DIREZIONE GENERALE DIREZIONE SANITARIA DIREZIONE AMMINISTRATIVA. Servizio Prevenzione e Protezione. Responsabili del trattamento dati

Transcript

1 DIREZIONE GENERALE DIREZIONE AMMINISTRATIVA DIREZIONE SANITARIA Servizio Prevenzione e Protezione Responsabili dati Servizio Prevenzione e Protezione Dott. ssa Nadia Michelotti Servizio Prevenzione e Protezione Ubicazione: via XXV aprile, 128 Pietra Ligure Palazzina 4 primo piano 19

2 Descrizione dei compiti istituzionali: Collaborazione alla gestione le procedure inerenti alla sicurezza ed al la salute dei lavoratori nelle strutture aziendali, sotto la supervisione la S.C. Progettazione e Gestione Nuove Opere. Trattamenti dati effettuati: 1)Piano dei rischi aziendali ai sensi D.L.gs 81/2008 elaborato per strutture e categorie di lavoratori 2)collaborazione al debito informativo regionale sugli infortuni in ambiente di lavoro, 3) relazioni per infortuni sul lavoro e malattie professionali a richiesta di strutture interne, INAIL e/o magistratura. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari SPP PL 002 SPP PL 003 Descrizione sintetica Attività svolta debito informativo regionale relazioni per infortuni sul lavoro e malattie professionali Categorie di interessati dipendenti Natura dei dati trattati Altre strutture che concorrono al Sens. Giud. Int. Est. TABELLA 2 - Strumenti utilizzati Banca dati Procedure Utilizzate Interconnessione Ubicazione (Nome Software) cartacea magnetica Internet Intranet SPP PL 002A sede SPP PL 002B server software dedicato SPP PL 003A sede SPP PL 003B PC office TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Da SPP PL 002A a SPP PL 003A 3a archivio con chiusura a chiave Da SPP PL 002B a SPP PL 003B 3a password e codice utente Tipologia di misure che si propongono Procedure per il salvataggio dati Luogo di custodia le copie Incaricato salvataggio Tempi di ripristino dati Server Archivio Struttura Società Persona Interna esterna Da SPPPL 002A a SPPPL 003A fotoriproduzione 1 giorno Da SPPPL 002B a SPPPL 003B Backup automatico su sup. magnetico 20

3 21

4 DIREZIONE AMMINISTRATIVA Dipartimenti Amministrativi Dipartimento di Staff Dipartimento Tecnologico Approvvigionamenti e Logistica Dipartimento Giuridico e Risorse Umane Responsabili dati Dipartimento Di Staff S.C. Centro di Controllo Direzionale Dr. Luca Garra S.S.D. Controllo di Gestione Dott Paolo Pavan 22

5 S.C. Bilancio e Contabilità S.S.D. Prestazioni Sanitarie S.C. Relazioni Esterne - URP S.C. Sistemi Informativi Aziendali Dott Marco Molinari Dott. ssa Anna Maria Barbiso Dr Angelo Canepa Ing Angelo Interguglielmi Dipartimento Giuridico e Risorse Umane S.C. Affari Generali Dott. Fulvio Damonte S.S.D. Contratti e Patrimonio Dott. ssa Stefania Romano S.C. Affari Legali Avv. to Antonio Pipicelli S.S.D. Gestione Privacy Dott. ssa Antonella Calò S.C. Organizzazione Gestione Formazione Personale Dott. ssa Maria Beatrice Boccia S.S.D. Gestione Economico Previdenziale Dott. Michele Conterno S.S.D. Gestione Giuridica Dott. ssa Antonella Moretto Dipartimento Tecnologico Approvvigionamenti e logistica S.C. Servizi Tecnici Edili ed Impiantistici Ing Cesare Branchetti S.S.D. Manutenzione Edile e Gestione Immobili Arch. Aldo Oriti S.C. Ingegneria Clinica Ing. Franco Traverso S.S.D. Gestione Impianti Termotecnici Ing. Gualtiero Zanetti S.C. Provveditorato Dott. Antonello Mazzone S.C. Economato e Logistica Dott. Paolo Patetta Dipartimento di Staff S.C. Centro Controllo Direzionale S.C. Sistemi Informativi Aziendali 23

6 S.S.D. Controllo di Gestione S.C. Relazioni Esterne - Urp S.C. Bilancio e Contabilità S.S.D. Prestazioni Sanitarie S.C. Centro di Controllo Direzionale Ubicazione: Via Manzoni, 14 Savona e Via v Aprile, 128 Pietra Ligure. Descrizione dei compiti istituzionali: Collaborare con la Direzione Generale alla programmazione l attività aziendale e monitorare costi e ricavi Trattamenti dati effettuati: 1) budgeting and reporting; 2)consultazione banca dati utenti e degenti, 3) gestione procedure di analisi SDO e DRG, 4)analisi costi gestionali; TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. CCD SV 001 consultazione banca dati utenti e degenti utenti e degenti CCD SV 002 gestione procedure analisi SDO e DRG utenti e degenti Banca dati Procedure Utilizzate Interconnessione Ubicazione (Nome Software) cartacea magnetica Internet Intranet CCD SV 001 server software dedicato CCD SV 002A sede CCD SV 002B server software dedicato 24

