo elettronico Segretario del Consiglio Trattamento 1 b) (modalità di trattamento escluse: comunicazione, cancellazione; è escluso il trattamento di dati sensibili se non nella fase di raccolta) Trattamento 2 (escluse organizzazione, conservazione, elaborazione, modificazione, selezione, raffronto, utilizzo, interconnessione, blocco e comunicazione) Trattamento 3 (escluse organizzazione, conservazione, elaborazione, modificazione, selezione, raffronto, utilizzo, interconnessione, blocco e comunicazione) Trattamento 4 Trattamento 5 Come si evince chiaramente dalla tabella di cui sopra, l Ordine degli Psicologi della Toscana è un piccolo Ente che persegue il conseguimento dei propri fini istituzionali attraverso l opera di un numero ridotto di soggetti che, ai fini dei trattamenti in esame, svolgono mansioni in parte interscambiabili. Il Consiglio dell Ordine dal gennaio 2011 ha affidato il ruolo di Amministratore e responsabile del sistema informatico nonché Responsabile delle banche informatiche alla ditta ITACA Srl che pertanto garantisce del corretto funzionamento della dotazione informatica degli uffici, dell efficacia delle misure di sicurezza adottate e da adottare e della verifica delle attività di salvataggio e ripristino dati così come descritto in dettaglio nelle sezioni 6 e 7. 9

10 SEZIONE 5:ANALISI DEI RISCHI CHE INCOMBONO SUI DATI (REGOLA 19.3) 5.1. Contenuti In questa sezione si intendono individuare i principali eventi potenzialmente dannosi per la sicurezza dei dati, valutarne le possibili conseguenze e la gravità e porli in correlazione con misure previste Informazioni essenziali Elenco degli eventi: contiene l elenco degli eventi che possono generare danni e che comportano quindi rischi per la sicurezza dei dati personali. L elenco identifica, pertanto, diversi eventi che possono essere rilevanti per l analisi dei rischi per la sicurezza dei dati personali. Nella tabella riportata nel seguito è proposta una lista completa degli eventi presi in considerazione. Impatto sulla sicurezza dei dati: contiene la descrizione delle principali conseguenze individuate per la sicurezza dei dati, in relazione a ciascun evento ed una valutazione della gravità delle stesse, anche in relazione alla probabilità stimata dell evento. In questo modo è possibile formulare un indicatore qualitativo di gravità omogeneo per i diversi eventi. Misure d azione: contiene la descrizione del riferimento alla contromisura adottata per contrastare l evento descritto Tabella Analisi dei rischi Nella tabella che segue viene analizzata, alla data di redazione del Documento programmatico sulla sicurezza, la situazione sotto il profilo dei rischi che corrono i trattamenti effettuati dall Ordine degli Psicologi della Toscana. Evento Impatto sulla sicurezza dei dati Rif. misure d azione Descrizione Gravità stimata Comportamento degli operatori Eventi relativi agli strumenti Furto di credenziali di autenticazione Possibilità di accesso ai dati dei singoli trattamenti da parte di terzi. Carenza di Possibilità di consapevolezza, accesso ai dati disattenzione o dei singoli incuria trattamenti da parte di terzi. Comportamenti Possibilità di sleali o accesso ai dati fraudolenti dei singoli trattamenti da parte di terzi. Errore materiale Possibilità di accesso ai dati dei singoli trattamenti da parte di terzi. Azione di virus Possibilità di informatici o di accesso ai dati codici malefici dei singoli trattamenti da parte di terzi. Spamming o altre Blocco tecniche di dell accesso ai sabotaggio dati o dell accesso al sistema Verifica costante dei log di accesso e sensibilizzazione dei singoli incaricati sull importanza di non lasciare traccia scritta delle componenti private delle credenziali di autenticazione. Indicazione esplicita agli incaricati che l eventuale annotazione su supporto cartaceo della componente privata della credenziale deve essere scritta in modo non intellegibile a terzi e, comunque, solo per il tempo strettamente necessario alla sua memorizzazione da parte del soggetto fisico. Sensibilizzazione dei singoli incaricati sull importanza di effettuare il trattamento con tutte le precauzioni del caso. Indicazione esplicita delle possibili conseguenze penali e/o civili derivanti. Verifica costante dei log di accesso per verificare l attività svolta e controllo che tali