LINEE GUIDA E DOCUMENTO PROGRAMMATICO SULLA SICUREZZA DEI DATI

Transcript

1 COMUNE DI BARLETTA SEVIZIO SISTEMI, RETI ED INFRASTRUTTURE TECNOLOGICHE LINEE GUIDA E DOCUMENTO PROGRAMMATICO SULLA SICUREZZA DEI DATI Servizio Sistemi Reti e Infrastrutture Tecnologiche

2 COMUNE DI BARLETTA SEVIZIO SISTEMI, RETI ED INFRASTRUTTURE TECNOLOGICHE LINEE GUIDA E DOCUMENTO PROGRAMMATICO SULLA SICUREZZA DEI DATI INDICE ANALITICO 1.1. Principi generali..pag Riferimenti normativi..pag Definizioni..PAG Analisi dei rischi..pag Criteri tecnici ed organizzativi per la protezione delle aree e dei locali interessati dalle misure di sicurezza nonché le procedure per controllare l accesso delle persone autorizzate ai locali medesimi..pag Classificazione dei dati..pag Criteri e procedure per assicurare l integrità dei dati Criteri e procedure per la sicurezza delle trasmissioni dei dati, ivi compresi quelli per le restrizioni di accesso per via telematica..pag Premessa d.p.s..pag Metodologia d.p.s..pag. 9 Servizio Sistemi Reti e Infrastrutture Tecnologiche I

3 COMUNE DI BARLETTA SEVIZIO SISTEMI, RETI ED INFRASTRUTTURE TECNOLOGICHE LINEE GUIDA E DOCUMENTO PROGRAMMATICO SULLA SICUREZZA DEI DATI INDICE ANALITICO 2.3. Allegati documento..pag Situazioni dei rischi delle misure di legacy e security in uso e degli interventi formativi e di prevenzione..pag. 16 ALLEGATI Schede di Rilevazione Tabella A1 Tabella B1 Tabella A Servizio Sistemi Reti e Infrastrutture Tecnologiche II

4 COMUNE DI BARLETTA SERVIZIO SISTEMI, RETI ED INFRASTRUTTURE TECNOLOGICHE LINEE GUIDA PER LA STESURA DEL DOCUMENTO PROGRAMMATICO SULLA SICUREZZA DEI DATI 1. Principi generali: Il presente documento costituisce il quadro di riferimento per l applicazione delle misure minime di sicurezza per il trattamento dei dati personali, indicate nel Decreto Legislativo 11 maggio 1999, n 135 nel Decreto del Presidente della Repubblica 28 luglio 1999, n 318 e nel D.Lgl. n 196 del 30 giugno L applicazione di dette misure è di competenza dei responsabili del trattamento. L efficacia delle misure di sicurezza adottate dovrà essere comunque oggetto di controlli periodici, da eseguirsi con cadenza annuale. 2. Riferimenti normativi: Nella presente sezione vengono riportati gli articoli legislativi per le attività della Pubblica Amministrazione a riguardo del trattamento dei dati personali. L articolo 2, comma 1, del Dlg. 196/2003, stabilisce che il trattamento dei dati personali si svolga nel rispetto dei diritti delle persone fisiche, con particolare riferimento alla riservatezza. L articolo 35 afferma che il trattamento di dati personali svolto senza l ausilio di mezzi elettronici o comunque automatizzati è soggetto alla Servizio Sistemi Reti e Infrastrutture Tecnologiche 1

5 disciplina prevista dal disciplinare tecnico contenuto nell allegato B del Dlg. 196/2003. L articolo 11 sancisce che i dati personali oggetto di trattamento devono essere trattati in modo lecito e secondo correttezza; devono essere esatti e, se necessario, aggiornati; devono essere infine pertinenti, completi e non eccedenti rispetto alle finalità per le quali sono raccolti o successivamente trattati. L articolo 31, comma 1, dispone che i dati personali oggetto di trattamento devono essere custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta. Nel articolo 15 della legge 675/96, commi 2 e 3, viene stabilito che le misure minime di sicurezza da adottare in via preventiva sono individuate con regolamento emanato con Decreto del Presidente della Repubblica e che esse sono adeguate successivamente, con cadenza almeno biennale, in relazione all evoluzione tecnica del settore e dell esperienza maturata. L articolo 15 del Dlg. N 196/2003 comma 1, prevede che chiunque cagioni danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento del danno ai sensi dell articolo 2050 del codice civile. L articolo 169 del Dlg. N 196/2003 comma 1, stabilisce che chiunque, essendovi tenuto, omette di adottare le misure minime necessarie a garantire la sicurezza dei dati personali, previste dall articolo 33, è punito con l arresto sino a due anni o con l ammenda da ,00 a ,00. 3.Definizioni: Vengono recepite nel seguente documento le definizioni elencate nell art. 1, comma 2, della legge n 675/96 quelle contenute nell art. 1 del D.P.R. 28 luglio 1999, n 318 e alcune integrate nel Dlg. 196/2003. Sicurezza: l integrità, la riservatezza e la disponibilità dei dati. Rischio: la probabilità di accadimento di una minaccia. Minaccia: un potenziale evento dannoso conosciuto. Vulnerabilità: l attitudine intrinseca di un elemento a subire gli effetti di una minaccia avveratasi. Servizio Sistemi Reti e Infrastrutture Tecnologiche 2

