Allegato 1 Piano per la sicurezza dei documenti informatici 1
Sommario 1 Aspetti generali...3 2 Analisi dei rischi...3 2.1 Misure di sicurezza... 4 3 Misure Fisiche...4 3.1 Controllo accessi... 4 3.2 Sistema antincendio... 4 4 Misure Logiche...5 4.1 Controllo accesso ai sistemi di elaborazione... 5 4.2 Identificazione ed Autenticazione degli utenti... 5 4.3 Screen saver... 6 4.4 Controllo accessi alla rete, ai sistemi di elaborazione, ai programmi applicativi, ai dati 6 4.5 Protezione antivirus... 6 4.6 Backup e ripristino della disponibilità dei dati... 7 4.7 Criteri e procedure di rilascio di user-id e password... 7 4.8 Criteri e procedure di controllo accessi agli archivi informatici... 7 4.9 Criteri e procedure di controllo accessi agli archivi cartacei... 7 4.10 Criteri e procedure per l utilizzo della posta elettronica e di Internet... 8 4.11 Criteri e procedure per i supporti rimovibili e apparecchiature portatili... 8 5 Misure Organizzative...9 5.1 Incaricati di trattamento dati... 9 5.2 Amministratore di sistema... 9 6 Interventi formativi...9 2
1 Aspetti generali Il documento descrive il Piano per la sicurezza informatica relativo alla formazione, alla gestione, alla trasmissione, all interscambio, all accesso, alla conservazione dei documenti informatici secondo le prescrizioni del DPCM 3 dicembre 2013 concernente le Regole tecniche per il protocollo informatico. Il documento, in accordo con il responsabile del sistema di conservazione e dei sistemi informativi, è redatto nel rispetto delle misure minime di sicurezza previste nel disciplinare tecnico pubblicato nell allegato B del decreto legislativo del 30 giugno 2003, n. 196 e successive modificazioni. Il documento illustra le misure di sicurezza relative al processo di gestione dei documenti informatici e non è quindi una trattazione esaustiva e puntuale della sicurezza informatica del sistema informatico e informativo dell Ente. In sintesi, partendo dall analisi dei rischi, il Piano descrive le misure da adottate per garantire l efficacia della sicurezza dei dati/documenti intesa come riservatezza (autorizzazione all accesso), disponibilità ed integrità (protezione da incidenti o usi impropri). 2 Analisi dei rischi Un accurata analisi dei rischi ai quali è esposto l Ente richiede uno specifico intervento che esula dalle esigenze del Manuale di gestione; si ritiene tuttavia che per tale finalità sia sufficiente fornire una sintesi delle minacce più comuni ed evidenziare le funzioni di sicurezza ritenute necessarie, con particolare riguardo agli aspetti tecnologici. I rischi sono stati raggruppati in termini di: rischi per la riservatezza: le informazioni e i documenti devono essere accessibili ed utilizzate solo da persone autorizzate e per fini conformi agli obiettivi dell Ente; rischi per la integrità: i dati e i documenti devono essere esatti, aggiornati, corrispondenti alla realtà e protetti da qualsiasi forma di alterazione non controllata; rischi per la disponibilità: l accesso ai dati e ai documenti deve poter avvenire ogni qual volta ve ne sia necessità in conformità alle esigenze dei trattamenti; rischi di uso improprio: l accesso ai dati deve avvenire esclusivamente per i fini definiti dal Titolare da parte di soggetti adeguatamente autorizzati ed istruiti. Sulla base della suddetta classificazione nella tabella seguente vengono identificati, per ciascuna risorsa critica, i rischi per i quali devono essere adottate misure di sicurezza adeguate. Rischio Risorsa Sistema informatico (server, PC, linee TD) Documenti cartacei Locali e strutture logistiche Riservatezza Integrità Disponibilità Uso improprio Diffusi Trafugati Usati per deduzioni (inferenza) Diffusi Trafugati Intrusione Danneggiati per: Errore utente Errore Hw Errore Sw Manomissione Virus informatici Danneggiati per: Modifica Manomissione Danneggiati per: Distruzione Manomissione 3 Cancellati Mal inseriti Distrutti Persi Distrutti Distruzione Guasto Non disponibile Fini incongruenti Usato dopo scadenza Non accessibile da interessato Non bloccabile Fini incongruenti Usato dopo scadenza Non accessibile da interessato Fini incongruenti
