Università degli Studi di Udine. DLGS 196/03 Gestione delle credenziali di autenticazione informatica

Transcript

1 DLGS 196/03 Gestione delle credenziali di autenticazione informatica

2 Sommario Generalità... 3 Rilascio e modifica dell account... 3 Caratteristiche della... 4 Rilascio temporaneo di autorizzazioni a terzi... 4 Riesame delle autorizzazioni degli utenti... 4 Lista di distribuzione... 5 Pagina 2 di 5

3 Generalità Il presente documento ha lo scopo di definire i criteri per la creazione e l utilizzo delle credenziali di autenticazione degli utenti dei servizi informatici dell Università degli in base a quanto previsto dal Decreto Legislativo 196 del 30/06/2003 Codice in materia di protezione dei dati personali (d ora in poi denominato Codice ). Il sistema di autenticazione per l accesso ai servizi consiste in un codice per l identificazione dell incaricato ( username ), associato ad una parola chiave riservata ( ) conosciuta esclusivamente dall utente e i due elementi costituiscono una cosiddetta credenziale di autenticazione ( account ) ai sensi dell allegato B punto 2 DLGS 196/03. Lo username viene assegnato e variato esclusivamente dall amministratore del servizio o da un suo delegato. La viene gestita, dopo la sua prima assegnazione da parte dell amministratore, esclusivamente dall utente, con l eccezione dei casi in cui ricorrano necessità di carattere tecnicoorganizzative. Analogamente si procede per le credenziali di autenticazione riguardanti la posta elettronica se non esiste un sistema unificato delle credenziali di autenticazione. Rilascio e modifica dell account L amministratore del servizio, prima di effettuare le operazioni necessarie per creare l account, verifica che l utente disponga del modulo di richiesta debitamente firmato dal responsabile del trattamento. Tale modulo, che può essere anche in formato elettronico, oltre a riportare l indicazione dei profili di autorizzazione per l utente, dovrà attestare il recepimento da parte del richiedente della procedura Gestione del posto di lavoro e accesso alla struttura e del documento Modalità e limiti di utilizzo della rete telematica dell Università degli. La documentazione relativa alla creazione e gestione degli account viene conservata presso gli uffici amministrativi delle strutture informatiche deputate alla gestione dei servizi. Ad ogni utente possono essere attribuite più credenziali di autenticazione. Una credenziale di autenticazione non può essere assegnata neppure in tempi diversi ad altri incaricati. Le credenziali di autenticazione non utilizzate da almeno tre mesi vengono disattivate. Si fa eccezione a quest ultima direttiva per gli account creati a scopo di gestione tecnica del sistema. Pagina 3 di 5

4 Caratteristiche della Nei limiti consentiti dai sistemi la deve possedere le seguenti caratteristiche: Viene inizialmente assegnata dall amministratore del servizio o da un suo delegato; Deve essere di lunghezza non inferiore ad 8 caratteri oppure, nel caso in cui ciò non sia possibile, da un numero di caratteri pari al massimo consentito; Non deve contenere riferimenti agevolmente riconducibili all incaricato o ad ambiti noti. Deve essere obbligatoriamente cambiata al primo utilizzo e successivamente almeno ogni 3 mesi, generandone possibilmente la richiesta in automatico. Deve essere diversa da quelle precedentemente utilizzate. E nota esclusivamente all utilizzatore e non può essere assegnata e/o comunicata ad altri; Non deve essere basata su nomi di persone, date di nascita, animali, oggetti o parole ricavabili dal dizionario (anche straniere), tratta da informazioni personali. Non deve presentare una sequenza di caratteri identici o in gruppi di caratteri ripetuti. Deve essere composta da caratteri maiuscoli e minuscoli e da numeri (per esempio E21s3tHi). Non deve essere memorizzata in funzioni di log-in automatico, in un tasto funzionale o nel browser utilizzato per la navigazione internet. Può essere annullata e sostituita con una nuova - per motivate necessità di urgente accesso alle informazioni ed impedimento del titolare delle credenziali - da parte degli amministratori dei servizi o loro delegati. In questo caso essa dovrà essere nuovamente modificata al primo accesso da parte dell incaricato. Qualora esistano sistemi informatici che prevedano l utilizzo della sola, l amministratore del servizio o suo delegato ne custodiscono il contenuto in busta sigillata ed in luogo protetto; con l assenso del responsabile si procede all acquisizione di tale in caso di urgenza ed impedimento (per assenza, malattia, ecc..) dell incaricato. Quest ultimo verrà tempestivamente informato dell accaduto non appena possibile ed al medesimo verrà attribuita una nuova, che inoltre verrà custodita in luogo della vecchia. Rilascio temporaneo di autorizzazioni a terzi Quando vi è una necessità temporanea di accedere al sistema da parte di un soggetto non incluso tra gli utenti, ed in particolare da parte di un ospite o di tecnici esterni all Università incaricati di effettuare operazioni di manutenzione hardware o software, verrà fornito un account temporaneo, con diritti minimi di accesso compatibili con le effettive e documentate necessità di accesso. Anche in questo caso dovrà essere prodotta tramite modulo cartaceo o elettronico la richiesta debitamente firmata dal responsabile a cui fa riferimento l ospite o il tecnico incaricato. Tale account verrà disattivato a cura dell amministratore del sistema o suo delegato non appena l ospite lascerà l Ateneo o il tecnico concluderà il proprio intervento. Riesame delle autorizzazioni degli utenti La revisione delle autorizzazioni degli utenti e dei diritti di accesso (profili per la rete, singoli applicativi, cartelle e directory, banche dati ecc.) ai sistemi viene fatta con cadenza annuale. Pagina 4 di 5

5 L avvenuto controllo viene certificato da apposita dichiarazione a firma dei responsabili dei trattamenti da inviarsi alla Direzione Amministrativa. La revisione viene effettuata: A cura dei responsabili dei trattamenti per quanto concerne le autorizzazioni; Dell amministratore dei servizi per quanto concerne i profili di accesso. Lista di distribuzione Personale CSIT Responsabili dei trattamenti Amministratori di server non gestiti dallo CSIT Pagina 5 di 5