attività corrispondano effettivamente ai soggetti fisici corrispondenti. Verifica costante dei log di accesso per verificare l attività svolta e controllo che tali attività corrispondano effettivamente ai soggetti fisici corrispondenti. Particolare attenzione viene posta all attività di formazione professionale degli incaricati per prevenire tali errori. Aggiornamenti regolari del software antivirus, controlli periodici delle impostazioni di protezione del firewall, controlli costanti con software di rilevamento di malware, controllo delle impostazioni di sicurezza dei sistemi operativi delle singole macchine, verifica costante dei log di accesso. Utilizzo di software anti-spam, utilizzo della posta elettronica come elemento non indispensabile per lo svolgimento dell attività per poter proseguire anche in assenza dei relativi strumenti. Possibilità di isolare dal resto della rete la macchina con le copie di sicurezza per accesso temporaneo ai dati in copia. Formazione tecnica per intervento diretto dei singoli 10

11 Eventi relativi al contesto Malfunzionament o, indisponibilità o degrado degli strumenti Accessi esterni non autorizzati Intercettazione di informazioni in rete Accessi non autorizzati a locali/reparti ad accesso ristretto Blocco dell accesso ai dati o dell accesso al sistema Possibilità di accesso ai dati dei singoli trattamenti da parte di terzi. Possibilità di accesso ai dati dei singoli trattamenti da parte di terzi. Possibilità di accesso ai dati dei singoli trattamenti da parte di terzi. Asportazione e Possibilità di furto di strumenti accesso ai dati contenenti dati dei singoli trattamenti da parte di terzi. Eventi distruttivi Blocco naturali o dell accesso ai artificiali, dolosi, dati o accidentali o dell accesso al dovuti ad incuria sistema Guasto ai sistemi Blocco complementari dell accesso ai (impianto dati o elettrico, dell accesso al climatizzazione, sistema etc.) Errori umani Blocco nella gestione dell accesso ai della sicurezza dati o fisica dell accesso al sistema e possibilità di accesso ai dati dei singoli trattamenti da parte di terzi. incaricati. Ridondanza dei sistemi in modo tale da poter utilizzare postazioni differenti per svolgere le medesime attività. Possibilità di accedere alle copie di sicurezza per utilizzo temporaneo. Formazione tecnica per intervento diretto dei singoli incaricati per il ripristino, la riparazione o la sostituzione dei dispositivi danneggiati. Possibilità di accesso fisico (ai locali) o logico (ai dati) molto remota. Utilizzo degli strumenti di protezione adeguati sia dal punto di vista software (protezione da accessi logici come descritto ai punti precedenti) che dal punto di vista fisico (protezione e controllo dei locali per evitare accessi di terzi). Rete fisica controllata a vista. Mancanza di profili utente e generici. Firewall per bloccare accessi indesiderati. Disposizioni specifiche agli interessati al trattamento per evitare quanto più possibile l invio di documentazione a terzi via posta elettronica o fax. Consegna a terzi al fine di elaborazione contabile brevi manu della documentazione fiscale e della documentazione per il calcolo delle buste paga senza trasmissione via rete. Esiste un solo locale ad accesso ristretto nella sede protetto da chiaved e non accessibile in modo generico. In orario d ufficio presso la sede è sempre presente almeno un incaricato al trattamento con funzioni anche di controllo della sede. In caso di assenza di incaricati la sede è chiusa a chiave e le macchine spente o, comunque, protette dai meccanismi descritti nei punti precedenti. Protezione di tutti i pc tramite credenziali di autenticazione e impostazioni di sistema operativo adeguate. Verifica costante delle apparecchiature per verificare la mancanza di bachi nella sicurezza. Tutte le apparecchiature utilizzate presso la sede dell Ordine per il trattamento dei dati sono protette da surriscaldamento. Eventi che possano danneggiare uno o più apparecchi non inficiano il funzionamento del sistema complessivo che ha necessità di una sola postazione funzionante. Tramite un gruppo di continuità è garantito il funzionamento delle attività principali per il tempo necessario alla corretta terminazione delle stesse. Altri eventi non potrebbero creare problemi di accesso ai dati permanenti, ma solo temporanei, con