Rischio Risorsa Trattamenti esterni Riservatezza Integrità Disponibilità Uso improprio Diffusi Trafugati Usati per deduzioni (inferenza) Danneggiati per: Errore utente Errore Hw Errore Sw Manomissione Non Disponibile Fini incongruenti Non bloccabile 2.1 Misure di sicurezza A fronte dell analisi dei rischi, sono individuati specifici interventi operativi per la sicurezza così articolati: misure di sicurezza fisiche riguardanti la sicurezza passiva ed il controllo accessi ai locali dell Ente finalizzate alla salvaguardia degli strumenti informatici, i supporti di memorizzazione dei documenti informatici e di conservazione dei documenti cartacei misure di sicurezza logiche riguardanti il controllo dell accesso al sistema informatico misure organizzative relative ai ruoli e alle responsabilità dei vari soggetti, interni ed esterni, che gestiscono documenti e trattano dati personali 3 Misure Fisiche 3.1 Controllo accessi In tutte le sedi camerali viene effettuata tutti i giorni la ronda notturna, festivi compresi, ad opera del servizio di vigilanza. Gli edifici dell Ente ubicati a Torino in via Carlo Alberto 16 (Palazzo Birago - sede legale) e in via San Francesco da Paola 24 (Palazzo Affari - uffici al pubblico) sono dotati di servizio di portineria continuativo svolto da istituto di vigilanza. In tutte le sedi camerali (tranne Palazzo Birago) i locali sono protetti da sistema antifurto, collegato alla centrale operativa dell istituto di vigilanza. A Palazzo Birago e a Palazzo Affari è installato un sistema di videosorveglianza e videoregistrazione, le cui immagini vengono distrutte entro 24 ore. L accesso alle aree di sicurezza, agibili esclusivamente dal personale dell Ente autorizzato in modo specifico, è controllato e avviene attraverso l apertura di porte le cui chiavi sono custodite esclusivamente dal personale autorizzato (incluso il servizio di vigilanza). L accesso del personale esterno deve essere motivato da esigenze tecniche od organizzative ed è consentito solo dopo registrazione presso la portineria e sotto la responsabilità del personale interno abilitato. Per ritirare le chiavi è necessario firmare un registro allo scopo dedicato. Le apparecchiature informatiche o gli archivi cartacei non specificatamente identificati per essere destinati all utilizzo da parte del pubblico non sono, di norma, collocati in aree aperte o comunque accessibili al pubblico. I server di rete sono collocati in locali accessibili tramite una porta con serratura a chiave. Le chiavi sono in possesso del personale camerale abilitato. Gli archivi operativi devono normalmente essere mantenuti chiusi mediante serratura. Gli archivi del personale (fascicoli cartacei personali) sono custoditi in apposito ufficio chiuso a chiave il cui accesso è consentito solo agli incaricati dei settori competenti. 3.2 Sistema antincendio Tutti gli edifici camerali sono protetti da mezzi antincendio mobili azionabili manualmente dal personale camerale operante in ciascuna sede, appositamente incaricato, addetto alla gestione dell emergenza ed al primo soccorso (ai sensi del D. Lgs. n. 81/2008). 4
4 Misure Logiche Le misure di sicurezza logiche riguardano i criteri che devono essere seguiti dai diversi programmi software, di sistema o applicativi, per controllare (vale a dire selezionare e/o limitare) l accesso degli utilizzatori alla rete locale, alle interconnessioni esterne internet, ai server dati ed applicativi e alle funzionalità applicative. 4.1 Controllo accesso ai sistemi di elaborazione L accesso diretto agli elaboratori e ai server di rete locale è consentito esclusivamente all Amministratore di sistema o ai suoi incaricati. L accesso alle risorse informatiche, locali o di rete, avviene attraverso uno specifico profilo di abilitazione. Tale profilo definisce, per ogni soggetto associato (qualsiasi utente del sistema informatico, interno o esterno), le funzionalità disponibili ed in particolare le seguenti tipologie di abilitazioni di accesso: accesso locale alle stazioni di lavoro accesso alla rete locale tramite la stazione di lavoro accesso ai trattamenti e/o gli archivi presenti sui server della rete locale per cui viene data abilitazione con specifici diritti (sola lettura, modifica, ecc..) accesso alle applicazioni presenti sui server dell intranet per cui viene data abilitazione con le relative funzionalità applicative abilitate la possibilità di interconnessione con la rete del sistema camerale ovvero con reti esterne, in particolare Internet. La presenza di archivi e documenti sulle singole postazioni di lavoro deve essere considerata eccezionale, a fronte di esigenze particolari per elaborazioni individuali, che vanno preventivamente concordate con l Amministratore di sistema. Qualsiasi tipo di dato/ documento attinente i trattamenti svolti dal soggetto va mantenuto presso aree ad accesso controllato situate, di norma, sui file server dell ente. Non è consentito dalle singole stazioni di lavoro condividere archivi senza il consenso dell Amministratore di sistema. Gli aspetti di sicurezza circa l accessibilità ed integrità