BOZZA D.P.S. Documento Programmatico sulla Sicurezza. Intestazione documento: Ragione sociale o denominazione del titolare Indirizzo Comune P.

Transcript

1 BOZZA D.P.S. Intestazione documento: Ragione sociale o denominazione del titolare Indirizzo Comune P.iva Documento Programmatico sulla Sicurezza Indice finalità del documento inventario dei beni in dotazione ai fini privacy elenco delle banche dati e dei trattamenti gestiti distribuzione dei compiti e delle responsabilità nell ambito delle strutture preposte al trattamento dei dati analisi sintetica dei rischi che incombono sui dati misure di sicurezza adottate modalità aggiornamento del documento Allegati: -piantine sedi e uffici con layout sistema informatico -inventario hardware in dotazione -inventario software in dotazione -inventario altre attrezzature per la sicurezza in dotazione -Regolamento di utilizzo degli strumenti elettronici -istruzioni gestione password -lettera/e nomina responsabile/i del trattamento -lettera/e nomina incaricati al trattamento -lettera nomina altri soggetti coinvolti nell ambito sicurezza Bozza Documento Programmatico sulla sicurezza 1 di 12

2 Finalità del documento Ragione sociale o denominazione del titolare tratta dati personali, a volte anche sensibili. Il presente Documento Programmatico sulla Sicurezza è redatto, ai sensi degli articoli 31 e seguenti del D.Lgs. 196/2003 e secondo le previsioni dell Allegato B a tale decreto, per definire e descrivere le politiche di sicurezza adottate in materia di trattamento di dati personali ed i criteri organizzativi seguiti per la loro attuazione e per fornire idonee informazioni a riguardo anche a parti terze. Inventario dei beni in dotazione ai fini privacy Ragione sociale o denominazione del titolare.svolge la propria attività nelle seguenti sedi in cui vengono trattati dati personali: (elenco sedi e uffici) Codice sede Indirizzo sede Comune sede Piano sede Tipologia collegamento ad internet E dei seguenti uffici: Codice ufficio Codice sede ufficio In allegato sono disponibili: piantine sedi e uffici con layout sistema informatico inventario hardware in dotazione inventario software in dotazione inventario altre attrezzature per la sicurezza in dotazione Il trattamento dei dati avviene sia attraverso strumenti elettronici sia attraverso strumenti diversi. Bozza Documento Programmatico sulla sicurezza 2 di 12

3 Elenco delle banche dati e dei trattamenti gestiti (Una scheda per ogni banca dati) Codice banca dati Categoria dati trattati e soggetti a cui si riferiscono Luogo di custodia Finalità del trattamento Modalità trattamento strumenti utilizzati Comunicazione (si/no) Diffusione (si/no) Procedura di Backup Trasferibile su supporto rimovibile Responsabile trattamento Distribuzione dei compiti e delle responsabilità nell ambito delle strutture preposte al trattamento dei dati TITOLARI TRATTAMENTO DATI: (Elenco titolari trattamento dati) Ragione sociale o denominazione del titolare Codice fiscale o partita iva RESPONSABILI TRATTAMENTO DATI: (Elenco responsabili trattamento dati) Ragione sociale o denominazione del responsabile Codice fiscale o partita iva Data nomina Si è valutato che i soggetti appena sopra elencati sono in possesso dei requisiti di esperienza, capacità ed affidabilità richiesti dal comma 2 dell art. 29 del Dlgs 196/2003. I compiti e le istruzioni della figura di responsabile del trattamento dati sono specificate in dettaglio nel singolo documento di nomina allegato e in questo documento programmatico sulla sicurezza. Bozza Documento Programmatico sulla sicurezza 3 di 12

4 INCARICATI TRATTAMENTO DATI : (Elenco incaricati trattamento dati) Nome Cognome Codice fiscale Data nomina compiti Nel singolo documento di nomina allegato, sono evidenziate in dettaglio le operazioni riguardanti il trattamento di dati personali di propria competenza e le banche dati a cui il singolo incaricato può accedere, attenendosi alle istruzioni impartite dal proprio responsabile del trattamento. ALTRI SOGGETTI COIVOLTI NELL AMBITO DELLA SICUREZZA (Elenco soggetti ) Ragione sociale o denominazione Codice fiscale o partita iva Data nomina Mansione Bozza Documento Programmatico sulla sicurezza 4 di 12

