DOCUMENTO PROGRAMMATICO. sulla SICUREZZA. dei DATI PERSONALI

Transcript

1 Tutela dei dati persnali in Messa a Nrma ESTRATTO DEL DOCUMENTO PROGRAMMATICO sulla SICUREZZA dei DATI PERSONALI STUDIOLEGALEIMPERIALI Via Santa Crce, Milan Tel Fax Via Depretis Napli Tel Fax

2 indice 1. INTRODUZIONE SCOPO DEL DOCUMENTO PRINCIPI GENERALI DEFINIZIONI MISURE DI SICUREZZA MISURE PER LA SICUREZZA FISICA MISURE PER LA SICUREZZA LOGICA MISURE PER LA SICUREZZA DELLE COMUNICAZIONI CRITERI E MODALITA DI RIPRISTINO DELLA DISPONIBILITÀ DEI DATI INTERVENTI FORMATIVI TRATTAMENTI AFFIDATI ALL ESTERNO NORME PER GLI INCARICATI DEL TRATTAMENTO NORME DI CARATTERE GENERALE COMPILAZIONE DELLE CARTELLE PSICO-SOCIALI USO DELLE WORKSTATION STAMPANTI E FAX USO DELLE PASSWORD INTERNET VERIFICA DELLO STATO DELLA SICUREZZA VERIFICHE DELL ARCHITETTURA DI SICUREZZA PROCESSO DI PREVENZIONE E ALLARME (ALERT) ATTACCHI SISTEMATICI INCIDENTI DI SICUREZZA GESTIONE DEI LOG DISPONIBILITÀ, DA PARTE DELL AZIENDA, DEGLI STRUMENTI E DEI DATI AFFIDATI AL DIPENDENTE18 9. CONTROLLI E AUDIT REVISIONE DEL DOCUMENTO PROGRAMMATICO SULLA SICUREZZA...20 PAG. 2 DI 20

3 1. INTRODUZIONE 1.1 SCOPO DEL DOCUMENTO Scp di quest dcument (di seguit DPS ) è stabilire le misure di sicurezza rganizzative, fisiche e lgiche da adttare press la (di seguit S.S. VAL SERIANA) affinché sian rispettati gli bblighi, in materia di sicurezza, previsti dal decret legislativ 196/2003 (di seguit chiamat Cdice Privacy anche Legge), e dal Disciplinare tecnic (di seguit Disciplinare) relativ alle misure minime di sicurezza bbligatrie per il trattament dei dati persnali cntenuti in qualsiasi dcumentazine, cartacea d in frmat elettrnic. È inltre scp del presente dcument definire le prtezini di sicurezza per le altre infrmazini di cui S.S. VAL SERIANA è prprietaria e che nn sn assggettate alla suddetta Legge ma che sn critiche per l attività di S.S. VAL SERIANA (di seguit chiamate infrmazini aziendali). Quest dcument è valid per tutti quei trattamenti di cui S.S. VAL SERIANA è Titlare e per quelli di cui S.S. VAL SERIANA è nminata Respnsabile da altre scietà, Enti pubblici senza avere ricevut da queste esplicite indicazini più restrittive in materia. 1.2 PRINCIPI GENERALI Il presente DPS si applica a tutte le strutture di S.S. VAL SERIANA ed il su cntenut deve essere divulgat a tutti anche attravers adeguati mmenti infrmativi e frmativi. Tutti i dipendenti di S.S. VAL SERIANA devn rispettare le prescrizini in ess cntenute ed perare, nell ambit della prpria rganizzazine, in md da: minimizzare la prbabilità di apprpriazine, danneggiament distruzine anche nn vluta di apparecchiature infrmatiche archivi cartacei cntenenti dati persnali aziendali; minimizzare la prbabilità di access, cmunicazine mdifiche nn autrizzate alle infrmazini persnali aziendali; minimizzare la prbabilità che i trattamenti dei dati persnali aziendali sian mdificati senza autrizzazine. NOTA: piché dati persnali sia cmuni che sensibili sn presenti negli stessi ambienti e sugli stessi supprti di elabrazine, S.S. VAL SERIANA ha decis che, in attesa di prcedere ad una lr differenziazine, le misure indicate nel presente dcument per i dati sensibili si applichin indifferentemente ad entrambi i tipi di infrmazine. 1.3 DEFINIZIONI Dat persnale Qualunque infrmazine relativa a persna fisica, persna giuridica, Ente Assciazine, identificati identificabili - anche indirettamente - mediante riferiment a qualsiasi altra infrmazine. PAG. 3 DI 20