degli archivi locali sono a carico del titolare della stazione di lavoro, il quale, per il suo corretto utilizzo, dovrà attenersi alle specifiche direttive predisposte dall Amministratore di sistema. Il sistema di controllo accessi delle stazioni di lavoro garantisce: l accesso agli archivi eventualmente presenti sulle stazioni di lavoro esclusivamente ai soggetti identificati dal titolare dell archivio stesso; l accesso alla rete esclusivamente ai soggetti autorizzati ed attraverso la o le stazioni di lavoro cui lo stesso è abilitato; l accesso agli archivi ed alle applicazioni presenti sui server locali esclusivamente ai soggetti abilitati e per le funzionalità autorizzate; L accesso agli archivi/servizi di InfoCamere e di interconnessione con reti esterne esclusivamente ai soggetti autorizzati. 4.2 Identificazione ed Autenticazione degli utenti Ogni utilizzatore del sistema informatico dell Ente è identificato mediante un codice personale userid (dato pubblico) e una password (dato privato), assegnati e gestibili dall Amministratore di sistema, che permettono l accesso alle stazioni di lavoro ed alla rete locale secondo i diversi profili di abilitazione. Userid 5
La userid ha una composizione standardizzata per tutti gli utenti del sistema. Lo stesso codice non può, neppure in tempi diversi, essere assegnato a persone diverse. Ad ogni codice è possibile associare uno o più profili di abilitazione. In caso di revoca dell incarico e/o modifica delle autorizzazioni, il codice identificativo dell incaricato è immediatamente reso inutilizzabile o, secondo le necessità, ne viene modificato il profilo delle abilitazioni associate. Password Ad ogni userid è associata una password. Al primo utilizzo, l incaricato del trattamento ha l obbligo di modificarla tenendo presenti le direttive dell Amministratore di sistema e le seguenti regole: deve essere alfanumerica, di non meno di 8 caratteri di cui almeno 1 numerico non deve essere composta utilizzando la userid non deve essere ottenuta anagrammando la precedente deve essere sostituita almeno ogni 6 mesi (3 mesi nel caso di trattamenti di dati sensibili) dall incaricato al trattamento stesso. Ogni incaricato, in base al proprio profilo di abilitazione, accede alle postazioni di lavoro di riferimento e alle applicazioni di rete, sia internet sia intranet, tramite la sua userid. 4.3 Screen saver Le postazioni di lavoro utilizzate sono dotate di funzione salva schermo (screensaver) protetto da password che si attiva dopo 5 minuti (valore massimo tollerato) di inattività. E quindi inibito un utilizzo improprio di dati personali in caso di abbandono, anche temporaneo, della stazione già abilitata all accesso. E fatto divieto di trascrivere su carta o memorizzare su supporto magnetico, salvo utilizzando procedure concordate con l Amministratore di sistema, la password di accesso ai sistemi informatici. E fatto divieto, altresì, di comunicare la password ad altri, anche per solo utilizzo temporaneo od in caso di emergenza. Al momento dell attivazione di un nuovo codice identificativo l Amministratore di sistema assegna una password provvisoria che comunica solo all utilizzatore interessato; quest ultimo avrà l obbligo, al primo accesso, di cambiare la password provvisoria con un altra idonea secondo le regole sopra esposte. 4.4 Controllo accessi alla rete, ai sistemi di elaborazione, ai programmi applicativi, ai dati Gli accessi alle risorse informatiche in rete sono protetti contro le intrusioni da uno specifico sistema di controllo. Ogni utente è abilitato in modo puntuale all accesso alla rete e alle singole risorse di elaborazione necessarie per i trattamenti cui è autorizzato dal proprio profilo utente. Di norma, nessun utente ha le abilitazione di amministratore locale della postazione di lavoro informatica. 4.5 Protezione antivirus Tutti gli elaboratori camerali sono protetti contro il rischio di intrusione ad opera di programmi illeciti (inclusi quelli di cui all art 615-quinquies del Codice Penale). La protezione di tutte le postazioni camerali in rete avviene in tempo reale mediante l utilizzo di adeguati programmi antivirus e antispam, aggiornati centralmente, in grado di monitorare il rischio di infezione. L aggiornamento della protezione delle stazioni di lavoro avviene tramite connessione programmata all accensione della stazione di lavoro e più volte al giorno al server antivirus interno alla rete. 6