5 Analisi sintetica dei rischi che incombono sui dati: Ad un livello generale sono stati i seguenti principali rischi alla sicurezza dei dati gestiti suddivisi in tre macrocategorie: Rischi dell impatto sulla sicurezza Comportamenti degli operatori sottrazione di credenziali di autenticazione carenza di consapevolezza, disattenzione o incuria comportamenti sleali o fraudolenti errore materiale altro evento Eventi relativi agli strumenti azione di virus informatici o di programmi suscettibili di recare danno spamming o tecniche di sabotaggio malfunzionamento, indisponibilità o degrado degli strumenti accessi esterni non autorizzati intercettazione di informazioni in rete altro evento Eventi relativi al contesto accessi non autorizzati a locali/reparti ad accesso ristretto sottrazione di strumenti contenenti dati eventi distruttivi, naturali o artificiali (movimenti tellurici, scariche atmosferiche, incendi, allagamenti, condizioni ambientali, ecc.), nonché dolosi, accidentali o dovuti ad incuria guasto ai sistemi complementari (impianto elettrico,climatizzazione,ecc.) errori umani nella gestione della sicurezza fisica altro evento In riferimento alla sicurezza dei dati personali gestiti si sono posti i seguenti obbiettivi: Obiettivo: riservatezza integrità disponibilità Cosa significa: I DATI DEVONO ESSERE ACCESSIBILI SOLO ALLE PERSONE AUTORIZZATE I DATI DEVONO ESSERE PROTETTI DA MODIFICAZIONI E DANNEGGIAMENTI I DATI DEVONO ESSERE ACCESSIBILI ALLE PERSONE AUTORIZZATE Bozza Documento Programmatico sulla sicurezza 5 di 12

6 Attraverso l implementazione di una serie di misure di sicurezza, esposte in dettaglio nei successivi paragrafi, si vuole ridurre le vulnerabilità del sistema informativo, raggiungendo un livello di rischio valutato accettabile. In sintesi : Tutelare l obiettivo: significa: riservatezza integrità disponibilità Ridurre il rischio che persone non autorizzate possano accedere alle informazioni Ridurre il rischio che le informazioni siano non volutamente modificate o cancellate Ridurre il rischio di non poter accedere anche se autorizzati alle informazioni Misure di sicurezza adottate: Protezione fisica delle aree e dei locali: Codice sede Codice ufficio Misure adottate L accesso fisico alle stanze contenti documenti trattanti dati personali è permesso solo agli incaricati del trattamento. Gestione strumenti elettronici: Back up dati Al fine di garantire non solo la integrità, ma anche la pronta disponibilità dei dati lo studio si è dotato di strumenti e procedure di back up. Strumento di back utilizzato Tutti i dati personali gestiti con strumenti elettronici vengono inclusi nella procedura di backup. La frequenza con cui vengono effettuate le copie di sicurezza su è ogni.. Frequenza aggiornamento Bozza Documento Programmatico sulla sicurezza 6 di 12

7 Il signor.. nome cognome e stato incaricato a gestire le copie di sicurezza e le procedure di backup ed è stato edotto dal responsabile del trattamento in riferimento alle procedure da seguire. In caso di assenza del signor Nome Cognome si occuperà della procedura di backup il signor. Nome Cognome I supporti di back up vengono titolati e la loro custodia etichettata. Ogni volta viene effettuata una verifica della leggibilità ed integrità del supporto di back up. Le copie di back up non sono conservate nello stesso luogo fisico ove si trovano gli strumenti elettronici con cui si gestiscono i dati personali ma vengono custodite presso Luogo custodia Il tempo massimo per la conservazione delle copie di back up è stato stabilito in Tempo massimo conservazione I supporti da eliminare vengono resi inutilizzabili dal signor Nome Cognome Il tempo necessario per recuperare i dati delle copie di sicurezza, a fronte di una generica emergenza, viene stimato in poche ore dal verificarsi del possibile accadimento negativo, comunque ampiamente sotto il limite dei sette giorni previsti dal punto 23 dell allegato B del D.Lgs. 196/2003 in ipotesi di trattamento di dati sensibili. Antivirus Nome prodotto antivirus in dotazione prodotto Modalità di aggiornamento Frequenza aggiornamento Incaricato aggiornamento Bozza Documento Programmatico sulla sicurezza 7 di 12