6 Sistema informativo: il sistema di gestione di tutte le informazioni nell ambito di una organizzazione. Sistema informatico: il sistema di gestione automatizzata delle informazioni nell ambito di un organizzazione. Supporto: l elemento materiale su cui sono trasmessi o registrati i dati. Dati personali: qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificativi o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale. Dati identificativi: i dati personali che permettono l identificazione diretta dell interessato. Dati sensibili: i dati personali idonei a rilevare l origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l adesione a partiti politici, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. Dati giudiziari: i dati personali idonei a rivelare provvedimenti di cui all articolo 3 comma 1, lettere da a) a o) e da r) a u), del d.p.r. 14 novembre 2002, n 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale. Banca dati: qualsiasi complesso di dati personali, ripartito in una o più unità dislocate in uno o più siti, organizzato secondo una pluralità di criteri determinati tali da facilitarne il trattamento; Trattamento: qualunque operazione o complesso di operazioni, svolti con o senza l ausilio di mezzi elettronici o comunque automatizzati, concernenti la raccolta, la registrazione, l organizzazione, la conservazione, l elaborazione, la modificazione, la selezione, l estrazione, il raffronto, l utilizzo, l interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati; Titolare: la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le decisioni in ordine alle finalità ed alle modalità del trattamento di dati personali, ivi compreso il profilo della sicurezza; Responsabile: la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al trattamento di dati personali; Servizio Sistemi Reti e Infrastrutture Tecnologiche 3

7 Interessato: la persona fisica, la persona giuridica, l ente o l associazione cui si riferiscono i dati personali; Comunicazione: il dare conoscenza dei dati personali a uno o più soggetti determinati diversi dall interessato, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; Diffusione: il dare conoscenza dei dati personali a soggetti indeterminati, in qualunque forma, anche mediante la loro messa a disposizione o consultazione; Dato anonimo: il dato che in origine, o a seguito di trattamento, non può essere associato ad un interessato identificato o identificabile; Blocco: la conservazione di dati personali con sospensione temporanea di ogni altra operazione del trattamento; Garante: l autorità istitutiva ai sensi dell articolo 30 della legge 675/96. 4.Analisi dei rischi: Al fine di individuare ed applicare adeguate misure volte a garantire la sicurezza del sistema informativo, è compito del responsabile valutare, dinamicamente e costantemente: - la vulnerabilità sia degli elementi costitutivi l architettura del sistema informativo sia dei dati che in esso sono collocati; - i rischi i cui dati sono soggetti. A tale scopo si rilevano le seguenti minacce, a prescindere dall origine dolosa, colposa o accidentale degli agenti che le possono generare: - distruzione materiale dei supporti su cui sono registrati i dati; - danneggiamento dei supporti con conseguente inintellegibilità dei dati; - cancellazione dei dati; - accesso abusivo ai dati; - trattamento dei dati eccedente alle finalità per cui vengono trattati; - alterazione logica dei dati; - trattamento abusivo tramite procedure o programmi per elaboratore autorizzati - trattamento abusivo tramite procedure o programmi per elaboratore non autorizzati; - danneggiamento o manomissione, fisica o logica, delle apparecchiature e dei dispositivi per l elaborazione dei dati; - danneggiamento o manomissione, fisica o logica, delle apparecchiature e dei dispositivi per la trasmissione dei dati. Servizio Sistemi Reti e Infrastrutture Tecnologiche 4

8 5.Criteri tecnici ed organizzativi per la protezione delle aree e dei locali interessati dalle misure di sicurezza nonché le procedure per controllare l accesso delle persone autorizzate ai locali medesimi: Le aree adibite a luogo di lavoro devono essere assegnate e utilizzate in base a criteri che tengano conto delle attività che in essi vengono svolte. Il personale dipendente ha accesso alle sole aree che riguardano strettamente l attività lavorativa di competenza: in tutti gli altri casi esso è equiparato al pubblico. La compartimentazione degli spazi deve essere strutturata in maniera tale da impedire la promiscuità di permanenza e di utilizzazione tra: - personale dipendente incaricato del trattamento di dati personali; - personale dipendente non incaricato di trattamento di dati personali; - terzi. Il personale dipendente incaricato di trattamento ha accesso ai dati esclusivamente sulla base delle esigenze di servizio, conformemente ai seguenti principi: - la necessità di trattamento; - il minimo privilegio, vale a dire il minimo livello di conoscenza dei dati. E compito del Responsabile vigilare affinchè venga impedito l accesso, il transito e la permanenza di persone estranee all attività lavorativa nelle aree e nei locali adibiti a luoghi di lavoro, con particolare attenzione agli spazi in cui vengono custodite banche di dati o in cui avvengono trattamenti di dati. E altresì compito del responsabile impedire che vengano introdotti in tali aree oggetti, apparecchiature, sostanze o materiali che possono favorire la realizzazione dei rischi sopra individuati, ovvero non indispensabili allo svolgimento dell attività lavorativa. L accesso e la permanenza di personale addetto ad attività di servizio (pulizia, manutenzioni, etc.) deve avvenire con procedure e controlli idonei a ridurre i rischi sopra individuati. Devono essere previsti procedure, accorgimenti e strumenti per: - consentire l accesso alle aree dove vengono custoditi e trattati i dati al solo personale autorizzato; - ostacolare l accesso abusivo ai dati; - segnalare la presenza di intrusi. 6.Classificazione dei dati: Sulla base delle attività svolte e delle procedure operative adottate, i dati trattati vengono classificati per gruppi congruenti. Per ogni gruppo congruente deve Servizio Sistemi Reti e Infrastrutture Tecnologiche 5