4 Dat pubblic Dat prveniente da Pubblici Registri, elenchi, atti dcumenti cnscibili da chiunque. Dat particlare (sensibile e/ giudiziari) Dat idne a rivelare: l rigine razziale ed etnica; le cnvinzini religise, filsfiche di altr genere; l adesine a partiti, sindacati, assciazini, rganizzazini a carattere religis, filsfic, plitic sindacale; l stat di salute e la vita sessuale; l stat di indagat di imputat in un prcess penale. Banca dati Qualunque cmpless di dati, persnali di altr tip, rganizzati secnd una pluralità di criteri per il trattament. Misure di sicurezza Il cmpless delle misure tecniche, infrmatiche, rganizzative, lgistiche e prcedurali vlte a ridurre al minim i rischi di distruzine perdita - anche accidentale - dei dati, di access nn autrizzat di trattament nn cnsentit nn cnfrme alle finalità della racclta. Risrse infrmative Le infrmazini ggett dei trattamenti dei dati persnali sn chiamate Risrse persnali e sn classificate in: Risrse dati persnali cmuni. Risrse dati persnali sensibili. Le risrse devn essere classificate a cura dei rispettivi prprietari. E respnsabilità dei prprietari individuare i dati persnali sensibili e i dati aziendali riservati ed infrmare gli Amministratri di sistema della lr cllcazine. Archivi Gli archivi che cntengn le risrse infrmative pssn essere infrmatici cartacei. Archivi infrmatici Gli archivi infrmatici si presentan, ad esempi, nei seguenti supprti: dischi fissi di Persnal Cmputer (Client e Server), dischi remvibili (es. Cmpact Disc, DVD, apparati speciali di memrizzazine), nastri magnetici, supprti ttici ed altri minri. Archivi cartacei Sn definiti archivi cartacei tutti i supprti, ad esclusine di quelli infrmatici, che cntengn in qualunque frma dati infrmazini persnali incluse le cpie su carta, di dati gestiti cn supprti infrmatici. Sn inclusi in questa tiplgia, ltre ai dati su carta supprt analg le ft, le micrfiches, i film, i videtape, ecc. cmprese le cpie, anche parziali, su supprti nn infrmatici, di banche dati gestiti in md autmatizzat. Archivi critici Sn definiti archivi critici gli archivi, infrmatici e nn, che cntengn quantità significative di dati infrmazini persnali sensibili infrmazini aziendali riservate. PAG. 4 DI 20

5 Aree aziendali Sn definite Aree aziendali tutti i lcali in us da una delle strutture cstituenti S.S. VAL SERIANA, nei quali si svlgn le nrmali perazini aziendali. Ai fini della sicurezza sn cnsiderate aree aziendali anche i lcali gli armadi eventualmente situati press terzi (ad esempi press frnitri, ecc.) e cmunque utilizzati da persnale di S.S. VAL SERIANA. Aree ad access cntrllat Sn definite Aree ad Access Cntrllat quei lcali all intern delle Aree aziendali che cntengn archivi critici apparecchiature infrmatiche critiche, cme in seguit definite. Risrse critiche del sistema perativ Gli ggetti infrmatici necessari al funzinament dei sistemi e del servizi di elabrazine dati (es. lg di sistema, tabelle di servizi, catalghi dei dati, etc.) sn chiamate Risrse critiche del sistema perativ. Supprti di memrizzazine Sn cnsiderati supprti di memrizzazine, a titl esemplificativ, i nastri magnetici, i dischi magnetici (flppy disc), i supprti speciali di memrizzazine (es. pen drive, memry card), i dischi ttici remvibili e i CD-ROM che cntengn infrmazini persnali aziendali. Cnnessini cn l estern Sn cnsiderate cnnessini cn l estern: intercnnessini tra il servizi IT di S.S. VAL SERIANA ed il servizi elabrazine dati di altre aziende, clienti, frnitri, utsurcer e frnitri di servizi Internet; access remt da parte di dipendenti di S.S. VAL SERIANA di altre aziende (frnitri, clienti, etc.). Gateway E definit Gateway per le intercnnessini esterne l insieme di hardware, sftware e applicazini che permettn l intercnnessine l access remt. I gateway di intercnnessine esterna devn essere stt il cntrll di S.S. VAL SERIANA di sua cnsciata e apprvati dal Respnsabile dei trattamenti Infrmatici. Incidenti di sicurezza In linea generale viene definit incidente di sicurezza qualunque event inaspettat che riguardi l integrità, la riservatezza la dispnibilità delle infrmazini. [PARTE DI PAGINA LASCIATA INTENZIONALMENTE IN BIANCO] PAG. 5 DI 20