8 Il software antivirus in oggetto è stato installato su tutti gli strumenti elettronici in dotazione allo studio. Il personale è stato adeguatamente informato sui comportamenti corretti da tenere per evitare di introdurre virus informatici nello studio professionale come evidenziato nel regolamento allegato Aggiornamento sistema operativo e dei software utilizzati correntemente nello studio professionale: Il signor Nome incaricato aggiornamento Cognome incaricato aggiornamento è stata incaricato di seguire il corretto e frequente aggiornamento del sistema operativo e dei seguenti altri software.. utilizzati correntemente Prodotto Categoria Gruppo di continuità Prodotto Incaricato della manutenzione Firewall Nome prodotto Incaricato alla gestione e all aggiornamento Sistemi software anti intrusione Nome prodotto Incaricato alla gestione e all aggiornamento Gestione supporti rimovibili contenenti dati sensibili Nel regolamento operativo allegato sono state fornite istruzioni organizzative e tecniche ad hoc per la custodia e l uso di supporti rimovibili contenenti dati sensibili e giudiziari (floppy disk, chiavette hard disk, cd riscrivibili ecc.) Bozza Documento Programmatico sulla sicurezza 8 di 12

9 Gestione manutenzione strumenti elettronici: La manutenzione degli strumenti elettronici sia a livello hardware sia a livello software viene a volte affidata alla ditta... Ragione sociale o denominazione del soggetto che fa manutenzione Indirizzo Comune P.iva Sistema di identificazione e autenticazione Ragione sociale o denominazione del titolare ha attivato ed è correntemente funzionante un sistema d autenticazione per ognuno degli incaricati che trattano dati personali. E stato attribuito un codice identificativo (username, user ID) strettamente personale per l'utilizzazione degli strumenti elettronici (di solito personal computer) del sistema informatico dello studio professionale. I codici identificativi sono frequentemente aggiornati, inserendo quelli dei nuovi incaricati e cancellando quelli degli incaricati non più autorizzati. Il sistema di autenticazione prevede l utilizzo di parole chiave (password) sia a livello di sistema operativo sia a livello di singola applicazione. Il responsabile del trattamento è incaricato della gestione delle password. Viene segnalato agli incaricati che la lunghezza della password da utilizzare non deve essere inferiore ad otto caratteri, salvo limitazioni tecniche nei software in uso. Si sollecita l incaricato che riceve una password a modificarla al primo utilizzo. Viene segnalato ad ogni incaricato la necessità di cambiare la password almeno ogni 6 mesi. Nell ipotesi di trattamento di dati sensibili viene segnalato ad ogni incaricato la necessità di cambiare la password almeno ogni 3 mesi. E' prevista una scadenza nella validità di ogni password utilizzata in studio professionale. Sono vietate in studio credenziali di autenticazione (username e password) condivise fra più persone in studio professionale. Le credenziali di autenticazione non utilizzate da almeno sei mesi vengono disattivate. Le credenziali di autenticazione vengono immediatamente revocate in caso di provvedimenti disciplinari o quando si presentano situazioni che possono compromettere la sicurezza. Sono state consegnate istruzioni scritte agli incaricati in merito alle modalità di gestione e di custodia delle password. In caso di prolungata assenza dell incaricato, il responsabile del trattamento è autorizzato a cambiare la password in uso per assicurare la disponibilità dei dati e degli strumenti elettronici. Bozza Documento Programmatico sulla sicurezza 9 di 12