9 essere attribuito un livello di criticità, commisurato alle conseguenze che la distruzione, l alterazione o la perdita di riservatezza dei dati di ogni gruppo possono comportare. Per ogni gruppo congruente di dati occorre stabilire, in base al livello di criticità attribuito, le modalità di trattamento e gli strumenti impiegati. In fase di individuazione degli incaricati, occorre stabilire a quale gruppo congruente di dati essi hanno accesso, limitatamente ai procedimenti seguiti. 7.Criteri e procedure per assicurare l integrità dei dati Criteri e procedure per la sicurezza delle trasmissioni dei dati, ivi compresi quelli per le restrizioni di accesso per via telematica: 7.1 Trattamento di dati con mezzi informatici. Per i dati trattati con mezzi informatici, sia che si tratti di elaboratori stand-alone che di elaboratori accessibili da altri elaboratori o terminali, collegati attraverso reti chiuse o aperte al pubblico, dovranno essere predisposte le seguenti misure: -La protezione dell accesso ai dati o al sistema dovrà avvenire mediante l utilizzo di una parola chiave che verrà fornita agli incaricati di trattamento. L uso di diverse parole chiave e la presenza di diversi incaricati richiederà che vengano individuati per iscritto i soggetti preposti alla loro custodia o che hanno accesso alle informazioni che concernono le medesime. -L attribuzione a ciascun utente o incaricato di un codice identificativo personale per l utilizzazione dell elaboratore. Si dovrà accertare che uno stesso codice, fatta eccezione per l amministratore di sistema, relativamente ai sistemi operativi che prevedono un unico livello di accesso per tale funzione non venga, neppure in tempi diversi, assegnato a persone diverse. Tali codici identificativi personali dovranno essere assegnati e gestiti in modo tale che ne sia prevista la disattivazione in caso di perdita della qualità che consentiva l accesso all elaboratore ovvero di mancata utilizzazione dei medesimi per un periodo superiore a sei mesi. -L accesso per le operazioni di trattamento sarà determinato sulla base di autorizzazioni assegnate, singolarmente o per gruppi di lavoro, agli incaricati del trattamento o della manutenzione. Tali autorizzazioni dovranno comprendere l indicazione degli strumenti utilizzati, intesa come individuazione dei singoli elaboratori attraverso i quali è possibile accedere per effettuare operazioni di trattamento. Saranno periodicamente rilasciate e revocate dal Responsabile e, almeno una volta l anno, si dovrà verificare la sussistenza delle condizioni per la loro conservazione. Le autorizzazioni saranno limitate ai soli dati la cui Servizio Sistemi Reti e Infrastrutture Tecnologiche 6

10 conoscenza è necessaria e sufficiente per lo svolgimento delle operazioni di trattamento o di manutenzione. La validità delle richieste di accesso ai dati personali dovrà essere verificata prima di consentire l accesso stesso. -Gli elaboratori dovranno essere protetti contro il rischio di intrusione ad opera di programmi di cui all articolo 615 quinquies del codice penale mediante idonei prodotti applicativi la cui efficacia ed aggiornamento sono verificati con cadenza almeno annuale. -La trasmissione dei dati dovrà essere protetta con sistema di criptazione degli stessi. Per quanto riguarda i supporti già utilizzati dovrà porsi particolare attenzione affinchè vengano riutilizzati soltanto nel caso in cui le informazioni precedentemente contenute non siano tecnicamente recuperabili in alcun modo, altrimenti devono essere distrutti. 7.2 Trattamento di dati con mezzi non informatici. Per quanto riguarda l elaborazione manuale ovvero l utilizzo di supporti non informatici (cartaceo)il Responsabile: Nel designare gli incaricati del trattamento per iscritto e nell impartire le istruzioni, dovrà prescrivere che essi abbiano accesso ai soli dati personali la cui conoscenza sia strettamente necessaria all adempimento dei compiti loro assegnati. Avrà altresì cura che: a) gli atti e i documenti contenenti i dati siano conservati in archivi ad accesso selezionato e, se affidati agli incaricati di trattamento, vengano da questi ultimi conservati e restituiti al termine delle operazioni affidate; b) gli atti e i documenti contenenti i dati, se affidati agli incaricati del trattamento, siano conservati, fino alla restituzione, in contenitori muniti di serratura; c) l accesso agli archivi sia controllato e vengano identificati e registrati i soggetti che vi vengono ammessi dopo l orario di chiusura degli archivi stessi. Servizio Sistemi Reti e Infrastrutture Tecnologiche 7

11 DOCUMENTO PROGRAMMATICO SULLA SICUREZZA DEI DATI INFORMATIZZATI Servizio Sistemi Reti e Infrastrutture Tecnologiche 8

12 1. PREMESSA Il, in ottemperanza alla vigente normativa sulla privacy e in relazione alle linee guida per la stesura del documento programmatico sulla sicurezza dei dati ( DPS), approvate unitamente al presente documento, redige il seguente documento programmatico per la sicurezza dei dati informatizzati (DPS) lasciando, per competenza, al singolo Dirigente di Settore la definizione delle modalità di gestione e archiviazione delle banche dati cartacee relative ai propri archivi correnti di cui si riporta in allegato al presente DPS la tabella riepilogativa. 2. METODOLOGIA La metodologia utilizzata per la redazione del presente DPS si basa sulla attivazione di un processo di acquisizione, elaborazione e rappresentazione delle informazioni articolato secondo le seguenti fasi: FASE 1: flusso logico operativo FASE 2: priorità di intervento FASE 3: schema di rappresentazione Servizio Sistemi Reti e Infrastrutture Tecnologiche 9