6 2. MISURE DI SICUREZZA Per prteggere i dati persnali dai rischi di cui al paragraf precedente, devn essere adttate le misure di sicurezza di seguit elencate. Eventuali sspetti di incidente di sicurezza 1 devn essere immediatamente riprtati all Respnsabile dei trattamenti infrmatici che, dp l analisi - secnd la gravità del prblema - infrma il Titlare. 2.1 MISURE PER LA SICUREZZA FISICA. Per assicurare la sicurezza fisica dei lcali ve vengn trattati dati persnali, ltre alle misure previste da nrme di legge (es. legge 626) da regle interne aziendali (prtezine della sede), si prgramman i seguenti cntrlli: 1. Le apparecchiature infrmatiche critiche per la sicurezza delle infrmazini sn installate in lcali chiusi a chiave al di furi dell rari di uffici e quand nn sn presenti persne per attività di manutenzine e di supprt. 2. Persnale estern all azienda può accedere al lcale e rimanervi per il temp necessari a cncludere l attività richiesta (es. pulizia manutenzine) sl cn l esplicita apprvazine di chi cnsegna la chiave, che si accerta che all intern nn rimangan incustditi supprti di registrazine di infrmazini persnali (es. tabulati, dischi, raccglitri di dcumenti). 3. Eventuali nastri e dischetti, cn cpie degli archivi cntenenti dati persnali ed eventualmente anche dati sensibili, sn custditi in armadi chiusi. 4. Eventuali nastri e dischetti cntenenti dati sensibili, quand nn vengn più utilizzati per quel trattament, devn essere distrutti fisicamente per evitare che pssan essere recuperati i dati precedentemente registrati, anche se bsleti. 5. Nastri e dischetti ttenuti per essere in grad di ripristinare la dispnibilità dei dati dp un event disastrs (incendi delle apparecchiature, crll del lcale in cui sn installate, ecc.) sn custditi in cassetta di sicurezza. 6. I lcali cn gli armadi usati per cnservare dcumentazine cartacea devn essere muniti di idnea serratura e devn essere chiusi a chiave quand l uffici in cui sn ubicati nn è presidiat. La chiave deve essere in pssess della persna cui è affidata la gestine di quella dcumentazine ed una cpia è in pssess del Respnsabile dei trattamenti per essere richiesta ed usata in cas di emergenza. 2.2 MISURE PER LA SICUREZZA LOGICA Per assicurare la sicurezza lgica delle infrmazini, si prgramman le seguenti misure e cntrlli: 1. Per utilizzare le stazini di lavr (terminali e PC) ed accedere alle applicazini per il trattament dei dati, gli incaricati devn usare una utenza (user-id) ed una passwrd di autenticazine. 1 In linea generale viene definit incidente di sicurezza qualunque event inaspettat che cmprmetta pssa cmprmettere l integrità, la riservatezza la dispnibilità delle infrmazini PAG. 6 DI 20

7 2. Le utenze sn strettamente individuali e vengn create dall amministratre del sistema su richiesta del Respnsabile dei trattamenti. Quand l utenza è stata creata, viene cmunicata all interessat insieme alla passwrd che cnsente il prim cllegament. All att del prim cllegament, la passwrd deve essere mdificata secnd le regle indicate successivamente. 3. L utenza nn deve essere assegnata, per nessun mtiv, ad altr incaricat. Quand un incaricat lascia l azienda, la sua utenza nn può mai più essere utilizzata. 4. La misura di cui spra deve essere applicata anche per le utenze create per cnsulenti e cllabratri esterni. 5. Ogni mese l amministratre di sistema cntrlla se vi sn utenze nn più usate da sei mesi e prvvede a disattivarle. Prima di cancellare una utenza, verifica cn il Respnsabile dei trattamenti se permane la necessità che ha determinat la sua creazine e prende, cn il su accrd, le azini pprtune (cancellazine manteniment). 6. Se ragini tecniche richiedn che utenze di supprt sian esentate dall azine di cui al punt precedente, l amministratre di sistema stila un elenc di tali utenze cn le mtivazini del cas e l fa cntrfirmare dal Respnsabile dei trattamenti. Cnserva tale dcument per le revisini annuali di cui in seguit. 7. Quand le mtivazini per cui una utenza è stata creata vengn men (dimissini, cambi attività, mdifiche tecnlgiche) l amministratre di sistema prvvede immediatamente a disattivare l utenza. Cn l accrd del Respnsabile dei trattamenti, l utenza può essere mantenuta in essere (ma disattivata) fin a che nn si sian cncluse le attività di passaggi di cnsegne tra il precedente ed il nuv incaricat; il tutt deve essere dcumentat. A quest punt viene cancellata, insieme cn tutte la abilitazini di crred. 8. L autenticazine dell utenza avviene a mezz di passwrd. Questa è segreta e nn deve essere cmunicata ad altri né lasciata incustdita, per esempi scrivendla su agende su fglietti di appunti. Un trattament illecit fatt carpend la passwrd ad un incaricat è cmunque imputabile all incaricat che nn l ha custdita crrettamente. 9. Per assicurare la qualità della passwrd, cndizine essenziale per l efficienza del sistema di sicurezza, questa deve sddisfare i seguenti requisiti: - avere una lunghezza di tt caratteri; - essere blccata dp 5 tentativi invalidi di inseriment; - nn deve essere banale facilmente indvinabile (es. nn cntenere dati facilmente ricnducibili all utente); - nn essere uguale a una delle ultime 5 usate; - essere mdificata almen gni 3 mesi; 10. Quand una passwrd viene dimenticata, ppure è blccata perché inserita per 5 vlte errata, l amministratre di sistema si accerta che il richiedente sia l incaricat che ne è legittim prprietari e prcede ad impstarne una nuva per il prim cllegament. Il richiedente è bbligat a quest punt ad impstarne una segreta secnd le regle definite spra. 11. Per superare situazini di emergenza per rispndere a richieste, legalmente mtivate, di rganismi investigativi dell Stat, cn l autrizzazine del Respnsabile dei trattamenti la PAG. 7 DI 20