10 La visualizzazione della password sullo schermo dei personal computer e' impedita da tutti i software in uso. Il sistema di identificazione ed autenticazione è operativo anche sui computer portatili e sui palmari che possono gestire e contenere dati personali. Ad ogni incaricato viene distribuito un documento contenente le istruzioni per la gestione delle password. Business continuity plan e disaster recovery plan In conseguenza della limitata dimensione e della bassa complessità della struttura dello studio professionale non si valuta necessario procedere all elaborazione formale di tali documenti. Si valuta che le misure di sicurezza attualmente implementate e gestite, esplicitate in questo documento, siano sufficienti per poter ripristinare l attività dello studio in tempi brevi e a costi contenuti al verificarsi di emergenze o di eventi negativi. Trattamenti di dati personali affidati all esterno Codice banca dati Responsabile trattamento esterno Indirizzo Responsabile trattamento esterno Comune Responsabile trattamento esterno I soggetti che all esterno trattano dati personali hanno rilasciato in data. una dichiarazione scritta in cui certificano che presso le loro strutture sono state implementate e sono operative le misure di sicurezza minime richieste dal D. Lgs. 196/2003. Nell ipotesi vi fosse necessità di affidare ulteriori trattamenti di dati personali all esterno viene richiesta a tali soggetti esterni una dichiarazione scritta in cui viene certificata la conformità del loro sistema informativo alle previsioni della normativa sulla privacy. Trattamenti senza l ausilio di strumenti elettronici Nella sezione gestione documenti cartacei del Regolamento di utilizzo degli strumenti elettronici allegato al presente documento, sono impartite agli incaricati istruzioni scritte, finalizzate al controllo ed alla custodia, per l intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali. Le persone ammesse, a qualunque titolo, dopo l orario di chiusura degli uffici, nei luoghi contenenti gli archivi contenenti dati sensibili o giudiziari sono identificate e registrate. Il responsabile del trattamento è incaricato della gestione delle autorizzazioni nei luoghi contenenti archivi di dati sensibili. Bozza Documento Programmatico sulla sicurezza 10 di 12

11 Formazione. Ragione sociale o denominazione del titolare riconosce l importanza della formazione dei suoi componenti riguardo le tematiche della sicurezza, come elemento significativo di riduzione dei rischi al proprio sistema informativo e s impegna a promuovere momenti formativi, in particolare al momento dell ingresso in servizio o al momento di cambiamenti di mansioni di tali soggetti o all introduzione di nuovi strumenti elettronici che hanno impatto sul trattamento dei dati personali. Nella tabella seguente vengono evidenziati in sintesi gli eventi formativi già realizzati o da realizzare: sintetica degli interventi formativi Tempi previsti Modalità aggiornamento del documento programmatico per la sicurezza: nome cognome è il soggetto preposto all aggiornamento e alla custodia del documento programmatico per la sicurezza. Il documento in oggetto non deve rimanere statico ma deve essere aggiornato ogni volta che vi siano cambiamenti significativi nello studio professionale impattanti sulle misure minime di sicurezza. In ogni caso ogni anno entro il 31 marzo, il responsabile del trattamento dovrà procedere alla completa revisione del documento in oggetto. luogo Data. Luogo domicilio fiscale titolare Data Nome cognome o ragione sociale del titolare Firma.. Bozza Documento Programmatico sulla sicurezza 11 di 12

12 Allegati: -piantine sedi e uffici con layout sistema informatico -inventario hardware in dotazione Modello e Id Id ufficio Categoria Sistema Protezione Titolo di ditta hardware operativo dell accesso possesso produttrice -inventario software in dotazione Denominazione Id software Id Categoria Sistema Protezione Tipologia prodotto e hardware operativo dell accesso licenza software house produttrice -inventario altre attrezzature per la sicurezza in dotazione Denominazione prodotto e produttore Id attrezzatura Id sede Id ufficio Categoria Protezione dell accesso -Regolamento di utilizzo degli strumenti elettronici (vedere documento predisposto ad hoc) -istruzioni gestione password (vedere documento predisposto ad hoc) -lettera/e nomina responsabile/i del trattamento (vedere documento predisposto ad hoc) -lettera/e nomina incaricati al trattamento (vedere documento predisposto ad hoc) -lettera nomina altri soggetti coinvolti nell ambito sicurezza (non gestito dal software) Bozza Documento Programmatico sulla sicurezza 12 di 12