7 TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete f) Altro: a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Tipologia di misure che si propongono CCD SV 001 e CCD SV 002B 2a 2c password individuale antivirus antispam CCD SV 002A 1d 3e locali ad accesso ristretto Procedure per il salvataggio dati Luogo di custodia le copie Server CCD SV 001 back up automatico CCD SV 002B back up su supporto magnetico Archivio Incaricato salvataggio Struttura Interna Società esterna Persona Tempi di ripristino dati Tempo reale Ubicazione: Via v Aprile, 128 Pietra Ligure. S.S.D. Controllo di Gestione Descrizione dei compiti istituzionali: provvede alla gestione le procedure di rilevazione costi gestionalimonitoraggio e reporting in stretto collegamento funzionale con la S.C. Centro Controllo Direzionale Trattamenti dati effettuati: 1) consultazione banca dati utenti e degenti, 2) consultazione SDO e DRG, 3) monitoraggio e reporting; 4)estrapolazione costi gestionali. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. COG PL 001 consultazione banca dati utenti e degenti utenti e degenti COG PL 002 consultazione SDO e DRG utenti e degenti Banca dati Procedure Utilizzate Interconnessione Ubicazione (Nome Software) cartacea magnetica Internet Intranet COG PL 001 server software dedicato COG PL 002A sede COG PL 002B server software dedicato 25

8 TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete f) Altro: a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Tipologia di misure che si propongono COG PL 001 e COG PL 002B 2a 2c password individuale antivirus antispam COG PL 002A 1d 3e locali ad accesso ristretto Procedure per il salvataggio dati Luogo di custodia le copie Server COG PL 001 back up automatico COG PL 002B back up su supporto magnetico Archivio Incaricato salvataggio Struttura Interna Società esterna Persona Tempi di ripristino dati Tempo reale Ubicazione : via Garassino 2/5 Savona S.C. Bilancio e Contabilita Descrizione dei compiti istituzionali: operazioni contabili, predisposizione bilancio e gestione le prestazioni sanitarie Trattamenti dati effettuati: 1)gestione fatture attive e passive 2) gestione banca dati contraenti raccolta ed 3)procedure gestione liquidatoria 4)elaborazione dati per la predisposizione dei prospetti contabili (stato patrimoniale, conto economico, nota integrativa, bilanci di previsione e dichiarazioni fiscali l A.S.L.) 5) gestione attività libero professionale intra-moenia (richieste di autorizzazione, iberazioni, regolamenti e protocolli operativi, convenzioni, reportistica per uffici interni ed organismi esterni) 6) gestione rapporti attivi e passivi per prestazioni sanitarie rese da e per l azienda 7) gestione banca dati di pazienti ed utenti comunitari ed etra comunitari 8) gestione rapporti economici attivi e passivi e relativa fatturazione; 9) raccolta e consegna referti diagnostici TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Attività svolta Categorie di interessati Natura dei dati trattati Altre strutture che concorrono al Sens. Giud. Int. Est. BICSV 001 Gest. fatture attive e passive BICSV 002 Gest. banca dati contraenti persone fisiche e BICSV 003 procedure gestione liquidatoria giuridiche BICSV 005 Gest. libera professionale intra moenia utenti- pazienti 26

9 BICSV 006 Gest. rapporti attivi e passivi per prestazioni sanitarie rese da e per l azienda utenti- pazienti BICSV 007 gest. banca dati pazienti ed utenti comunitari ed etra -comunitari utenti- pazienti BICSV 008 Gest. rapporti economici attivi e passivi e relativa fatturazione. utenti- pazienti BICSV 009 raccolta e consegna referti diagnostici utenti TABELLA 2 - Strumenti utilizzati TABELLA 3 - Analisi dei rischi potenziali Procedure Banca dati Interconnessione Utilizzate Ubicazione (Nome Cartacea magnetica Internet Intranet Software) Da BICSV 001A a BICSV 003A X via Garassino 2/5 SV Da BICSV 005A a BICSV 09A X Sede Pietra Ligure Da BICSV 001B A BICSV 003B X Server centrale OLIAMM Da BICSV 005B A BICSV 09B X software dedicato 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete f) Altro: a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, c) incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari ( imp. elettrico, climatizzazione) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Tipologia di misure che si propongono Da BICSV 001A a BICSV 003A Da BICSV 005A a BICSV 09A Da BICSV 005B a BICSV 09B 1d 2a - 3d 1d password d accesso ai programmi limitata a personale incaricato sistemi informatici di sicurezza Locali e contenitori chiusi a chiave Da BICSV 001B a BICSV 003 Da BICSV 005A a BICSV 09A Da BICSV 005B a BICSV 09B Da BICSV 005B a BICSV 09B 1d Procedure per il salvataggio dati back up automatico e su supporto informatico antivirus antispam password personale Luogo di custodia le copie Server Archivio Struttura interna Incaricato salvataggio Società esterna Persona X X incaricato 1 giorno Tempi di ripristino dati fotoriproduzione X 1 settimana backup automatico X tempo reale backup su supporto magnetico X una settimana 27

