PRIVACY e SICUREZZA INFORMATICA

Transcript

1 e SICUREZZA INFORMATICA by Tel Fax

2 e SICUREZZA INFORMATICA Gli bblighi di Legge A partire dal 30 giugn 2004 tutte le imprese devn mettersi a nrma per gli bblighi relativi al nuv TUP (Test Unic sulla Privacy), apprvat cl decret legge N. 196 del 30 giugn 2003 (pubblicat nella Gazzetta Ufficiale n. 174 del 29 lugli 2003), e in vigre dal 1 gennai Il TUP ha innvat prfndamente la nrmativa prima vigente e ha riunit in un unic cntest la vecchia legge 675 del 1996 e gli altri decreti legislativi, reglamenti e cdici che si sn succeduti. Il TUP riguarda la tutela delle persne rispett al trattament dei dati persnali, e si applica sia al trattament dei dati cn mezzi infrmatici sia cn altri mezzi, cme ad esempi gli archivi cartacei. Di particlare interesse per le aziende risultan essere gli art. 31 e 32, ma in particlare gli art. 33 e 34 indican le misure minime di sicurezza da adttare per custdire e preservare l integrità dei dati ( in md da ridurre al minim, mediante l'adzine di idnee e preventive misure di sicurezza, i rischi di distruzine perdita, anche accidentale, dei dati stessi ). Chi nn si adegua rischia pesanti sanzini, sia amministrative che penali: multe e/ reclusine cn pssibile risarciment del dann patrimniale e mrale ex art. 2050; l inadeguatezza delle Misure di sicurezza cmprta ad es. una sanzine da a eur e la reclusine fin a 2 anni! I cntrlli, gestiti in precedenza dal Garante della Privacy, sn inltre ra affidati anche alla Guardia di Finanza ed alla Plizia Pstale, e quindi mlt più prbabili. È imprtante cnsiderare che quest nuv bblig di legge è una ccasine imprtante per adeguare la sicurezza infrmatica di tutta l azienda! Centr Sftware, affiancata dal partner tecnlgic LgiCs, è in grad di ffrire il servizi di cnsulenza, gli strumenti e il supprt tecnic per mettersi a nrma ed effettuare tutti gli adempimenti relativi alla privacy e sicurezza infrmatica 2

3 e SICUREZZA INFORMATICA Misure minime da adttare per la sicurezza infrmatica Il cncett di Privacy nn può disgiungersi da quell della Sicurezza perché nn esiste l'un senza l'altr, sia per quant attiene alle misure da adttare che alle apparecchiature da impiegare. La prblematica cinvlge in generale hardware, sftware e cmpetenze, e si pne i seguenti biettivi generali: Impedire l access nn autrizzat Impedire il trattament dei dati nn autrizzat e nn cnsentit Ridurre i rischi di perdita e/ distruzine dei dati Cme adeguarsi 1. Inventariand i dati persnali, identificativi e sensibili, le banche dati fisiche e digitali in cui sn cnservati i dati (nnché le misure di sicurezza adttate per la lr cnservazine). 2. Adttand prcedure che impediscan l access a questi dati da parte di utenti nn autrizzati (il Test Unic esplicita misure che bbligan alla prtezine degli strumenti elettrnici e dei dati rispett a trattamenti illeciti di dati, ad accessi nn cnsentiti e a determinati prgrammi infrmatici). 3. Adttand prcedure per la custdia di cpie di sicurezza e il ripristin dei dati e dei sistemi (il Test Unic esplicita misure che bbligan ad impartire istruzini rganizzative e tecniche che prevedn il salvataggi dei dati cn frequenza almen settimanale, etc.). 4. Frmand il persnale prepst al trattament dei dati e dtandl di specifiche istruzini al riguard. 5. Adeguandsi agli bblighi di infrmativa, cnsens, e nmina di Respnsabili e Incaricati, cn rispettivi mansinari (individuazine e aggirnament peridic dell ambit del trattament cnsentit ai singli incaricati e addetti alla gestine alla manutenzine degli strumenti elettrnici) 6. Redigend un appsit dcument prgrammatic (DPS) relativ alle misure minime di sicurezza attuate in azienda. Tale dcument (da aggirnare gni ann entr il 31/03) deve anche prevedere e mnitrare un prgressiv miglirament delle misure. Quali sn i dati sensibili, persnali identificativi Dati persnali - qualunque infrmazine relativa a persna fisica, persna giuridica, ente d assciazine, identificati identificabili, anche indirettamente, mediante riferiment a qualsiasi altra infrmazine, ivi cmpres un numer di identificazine persnale Dati identificativi - i dati persnali che permettn l identificazine diretta dell interessat Dati sensibili - i dati persnali idnei a rivelare l'rigine razziale ed etnica, le cnvinzini religise, filsfiche di altr genere, le pinini plitiche, l'adesine a partiti, sindacati, assciazini d rganizzazini a carattere religis, filsfic, plitic sindacale, nnché i dati persnali idnei a rivelare l stat di salute e la vita sessuale Chi deve prvvedere agli adempimenti Titlare - la persna fisica, la persna giuridica, la pubblica amministrazine e qualsiasi altr ente, assciazine d rganism cui cmpetn, anche unitamente ad altr titlare, le decisini in rdine alle finalità, alle mdalità del trattament di dati persnali e agli strumenti utilizzati, ivi cmpres il prfil della sicurezza Respnsabile - la persna fisica, la persna giuridica, la pubblica amministrazine e qualsiasi altr ente, assciazine d rganism prepsti dal titlare al trattament di dati persnali Incaricati - le persne fisiche autrizzate a cmpiere perazini di trattament dal titlare dal respnsabile 3