8 passwrd di un utente può essere re-impstata per un access temprane. L attività svlta deve essere dcumentata ed il legittim prprietari della passwrd deve essere infrmat appena pssibile. Sarà sua cura a quest punt mdificare la passwrd usata per la situazine di emergenza ed impstarne una nuva, nta sl a lui. 12. Ogni incaricat ha l bblig di nn lasciare incustdita la stazine di lavr mentre è attivata una sessine di lavr. Nel cas si debba assentare deve chiudere la sessine e, nel cas di PC, impedire l access ad altri, per esempi utilizzand la passwrd di pwern. Se pi nn ritiene pprtun chiudere la sessine di lavr, deve prevedere un prgramma di screen-saver cn una passwrd. 13. Utenza e passwrd cntrllan il diritt di un incaricat di utilizzare una stazine di lavr e di accedere ad una applicazine. Il trattament dei dati avviene secnd un prfil di abilitazine rilasciat in accrd cn le effettive necessità perative dell incaricat ed in linea cn le relative autrizzazini. 14. Quand l utente è un cnsulente d un cllabratre estern, deve essere psta cura particlare nel definire il prfil di abilitazine, per evitare che pssa accedere, per effett di cllegament a prfili generici validi per il persnale intern, a dati e risrse nn richieste per la specifica attività. 15. Il prfil di abilitazine viene impstat dall amministratre di sistema secnd le richieste/autrizzazini del Respnsabile dei trattamenti. Cpia dell autrizzazine deve essere cnservata dall amministratre di sistema. 16. Una vlta all ann l amministratre di sistema prduce una lista delle utenze attivate ed i relativi prfili di autrizzazine e la sttpne al Respnsabile dei trattamenti. Questi verifica, per cnscenza diretta cnsultand i referenti gerarchici degli incaricati, la crrettezza delle autrizzazini ed il permanere della necessità delle stesse. Quindi le cnferma richiede eventuali aggirnamenti all amministratre di sistema, che archivia la dcumentazine. 17. Oggett di questa verifica sn anche le utenze degli addetti alla gestine ed alla manutenzine degli strumenti di cntrll, quindi tipicamente le utenze di amministratre di sistema e dei prgrammatri di supprt tecnic. 18. Almen una vlta all ann l amministratre di sistema deve aggirnare il sftware di base dei sistemi, applicand le crrezini per prblemi di sicurezza rese dispnibili dai prduttri del sftware. Il mancat aggirnament, per giustificat mtiv, deve essere mtivat e dcumentat dall amministratre di sistema ed apprvat dal Respnsabile. 19. Almen una vlta all ann, preferibilmente all att della stesura della relazine accmpagnatria del bilanci di esercizi, il Titlare si accerta che le prescrizini di quest dcument sian tutte attivate e crrettamente applicate. Se per qualcuna l esit è negativ, si accerta delle mtivazini della mancata applicazine e definisce le azini da intraprendere. [PARTE DI PAGINA LASCIATA INTENZIONALMENTE IN BIANCO] PAG. 8 DI 20