10 S.S.D. Prestazioni Sanitarie Ubicazione: palazzina C.U.P.A. ospedale Santa Corona via XXV Aprile Pietra Ligure Palazzina Vigiola ospedale S. Paolo Savona IV piano ospedale S, Maria di Misericordia Albenga Trattamenti dati effettuati: 1) attività libero professionale intra moenia (richieste di autorizzazione, iberazioni, regolamenti e protocolli operativi, strutture convenzionate, reportistica per uffici interni ed organismi esterni) 2) rapporti attivi e passivi per prestazioni sanitarie rese da e per l azienda 3) banca dati di pazienti ed utenti comunitari ed etra comunitari 4) rapporti economici attivi e passivi e relativa fatturazione; 5) raccolta e consegna referti diagnostici TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. PRSPL 001 attività libero professionale intra moenia utenti- pazienti PRSPL 002 rapporti attivi e passivi per prestazioni sanitarie rese da e per l azienda utenti- pazienti PRSPL 003 banca dati pazienti ed utenti comunitari ed etra comunitari utenti- pazienti PRSPL 004 rapporti economici attivi e passivi e relativa fatturazione. utenti- pazienti PRSPL 005 raccolta e consegna referti diagnostici utenti Banca dati Procedure Utilizzate Interconnessione Ubicazione (Nome Software) cartacea magnetica Internet Intranet PRSPL 001A servizio PRSPL 001B sever software dedicato PRSPL 002A servizio PRSPL 002B sever software dedicato 28

11 PRSPL 003A servizio PRSPL 003B server software dedicato PRSPL 004A servizio PRSPL 004B sever software dedicato PRSPL 005A servizio PRSPL 005B sever software dedicato TABELLA 2 - Strumenti utilizzati TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosfe-riche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza f) Altro: Rischi individuati Misure esistenti da PRSPL 001A a PRSPL 005A 1 d locali e contenitori chiusi a chiav e da PRSPL 001B a PRSPL 005B 1d antivirus antispam password personale Tipologia di misure che si propongono Luogo di custodia le copie da PRSPL 001A a PRSPL 005A da PRSPL 001B a PRSPL 005B da PRSPL 001B a PRSPL 005B Procedure per il salvataggio dati Server Archivio Incaricato salvataggio Struttura Interna Società esterna Persona Tempi di ripristino dati fotoriproduzione una settimana backup automatico tempo reale backup su supporto magnetico una settimana 29

12 S.C. Relazioni Esterne URP Ubicazione: Via Collodi 13, Savona,via Genova 30 (Ospedale San Paolo) Savona, Via XXV Aprile 128 Pietra Ligure e via Martiri la Foce 40 (Ospedale Santa Maria la Misericordia) Albenga Descrizione dei compiti istituzionali: attività di supporto alla Direzione Generale nel raggiungimento degli obiettivi assunti con particolare riferimento alla comunicazione interna/esterna, al marketing ed alla divulgazione le attività aziendali, di campagne educazionali e di promozione corretti stili di vita. Gestione le procedure di accesso agli atti, dei contatti con l utenza e con le Associazioni di tutela e volontariato Trattamenti dati effettuati: 1)gestione dei rapporti con i media ed istituzioni attraverso comunicazioni ufficiali; 2)gestione la comunicazione interna attraverso comunicazioni ufficiali; 3) gestione banca dati destinatari di comunicazioni aziendali; 4)gestione sito aziendale 5)gestione archivio fotografico 6) gestione procedure diffusione dati e L.69/2009 7)gestione procedure di accesso agli atti ai sensi la L. 241/90; 8)gestione procedure reclami e segnalazioni; 9)gestione rapporti con le Associazioni di tutela e volontariato 10) disanima casistica in seno alla Commissione Conciliativa Mista. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica TABELLA 2 - Strumenti utilizzati Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di Giud Sens. interessati. Int. REU SV 001 gest rapporti con media attraverso comunicazioni ufficiali terzi REU SV 002 gest comunicazione interna attraverso comunicazioni uff. dipendenti REU SV007 gest. accesso agli atti L.241/90 utenti REU SV008 gest segnalazione reclami utenti REU SV010 disamina casistica Commissione Conciliativa Mista utenti Banca dati Procedure Interconnessione Ubicazione Utilizzate cartacea magnetica (Nome Software) Internet Intranet REU SV 002 A uff. comunicazione SV REU SV 002 B X server outlook Est. 30

13 REU SV 003 A uff. comunicazione SV REU SV 003 B X server outlook REU SV007A REU SV007 B Uffici URP word REU SV008 A REU SV008 B X server word REU SV010 URP Savona TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore material a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa REU SV 001A, COM SV 002 A, REU SV007A COM SV008 A REU SV010 REU SV 001 B COM SV 002 B REU SV007 B COM SV008 B Rischi individuati 1b 1d 3a 3c 3e 1d 2c 3d Misure esistenti sensibilizzazione personale chiusura a chiave singoli uffici antivirus, anti spam, password individuali aggiornate e salvataggi periodici, Tipologia di misure che si propongono Logistica adeguata per sedi decentrate aggiornamento software REU SV 001B REU S 002 B REU SV007 B REU SV008 B V Procedure per il salvataggio dati back.up su supporto magnetico Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona Responsabile procedimento Tempi di ripristino dati tempo reale 31