4.6 Backup e ripristino della disponibilità dei dati I dati/documenti contenuti negli archivi informatici utilizzati dall Ente nella propria rete locale sono protetti contro il rischio di perdita, anche accidentale, attraverso apposite procedure di salvataggio di copie di sicurezza che garantiscano il ripristino delle informazioni entro un limite di 48 ore lavorative e con una perdita di dati non superiore alle ultime 24 ore di attività lavorativa. Il backup viene effettuato tramite il sistema di gestione dei server per i dati contenuti nelle apposite aree di lavoro. Le procedure consentono il ripristino selettivo dei dati. Periodicità dei salvataggi, numero di versioni conservate e procedure di ripristino sono state definite in modo da soddisfare le esigenze di sicurezza della Camera di commercio di Torino ad oggi note. Il backup e restore dei dati/documenti gestiti da applicativi non installati sui server dell Ente ma forniti come servizio sono assicurati dal fornitore del servizio. 4.7 Criteri e procedure di rilascio di user-id e password Al nuovo incaricato del trattamento di dati vengono attribuiti dall Amministratore di sistema, su richiesta del Responsabile amministrativo ed in base al profilo utente individuato nella comunicazione di incarico, un codice identificativo (user-id) ed una password iniziale per l accesso e l utilizzo degli archivi e servizi applicativi. Il nuovo incaricato riceve inoltre una smart card contenente un certificato di sottoscrizione per la firma digitale dei documenti e un certificato di autenticazione CNS come l accesso ai servizi online. Il Responsabile amministrativo comunica tempestivamente all Amministratore di sistema ogni situazione che comporti una variazione delle abilitazioni e/o revoca dei codici di accesso e della smart card. 4.8 Criteri e procedure di controllo accessi agli archivi informatici L accesso al sistema e alle risorse di rete è controllato da un apposito sistema di gestione che, sulla base delle abilitazioni corrispondenti ai vari profili utente, consente l accesso ai soli archivi/dati necessari e sufficienti per il trattamento. Il Titolare e l Amministratore di sistema hanno il compito di vigilare, ciascuno per le proprie competenze, sul corretto utilizzo delle procedure. 4.9 Criteri e procedure di controllo accessi agli archivi cartacei L accesso agli archivi cartacei contenenti dati sensibili e/o particolari è controllato e selezionato sulla base delle necessità di trattamento. Gli incaricati che accedono a tali archivi devono conservare i documenti prelevati in contenitori armadi/cassetti muniti di serratura e restituirli al termine del trattamento. E fatto divieto di produrre copie anche parziali dei documenti contenenti dati sensibili e/particolari, salvo diverse esplicite disposizioni relative a procedure per cui le copie sono indispensabili. Tutte le copie vengono trattate con le stesse misure di riservatezza e sicurezza degli originali e distrutte dopo l uso dallo stesso incaricato al trattamento dei dati contenuti. L accesso agli archivi di riposo segue le norme previste per le aree di sicurezza ed è consentito esclusivamente agli incaricati specificatamente autorizzati nella lettera di incarico. Il prelievo dei documenti deve essere registrato riportando i dati relativi al soggetto richiedente, data di uscita, data di restituzione. 7
4.10 Criteri e procedure per l utilizzo della posta elettronica e di Internet I servizi di posta elettronica e di navigazione internet sono risorse aziendali che il datore di lavoro mette a disposizione del dipendente per il perseguimento dei fini lavorativi. Pertanto l utilizzo di tali strumenti è consentito per svolgere gli incarichi per i quali sono state assegnate le abilitazioni di accesso, con riferimento alle attività dell unità operativa di appartenenza del personale. L uso improprio di tali strumenti può pregiudicare in modo rilevante la sicurezza dei dati/documenti trattati, arrecando rilevanti danni, anche sotto il profilo penale, all attività dell Ente. Per garantire gli adempimenti di sicurezza previsti dalla normativa vigente, il gestore tecnico del servizio (service provider) registra le informazioni relative all utilizzo degli strumenti di posta elettronica e Internet. Tali informazioni sono a disposizione esclusivamente delle autorità giudiziarie preposte e memorizzate in forma protetta per il tempo stabilito dalle normative di riferimento. In ogni caso sono impartite agli Incaricati le seguenti istruzioni: per connettersi a Internet è necessario autenticarsi; gli utenti non devono salvare password fisse nei loro browser o e-mail a meno che il PC preveda password di accessione o log on e lo screen saver sia protetto con password tutte le attività in Internet devono passare da punti di accesso approvati