4 e SICUREZZA INFORMATICA I servizi di Centr Sftware: Centr Sftware è in grad di ffrire la cnsulenza, gli strumenti, e il supprt per ttemperare a tutti gli adempimenti del nuv TUP relativi alla Privacy e Sicurezza Infrmatica, e in particlare: 1. verifica del sistema, cntrll e cnsulenza Inventari del tip di dati trattati e verifica dei dati sensibili. Individuazine di tutti gli strumenti elettrnici utilizzati utilizzabili per il trattament dei dati. Identificazine dei metdi di trattament, elabrazine e salvaguardia. Individuazine dei sggetti cui cmpetn i diversi tipi di trattament, della lr struttura gerarchica ( titlare, respnsabile, incaricat), e delle lr regle di interazine. Verifica dell esistenza e/ attivazine di un sistema di cntrll degli accessi ai dati (tipi di access, prfili e frme di autrizzazine). Valutazine dell attuale livell di prtezine dei dati da accessi nn autrizzati (sia esterni, sia interni, in base agli strumenti elettrnici dispnibili e all attuale cnfigurazine dei sistemi). Valutazine dei sistemi antivirus (livell di prtezine, aggirnament e presenza su tutti gli strumenti che trattan i dati). Valutazine dell eventuale sistema firewall (capacità di prtezine da intrusini). Valutazine del grad di aggirnament dei sftware di base e dei prgrammi applicativi (la legge richiede che sia fatt tutt il pssibile per mantenere aggirnati anche gli applicativi) Valutazine dell adeguatezza e della cmpletezza del sistema di salvataggi dei dati Valutazine, in base alle verifiche spraelencate e in relazine alla struttura aziendale e ai tipi di trattament dati espletati, delle prcedure specifiche da adttare al fine di una gestine dei dati cnfrme alle nuve dispsizini del D.L. n. 196 del 30 giugn 2003 Rilasci della dcumentazine che l azienda deve usare per adempiere agli bblighi di legge. In base alle verifiche e ai cntrlli effettuati i tecnici di Centr Sftware rilascian un dcument di verifica del sistema che indica le perazini da effettuare per mettere l azienda a nrma per la sicurezza e la privacy infrmatica. In base a quest dcument il cliente può decidere a quest punt di affidare il cmpit di messa a nrma agli stessi tecnici di Centr Sftware ad altre persne di sua fiducia. 2. messa a nrma e attestat di sicurezza infrmatica I tecnici di Centr Sftware sn in grad di eseguire tutte le perazini necessarie per mettere l azienda a nrma (cme indicat nel precedente dcument di verifica). Mlte di queste perazini sn già cmprese nel nrmale servizi di Manutenzine Prgrammata che Centr Sftware ffre, fin dal 2003, ai prpri clienti, servizi che cnsente di certificare e tenere cntinuamente stt cntrll i cmpnenti e gli aggirnamenti dell hardware e del sftware di base installat: in particlare service pack dei sistemi perativi, di SQL, di Office, firmware per i servers (mainbard + scheda raid + backplane + dischi, etc.), per i clients (mainbard + schede vide), drivers per i cmpnenti (Intel, Schede di rete, Stampanti), nuve versini di Explrer, di Acrbat Reader, di Winzip, verifica backup SQL, sui supprti (DAT/CD/HD remvibili ecc), aggirnamenti SAM, stat agg.t definizine virus, prgrammi spyware, prtclli di rete, teleassistenza Pc Anywhere/TerminalServer, agg.t firewall, etc.. 4