9 2.3 MISURE PER LA SICUREZZA DELLE COMUNICAZIONI. Per assicurare la sicurezza delle cmunicazini, sn previste le seguenti misure di cntrll: 1. Sui cmputer è installat ed attiv un prgramma antivirus, che viene aggirnat autmaticamente assieme al file dei virus (signature file). 2. L access da e per l estern è cntrllat da un sistema firewall hardware stt la respnsabilità dell amministratre di sistema, che sl ha la pssibilità di inserire/mdificare le regle di cntrll. 3. Una vlta gni sei mesi l amministratre di sistema ricava la lista delle regle/restrizini del firewall e verifica la crrispndenza cn quant risulta dalla dcumentazine in su pssess. Se necessari prcede alle rettifiche pprtune ed archivia il dcument dp averl firmat. [PARTE DI PAGINA LASCIATA INTENZIONALMENTE IN BIANCO] PAG. 9 DI 20

10 3. CRITERI E MODALITA DI RIPRISTINO DELLA DISPONIBILITÀ DEI DATI A seguit di un att event estern che renda indispnibili i dati ggett di trattament, la dispnibilità degli stessi deve essere ripristinata al più prest. Per i trattamenti di dati sensibili e giudiziari il limite massim è stabilit essere di sette girni. A tale scp S.S. VAL SERIANA ha prgrammat le seguenti misure: 1. Esiste un prcess che cnsente il salvataggi settimanale degli archivi cntenenti dati essenziali per le attività dell azienda, ivi inclusi gli archivi cntenenti dati persnali e dati sensibili. 2. Nastri e dischi cn le cpie dei dati sn cnservate a cura del Respnsabile dei trattamenti infrmatici in armadi ignifughi, chiusi a chiave. 3. Nel lug di cnservazine delle cpie, deve essere custdita una breve prcedura perativa che descriva i passi da eseguire per rendere dispnibili i dati dp una situazine di emergenza che abbia causat danni ingenti al sistema alla rete. Scp della prcedura è di frnire gli elementi necessari per cmpletare l perazine in situazine di emergenza, eventualmente anche cn il cinvlgiment di persne nn cmpletamente aggirnate sulle perazini abituali. 4. Una vlta all ann deve essere cndtta una prva di ripristin dei dati, partend dalle cpie, per verificare la fattibilità della prcedura predispsta. Il risultat del test deve essere archiviat cn la prcedura stessa. PAG. 10 DI 20

11 4. INTERVENTI FORMATIVI Per assicurare l efficacia delle misure di sicurezza adttate dall azienda è necessari che tutt il persnale sia infrmat adeguatamente sulle stesse. Per quest scp vengn previsti i seguenti interventi infrmativi/frmativi: 1. il presente dcument, cn una nta di accmpagnament del Respnsabile dei trattamenti, viene divulgat a tutti i dipendenti e cllabratri, che ne prendn visine; Il dcument stess viene res dispnibile per cnsultazine in frmat elettrnic; 2. il persnale deve seguire un crs di frmazine su privacy e sicurezza, che cnsente di essere edtti sui principi e sulle regle in materia; 3. il persnale ne-assunt deve seguire un breve crs di infrmazine sulla materia della privacy, in particlare sugli aspetti di sicurezza. A cura del Respnsabile dei trattamenti, su delegat, viene illustrat il presente dcument ed i dettagli delle misure previste; 4. in ccasine di aggirnamenti tecnlgici dell individuazine di nuve aree di rischi, il Titlare, cn il supprt del Respnsabile per i trattamenti infrmatici, deve prevedere pprtune sessini infrmative degli incaricati, che a sua discrezine pssn assumere le frma di crs appsit di intervent in riunine di repart. In gni cas, deve essere redatt un verbale cn l indicazine dei partecipanti e degli argmenti trattati. [PARTE DI PAGINA LASCIATA INTENZIONALMENTE IN BIANCO] PAG. 11 DI 20