14 S.C. Sistemi Informativi Aziendali Ubicazione: piano terra padiglione Vigiola via Genova 30 Savona, padiglione di informatica, via v Aprile 128 Pietra Ligure. Descrizione dei compiti istituzionali: gestione di hardware e software aziendali, gestione telecomunicazioni (rete dati, fonia fissa e mobile), promuovendo l innovazione tecnologica e il contenimento la spesa. Gestione numeri aziendali di telefonia fissa e mobile, mailing list e gestione la sicurezza dei sistemi informatici. Programmazione l attività informatica aziendale con particolare riferimento all innovazione ed all ottimizzazione dei sistemi esistenti. Coordinamento con i sistemi informativi regionali, statali e con Aziende Sanitarie Ponente Ligure. Elaborazione le banche dati degenti ed utenti a fini amministravi. Trattamenti dati effettuati: 1)Gestone informatica debito informativo regionale, 2) gestione informatica banche dati aziendali a fini statistici, 3) caricamento ed elaborazione ricette specialistiche 4) gestione mailing list aziendale TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud Int. Est.. SIA SV 001 Gest. informatica debito informativo regionale degenti ed utenti SIA SV 002 Gest. informatica banche dati aziendali degenti ed utenti medici di base a fini statistici pediatri di libera scelta dipendenti SIA SV 003 caricamento ed elaborazione ricette specialistiche) utenti SIA SV004 Gest. mailing list aziendale dipendenti Banca dati Procedure Utilizzate Interconnessione Ubicazione (Nome Software) cartacea magnetica Internet Intranet SIA SV 001 aziendale e regionale software dedicati SIA SV 002 server aziendale aziendale 32

15 SIA SV 003A (2) SIA SV 003B server aziendale software dedicato aziendale SIA SV004 Ubicazione: (1) pad. 9/11Pietra Ligure, (2) pad. Vigiola Valloria Savona TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Tipologia di misure che si propongono SIA SV 001 SIA SV 002 SIA SV 003B SIA SV004 SIA SV 001 SIA SV 002 1b, 1d 2a, 2b 2c 2d password personali salvaschermo con password controllo autorizzazioni d accesso password personali salvaschermo con password controllo autorizzazioni d accesso limitazione degli accessi ai dati per i soli pazienti in cura applicazione dei dispositivi informatici previsti per i dati super-sensibili informatizzazione di informativa e consenso una tantum SIA SV 001 SIA SV 002 SIA SV 003B SIA SV004 SIA SV 001 SIA SV 002 SIA SV 003 SIA SV004 2a, 2b 2c 2d 3a 3b Antivirus antidiler antispam firewall videosorveglianza protezione accesso locali chiusura armadi armadi ignifughi rilevatori fumi ups copie di backup Disaster recovery Da SIA SV 001 a SIA SV 004 X* archivio magnetico Procedure per il salvataggio dati backup automatico Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna TABELLA 6 - Cifratura o separazione dei dati identificativi da quelli sensibili o giudiziari Persona Tempi di ripristino dati * 1 giorno Protezione scelta Descrizione la tecnica adottata Cifratura Separazione SIA SV 001 Cifratura codice e separazione dati personali da dati clinici TABELLA 7 Trattamento dati affidato all esterno Soggetto esterno Titolare Responsabile Impegno contrattuale all adozione le misure di sicurezza SI NO 33

16 SIA SV 001, SIA SV 002, SIA SV 003B Datasiel S.p.A. e Engineering Sanità Dipartimento Giuridico e Risorse Umane S.C. Affari Generali S.C. Organizzazione Gestione e Formazione Personale S.S.D. Contratti e Patrimonio S.S.D. Gestione Economica e Previdenziale S.C. Affari Legali S.S.D Gestione Privacy Area Formazione e Aggiornamento Provider ECM S.S.D. Gestione Giuridica 34

17 35

18 S.C. Affari Generali Ubicazione: via Alessandro Manzoni n. 14 p. 1 Savona (sede principale), via v aprile n. 38 Pietra Ligure (uffici istruzioni procedimenti, protocollo e archivio), palazzina Vigiola p. interr. via Genova n. 30 Savona (archivio storico e ufficio conservazione e sicurezza documenti), via Collodi n. 13 Savona p. s/interr. (deposito documenti), loc. polo 90 Cisano sul Neva (deposito documenti), loc. Case Lidora Cosseria (deposito documenti). Descrizione dei compiti istituzionali: competenze in materia d affari d interesse generale, gestione ed alienazione patrimonio immobiliare, collaborazione per accordi contrattuali con strutture e art. 8 quinquies dl.lgs. 502/1992 e smi, rapporti convenzionali con strutture pubbliche e/o private, organizzazione, protocollatura e archiviazione degli atti. Ogni funzione non rientrante nelle competenze d altre strutture complesse. Trattamenti dati effettuati: 1) gestione procedure contrattuali, 2) convenzioni varie con enti pubblici, privati e persone fisiche (es. accordi per erogazione prestazioni sanitarie, accordi per esercizio attività professionale e art. 58 CCNL aree MV/SPTA 8 giugno 2000), 3) alienazioni d immobili, 4) registrazioni documentali al protocollo aziendale,gestione flussi documentali, 5) gestione archivi, 6) gestione corrispondenza e 7) gestione ibere/determine aziendali/dirigenziali. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari AGGSV001 AGGSV 002 AGGSV 003 Descrizione sintetica Altre strutture che Natura dei dati concorrono al trattati Attività svolta Categorie di interessati Sens. Giud. Int. Est. gestione procedure contrattuali Legali rappresentanti imprese aggiudicatarie istruzione e stipula convenzioni varie legali rappresentanti enti convenzionati cessione patrimonio immobiliare disponibile e stipula relativi contratti TABELLA 2 - Strumenti utilizzati enti pubblici e privati, persone fisiche e giuridiche AGGSV 004 registrazione documenti al protocollo generale e gestione flussi documentali enti pubblici e privati, AGGSV 005 gestione archivi persone fisiche e giuridiche, AGGSV 006 smistamento corrispondenza ed operazioni di entità prive di personalità spedizione giuridica AGGSV 007 gestione ibere aziendali e determine dirigenziali Banca dati Interconnessione Procedure Utilizzate Ubicazione (Nome Software) cartacea magnetica Internet Intranet AGGSV 001 microsoft word, microsoft AGGSV 002 uffici AAGG (1) ecel, microsoft outlook e AGGSV 003 webmail AGGSV 004 sw protocollo/archivio di AGGSV 005 uffici AAGG + SERVER (2) Informatica Gestionale SrL di Savona - outlook - webmail AGGSV 006 uffici AAGG (1) 36

