Gestione degli Access Log degli Amministratori di Sistema La soluzione per ottemperare agli obblighi del Garante Privacy http://www.bludis.it/prodotti/manageengine/event_log/pagine/default.aspx Pag. 1 di 6
Indice 1 IL PROVVEDIMENTO DEL GARANTE... 2 1.1 TRATTAMENTI RELATIVI ALLE FUNZIONI DEGLI AMMINISTRATORI DI SISTEMA... 2 1.2 GESTIONE DEGLI ACCESS LOG DEGLI AMMINISTRATORI DI SISTEMA... 3 1.3 CHIARIMENTI IN MERITO AL PROVVEDIMENTO DEL GARANTE... 3 2 LA SOLUZIONE PER ESSERE SUBITO IN REGOLA... 3 3 OUTSOURCING DEL SERVIZIO DI GESTIONE DEGLI ACCESS LOG... 5 1 Il Provvedimento del Garante Il 27 novembre 2008 il Garante per la Protezione dei Dati Personali, ha pubblicato un importante provvedimento riguardante le Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema (di seguito AdS). Il fine del Garante è quello di richiamare l attenzione sulle responsabilità dell AdS il quale, per l esercizio delle sue funzioni, ha evidentemente un accesso privilegiato alle informazioni aziendali inclusi gli archivi contenenti dati personali. Il termine per mettersi in regola è scaduto il 15 dicembre 2009, e chi non ha adottato le misure prescritte rischia in caso di verifica - di incorrere in pesanti sanzioni pecuniarie. 1.1 Trattamenti relativi alle funzioni degli Amministratori di Sistema Il Garante evidenzia... la particolare criticità del ruolo degli amministratori di sistema... e... richiama l'attenzione... sulla necessità di adottare idonee cautele volte a prevenire e ad accertare eventuali accessi non consentiti ai dati personali, in specie quelli realizzati con abuso della qualità di amministratore di sistema;.... Nell assegnazione di ruoli con accesso privilegiato il Garante richiede ai titolari di... valutare con particolare cura l'attribuzione di funzioni tecniche propriamente corrispondenti o assimilabili a quelle di amministratore di sistema, laddove queste siano esercitate in un contesto che renda ad essi tecnicamente possibile l'accesso, anche fortuito, a dati personali. (http://www.garanteprivacy.it/garante/doc.jsp?id=1577499) Riportiamo di seguito una sintesi delle misure richieste dal Garante relativamente alla scelta e alla verifica dell operato degli AdS: Valutazione delle caratteristiche soggettive delle persone designate Designazioni individuali (per es. evitare account di amministratore condivisi) http://www.bludis.it/prodotti/manageengine/event_log/pagine/default.aspx Pag. 2 di 6
Elenco formale degli AdS: system administrator, amministratore di base di dati (database administrator) o amministratore di rete (network administrator); Verifica periodica dell operato degli AdS Registrazione degli eventi di accessi (Access log degli AdS) 1.2 Gestione degli Access Log degli Amministratori di Sistema Questo è uno degli adempimenti più complessi poichè implica sia una revisione di alcune procedure e documenti sia l implementazione di adeguati sistemi di auditing. Scendendo nel dettaglio il Garante obbliga le aziende al tracciamento completo (logging) degli eventi di accesso (e anche i tentativi falliti) degli amministratori di sistema a sistemi e database. I suddetti log (Access Log) devono essere archiviati e conservati per un periodo non inferiore a sei mesi, garantendo l inalterabilità e l integrità degli eventi. Il Garante sottolinea il concetto di idoneità dei sistemi di audit, che dipende ovviamente dal contesto un cui vengono applicati:...devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo per cui sono richieste. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, e comunque non inferiore a sei mesi; (http://www.garanteprivacy.it/garante/doc.jsp?id=1577499) 1.3 Chiarimenti in merito al provvedimento del Garante Dopo la pubblicazione del provvedimento, sono pervenute al Garante molte richieste di chiarimento sulla corretta interpretazione delle prescrizioni. Il 25 Maggio del 2010, il Garante ha pubblicato una raccolta di FAQ in merito all applicazione pratica delle misure da adottare, chiarendo in particolare che: Non è necessario tracciare tutto quello che fa l amministratore, ma solo gli eventi di Logon, Logoff e tentativi di accesso. (FAQN 22) Bisogna tenere traccia degli accessi sui server, sui client (FAQ N 4 ) ed anche sui Database (FAQ N 19) Non è necessario tracciare gli accessi degli amministratori agli applicativi (FAQ N 22) 2 La soluzione per essere subito in regola http://www.bludis.it/prodotti/manageengine/event_log/pagine/default.aspx Pag. 3 di 6