12 5. TRATTAMENTI AFFIDATI ALL ESTERNO Per tutte le attività di trattament (dirett e indirett) affidate ad Enti esterni (frnitri di servizi, cnsulenti, prgrammatri, ecc.) è richiest che vengan applicate le stesse misure di sicurezza applicate all intern di S.S. VAL SERIANA. Perciò, in queste casistiche, è necessari che nei cntratti stipulati cn tali sggetti si valuti l pprtunità di inserire le seguenti clausle (sl se pertinenti): 1. il cntraente dichiara di essere cnsapevle che i dati che tratterà nell espletament dell incaric ricevut sn dati persnali e, cme tali, sn sggetti all applicazine del cdice per la prtezine dei dati persnali (D.lgs 196/2003); 2. dichiara di ttemperare agli bblighi previsti dal Cdice per la prtezine dei dati persnali; 3. ricnsce il diritt del cmmittente a verificare, previ cngru preavvis, l applicazine delle nrme di sicurezza adttate. Inltre si rammenta che al termine di eventuali attività che cmprtin l installazine la mdifica di un strument di cntrll della sicurezza, l Ente estern è tenut a rilasciare dichiarazine scritta che l intervent effettuat è cnfrme alla nrmativa esistente. Da parte sua S.S. VAL SERIANA, se necessari, frnirà al cntraente un elenc delle misure di sicurezza previste per l specific trattament, estraendle dal presente dcument. [PARTE DI PAGINA LASCIATA INTENZIONALMENTE IN BIANCO] PAG. 12 DI 20

13 6. NORME PER GLI INCARICATI DEL TRATTAMENTO 6.1 NORME DI CARATTERE GENERALE Il trattament di dati persnali deve avvenire da parte degli Incaricati sl se richiest dal Respnsabile di quel trattament; l us delle apparecchiature infrmatiche che cntengn dati persnali aziendali è permess sl per svlgere le attività previste nelle istruzini scritte impartite agli Incaricati; cpie di dati persnali su supprti amvibili sn permesse sl se parte del trattament. In gni cas tali supprti devn avere un etichetta che li identifichi e nn devn mai essere lasciati incustditi; i raccglitri cn dcumenti cartacei cntenenti dati persnali devn essere ripsti, dp il lr utilizz, in armadi chiusi; al termine dell rari di lavr il dipendente, nell abbandnare il prpri pst di lavr, deve lasciare la scrivania sgmbra e cn tutti i cassetti/armadi chiusi a chiave; in cas si cnstati si sspetti un incidente di sicurezza, secnd le prcedure in vigre, deve essere data immediata cmunicazine al Respnsabile dei trattamenti infrmatici e/ al Respnsabile del trattament cinvlt; queste nrme si applican anche ai terzi autrizzati ad accedere dall estern (frnitri, cnsulenti ecc.) 6.2 COMPILAZIONE DELLE CARTELLE PSICO-SOCIALI Nel trattament cartace di cmpilazine delle cartelle psic-sciali, si dvrà prevedere un frmat che nella cpertina esterna indichi i sli dati anagrafici dell assistit, al fine di evitare che in prima pagina cmpaian l stat di salute il mtiv della richiesta di intervent. 6.3 USO DELLE WORKSTATION Ogni dipendente è respnsabile di frnire il prpri cntribut al fine di minimizzare la pssibilità che i dati persnali e aziendali cntenuti nella prpria wrkstatin, trattati tramite la wrkstatin, sian espsti a rischi di sicurezza. A tale scp, è richiest che venga attivata sulla wrkstatin la passwrd di accensine, che assicura che sl il titlare pssa accedere ai dati registrati sulla stessa. Inltre devn essere seguite le regle di seguit descritte. Se si lascia incustdita la scrivania durante l rari di lavr: spegnere la wrkstatin se l apparecchiatura deve restare accesa, attivare una passwrd (keybard screen lck); assicurare i prtatili cn gli appsiti strumenti riprli in un armadi/cassett chiusi a chiave. Al termine della girnata di lavr: spegnere la wrkstatin attivare una passwrd (keybard screen lck); se si dispne di un prtatile riprl stt chiave. PAG. 13 DI 20