13 FASE 1: flusso logico operativo 1. Analisi e intervista a tutti i Dirigenti 2. Registrazione delle informazioni sul Modello interno di analisi per il DPS 3. Redazione della Tabella Banche Dati Informatizzate 4. Redazione della Tabella Banche Dati Cartacee 5. Redazione della Tabella Trattamenti Banche Dati informatizzate e ruoli organizzativi coinvolti 6. Definizione criteri tecnici ed organizzativi 7. Definizione criteri e procedure per assicurare l integrità dei dati 8. Analisi dei fabbisogni formativi e delle criticità 9. Definizione misure di implementazione Servizio Sistemi Reti e Infrastrutture Tecnologiche 10

14 Descrizione delle attività 1. Analisi e intervista a tutti i Dirigenti e loro delegati per l assunzione di tutte le informazioni relative alle banche dati contenenti dati personali, identificativi, sensibili e giudiziari, nonché, l analisi dei rischi che incombono sui dati, le misure adottate per garantire l integrità e la loro disponibilità, la protezione delle aree e dei locali rilevanti ai fini della loro custodia e accessibilità; 2. Registrazione delle informazioni acquisite e delle modalità di trattamento su apposito modello interno di analisi per DPS allegato in appendice al presente documento composto da due schede di cui la prima destinata a registrare l elenco delle banche dati gestite in modalità informatica e la seconda destinata a registrare l elenco delle banche dati gestite in formato cartaceo; 3. Redazione della Tabella Banche Dati Informatizzate risultante dalla sintesi del processo di analisi e intervista ricavata dalle schede contenenti l elenco delle banche dati gestite in modalità informatica compilate nella fase 1; 4. Redazione della Tabella Banche Dati Cartacee risultante dalla sintesi del processo di analisi e intervista ricavata dalle schede contenenti l elenco delle banche dati personali di settore in formato cartaceo compilate nella fase 1. Il trattamento di tali Banche Dati sarà oggetto di atti interni assunti dal Dirigente responsabile; 5. Redazione della Tabella Trattamenti Banche Dati informatizzate e ruoli organizzativi coinvolti risultante dalla sintesi del processo di analisi e intervista ricavata dalle schede contenenti l elenco delle banche dati gestite in modalità informatica compilate nella fase 1; 6. Definizione criteri tecnici ed organizzativi per la protezione delle sedi comunali presso le quali risiedono gli archivi presenti nella Tabella Banche Dati Informatizzate per la verifica delle condizioni di sicurezza sia fisiche sia informatiche; 7. Definizione criteri e procedure per assicurare l integrità dei dati; 8. Analisi dei fabbisogni formativi e delle criticità; Servizio Sistemi Reti e Infrastrutture Tecnologiche 11

15 9. Definizione misure di implementazione prescritte per ogni sede comunale per la pianificazione della formazione e la rimozione delle criticità rilevate; Servizio Sistemi Reti e Infrastrutture Tecnologiche 12

16 FASE 2: priorità di intervento Le misure di implementazione che vengono descritte in questo documento sono state classificate per priorità di intervento in base alla gravità delle criticità rilevate. Le priorità di intervento sono state classificate in tre tipologie: Priorità = 1 Indispensabile Priorità = 2 Necessaria Priorità = 3 Opportuna Laddove le tre classificazioni sono state assunte con le seguenti accezioni: Indispensabile => per intervento obbligatorio finalizzato a rimuovere criticità gravi per la conservazione dei dati secondo le prescrizioni normative (es. cambiare serratura dell accesso ai locali perché tutti hanno la chiave, effettuare i salvataggi con periodicità funzionale al ripristino organico dei dati, cambiare le password con la frequenza prescritta ecc ); Necessaria => per intervento finalizzato a rimuovere criticità di media gravità per il miglioramento delle condizioni di conservazione dei dati (es. interventi di formazione a chiamata); Opportuna => per intervento finalizzato a rimuovere criticità di bassa gravità per il miglioramento delle condizioni di conservazione dei dati (es. attivazione di un sistema di allarme per la protezione fisica delle sedi ospitanti le apparecchiature, installazione di una porta blindata di accesso ai locali ospitanti le attrezzature, ecc ). Ogni Dirigente terrà conto delle priorità di intervento rilevate per ogni banca dati/locale ospitante di cui è responsabile e procederà alla realizzazione degli interventi con priorità 1. Servizio Sistemi Reti e Infrastrutture Tecnologiche 13

17 FASE 3: schema di rappresentazione La struttura logistica degli uffici comunali è di tipo decentrato, laddove per ogni sede operativa sono stati accorpati quei servizi che per natura e attività richiedono maggiore contiguità fisica. L articolazione del paragrafo relativo alla situazione dei rischi, delle misure di legacy e security in uso e degli interventi formativi e di prevenzione, ha tenuto conto di tale circostanza per cui per ogni sede sono state strutturate le informazioni secondo il seguente schema di rappresentazione: 1) Criteri tecnici ed organizzativi per la protezione delle aree. a) Situazione esistente b) Misure di implementazione prescritte 2) Criteri e procedure per assicurare l integrità dei dati. a) Situazione esistente b) Misure di implementazione prescritte 3) Piano di formazione per prevenire i danni a) Situazione esistente b) Misure di implementazione prescritte. Il processo di redazione del presente DPS, così come precedentemente descritto, ha fatto rilevare che ad oggi, per quanto riguarda le banche dati istituzionali gestite con il sistema centralizzato di desaster recovery e con il sistema di controllo accessi regolato da password individuali (anagrafe cittadini residenti, anagrafe dipendenti, anagrafe elettorale, stato civile, anagrafe cittadini residenti all estero, anagrafe immigrati, anagrafe contribuenti ecc..), il ha adottato misure che rientrano nelle prescrizioni normative previste. Servizio Sistemi Reti e Infrastrutture Tecnologiche 14