limitato impatto sull attività. La gestione della sicurezza è stata strutturata in modo tale da garantire un elevato standard in rapporto alle necessità dell Ordine. Eventuali errori potrebbero comportare conseguenze in ambito non rilevante per la sicurezza complessiva dell attività. Eventuali conseguenze nella sfera di interesse dell attività avrebbero comunque limitati effetti per le ragioni dette sopra. Si evidenzia che la maggior parte dei dati trattati non è né sensibile né giudiziaria, un eventuale errore nella gestione della sicurezza del loro trattamento potrebbe addirittura non comportare alcun tipo di conseguenza. In generale l analisi dei rischi può essere condotta utilizzando metodi di complessità diversa. L approccio utilizzato in questa sede, per la schematizzazione rappresentata nella tabella di cui sopra, rappresenta un approccio ritenuto più che adeguato al contesto dell Ordine degli Psicologi della Toscana che, per le ridotte dimensioni e per la ridotta complessità organizzativa, non richiede analisi più articolate. È utile precisare, inoltre, che essendo la sede dell Ordine ubicata in locali con accesso attraverso porta blindata e che non ci può essere accesso di terzi senza che sia presente almeno uno degli incaricati al trattamento, le possibilità che si verifichi un accesso ai dati indesiderato da parte di terzi rientra nelle norma. 11

12 5.4. Risorse Tutte le risorse sono elencate nel già citato documento Descrizione del sistema Informativo OPT. Tale documento è sottoposto a continuo aggiornamento e revisione. 12

13 SEZIONE 6: MISURE DI PREVENZIONE E PROTEZIONE (REGOLA 19.4) 6.1. Contenuti In questa sezione vengono riportate, in forma sintetica, le misure in essere e da adottare a contrasto dei rischi individuati dall analisi dei rischi. Si precisa che con il termine misura si intende non solo lo specifico intervento tecnico od organizzativo posto in essere per prevenire, contrastare o ridurre gli effetti relativi ad una specifica minaccia, ma anche tutte quelle attività di verifica e controllo nel tempo, essenziali per assicurarne l efficacia. È assodato, infatti, che senza procedure di controllo periodico nessuna misura può essere considerata completa Informazioni essenziali Misure: la descrizione sintetica della misura di sicurezza adottata. Rischio contrastato: per ogni misura viene indicato il riferimento all elemento dell analisi dei rischi che ha motivato l adozione della misura in oggetto. Data base/trattamento interessato: viene riportato l identificativo del data base o dell archivio informatizzato e dei trattamenti interessati per ciascuna delle misure adottate. Non tutte le misure adottate sono riconducibili a specifici trattamenti o basi di dati. Rif. Scheda analitica: contiene il riferimento eventuale ad una scheda analitica descrittiva della misura, eventualmente compilata anche utilizzando la successiva tabella. Data di effettività: per ogni misura viene indicata la data a partire dalla quale la misura è operativa o se già operativa la dicitura standard in essere. Periodicità e modalità dei controlli: contiene l indicazione della periodicità con cui sono verificate la funzionalità e l efficienza della misura in questione e della struttura operativa che ne ha la responsabilità Informazioni descrittive analitiche delle misure di sicurezza Oltre alle informazioni sintetiche sopra riportate è stata compilata, per ciascuna misura, una scheda analitica contenente un maggior numero di informazioni, utili nella gestione operativa della sicurezza ed, in particolare, nelle attività di verifica e controllo. Queste schede sono a formato libero e le informazioni utili sono state decise in funzione della specifica misura Tabella Le misure di sicurezza adottate o da adottare Nella tabella che segue viene analizzata, alla data di redazione del Documento programmatico sulla sicurezza, la situazione delle più significative misure di sicurezza adottate (o da adottare) dall Ordine degli Psicologi della Toscana. Rischio contrastato Trattamento interessato Eventuale banca dati interessata Rif. Scheda analitica Data di effettività Periodicità e responsabilità dei controlli Verifica dei log Accessi di terzi e altri rischi minori Istruzioni agli incaricati Comunicazione involontaria e altri rischi minori Antivirus Accessi indesiderati, sabotaggi informatici, blocco dei sistemi e altri rischi minori Tutti Tutte 001 In essere Amministratore del sistema informatico Tutti Tutte 002 In essere Amministratore del sistema informatico Tutti Tutte 003 In essere Amministratore del sistema informatico 13