14 6.4 STAMPANTI E FAX Gli incaricati al trattament devn cntrllare il prcess di stampa dei dcumenti al fine di ridurre al minim il rischi che persne nn autrizzate pssan accedere agli stessi; la stampa di dcumenti cntenenti dati persnali sensibili aziendali riservati deve, pertant, essere effettuata su stampanti fax psti in lcali ad access cntrllat su stampanti presidiate dall Incaricat durante le fasi di stampa; se la trasmissine di dati idnei a rivelare l stat di salute di un assistit avviene a mezz fax, ccrre : i) aggiungere alla cmunicazine una cver, che nn renda immediatamente identificabile l stat di salute dell assistit; ii) cncrdare ve pssibile - cn il ricevente che i fax sian prelevati sl da persnale autrizzat. 6.5 USO DELLE PASSWORD La passwrd è un element fndamentale della sicurezza delle infrmazini. La passwrd identifica in md univc l utente del cmputer e dei servizi infrmatici. Per la prtezine dei dati persnali è essenziale che la passwrd sia mantenuta riservata e nn cmunicata ad altri. Le regle base da rispettare sn: la lunghezza minima della passwrd è di 8 caratteri; la passwrd deve essere mantenuta riservata e nn cmunicata ad altri utenti. Se, eccezinalmente, dvesse essere necessari frnirla, in cas di emergenza, ad altra persna, va cambiata subit dp; la passwrd nn deve essere banale facilmente individuabile. A tale scp devn essere seguite le regle di cmpsizine emesse dai Sistemi Infrmativi; nn cntenere l User-ID, il prpri nme, cme parte della passwrd; la passwrd deve essere cambiata almen gni 90 girni; se si accede dall estern nn utilizzare per l access alla rete la stessa passwrd valida per l access alle banche dati. Nta: è respnsabilità dell utente rispettare queste regle anche se la tecnlgia nn le rende bbligatrie sulla prpria wrkstatin. 6.6 INTERNET Nel cas si utilizzi la rete Internet per cllegarsi cn altre rganizzazini e si trasmettan dati persnali, bisgna tenere presente le seguenti avvertenze: Internet è usat da milini di persne nel mnd. Nn di tutte pssiam fidarci; gni infrmazine trasmessa può essere letta da un elevat numer di persne scnsciute; nn trasmettere all estern dati persnali sensibili aziendali riservati se nn resi inintelligibili; nn trasmettere psta elettrnica interna della S.S. VAL SERIANA tramite Internet, ma usare il sistema ufficiale; nn è permess prelevare sftware da Internet senza l autrizzazine del Respnsabile dei Trattamenti Infrmatici; nn prelevare inserire in Internet materiale inapprpriat, ffensiv pregiudizievle per altre persne rganizzazini. PAG. 14 DI 20

15 Se ritenut pprtun, per una maggir cnsapevlezza, le regle di cmprtament per l utilizz di Internet pssn essere definite in md analitic in un dcument da rendere dispnibile ad gni dipendente, sia in frma di pieghevle, sia in frmat elettrnic su intranet. [PARTE DI PAGINA LASCIATA INTENZIONALMENTE IN BIANCO] PAG. 15 DI 20

16 7. VERIFICA DELLO STATO DELLA SICUREZZA 7.1 VERIFICHE DELL ARCHITETTURA DI SICUREZZA Almen gni 6 mesi il Respnsabile dei trattamenti infrmatici deve effettuare cntrlli per verificare che gli elementi chiave, ai fini della sicurezza dei sistemi, sian integri. I cntrlli per i sistemi critici (cntenenti applicazini su dati sensibili, aziendali riservati, firewall, ecc.) devn avere una frequenza trimestrale. Le verifiche devn cmprendere: i parametri del sistema di cntrll accessi; la lista delle persne cn autrità di sistema di sicurezza; i parametri di sicurezza dei sistemi perativi; l aggirnament del prgramma antivirus. I cntrlli effettuati ed il lr esit, nnché le azini pianificate per crreggere eventuali deviazini, devn essere riprtati in un appsit verbale. 7.2 PROCESSO DI PREVENZIONE E ALLARME (ALERT) Il Respnsabile del trattament Infrmatic deve predisprre un prgramma che permetta di anticipare i pssibili prblemi legati alla sicurezza delle infrmazini. Cn cadenza annuale, in ccasine di significativi cambiamenti alle architetture infrmatiche, deve essere effettuata una valutazine di rischi. Deve essere mantenut un cllegament cn il CERT, altra istituzine che abbia le stesse finalità, per essere infrmati riguard alle espsizini di sicurezza dei principali prdtti sftware utilizzati. Nel cas sian segnalate dal CERT, altra istituzine che abbia le stesse finalità, espsizini definite ad alt rischi, sui prdtti installati, deve essere subit valutata l pprtunità di intervent. 7.3 ATTACCHI SISTEMATICI Deve essere attivat almen un sistema che permetta di rilevare quand il numer dei tentativi nn riusciti di lgin superan una determinata sglia di pericl ltre il quale si deve indagare su pssibili attacchi. 7.4 INCIDENTI DI SICUREZZA In linea generale viene definit incidente di sicurezza qualunque event inaspettat che riguardi l integrità, la riservatezza la dispnibilità delle infrmazini. È cmpit del Respnsabile dei trattamenti infrmatici rilasciare una prcedura che definisca una articlazine degli incidenti per gravità e la relativa gestine. Una apprpriata gestine degli incidenti è fndamentale per tenere stt cntrll quest fenmen e mettere in att le pprtune cntrmisure per ridurli. PAG. 16 DI 20