18 3. ALLEGATI DOCUMENTO Al presente documento vengono integrati i seguenti allegati che ne costituiscono parte integrante e sostanziale: Modello interno di analisi per DPS: modulistica composta da n 2 schede, o la 1^ finalizzata a registrare le banche dati informatizzate gestite da ciascun settore con indicazione dei trattamenti e dei ruoli organizzativi coinvolti, o la 2^ finalizzata a registrare le banche dati cartacee gestite da ciascun settore per consentire al Dirigente di Settore l implementazione interna delle modalità di archiviazione e gestione delle stesse Tabella banche dati informatizzate: (tabella A1); elenco delle banche dati informatizzate con indicazione codice di riferimento, gestore, sede comunale di conservazione, tipologia di back up (centralizzato o interno); Tabella banche dati cartacee: (tabella B1); elenco delle banche dati cartacee (archivio corrente) con indicazione codice di riferimento, settore/ente titolare, sede comunale di conservazione, responsabile. Tale tabella costituisce documento di riferimento per l adozione degli atti di definizione del trattamento interno agli uffici, di competenza di ciascun Dirigente; Tabella Trattamenti Banche Dati informatizzate e ruoli organizzativi coinvolti: (Tabella A); elenco dei diversi trattamenti operati su ogni banca dati informatizzata con indicazione codice di riferimento, settori, ruoli organizzativi coinvolti, tipo di trattamento e responsabili del trattamento. Servizio Sistemi Reti e Infrastrutture Tecnologiche 15

19 4. SITUAZIONE DEI RISCHI DELLE MISURE DI LEGACY E SECURITY IN USO E DEGLI INTERVENTI FORMATIVI E DI PREVENZIONE. Le sedi comunali nelle quali risiedono le Banche Dati Informatizzate sono le seguenti: A) Polizia municipale via Municipio, 26 B) Palazzo di città: corso Vittorio Emanuele, 94 C) Palazzina Servizi Istituzionali e Sociali : piazza Moro, 16 D) Palazzina Reichlin viale Marconi, 31 E) Palazzo ex banca d Italia: corso Cavour, 1 F) Centro Servizi SIT c/o BAR.S.A. Via Callano, 61 Tutte le postazioni di lavoro in uso presso le sedi comunali sono corredate di UPS singoli tali da garantire la continuità operativa, la sicurezza di conservazione dei dati e le operazioni di chiusura regolare del sistema in caso di interruzione della rete elettrica. A) Polizia municipale via Municipio, 26 1) Criteri tecnici ed organizzativi per la protezione delle aree. a) Situazione esistente. Le aree nelle quali insistono i diversi uffici del settore Polizia Municipale dove vi sono archivi contenenti dati comuni e sensibili sono tutti soggetti a vigilanza e ad accesso controllato. E in servizio, infatti, 24 ore su 24 un Agente di P.M. (piantone) che verifica tutti gli accessi alla sede e ha specifiche funzioni di vigilanza. Per quanto riguarda l accesso controllato, tutte le porte dei diversi uffici sono chiuse a chiave in possesso esclusivo del personale incaricato. Le work-station sono dotate di password di accesso; l accesso ai software gestionali contenenti dati sensibili prevedono il codice identificativo personale e la password personale per ogni incaricato di durata semestrale. A tutto il personale incaricato sono state impartite istruzioni interne e modalità comportamentali che garantiscono l efficacia delle procedure in relazione agli standard di sicurezza. b) Misure di implementazione prescritte. Interventi: Non sono richiesti ulteriori interventi. 2) Criteri e procedure per assicurare l integrità dei dati. Servizio Sistemi Reti e Infrastrutture Tecnologiche 16

20 a) Situazione esistente. E in essere un sistema organizzativo di archiviazione dei dati che individua la loro precisa collocazione per non permettere la perdita degli stessi. Per gli archivi informatici contenenti tutti i dati trattati sono attivate le seguenti procedure: i) identificazione personale ii) password iii) copia di backup giornaliero su supporti magnetici (cassette) diversi nell arco della settimana, iv) conservazione delle cassette in armadio ignifugo presso il s.r.i.t. v) scansione del programma antivirus attivo di tutto il software in uso, anche provenienti da scambi telematici, vi) Viene inibito l accesso agli operatori al di fuori dell orario di servizio nei locali ove sono contenuti tutti i dati. vii) Esiste un piano di disaster recovery per le banche dati gestite direttamente dal servizio SRIT che garantisce il ripristino della situazione dei dati al giorno precedente. Infatti, vengono conservate le cassette contenenti i salvataggi giornalieri dell ultima settimana che garantiscono il ripristino anche in presenza di supporti difettosi. b) Misure di implementazione prescritte. Interventi: (Priorità 2)- Va implementato un sistema formalizzato di disaster recovery per i dati personali gestiti direttamente sulle postazioni di lavoro dei singoli operatori (applicativi stand alone, files word, excel, power point, access e office in genere), pertanto, è necessaria una definizione e formalizzazione della gestione dei salvataggi da parte del Dirigente responsabile. 3) Piano di formazione per prevenire i danni a) Situazione esistente. Il S.R.I.T. (servizio reti ed infrastrutture tecnologiche), ha rilevato una conoscenza accettabile delle prescrizioni normative in materia di privacy, ma ha riscontrato una difficoltà applicativa della stessa norma nella gestione delle banche dati informatizzate. b) Misure di implementazione prescritte. Istituire un piano di formazione annuale che preveda: (Priorità 1) - Interventi formativi finalizzati a elevare il grado di applicazione operativa delle norme. (Priorità 3) - Interventi formativi periodici a chiamata da parte di ciascun dirigente Servizio Sistemi Reti e Infrastrutture Tecnologiche 17