19 AGGSV 007 outlook - webmail 1) Savona: via Manzoni n. 14 Pietra Ligure: via XXV aprile 2)Savona via Genova n. 30 palazzina Vigiola p. s/interr. sala server + depositi specificati in sezione ubicazione TABELLA 3 - Analisi dei rischi potenziali 1.Comportamenti degli operatori 2.Eventi relativi agli strumenti 3.Altri Eventi uffici AAGG + SERVER (2) sw gestione ibere e determine di Deltafi Srl Savona Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Tipologia di misure che si propongono AGGSV 001 AGGSV 002 1d, 2a, 2c, 3b, 3c password, antivirus, firewall, chiusura locali ed arredi AGGSV 003 AGGSV 004 AGGSV 005 1a, 1b, 1d, 2a, 2c, 3b, 3c password, codice operatore, antivirus, firewall, chiusura locali ed arredi digitalizzazione AGGSV 006 3a, 3c chiusura locali ed arredi AGGSV 007 1a, 1b, 1d, 2a, 2c, 3b, 3c password, antivirus, firewall, chiusura locali ed arredi da AGGSV 001A a AGGSV 004A e AGGSV 007A Da AGGSV 001B a AGGSV 003B AGGSV 004B (supporto magnetico/ottico) AGGSV 005 (supporto magnetico/ottico per informazioni e dati) Procedure per il salvataggio dati fotoriproduzione automatico (default software) e back-up automatico (default software) e back-up automatico (default software) e back-up Luogo di custodia le copie Server aziendale Archivio interno Interno (Cosseria Case Lidora Cisano sul Neva Polo90 ) Struttura Interna Sistemi Informativi Sistemi Informativi Incaricato salvataggio Società esterna Persona responsabile procedimento responsabile procedimento e tecnico Sistemi Informativi responsabile procedimento e tecnico Sistemi Informativi Operatori addetti ai depositi Tempi di ripristino dati 30 gg 15 gg 7 gg AGGSV 007B (supporto magnetico/ottico) automatico/quotidiano aziendale Sistemi Informativi tecnico Sistemi Informativi 37

20 S.S.D. Contratti e Patrimonio Ubicazione: Savona - Via Manzoni 14. Descrizione dei compiti istituzionali: gestisce le procedure contrattuali, antimafia, accordi contrattuali e. art. 8quinques D.L.gs. 502/92 e smi, collabora alla stesura di regolamenti, il tutto in stretto collegamento funzionale con la S.C. Affari Generali. Trattamenti dati effettuati: 1) istruzione e redazione procedure contrattuali 2) gestione procedure antimafia 3) accordi contrattuali e. art. 8quinques D.L.gs. 502/92 e smi 4) collaborazione alla stesura di regolamenti TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Altre strutture Natura dei dati che concorrono trattati al Attività svolta Categorie di interessati Sens. Giud. Int. Est. Imprese aggiudicatarie PAC SV001 procedure contrattuali Legali Rappresentanti PAC SV002 procedure antimafia PAC SV003 accordi contrattuali e. art. 8quinques D.L.gs. 502/92 e Legali rappresentanti enti TABELLA 2 - Strumenti utilizzati Banca dati Interconnessione Procedure Utilizzate Ubicazione (Nome Software) cartacea magnetica Internet Intranet PAC SV 001 X X microsoft word, microsoft.pec X PAC SV 002 X uffici AAGG ecel, microsoft outlook e webmail PAC SV 003 X X X TABELLA 3 - Analisi dei rischi potenziali 1.Comportamenti degli operatori 2.Eventi relativi agli strumenti Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti 38

21 3.Altri Eventi d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Tipologia di misure che si propongono PAC SV 001 1d, 2a, 2c, 3b, 3c password, antivirus, firewall, chiusura locali ed arredi digitalizzazione PAC SV 002 2a, 2c, 3c chiusura locali ed arredi PAC SV 003 1d, 2a, 2c, 3b, 3c password, antivirus, firewall, chiusura locali ed arredi digitalizzazione PAC SV 001A (supporto cartaceo) PAC SV 001B e PAC SV 002b (supporto magnetico/ottico) PAC SV 002A (supporto cartaceo) PAC SV 003A (supporto cartaceo) PAC SV 003B (supporto magnetico/ottico) Procedure per il salvataggio dati fotoriproduzione automatico (default software) e back-up fotoriproduzione fotoriproduzione automatico (default software) e back-up Luogo di custodia le copie Server Archivio interno Struttura Interna S.S.D. Contratti e Patrimoni Incaricato salvataggio Società esterna Persona responsabile procedimento Tempi di ripristino dati 30 gg 15 gg 30 gg 30 gg 15 gg 39