dall ente camerale tutte le modifiche al software e hardware di componenti del sistema di sicurezza informatica devono essere approvate preventivamente, e quindi installate, dall Amministratore di sistema non si possono attivare connessioni di rete verso l esterno, via Internet o altri sistemi, che non siano stati preventivamente autorizzati dall Amministratore di sistema è fatto divieto di utilizzare le caselle di posta elettronica ordinaria nominative (n.cognome@to.camcom.it) o di gruppo per comunicazioni non strettamente correlate all'attività lavorativa ovvero a non trattare comunicazioni e scambio di documenti formali attinenti l azione amministrativa non è consentito comunicare le proprie credenziali camerali (userid, email) a siti e servizi internet, se non preventivamente autorizzati dal proprio Responsabile, sentito l Amministratore di sistema 4.11 Criteri e procedure per i supporti rimovibili e apparecchiature portatili Relativamente ai supporti rimovibili e alle apparecchiature portatili sono impartite agli incaricati di trattamento le seguenti istruzione: non utilizzare supporti rimovibili o apparecchiature portatili personali (e di sistemi elettronici e telematici personali, in genere). I soli supporti rimovibili e i sistemi elettronici e telematici ammessi nell Ente sono quelli espressamente autorizzati, nel rispetto delle specifiche procedure organizzative e gestionali, dall Amministratore di sistema. tutti i supporti magnetici utilizzati devono essere inizializzati prima dell uso mediante apposite procedure indicate dall Amministratore di sistema, che consentano di rendere illeggibili i dati eventualmente registrati in precedenza. Tali procedure si applicano anche in caso di eliminazione dei supporti magnetici rimovibili. è fatto divieto di portare all esterno dell Ente qualsiasi supporto rimovibile fornito dall Ente se non espressamente autorizzati. 8
le apparecchiature portatili saranno consegnate previa esplicita richiesta per esigenze di servizio. Tutte le apparecchiature portatili sono soggette al regolamento cui sono soggette le normali postazioni di lavoro. Prima di collegare le apparecchiature portatili a reti diverse da quella dell Ente o a dispositivi esterni occorre essere preventivamente autorizzati. 5 Misure Organizzative 5.1 Incaricati di trattamento dati I dipendenti che trattano dati personali sono formalmente incaricati dal datore di lavoro tramite comunicazione scritta che definisce gli archivi cui l incaricato può accedere ed i trattamenti che è autorizzato ad effettuare, identificando il profilo utente che definisce le abilitazioni nel sistema di controllo accessi al sistema. Nel caso che trattamenti di dati personali di cui sia Titolare la Camera di commercio di Torino siano affidati a soggetti esterni nell ambito dell esecuzione di contratti di fornitura di servizi si procede, con atto separato o attraverso l inserimento di apposita clausola nel contratto, alla nomina del soggetto esterno a Responsabile del trattamento ai sensi dell art. 29 del Codice Privacy. E compito del Responsabile esterno provvedere alla nomina degli Incaricati del trattamento ai sensi dell art.30 del. Codice Privacy nell ambito della sua organizzazione. Al Responsabile esterno viene eventualmente richiesta, congiuntamente all accettazione dell incarico, copia del proprio Documento contenente le Misure minime di Sicurezza. I dipendenti camerali o i soggetti esterni che sono addetti alla manutenzione dei sistemi elettronici (elettronica di rete, server, PC, etc.) sono autorizzati per iscritto dal Responsabile amministrativo di riferimento e devono attenersi alle specifiche disposizioni in materia di sicurezza loro comunicate. 5.2 Amministratore di sistema Con specifico atto l Ente nomina gli amministratori di sistema in conformità al provvedimento del Garante per la protezione dei dati personali 27 novembre 2008 avente ad oggetto: Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema. Il ruolo di Amministratore di sistema è svolto dal personale tecnico dell UO responsabile cui competono le attività di amministrazione e gestione delle risorse informatiche dell ente e di coordinamento dei vari fornitori esterni. 6 Interventi formativi Il personale neoassunto e periodicamente tutti i dipendenti sono oggetto di specifica formazione per fornire le nozioni fondamentali e le istruzioni operative necessarie atte ad assicurare il corretto trattamento dei dati da parte di ciascun incaricato durante l espletamento dell attività lavorativa, sia a illustrare le novità normative in materia di privacy e sicurezza dei luoghi di lavoro. 9