21 B) Palazzo di città: corso Vittorio Emanuele, 94 1) Criteri tecnici ed organizzativi per la protezione delle aree. a) Situazione esistente. Le aree nelle quali risiedono i diversi uffici del Palazzo di Città, dove vi sono archivi contenenti dati comuni e sensibili, sono tutti soggetti a vigilanza e ad accesso controllato. E in servizio, infatti, 24 ore su 24 un incaricato appartenente a ditta esterna, preposto a verificare tutti gli accessi alla sede e ha specifiche funzioni di vigilanza. Per quanto riguarda l accesso controllato, tutte le porte dei diversi uffici sono chiuse a chiave in possesso esclusivo del personale incaricato. In questo plesso, in ciascuno dei cinque piani, esiste una stanza nel cavedio che ospita server e apparati attivi di rete che consentono l utilizzo di diverse applicazioni anche in rete. L accesso è consentito solo al personale del servizio SRIT che custodisce le chiavi dei locali, tutte le applicazioni sono protette da password di durata semestrale, giornalmente viene effettuato il backup dei dati su supporti magnetici diversi per ogni giorno della settimana. Le stanze sono provviste di un climatizzatore che consente il mantenimento della temperatura costante. Anche in questo caso al personale del servizio S.R.I.T. sono state impartite istruzioni interne e modalità comportamentali che garantiscono l efficacia delle procedure in relazione agli standard di sicurezza. b) Misure di implementazione prescritte. Interventi: (Priorità 3) - Installare in ciascun locale del cavedio una porta blindata (Priorità 3) - Installare un sistema di allarme in tutti i locali che conservano i dati sorgenti Tali interventi verranno realizzati in presenza di risorse finanziarie adeguate. 2) Criteri e procedure per assicurare l integrità dei dati. a) Situazione esistente. L archiviazione dei dati attualmente viene effettuata in modo tale da non permettere la loro perdita. Per quanto riguarda le applicazioni contenenti dati sensibili sono attive le procedure di identificazione personale e codice di accesso. Giornalmente viene effettuata una copia di backup dei dati su supporti magnetici che è conservata in un armadio ignifugo chiuso a chiave presso il s.r.i.t.. Tutte le applicazioni, i programmi e la rete civica esistente, oltre a tutti i files provenienti da sistemi informatici esterni, sono sottoposti a scansioni degli antivirus attivi, inoltre, tutti gli accessi sulla rete civica sono filtrati attraverso un firewall. E assolutamente vietato l ingresso ad alcuno fuori dall orario di servizio, in tutti i locali dove sono custoditi i dati sensibili. Servizio Sistemi Reti e Infrastrutture Tecnologiche 18

22 b) Misure di implementazione prescritte. Interventi: (Priorità 2) - Va implementato un sistema formalizzato di disaster recovery per i dati personali gestiti direttamente sulle postazioni di lavoro dei singoli operatori (applicativi stand alone, files word, excel, power point, access e office in genere), pertanto, è necessaria una definizione e formalizzazione della gestione dei salvataggi da parte del Dirigente responsabile. 3) Piano di formazione per prevenire i danni a) Situazione esistente. Il S.R.I.T. (servizio reti ed infrastrutture tecnologiche), ha rilevato una conoscenza accettabile delle prescrizioni normative in materia di privacy, ma ha riscontrato una difficoltà applicativa della stessa norma nella gestione delle banche dati informatizzate. b) Misure di implementazione prescritte. Istituire un piano di formazione annuale che preveda: (Priorità 1) - Interventi formativi finalizzati a elevare il grado di applicazione operativa delle norme. (Priorità 3) - Interventi formativi periodici a chiamata da parte di ciascun dirigente C) Palazzina servizi istituzionali e sociali: piazza Moro, 16 1) Criteri tecnici ed organizzativi per la protezione delle aree a) Situazione esistente. Attualmente in questa palazzina sono dislocati: Avvocatura Comunale; Servizi istituzionali, affari generali e servizi per i cittadini; Servizi sociali. I piani ( 1, 3, 4, 5 ) della palazzina dove sono ubicati i diversi uffici con gli archivi dei dati comuni e sensibili sono tutti soggetti ad accesso non controllato non essendoci la presenza di un custode o di un addetto alla vigilanza. Tutte le porte dei vari uffici sono chiuse a chiave e le stesse sono in possesso del personale incaricato. Le porte, tuttavia, non sono molto resistenti ed esiste il fondato rischio che possano essere facilmente forzate. Servizio Sistemi Reti e Infrastrutture Tecnologiche 19