22 S.C. Affari Legali Ubicazione: Savona Via Manzoni 14 e Pietra Ligure Palazzina 8 - primo piano Via XXV Aprile 38. Descrizione dei compiti istituzionali: Gestione vertenze (si concretizza nella redazione di atti difensivi, con il supporto la documentazione acquisita dalle varie componenti aziendali interessate; registrazione dati relativi alle controparti ed all andamento le cause, acquisiti direttamente e attraverso i contatti con le cancellerie. Predisposizione atti iberativi in genere Comunicazione alle componenti aziendali interessate le risultanze le udienze e l esito finale le vertenze. La medesima procedura viene utilizzata nell ipotesi di affidamento esterno ovvero con coincarico a professionista esterno ). Gestione sinistri ed attività conseguenti ( si concretizza nella predisposizione di tutti gli atti relativi, con il supporto la documentazione acquisita dalle varie componenti aziendali interessate; registrazione dati relativi alle controparti ed all andamento degli stessi. Predisposizione atti iberativi in genere,comunicazione alle componenti aziendali interessate le definizioni dei sinistri Consulenze, pareri ed attività residuale di competenza istituzionale. Trattamenti dati effettuati: 1)gestione vertenze (consultazione relazioni e documentazione fornita da strutture aziendali) 2) gestione sinistri( consultazione cartelle cliniche e relazioni fornite da strutture sanitarie aziendali) 3) consulenze e pareri 4) incarichi difensionali e gestionali. TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Altre strutture Natura dei dati Descrizione sintetica che concorrono trattati al Attività svolta Categorie di interessati Sens. Giud. Int. Est. ALESV001 gestione vertenze ALESV002 gestione sinistri dipendenti, degenti ALESV003 consulenze,pareri utenti ALESV004 incarichi defensionali e gestionali TABELLA 2 - Strumenti utilizzati Banca dati Procedure Utilizzate Interconnessione Ubicazione (Nome Software) cartacea magnetica Internet Intranet ALESV001 A ALESV001 B ALESV002 A uffici di ALESV002 B Savona e word, ecel, outlook ALESV003A Pietra Ligure ALESV003B ALESV004A ALESV004B TABELLA 3 - Analisi dei rischi potenziali Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: 40

23 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi alta media Bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Tipologia di misure che si propongono daalesv001a a ALESV004A daalesv001b a ALESV004B 1d 2a 2c chiusura a chiave locali e contenitori antivirus antispam password personale ALESV001B ALESV002B ALESV003B ALESV004B Procedure per il salvataggio dati SV:back up su doppio p.c Pietra Ligure -: salvataggio su p.c. responsabile procedimento e su server dedicato alla copia dati. back up su supporto magnetico Savona salvataggio su hard disk esterno Pietra Ligure salvataggio su p.c. responsabile procedimento e su server dedicato alla copia dati back up su supporto magnetico back up su supporto magnetico salvataggio su p.c. responsabile procedimento Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona responsabile procedimento responsabile procedimento responsabile procedimento Tempi di ripristino dati tempo reale tempo reale tempo reale TABELLA 7 Trattamento dati affidato all esterno Soggetto esterno Titolare Responsabile ALESV004 avvocati - compagnie assicurative -Loss Adjuster Impegno contrattuale all adozione le misure di sicurezza SI NO 41

24 S.S.D. Gestione Privacy Ubicazione: secondo e primo piano Pad. Vigiola Ospedale San Paolo via Genova, 30, Savona. Descrizione dei compiti istituzionali: gestisce l applicazione la normativa in materia di privacy, riscontra e formula pareri quesiti, provvede alla redazione DPS e cura gli adempimenti in materia. Collabora alla stesura piano formativo aziendale per la formazione obbligatoria sulla Privacy e rileva i fabbisogni formativi generali e specifici in materia. Provvede alla direzione scientifica ed al coordinamento degli eventi formativi aziendali in materia in stretto collegamento funzionale con la S.C. Affari Legali. Trattamenti dati effettuati: 1) Formulazione pareri 2) Risposte a quesiti 3) Formulazione quesiti al Garante 4) Rilevazione fabbisogno formativo 5) Redazione DPS 6) Adempimenti aziendali sulla privacy TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. GEPSV 001 formulazione pareri dipendenti, utenti GEP SV 002 risposte a quesiti dipendenti, utenti GEP SV 003 formulazione quesiti al Garante dipendenti, utenti GEP SV 004 rilevazione fabbisogno formativo dipendenti TABELLA 2 - Strumenti utilizzati Banca dati Procedure Utilizzate Interconnessione Ubicazione (Nome Software) cartacea magnetica Internet Intranet GEP SV 001A GEP SV 001B software dedicato GEP SV 002 A Sede GEP SV 002 B Gestione software dedicato GEP SV 003 A Privacy GEP SV 003 B software dedicato GEP SV 004A GEP SV 004B software dedicato TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale 2. a) Azione di virus informatici o di programmi suscettibili di recare danno 42