14 Antispam Antispyware antimalware Firewall Sicurezza di Sistema operativo e Sabotaggi, blocco dei sistemi e altri rischi minori Sabotaggi, blocco dei sistemi e altri rischi minori Accessi indesiderati, sabotaggi informatici e altri rischi minori Accessi indesiderati e altri rischi minori Formazione specifica Accessi indesiderati, utilizzo improprio, e altri rischi minori Formazione tecnica Back-up Ridondanza dei sistemi Gruppi di continuità Guasti hardware e software e altri rischi minori Perdita di dati e altri rischi minori Blocco dei sistemi e altri rischi minori Blocco dei sistemi e altri rischi minori Collocazione fisica Allagamento, altri eventi dannosi naturali e altri rischi minori Controllo accessi fisici Protezione locali Accessi indesiderati e altri rischi minori Accessi indesiderati e altri rischi minori Protezione documenti Accessi indesiderati ai documenti e altri rischi minori Climatizzazione locali Guasti hardware e altri rischi minori Tutti Tutte 004 In essere Amministratore del sistema informatico Tutti Tutte 005 In essere Amministratore del sistema informatico Tutti Tutte 006 In essere Amministratore del sistema informatico Tutti Tutte 007 In essere Amministratore del sistema informatico Tutti Tutte 008 In essere Titolare e Amministratore del sistema informatico Tutti Tutte 009 In essere Amministratore del sistema informatico Tutti Tutte 010 In essere Amministratore del sistema informatico Tutti Tutte 011 In essere Amministratore del sistema informatico Tutti Tutte 012 In essere Amministratore del sistema informatico Tutti Tutte 013 In essere Titolare Tutti Tutte 014 In essere Titolare Tutti Tutte 015 In essere Titolare Tutti Tutte 016 In essere Titolare Tutti Tutte 017 In essere Titolare 14

15 6.5. Tabella Schede descrittive delle principali misure adottate Nelle tabelle che seguono vengono analizzate, alla data di redazione del Documento programmatico sulla sicurezza, alcune delle singole misure di sicurezza adottate, già indicate nella tabella precedente, per cui sono utili maggiori approfondimenti. Scheda N 001 Compilata da Titolare Data di compilazione 29/06/2004 Verifica dei log di accesso e delle attività svolte Attività quotidiana di verifica dei log di sistema e di programma La misura consiste nel periodico controllo dei file di log di sistema operativo. Tali log tracciano l attività completa svolta dagli utenti connessi al sistema. Per verificare che non ci siano state personificazioni fraudolente è necessario confrontare l attività risultante dai log con l attività realmente svolta dai singoli utenti. Scheda N 002 Compilata da Titolare Data di compilazione 29/06/2004 Istruzioni agli incaricati Istruzioni specifiche per le modalità di gestione dei dati e dell utilizzo dei programmi Prima dell implementazione dei controlli è stato ritenuto necessario che gli incaricati venissero opportunamente istruiti sia sulla tipologia di dati che trattano, sia sulle caratteristiche e funzionalità degli applicativi software che utilizzano. Con una piena consapevolezza di tali fattori, infatti, è possibile prevenire una grande quantità di errori umani. Tra le norme di tipo pratico è utile precisare che i singoli incaricati vengono sensibilizzati a monitorare il corretto funzionamento del sistema per individuare possibili intromissioni (finestre indesiderate, comportamenti anomali del sistema, rallentamenti anomali del sistema, traffico anomalo di rete, etc.). Tra le istruzioni operative è utile precisare che gli operatori sono addestrati a non lasciare le proprie postazioni di lavoro non presidiate. Tramite salvaschermo protetto da password o tramite attività di disconnessione le macchine che non sono presidiate sono sempre inaccessibili. Tali norme sono ancora più rigide qualora ci fossero estranei all interno della sede (in tal caso gli operatori hanno istruzioni di non utilizzare il PC qualora i visitatori avessero la possibilità di trovarsi in vista dello schermo). Scheda N 003 Compilata da Titolare Data di compilazione 29/06/2004 Antivirus Software per la rilevazione di