23 Per quanto concerne i dati informatici, tutti le postazioni di lavoro sono fornite di password con validità semestrale, e codice identificativo personale. Data la particolare attenzione dedicata in special modo ai servizi demografici, il personale è stato istruito a quelle che sono le modalità comportamentali da assumere in relazione alle procedure per poter assicurare e rispettare i criteri previsti in relazione alla privacy e al trattamento dei dati comuni e sensibili. Gli archivi cartacei sono situati all interno di armadi, tutti chiusi a chiave. Le chiavi sono in possesso di soggetti incaricati. b) Misure di implementazione prescritte. Interventi: (Priorità 3) - Sostituire le attuali porte di accesso agli archivi contenenti dati con altre porte con sistemi di sicurezza più idonei. (Priorità 3) - Attivare la telesorveglianza dell immobile con un sistema di telecamere attivo 24 ore su 24 collegato alla P.M. Tali interventi verranno realizzati in presenza di risorse finanziarie adeguate. 2) Criteri e procedure per assicurare l integrità dei dati. a) Situazione esistente. I criteri e le procedure per assicurare l integrità dei dati sono garantiti da un sistema organizzativo di archiviazione dei dati tali da consentire una adeguata collocazione e gestione degli stessi. Per quanto riguarda l accesso ai dati sensibili, questo non è consentito al personale non autorizzato e comunque negato a chiunque fuori dell orario di servizio. Per quanto riguarda i dati informatici vengono giornalmente effettuati da parte del personale del s.r.i.t. il backup dei dati su supporti magnetici e gli stessi vengono custoditi in un armadio ignifugo al 5 piano del palazzo di città. Esiste al I piano del palazzo di città un vano dove sono presenti i sever che gestiscono le applicazioni dei demografici, elettorale, polizia municipale, tributi, personale, finanziaria, le password e gli identificativi sono custoditi dal personale del s.r.i.t., che è anche responsabile delle procedure. b) Misure di implementazione prescritte. Interventi: (Priorità 2) - Si rendono necessarie ulteriori misure per assicurare l integrità dei dati e in particolare, va implementato un sistema formalizzato di disaster recovery per i dati personali gestiti direttamente sulle postazioni di lavoro dei singoli operatori (applicativi stand alone, files word, excel, power point, access e office in genere), pertanto, è necessaria una definizione e formalizzazione della gestione dei salvataggi da parte del Dirigente responsabile. Servizio Sistemi Reti e Infrastrutture Tecnologiche 20

24 3) Piano di formazione per prevenire i danni a) Situazione esistente. Il S.R.I.T. (servizio reti ed infrastrutture tecnologiche), ha rilevato una conoscenza accettabile delle prescrizioni normative in materia di privacy, ma ha riscontrato una difficoltà applicativa della stessa norma nella gestione delle banche dati informatizzate. b) Misure di implementazione prescritte. Istituire un piano di formazione annuale che preveda: (Priorità 1) - Interventi formativi finalizzati a elevare il grado di applicazione operativa delle norme. (Priorità 3) - Interventi formativi periodici a chiamata da parte di ciascun dirigente Servizio Sistemi Reti e Infrastrutture Tecnologiche 21

25 D) Palazzina Reichlin viale Marconi, 31 1) Criteri tecnici ed organizzativi per la protezione delle aree a) Situazione esistente. In questa palazzina attualmente è dislocato il settore manutenzioni e il demanio e patrimonio. Le aree nelle quali insistono i diversi uffici dei settori dove vi sono archivi contenenti dati comuni e sensibili sono tutti soggetti a vigilanza. Tutte le porte dei diversi uffici sono chiuse a chiave in possesso esclusivo del personale incaricato. Le workstation sono dotate di password di accesso ; l accesso ai software gestionali contenenti dati sensibili prevedono il codice identificativo personale e la password diversificativa per incaricato di durata semestrale. A tutto il personale interessato sono state impartite istruzioni interne e modalità comportamentali che garantiscono l efficacia delle procedure in relazione agli standard di sicurezza. Tutti gli uffici sono muniti di un impianto di allarme centralizzato del tipo raggi a infrarossi con alimentazione autonoma e collegato alla sala radio del comando di polizia municipale, impianto che viene attivato ogni qualvolta gli uffici sono chiusi per mezzo di una password nota solo ad agenti ben identificati. c) Misure di implementazione prescritte. Interventi: (Priorità 3)- Sostituire le attuali porte di accesso agli archivi contenenti dati con altre porte con sistemi di sicurezza più idonei. Tali interventi verranno realizzati in presenza di risorse finanziarie adeguate. 2) Criteri e procedure per assicurare l integrità dei dati a) Situazione esistente. E in essere un sistema organizzativo di archiviazione dei dati che individua la loro precisa collocazione per non permette la perdita degli stessi. Tutto il software e i files in uso, anche provenienti da scambi telematici, sono sottoposti a scansione del programma antivirus in uso. Non è consentito l accesso ad alcuno, fuori dall orario di servizio nei locali ove sono contenuti i dati sensibili. b) Misure di implementazione prescritte. Interventi: (Priorità 2) - Si rendono necessarie ulteriori misure per assicurare l integrità dei dati e in particolare: va implementato un sistema formalizzato di disaster recovery per i dati personali gestiti direttamente sulle postazioni di lavoro dei singoli operatori (applicativi stand alone, files word, excel, power point, access e office in genere), pertanto, è necessaria una definizione e formalizzazione della gestione dei salvataggi da parte del Dirigente responsabile Servizio Sistemi Reti e Infrastrutture Tecnologiche 22

26 3) Piano di formazione per prevenire i danni a)situazione esistente. Il S.R.I.T. (servizio reti ed infrastrutture tecnologiche), ha rilevato una conoscenza accettabile delle prescrizioni normative in materia di privacy, ma ha riscontrato una difficoltà applicativa della stessa norma nella gestione delle banche dati informatizzate. b) Misure di implementazione prescritte. Istituire un piano di formazione annuale che preveda: (Priorità 1) - Interventi formativi finalizzati a elevare il grado di applicazione operativa delle norme. (Priorità 3) - Interventi formativi periodici a chiamata da parte di ciascun dirigente E) Palazzo ex banca d Italia: corso Cavour, 1 1) Criteri tecnici ed organizzativi per la protezione delle aree a) situazione esistente. Attualmente in questa sede sono presenti: il settore urbanistica; il settore ambiente e servizi pubblici; il settore lavori pubblici; il settore politiche attive di sviluppo; la rete civica comunale. I piani della palazzo dove sono ubicati i diversi uffici con gli archivi dei dati comuni e sensibili non sono tutti soggetti ad accesso controllato. Le workstation sono dotate di password di accesso; l accesso ai software gestionali contenenti dati sensibili prevedono il codice identificativo personale e la password diversificativa per incaricato di durata semestrale. A tutto il personale interessato sono state impartite istruzioni interne e modalità comportamentali che garantiscono l efficacia delle procedure in relazione agli standard di sicurezza. L ufficio della rete civica è dislocato in un locale a piano terra e presenta le seguenti caratteristiche: è dotato di varie apparecchiature hardware necessarie per il funzionamento dell intero impianto WEB, è provvisto di climatizzatore, porta blindata, impianto antincendio, armadio ignifugo. Servizio Sistemi Reti e Infrastrutture Tecnologiche 23