25 Eventi relativi agli strumenti 3. Altri Eventi b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete f) Altro: a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, c) incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizzazione) e) Errori umani nella gestione fisica la sicurezza da GEP SV 001A a GEP SV 004 A da GEP SV 001B a GEP SV 004B Rischi individuati 1d 3a 2c 2a 3d Misure esistenti controllo incrociato dati cartacei e informatici e locali e contenitori chiusi a chiave antivirus ed antispam aziendali, password individuali Tipologia di misure che si propongono da GEP SV 001A a GEP SV 004 A da GEP SV 001B a GEP SV 004 B Procedure per il salvataggio dati fotoriproduzione back up su supporto magnetico Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società Esterna Persona Tempi di ripristino dati Tempo reale 43

26 S.C. Organizzazione Gestione e Formazione Personale Ubicazione sede: pad Vigiola, via Genova, 30 Savona, sedi decentrate: campus universitario,via A.Magliotto 2 Savona, Via Martiri la Libertà 30 Cairo Miontenotte, Via Garibaldi 125 Carcare, Via XXV Aprile 128 Pietra Ligure, v.le Martiri la Foce Albenga Descrizione dei compiti istituzionali: organizzazione e gestione personale nell interezza percorso lavorativo dall assunzione al pensionamento ivi inclusi i percorsi formativi. Trattamenti dati effettuati: 1) gestione procedure concorsuali, 2) gestione procedure di reclutamento diversamente abili 3)gestione procedure di inserimento lavoratori a tempo determinato ed indeterminato 4)gestione procedure di trasferimento e comando 5)gestione procedure di mobilità interna 6)gestione procedure di selezione ed assegnazione borse di studio 7)gestione procedure di rilevazione assenze e presenze 8)gestione procedure economiche 9)gestione adempimenti previdenziali 10)gestione formazione obbligatoria e facoltativa 11)gestione contenzioso personale 12)gestione procedure di inabilità ed invalidità per cause di servizio 13) gestione procedure disciplinari 14) attività di certificazione 15) gestione fascicoli personali 16) gestione procedure infortunio 17) gestione procedure co.co.pro.18) gestione procedure contrattuali 19) Procedure e L.183/2011 TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Descrizione sintetica Altre strutture che Natura dei dati concorrono al trattati Attività svolta Categorie di interessati Sens. Giud. Int. Est. gestione procedure concorsuali ORGSV 001 terzi interessati ORGSV 002 reclutamento diversamente abili ORGSV 003 inserimento lavoratori a t. d ed ind dipendenti e interessati ORGSV 004 trasferimento e comando ORGSV 005 mobilità interna dipendenti ORGSV 006 selezione assegnazione borse di studio terzi interessati ORGSV 007 rilevazione assenze e presenze dipendenti e incaricati ORGSV 008 gest. proc. economiche dipendenti e incaricati ORGSV 009 gest. adempimenti previdenziali ORGSV 011 gest. proc. contenzioso personale ORGSV 012 gest. proc. Inab.ed inv. per cause di servizio dipendenti ORGSV 013 gest. proc. disciplinari ORGSV 015 gest. fascicoli personali ORGSV 016 gest.procedure infortunio ORGSV 017 gest.procedure co.co.pro. terzi interessati ORGSV 018 gest. procedure contrattuali dipendenti e incaricati ORGSV 019 Procedure e L.183/2011 Dip. e terzi interessati TABELLA 2 - Strumenti utilizzati Banca dati Procedure Utilizzate Interconnessione Ubicazione (Nome Software) cartacea magnetica Internet Intranet ORGSV 001A sede ORGSV 001B server sigeco ORGSV 002A sede ORGSV 002B server software dedicato 44

27 ORGSV 003A sede ORGSV 003B pc software dedicato ORGSV 004A sede ORGSV 004B pc software dedicato ORGSV 005A sede ORGSV 005B pc software dedicato ORGSV 006A sede ORGSV 006B PC software dedicato ORGSV 007A Pietra Ligure ORGSV 007B sede software dedicato ORGSV 008A Pietra Ligure Carcare Savona ORGSV 008B sede software dedicato ORGSV 009A Pietra Ligure- Savona ORGSV 009B sede software dedicato ORGSV 011 sede ORGSV 013 ORGSV 013 Pietra Ligure ORGSV 015 sede, sedi decentrate ORGSV 016 A ORGSV 016 B software dedicato sede ORGSV 017 ORGSV 018 ORGSV 019 X outlook TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale e) Altro: a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Tipologia di misure che si propongono da ORGSV 001A a ORGSV 018 Da ORGSV 001B a ORGSV 016B e ORGSV 19 3a 2c 2d locali e contenitori dedicati in parte chiusi a chiave pasword personali e codice utente locali e contenitori dedicati chiusi a chiave da ORGSV 001B a ORGSV 016B e ORGSV 19 Procedure per il salvataggio dati backup atomatico Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona Tempi di ripristino dati tempo reale 45

