Gestione credenziali di autenticazione p e r a c c e s s o a i s i s t e m i i n f o r m a t i c i d e l l a zi e n d a

Transcript

1 INDICE 1. Scopo pag Campo di applicazione.pag Diagramma di flusso.pag Siglario.pag Descrizione attività Premessa pag. 3 Descrizione pag. 4 Richiesta di attivazione nuove abilitazioni pag. 4 Attivazione abilitazioni pag. 4 Assegnazione/modifica/sblocco password pag. 5 Revoca delle abilitazioni pag. 5 Allegati pag. 6 1

2 1. Scopo Lo scopo della presente procedura è quello di definire una procedura-operativa, finalizzata alla razionalizzazione e alla standardizzazione dei flussi relativi all attribuzione delle credenziali di autenticazione ed alla costituzione di un sistema di gestione delle stesse, tramite l utilizzo di una modulistica standard per la formulazione delle richieste di abilitazione e di procedure informatiche per l attivazione e la gestione delle abilitazioni stesse. 2. Campo di applicazione La presente procedura si applica nell ambito dell ASST Valleolona 2

3 3. Diagramma di flusso Non applicabile. 4. Siglario Non applicabile. 5. Descrizione attività Premessa Il Decreto Legislativo n. 196/03, codice in materia di protezione dei dati personali, impone degli obblighi di sicurezza e riservatezza in capo a tutti i soggetti, pubblici e privati, che trattano dati personali e/o sensibili ed in particolare prescrive che tutti gli incaricati al trattamento dei dati siano dotati di credenziali d autenticazione per l accesso alle applicazioni aziendali. Tali credenziali sono composte da UserID, che identifica univocamente ogni incaricato, e da una parola chiave segreta (password), oppure da un dispositivo di autenticazione in possesso e uso esclusivo dell incaricato (carta SISS operatore), eventualmente associato a un codice identificativo (codice Pin carta) o a una parola chiave. Ogni password è personale e non deve essere comunicata ad altri, salvo ai soggetti, individuati per iscritto, che possono accedere ai dati o ai sistemi d elaborazione in caso di assenza dell interessato. Le password devono essere costituite da almeno otto caratteri o, qualora non fosse possibile, pari al numero massimo di caratteri consentito dall applicazione e comprendere, di norma, almeno una cifra o un carattere alfabetico. Le password non devono essere memorizzate in procedure automatiche e non devono basarsi su strutture riconoscibili e riconducibili all interessato come nomi o date di nascita. Ciascun operatore, ove l applicativo lo consente, dopo l assegnazione iniziale da parte dei Sistemi Informativi, modifica al primo accesso la propria password e comunque almeno ogni sei mesi e, laddove il trattamento ha ad oggetto dati sensibili, almeno ogni tre mesi. 3

4 Per gli applicativi che al momento non consentono una gestione adeguata delle credenziali di autenticazione si è provveduto a richiedere al fornitore l adeguamento alle disposizioni di legge. Descrizione Il presente documento definisce una procedura organizzativa-operativa, finalizzata alla razionalizzazione e alla standardizzazione dei flussi relativi all attribuzione delle credenziali di autenticazione ed alla costituzione di un sistema di gestione delle stesse, tramite l utilizzo di una modulistica standard per la formulazione delle richieste di abilitazione e di procedure informatiche per l attivazione e la gestione delle abilitazioni stesse. - Richiesta di attivazione nuove abilitazioni Le richieste di attivazione di nuove abilitazioni, a fronte di nuove assunzioni o cambi mansioni, devono essere inoltrate all ufficio Sistemi Informativi, debitamente controfirmate dal Responsabile della UO/Servizio (Responsabile Trattamento Dati) utilizzando la modulistica allegata. Le richieste devono contenere: - indicazione della persona (nominativo e UO/Servizio di appartenenza) cui sarà concessa l abilitazione - profilo di accesso alle procedure (medico, infermiere, ) - postazioni di lavoro di riferimento - elenco delle applicazioni per le quali si richiede l abilitazione - Attivazione abilitazioni L Ufficio Sistemi Informativi (o i referenti di sistema abilitati), ricevute le richieste, provvederà all attivazione delle nuove abilitazioni sui singoli sistemi, nonché alla configurazione delle postazioni di lavoro, per l abilitazione dei relativi accessi. Le abilitazioni concesse verranno registrate in apposito Data Base aziendale. 4

5 - Assegnazione password Gli identificativi utente e le relative password di accesso ai sistemi, nonché gli eventuali dispositivi di autenticazione (vedi carta SISS), verranno consegnati, in busta chiusa, ai singoli utenti che firmeranno l apposito registro di presa in carico. L utente abilitato si impegna a custodire e gestire con diligenza le password assegnate e ad utilizzare gli strumenti di accesso ai sistemi per i soli fini istituzionali. - Modifica della password Ciascun operatore, ove l applicativo lo consente, dopo l assegnazione iniziale da parte dei Sistemi Informativi, modifica al primo accesso la propria password e comunque almeno ogni sei mesi e, laddove il trattamento ha ad oggetto dati sensibili, almeno ogni tre mesi. Qualora l applicativo non consentisse la modifica autonoma delle password da parte dell utente e quest ultimo ritenesse che le stesse non dispongano più del requisito di segretezza, la modifica delle password di accesso dovrà essere richiesta formalmente all Ufficio Sistemi Informativi e comporterà l annullamento delle password in uso ed il rilascio di nuove password sostitutive che saranno consegnate agli utenti interessati con le modalità sopra descritte. - Sblocco della Password Qualora l identificativo utente o la password rimangano bloccati, ove l applicativo lo consenta, l utente dovrà provvedere allo sblocco delle proprie credenziali utilizzando il codice PUK. In alternativa il personale dei Sistemi Informativi provvederà, su richiesta, a sbloccare l utente/password attribuendo una password istituzionale che verrà consegnata con le modalità sopra descritte. - Revoca delle abilitazioni Le credenziali di autenticazione non utilizzate da almeno sei mesi vengono disattivate, salvo quelle preventivamente autorizzate per i soli scopi di gestione tecnica. 5

6 A tale riguardo il Servizio Risorse Umane comunica tramite lettera protocollata all Ufficio Sistemi Informativi con cadenza settimanale le recessioni dal rapporto di lavoro del personale e i collocamenti a riposo. Il personale dell Ufficio Sistemi Informativi provvede, in base alle risultanze del Data Base Aziendale delle abilitazioni, alla disattivazione delle credenziali di autenticazione assegnate all incaricato per l accesso ai singoli sistemi applicativi. Le credenziali vengono disattivate, su segnalazione del Responsabile della UO/Servizio di appartenenza (Responsabile Trattamento Dati), anche in caso di perdita della qualità che consente all incaricato l accesso ai dati personali. Allegati MOD1 MOD2 Richiesta assegnazione credenziali autenticazione per l accesso ai sistemi informatici dell azienda Richiesta revoca credenziali autenticazione per l accesso ai sistemi informatici dell azienda 6