27 c) Misure di implementazione prescritte. Interventi: (Priorità 3) - Attivazione sistema di allarme collegato alla P.M. Tali interventi verranno realizzati in presenza di risorse finanziarie adeguate. 2) Criteri e procedure per assicurare l integrità dei dati a) Situazione esistente. I criteri e le procedure per assicurare l integrità dei dati sono garantiti da un sistema organizzativo di archiviazione dei dati tali da consentire una adeguata collocazione e gestione degli stessi. Per quanto riguarda l accesso ai dati sensibili, questo non è consentito al personale non autorizzato e comunque negato a chiunque fuori dell orario di servizio. I dati informatici vengono giornalmente effettuati da parte del personale del s.r.i.t. il backup dei dati su supporti magnetici, diversi per ogni giorno della settimana, e gli stessi vengono custoditi in un armadio ignifugo. La rete civica è protetta da eventuali attacchi esterni oltre che da un firewall anche da un programma antivirus e in caso di mancata fornitura di energia elettrica da gruppi statici dedicati che sono in grado di assicurare la funzionalità degli apparati e l integrità dei dati. b)misure di implementazione prescritte. Interventi: (Priorità 2) - Si rendono necessarie ulteriori misure per assicurare l integrità dei dati e in particolare: va implementato un sistema formalizzato di disaster recovery per i dati personali gestiti direttamente sulle postazioni di lavoro dei singoli operatori (applicativi stand alone, files word, excel, power point, access e office in genere), pertanto, è necessaria una definizione e formalizzazione della gestione dei salvataggi da parte del Dirigente responsabile 3) Piano di formazione per prevenire i danni a)situazione esistente. Il S.R.I.T. (servizio reti ed infrastrutture tecnologiche), ha rilevato una conoscenza accettabile delle prescrizioni normative in materia di privacy, ma ha riscontrato una difficoltà applicativa della stessa norma nella gestione delle banche dati informatizzate. b) Misure di implementazione prescritte. Istituire un piano di formazione annuale che preveda: (Priorità 1) - Interventi formativi finalizzati a elevare il grado di applicazione operativa delle norme. Servizio Sistemi Reti e Infrastrutture Tecnologiche 24

28 (Priorità 3) - Interventi formativi periodici a chiamata da parte di ciascun dirigente Servizio Sistemi Reti e Infrastrutture Tecnologiche 25

29 F) Centro Servizi SIT c/o BAR.S.A. Via Callano, 61 1) Criteri tecnici ed organizzativi per la protezione delle aree. a) Situazione esistente. Nel centro servizi sit vi sono archivi contenenti dati comuni e sensibili sono tutti soggetti ad accesso controllato. Per quanto riguarda l accesso controllato, tutte le porte blindate sono chiuse a chiave in possesso esclusivo del personale incaricato. Le work-station sono dotate di password di accesso; l accesso ai software gestionali contenenti dati sensibili prevedono il codice identificativo personale e la password personale per ogni incaricato di durata semestrale. A tutto il personale incaricato sono state impartite istruzioni interne e modalità comportamentali che garantiscono l efficacia delle procedure in relazione agli standard di sicurezza. b) Misure di implementazione prescritte. interventi: Non sono state rilevate criticità richiedenti interventi. 2) Criteri e procedure per assicurare l integrità dei dati. a)situazione esistente. E in essere un sistema organizzativo di archiviazione dei dati che individua la loro precisa collocazione per non permettere la perdita degli stessi. Per gli archivi informatici contenenti tutti i dati trattati sono attivate le seguenti procedure: i) identificazione personale ii) password iii) copia di backup giornaliero su supporti magnetici (cassette) diversi nell arco della settimana, iv) conservazione delle cassette in armadio ignifugo; v) scansione del programma antivirus attivo di tutto il software in uso, anche provenienti da scambi telematici, vi) Viene inibito l accesso agli operatori al di fuori dell orario di servizio nei locali ove sono contenuti tutti i dati. vii) Esiste un attività sistematica di back up con frequenza correlata al grado di aggiornamento delle informazioni per il salvataggio delle banche dati gestite nel Centro Servizi che garantisce il ripristino delle informazioni. b) Misure di implementazione prescritte. Interventi: (Priorità 1) - Formalizzare il piano di disaster recovery a cura della BAR.S.A. 3)Piano di formazione per prevenire i danni a)situazione esistente. Il S.R.I.T. (servizio reti ed infrastrutture tecnologiche), ha formalizzato il rispetto delle prescrizioni normative in materia di privacy Servizio Sistemi Reti e Infrastrutture Tecnologiche 26

30 nel contratto di affidamento alla Bar.S.A. della realizzazione del SIT e della gestione del Centro Servizi. b) Misure di implementazione prescritte. Interventi: Nessuna. Barletta li 02 Dicembre 2004 Servizio Sistemi Reti e Infrastrutture Tecnologiche 27