virus, programmi dannosi, e accessi indesiderati Su ogni singola macchina dell azienda è installato un software antivirus con aggiornamenti automatici o manuali quotidiani e scansione completa automatica o manuale almeno settimanale. Scheda N 004 Compilata da Titolare Data di compilazione 29/06/2004 Antispam Software per la cancellazione automatica e manuale di messaggi di posta elettronica indesiderati Su ogni singola macchina dell azienda che invia e/o riceve posta elettronica è installato un software antispam che viene costantemente aggiornato nelle definizioni (mittenti indesiderati, oggetti indesiderati, contenuti indesiderati, domini indesiderati, etc.) attraverso i messaggi spam filtrati, in modo tale da consentire un autoapprendimento che consenta di aumentare l efficienza nel tempo. Il programma antispam viene aggiornato manualmente ogniqualvolta viene rilasciata una nuova versione. 15

16 Scheda N 005 Compilata da Titolare Data di compilazione 29/06/2004 Antispyware e antimalware Software per la rilevazione di programmi spia, e cookie indesiderati Su ogni singola macchina dell azienda è installato almeno un software antispywere eventualmente integrato con il software antivirus. La loro funzione è quella di individuare cookie indesiderati e applicazioni spia che vengono installati nel pc ad insaputa dell utente durante la normale navigazione in internet. Tali programmi rilevano le componenti indesiderate e le eliminano automaticamente. In quei casi in cui non fossero in grado di eseguire la rimozione in automatico, tale operazione viene effettuata manualmente dall operatore. Scheda N 006 Compilata da Titolare Data di compilazione 29/06/2004 Firewall Software per impedire l accesso alla rete locale e ai dispositivi connessi La rete dispone di un firewall. Tale dispositivo è configurato per consentire l uscita o l entrata alla rete solamente alle applicazioni elencate. Ovviamente, oltre a tali funzionalità, la configurazione prevede il blocco degli indirizzi ip esterni alla rete oltre ad una serie di controlli e di blocchi a vari livelli. Scheda N 007 Compilata da Titolare Data di compilazione 29/06/2004 Sicurezza di sistema operativo Utilizzo di tutti gli strumenti per gestire la sicurezza a livello di sistema operativo Le possibilità di gestione della sicurezza sono demandate al sistema operativo dei server. La possibilità di definire i profili utente in tutti i possibili aspetti di dettaglio, la possibilità di indicare con precisione le abilitazioni di accesso ad ogni singola cartella e ad ogni singolo file del sistema, la possibilità di abilitare con precisione le porte e i rispettivi processi abilitati ad utilizzarle e molto altro ancora, permettono di ottenere un elevato livello di sicurezza. Inoltre sono attive ulteriori credenziali e password per l accesso alle banche dati tramite i sistemi di gestione. Scheda N 008 Compilata da Titolare Data di compilazione 29/06/2004 Formazione specifica Formazione specifica per l utilizzo dei programmi e per l informatica in genere Elemento fondamentale per ridurre i rischi connessi al trattamento dei dati in generale è la formazione specialistica degli operatori. Operatori che non abbiano la piena consapevolezza del funzionamento degli applicativi che utilizzano e del sistema operativo installato sulle postazioni su cui operano sono fattori di rischio per la qualità dei singoli trattamenti. A tal fine vengono predisposte sessioni di formazione sia sugli applicativi sia sui sistemi operativi. La frequenza di tali sessioni è correlata a vari fattori (necessità di trattamento, variazione di applicativi e/o piattaforme operative, esigenze specifiche, etc.). Scheda N 009 Compilata da Titolare Data di compilazione 29/06/2004 Formazione tecnica Formazione tecnica per la riparazione di guasti hardware e software 16