28 ORGSV 007B e ORGSV 008B backup magnetico dedicata 1 giorno S.S.D. Gestione Economica e Previdenziale Ubicazione sede: pad. Vigiola, via Genova, 30 Savona, via XXV Aprile 128 Pietra Ligure, Via Garibaldi 125 Carcare Descrizione dei compiti istituzionali: gestione economica, pensionistica ed infortunistica personale in stretto collegamento funzionale con la S.C. Organizzazione Gestione e Formazione personale Trattamenti dati effettuati: 1) gestione procedure economiche 2) gestione adempimenti previdenziali TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari TABELLA 2 - Strumenti utilizzati TABELLA 3 - Analisi dei rischi potenziali 1. Comportamenti degli operatori 2. Eventi relativi agli strumenti 3. Altri Eventi Descrizione sintetica Natura dei dati trattati Altre strutture che concorrono al Attività svolta Categorie di interessati Sens. Giud. Int. Est. GEE SV 001 proc. economiche dipendenti e incaricati GEE SV 002 adempimenti previdenziali dipendenti Banca dati Procedure Utilizzate Interconnessione Ubicazione (Nome Software) cartacea magnetica Internet Intranet Pietra Ligure Carcare GEE SV 001A Savona GEESV 001B sede software dedicato GEESV 002A Pietra Ligure Savona GEESV 002B sede software dedicato Rischi potenziali SI NO Impatto sulla sicurezza dei dati e gravità stimata: alta media bassa a) Sottrazione di credenziali di autenticazione b) Carenza di consapevolezza, disattenzione o incuria c) Comportamenti sleali o fraudolenti d) Errore materiale a) Azione di virus informatici o di programmi suscettibili di recare danno b) Spamming o tecniche di sabotaggio c) Malfunzionamento, indisponibilità o degrado degli strumenti d) Accessi esterni non autorizzati e) Intercettazione di informazioni in rete a) Accessi non autorizzati a locali e/o reparti ad accesso ristretto b) Asportazione e furto di strumenti contenenti dati 46

29 c) Eventi distruttivi, naturali o artificiali (sismi, scariche atmosferiche, incendi, allagamenti, condiz. ambientali ecc.), dolosi, accidentali o dovuti ad incuria d) Guasto ai sistemi complementari (imp. elettrico, climatizz) e) Errori umani nella gestione fisica la sicurezza Rischi individuati Misure esistenti Tipologia di misure che si propongono Da GEESV 001A a GEESV 002A Da GEESV 001B a GEESV 002B 3a 2c 2d locali e contenitori dedicati in parte chiusi a chiave pasword personali e codice utente locali e contenitori dedicati chiusi a chiave Procedure per il salvataggio dati Luogo di custodia le copie Server Archivio Struttura Interna Incaricato salvataggio Società esterna Persona Tempi di ripristino dati Da GEESV 001B a backup atomatico tempo reale GEESV 002B GEESV 001B backup magnetico dedicata 1 giorno S.S.D. Gestione Giuridica Ubicazione sede: pad Vigiola, via Genova, 30 Savona, Via Martiri la Libertà 30 Cairo Montenotte, Via Garibaldi 125 Carcare, Via XXV Aprile 128 Pietra Ligure, Via Trieste 54 Albenga Descrizione dei compiti istituzionali: gestione le procedure giuridiche afferenti al personale dipendente sotto la supervisone la S.C. Organizzazione Gestione e Formazione personale. Trattamenti dati effettuati: 1)collaborazione alla gestione procedure concorsuali, 2) collaborazione alla gestione procedure di reclutamento diversamente abili,3)collaborazione alla gestione procedure di inserimento lavoratori a tempo determinato ed indeterminato,4)collaborazione alla gestione procedure di trasferimento e comando 5) collaborazione alla gestione procedure di mobilità interna 6) collaborazione alla gestione procedure di selezione ed assegnazione borse di studio7)collaborazione alla gestione procedure di rilevazione assenze e presenze 8) collaborazione alla gestione le procedure di denuncia infortuni INAIL 9)collaborazione alla gestione contenzioso personale 10) collaborazione alla gestione procedure di inabilità ed invalidità per cause di servizio 11) collaborazione alla gestione procedure disciplinari 12)collaborazione alla gestione fascicoli personali 13) collaborazione all attività di certificazione 13) gestione procedure contrattuali 14) Procedure e L.183/2011 TABELLA 1 - Elenco dei trattamenti aventi ad oggetto dati sensibili o giudiziari Altre strutture che Natura dei Descrizione sintetica concorrono al dati trattati Attività svolta Categorie di interessati Sens. Giud. Int. Est. GEGSV 001 procedure concorsuali terzi interessati GEGSV 002 reclutamento diversamente abili GEGSV 003 inserimento lavoratori a t. d. ed ind. dipendenti e interessati GEGSV 004 trasferimento e comando GEGSV 005 mobilità interna dipendenti GEGSV 006 selezione assegnazione borse di studio terzi interessati GEGSV 007 rilevazione assenze e presenze dipendenti e incaricati GEGSV 008 denunce infortuni INAIL GEGSV 009 contenzioso personale GEGSV 010 Inabilità ed invalidità per cause di servizio GEGSV 011 procedure disciplinari GEGSV 012 fascicoli personali GEGSV 013 gestione procedure contrattuali dipendenti GEGSV 013 Procedure e L.183/2011 Dip. e terzi interessati TABELLA 2 - Strumenti utilizzati Banca dati Ubicazione Procedure Interconnessione 47