La soluzione proposta da Bludis si basa su EventLog Analyzer, uno dei software della suite ManageEngine, leader nelle soluzioni per la gestione dell infrastruttura e dei servizi IT. EventLog Analyzer è uno strumento completo per il log Management che fornisce reports per le compliance a normative come la SOX,HIPAA, PCI. Queste normative sono molto più restrittive del provvedimento del Garante e includono già l obbligo della gestione e archiviazione degli Access Log. L implementazione di EventLog Analyzer permette quindi di ottemperare perfettamente alle richieste del provvedimento. Il server si installa e si configura in pochi minuti, senza la necessità di installare un agent, e inizia immediatamente a collezionare i log dai sistemi target e a generare i report sugli Access Log. Gli eventi vengono analizzati e archiviati per un periodo personalizzabile. L intervallo di tempo sufficiente per ottemperare al provvedimento del garante è di 6 mesi (180 giorni), ma è possibile impostare questo parametro secondo le proprie necessità. Per prevenire il tampering dei log e per una corretta marcatura temporale vengono automaticamente applicate una funzione di Hashing e il timestamping. Se viene modificato anche un solo carattere in un log, EventLog Analyzer è in grado di rilevarlo e segnalarlo alle persone preposte al controllo. La sicurezza di EventLog Analyzer si basa su autenticazione (user ID e password), profili di accesso differenziati per utente e l integrazione con Active Directory e server Radius. La crittografia automatica (opzionale) rende illeggibili i file di archivio e previene la lettura diretta non autorizzata dei raw log. EventLog Analyzer permette di gestire qualunque tipo di log (sicurezza, sistema, applicazioni etc.), e generare allarmi in base specifici eventi. Oltre a ottemperare al http://www.bludis.it/prodotti/manageengine/event_log/pagine/default.aspx Pag. 4 di 6
provvedimento del garante può essere quindi utilizzato come strumento di monitoraggio dell infrastruttura IT e analisi degli eventi. Riportiamo di seguito le funzionalità di EventLog Analyzer che permettono di rispondere in modo puntuale agli adempimenti richiesti dal Garante in materia di gestione degli access log degli AdS. Collezionamento dei log di sistemi Windows (EventLog), Unix/Linux (Syslog) e di MSSQL, Oracle, AS400, IIS, VMWare, DHCP. Tracciamento e conservazione degli accessi dell amministratore di sistema. Schedulazione e generazione automatica di report sulle attività degli Amministratori (Accessi, tentativi di accesso etc.). Archiviazione sicura dei log mediante applicazione di Cifratura, timestamping e hashing (per ottemperare all obbligo di inalterabilità e non modificabilità degli access log ) Per un elenco completo delle caratteristiche consultare il seguente link: http://www.bludis.it/prodotti/manageengine/event_log/funzionalita/pagine/default.aspx 3 Outsourcing del servizio di gestione degli Access Log L attività di tracciamento e conservazione degli Access Log degli AdS può essere data in gestione a terzi. La distributed Edition di EventLog Analyzer è adatta agli operatori che erogano servizi di gestione e reporting dei log per i loro clienti. I Managed Server, installati presso i clienti, raccolgono i log dagli host locali e si sincronizzano con il server centrale tramite connessione sicura https. http://www.bludis.it/prodotti/manageengine/event_log/pagine/default.aspx Pag. 5 di 6
I dati sono segragati e ciascun cliente accede alla console con una proprio profilo di accesso, consultando i report e gli allarmi della propria infratruttura. Oltre alla possibilità di erogare servizi di log management, la distributed edition offre vantaggi di scalabilità e monitoraggio distribuito per grandi organizzazioni. Per maggiori informazioni: http://www.bludis.it/prodotti/manageengine/event_log/pagine/default.aspx http://www.bludis.it/prodotti/manageengine/event_log/pagine/default.aspx Pag. 6 di 6