17 Una formazione specifica di tipo tecnico consente agli operatori di acquisire quella autonomia sufficiente per la gestione delle problematiche di primo intervento (risoluzione di problemi legati a malfunzionamenti e/o bloccaggi del sistema e/o della rete). Scheda N 010 Compilata da Titolare Data di compilazione 29/06/2004 Back-up Attività di gestione dei salvataggi periodici e delle verifiche per i ripristini L attività e descritta nel documento Descrizione del sistema Informativo OPT. Scheda N 011 Compilata da Titolare Data di compilazione 29/06/2004 Ridondanza dei sistemi Disponibilità di macchine in esubero rispetto agli operatorie alle necessità reali Un aspetto fondamentale del piano della sicurezza adottato consiste nell avere un numero di postazioni di lavoro sovrabbondante rispetto alle reali esigenze. In tale modo è possibile che, a fronte di malfunzionamento o guasto bloccante, una postazione possa essere immediatamente dimessa senza che questo infici l attività di trattamento; pianificando per un momento successivo l intervento di ripristino della postazione guasta. Scheda N 012 Compilata da Titolare Data di compilazione 29/06/2004 Gruppi di continuità Utilizzo di dispositivi stabilizzatori di tensione con accumulatori esterni L utilizzo di un gruppo di continuità sulla macchina più strategica dal punto di vista funzionale permette di garantire il corretto funzionamento anche a fronte di problemi nell erogazione di corrente da parte del fornitore del servizio. Oltre a ciò, l adozione di gruppi di continuità permette di tutelare gli alimentatori da sbalzi di corrente, sovratensioni o quant altro. Scheda N 013 Compilata da Titolare Data di compilazione 29/06/2004 Collocazione fisica Posizionamento rialzato delle apparecchiature e dei dispositivi Tutte le apparecchiature sono posizionate su scrivanie, su piani rialzati, su supporti specifici o su piedini di rialzo in modo tale da prevenire eventuali problemi di danneggiamento accidentale da parte di operatori delle pulizie o da parte di eventi eccezionali (rotture di tubi dell acqua, allagamenti, etc.). Scheda N 014 Compilata da Titolare Data di compilazione 29/06/2004 Controllo accessi fisici Controllo di tutte le persone che accedono ai locali della sede operativa 17

18 L apertura al pubblico è limitata a locali in cui non avviene il trattamento dei dati, pertanto l accesso di personale estraneo all Ordine ai locali in cui avviene il trattamento è evento raro. Per questa ragione è stato predisposto un piano di controllo che consenta ad uno o più incaricati di verificare a vista l attività delle persone che hanno avuto necessità di accedere ai locali dell azienda. Qualora fosse necessario è previsto che il trattamento dei dati venga temporaneamente sospeso per evitare che soggetti terzi possano venire accidentalmente a contatto con eventuali dati trattati. Scheda N 015 Compilata da Titolare Data di compilazione 29/06/2004 Protezione locali Dispositivi di protezione dei locali della sede operativa I locali della sede dell Ordine, che ospitano tutte le postazioni di lavoro della rete, sono protetti da una porta blindata con serratura di sicurezza, da un portone condominiale con serratura a chiave, in modo tale da preservare i locali da accessi indesiderati. Scheda N 016 Compilata da Titolare Data di compilazione 28/06/2004 Protezione documenti Dispositivi di protezione dei documenti I documenti cartacei sono protetti da accesi indesiderati da armadi con serratura a chiave. Copia delle chiavi è posseduta dagli incaricati che, volta per volta, hanno necessità di accedere ai documenti. Nessun soggetto estraneo può essere in possesso della chiave neanche occasionalmente. Scheda N 017 Compilata da Titolare Data di compilazione 29/06/2004 Climatizzazione locali Dispositivo per la climatizzazione dei locali della sede operativa I locali della sede operativa sono climatizzati allo scopo di evitare escursioni termiche eccessive e temperature d uso al di fuori del range consentito sia per la documentazione cartacea, sia per le apparecchiature elettroniche. Per evitare guasti da surriscaldamento le apparecchiature sono dotate di controllo di temperatura e, laddove necessario, di ventole maggiorate o addizionali. 18