17 7.5 GESTIONE DEI LOG L Amministratre di sistema deve predisprre un prcess per garantire che i lg elencati sian attivi e prtetti da accessi nn autrizzati. I lg devn essere cnservati per almen 2 mesi. Se il sistema perativ l cnsente, tutti i tentativi di lgin - sia che abbian avut success sia che sian stati rifiutati - devn essere registrati; se il sistema di cntrll accessi l cnsente, il Respnsabile del trattament può chiedere che sian registrati gli accessi alle single risrse; se il sistema perativ l cnsente, le attività svlte dalle persne cn autrità di sistema di amministrazine della sicurezza devn essere registrate. la lista dei lgin invalidi è frnita da parte degli Amministratri di sistema su richiesta del Respnsabile del trattament; le registrazini che cmpngn i lg, in quant dati persnali, devn essere ggett di un specific trattament che ne preveda l utilizz sl per finalità di sicurezza in cas di pericl di incidente. [PARTE DI PAGINA LASCIATA INTENZIONALMENTE IN BIANCO] PAG. 17 DI 20

18 8. DISPONIBILITÀ, DA PARTE DELL AZIENDA, DEGLI STRUMENTI E DEI DATI AFFIDATI AL DIPENDENTE Per garantire al Titlare, in cas di assenza dell incaricat e per urgenti necessità, l access agli strumenti ed ai dati ivi cntenuti devn essere rispettate le seguenti mdalità: sl il Respnsabile dei trattamenti pssn autrizzare un altr incaricat a sstituirsi alla persna assente e ad utilizzare la sua User-ID ed il relativ prfil di access; sl il Respnsabile dei trattamenti pssn autrizzare gli Amministratri di sistema a frnire all incaricat autrizzat le credenziali di access; se il sistema l permette, per frnire le nuve credenziali, si deve utilizzare la stessa metdlgia usata per il reset delle passwrd. In tal md viene mantenuta la segretezza delle credenziali della persna assente; le autrizzazini di access devn risultare da appsiti dcumenti cnservati dagli Amministratri di sistema ed essere a dispsizine del Titlare per i necessari cntrlli e verifiche; a cura dell Amministratre del sistema cinvlt, devn essere attivate, limitatamente al perid di temp necessari, le registrazini dei lg delle attività della User-Id interessata; a cura del Respnsabile di trattament, la persna assente, deve essere infrmata al su rientr, su quant avvenut; il Respnsabile dei trattamenti infrmatici deve definire e mantenere aggirnata una specifica prcedura che reglamenta le mdalità spra descritte. [PARTE DI PAGINA LASCIATA INTENZIONALMENTE IN BIANCO] PAG. 18 DI 20

19 9. CONTROLLI E AUDIT Almen annualmente il Titlare fa verificare cn apprpriati cntrlli audit l aderenza dell stat della sicurezza al presente DPS. Al termine dell audit l Amministratre di sistema il Respnsabile interessat, se sn riscntrate deviazini, deve frmulare un pian che preveda il rientr nel più breve temp pssibile. Situazini di nn aderenza, per peridi superiri a 6 mesi, pssn essere accettati sl cn l esplicita autrizzazine scritta del Respnsabile di riferiment il quale ha cmunque l bblig di infrmare per iscritt il Titlare. È cmpit del Respnsabile dei trattamenti infrmatici effettuare verifiche peridiche sull stat della sicurezza in azienda anche in relazine ad eventuali utsurcer esterni che trattan dati persnali aziendali riservati. Un rapprt sull stat della sicurezza, anche in base agli esiti dei self assessment, deve essere predispst almen semestralmente e inviat al Titlare ed al Respnsabile. È cmpit dei singli Respnsabili e degli Amministratri di sistema, nell ambit delle prprie respnsabilità, effettuare delle verifiche peridiche (sulla base di liste di cntrll) e predisprre adeguati piani crrettivi in cas di scstamenti. [PARTE DI PAGINA LASCIATA INTENZIONALMENTE IN BIANCO] PAG. 19 DI 20

20 10. REVISIONE DEL DOCUMENTO PROGRAMMATICO SULLA SICUREZZA Il presente DPS è valid per un ann. Trascrs tale termine deve essere ggett di revisine, a cura del Respnsabile dei trattamenti infrmatici, per adeguarl ad eventuali variazini del livell di rischi cui sn sggetti i dati persnali e ad eventuali mdifiche della tecnlgia infrmatica. In gni cas il DPS deve essere aggirnat entr il 31 marz di gni ann. Nell attesa dell adeguament cnservan validità le istruzini in vigre. Data: 31/03/05 IL TITOLARE Firma del Legale Rappresentante: Il Presidente F.t Sig.ra Luiselli Manuella PAG. 20 DI 20