5 SICUREZZA INFORMATICA Nelle nrmali attività del servizi di manutenzine prgrammata ggi pssn rientrare anche alcune attività, di adeguament e cntrll, legate alla nuva legge: Adzine di prcedure di autenticazine infrmatica Adzine di passwrd individuali di nn men di tt caratteri Predispsizine di sistemi di cifratura Adzine di prfili di autrizzazine degli utenti Adzine di prcedure e sistemi di salvataggi dei dati (backup) adeguati al sistema (cn verifica di inclusine di tutti i dati imprtanti, schedulazine a rtazine e multistrat, peridicità cn bblig di frequenza almen settimanale, rganizzazine della distribuzine fisica delle cpie, etc.) Cntrll e test delle prcedure di recvery per il ripristin dei dati. A queste devn ra essere aggiunte le specifiche attività per le nuve nrme sulla Privacy, che Centr Sftware può espletare cn attività dedicate: Affiancament al titlare, al respnsabile del trattament dati, per la predispsizine dei principali dcumenti impsti dal nuv cdice : Dcument Prgrammatic sulla Sicurezza (cnfrme art. 19 Disciplinare Tecnic). Vademecum per la gestine delle prcedure. Lettere di incaric (nmine e deleghe ai respnsabili) Istruzini da impartire agli incaricati (incaricati del trattament, custdi delle passwrd, amministratri del sistema, incaricati della manutenzine del sistema, etc...) Inventari delle apparecchiature e degli archivi. Frmazine dei sggetti interessati: tutti i sggetti che hann access ai sistemi infrmatici (titlare, respnsabile e incaricati) devn essere cmpletamente edtti sulle mdalità e i cmprtamenti necessari a garantire i livelli di sicurezza, sia in relazine ai trattamenti medesimi che agli strumenti elettrnici utilizzati. A seguit delle attività di messa a nrma realizzate dai sui tecnici, Centr Sftware rilascia un su specific attestat, allegabile alla dcumentazine ufficiale, che cmprva l avvenuta adzine delle misure minime di sicurezza. N.B. Centr Sftware affrnta sl i prblemi relativi alla privacy e sicurezza infrmatica ; nn si ccupa quindi di quegli ulteriri aspetti della legge che nn cinvlgn il sistema infrmatic: ad es. sistemi di prtezine fisica dei lcali, cntratti cn clienti e frnitri, rapprti di lavr, etc... Nel cas l azienda abbia difficltà ad avvalersi di adeguati cnsulenti per affrntare queste ulteriri tematiche, Centr Sftware è in grad di prprre l intervent di specifiche scietà prfessinisti. I cnsulenti cmmerciali di Centr Sftware sn a vs. cmpleta dispsizine per gni eventuale ulterire delucidazine chiariment. 5

6 SICUREZZA INFORMATICA Da inviare al n. fax azienda nme e cgnme recapiti telefnici Spett. Centr Sftware,mi dichiar interessat ai seguenti servizi sui sistemi infrmatici: 1) servizi di VERIFICA del SISTEMA, cn CONTROLLO E CONSULENZA per pter ricevere, senza impegn, il preventiv di cst di quest servizi indic il numer ttale dei PC presenti in azienda: ¾ ¾ n. server: n. stazini di lavr in rete: ¾ n. PC furi rete: ttale PC: 2) servizi iniziale di MESSA a NORMA (cn ATTESTATO di SICUREZZA INFORMATICA) (servizi effettuat a cnsuntiv nell ambit di un cntratt di assistenza) 3) servizi di MANUTENZIONE prgrammata: 3-a) per PRIVACY e SICUREZZA 3-b) COMPLETA (aggirnament e adeguament cntinu dei sistemi, cmprensiv di privacy e sicurezza) (servizi effettuati a cnsuntiv nell ambit di un cntratt di assistenza) altr mi dichiar interessat anche agli eventuali servizi di cnsulenza sulla PRIVACY NON legati ai sistemi infrmatici. (servizi ergati da Studi Prfessinali) data Firma 6