19 SEZIONE 7: CRITERI E MODALITÀ DI RIPRISTINO DELLA DISPONIBILITÀ DEI DATI (REGOLA 19.5) 7.1 Contenuti Nella presente sezione vengono descritti i criteri e le procedure adottati per il salvataggio dei dati e per il loro ripristino in caso di danneggiamento o di inaffidabilità della base dati. L importanza di queste attività deriva direttamente dalla eccezionalità delle situazioni in cui il ripristino ha luogo: è essenziale che, quando sono necessarie, le copie dei dati siano disponibili e le procedure efficaci Informazioni essenziali Data base: contiene l identificativo del data base o dell archivio interessato. Dati sensibili o giudiziari contenuti: contiene l elenco dei dati sensibili o giudiziari contenuti nel database o archivio Criteri individuati per il salvataggio (procedure operative in essere): contiene una descrizione della tipologia di salvataggio e della frequenza con cui viene effettuato. Ubicazione di conservazione delle copie: contiene l indicazione del luogo fisico in cui sono custodite le copie dei dati da salvare. Struttura operativa o persona incaricata del salvataggio: contiene il nominativo della persona incaricata di effettuare il salvataggio e/o di controllarne l esito o del coordinatore del gruppo preposto Tabella Dettaglio delle attività di salvataggio Nella tabella che segue viene analizzata, alla data di redazione del Documento programmatico sulla sicurezza, la situazione sotto il profilo delle attività di salvataggio dei dati effettuate dall Ordine degli Psicologi della Toscana. Salvataggio Database Dati sensibili o giudiziari contenuti Criteri individuati per il salvataggio (procedure operative in essere) Ubicazione di conservazione delle copie Struttura operativa incaricata del salvataggio Iscritti Dati sensibili relativi ai requisiti di iscrizione o a provvedimenti disciplinari Salvataggio quotidiano su hard disk esterno con ciclo settimanale Dipendenti Nessuno Salvataggio quotidiano su hard disk esterno con ciclo settimanale Fornitori Nessuno Salvataggio quotidiano su hard disk esterno con ciclo settimanale Corrispondenza Dati sensibili relativi ai requisiti di iscrizione o a provvedimenti disciplinari Salvataggio quotidiano su hard disk esterno con ciclo settimanale Nessuno Salvataggio quotidiano su hard disk esterno con ciclo settimanale Protocollo Nessuno Salvataggio quotidiano su hard disk esterno con ciclo settimanale Sede Sede Sede Sede Sede Sede Amministratore del sistema informatico Amministratore del sistema informatico Amministratore del sistema informatico Amministratore del sistema informatico Amministratore del sistema informatico Amministratore del sistema informatico Per quanto riguarda il ripristino, le informazioni essenziali sono le seguenti: Data base/archivio: contiene l identificativo del data base o dell archivio interessato. Scheda operativa: contiene il riferimento alla scheda operativa che descrive la procedura di ripristino. Pianificazione delle prove di ripristino: contiene l indicazione delle date in cui si prevede di effettuare dei test di efficacia delle procedure i salvataggio/ripristino dei dati adottate. 19

20 7.4. Tabella Dettaglio delle attività di ripristino Nella tabella che segue viene analizzata, alla data di redazione del Documento programmatico sulla sicurezza la situazione sotto il profilo delle attività di ripristino dei dati previste dall Ordine degli Psicologi della Toscana. Ripristino Database o archivio Scheda Operativa Pianificazione delle prove di ripristino Iscritti Scheda N 010 Verifica mensile dell integrità dei dati salvati e verifica annuale delle operazioni di ripristino completo tramite la reinstallazione del software di base, applicativo e dei dati salvati su macchina adibita a test. Dipendenti Scheda N 010 Verifica mensile dell integrità dei dati salvati e verifica annuale delle operazioni di ripristino completo tramite la reinstallazione del software di base, applicativo e dei dati salvati su macchina adibita a test. Fornitori Scheda N 010 Verifica mensile dell integrità dei dati salvati e verifica annuale delle operazioni di ripristino completo tramite la reinstallazione del software di base, applicativo e dei dati salvati su macchina adibita a test. Corrispondenza Scheda N 010 Verifica mensile dell integrità dei dati salvati e verifica annuale delle operazioni di ripristino completo tramite la reinstallazione del software di base, applicativo e dei dati salvati su macchina adibita a test. Scheda N 010 Verifica mensile dell integrità dei dati salvati e verifica annuale delle operazioni di ripristino completo tramite la reinstallazione del software di base, applicativo e dei dati salvati su macchina adibita a test. Protocollo Scheda N 010 Verifica mensile dell integrità dei dati salvati e verifica annuale delle operazioni di ripristino completo tramite la reinstallazione del software di base, applicativo e dei dati salvati su macchina adibita a test. 20