DOCUMENTO PROGRAMMATICO SULLA SICUREZZA 2004

DOCUMENTO PROGRAMMATICO SULLA SICUREZZA Il “documento programmatico sulla sicurezza” costituisce una sorta di manuale della sicurezza aziendale ai fini del trattamento dei dati personali tutelati dal Codice sulla privacy. Questo documento rappresenta una misura opportuna per analizzare la situazione aziendale ed organizzare le procedure a garanzia della sicurezza nei trattamenti: tuttavia costituisce una misura minima da adottare obbligatoriamente e da aggiornare entro il 31 marzo di ogni anno (in base al punto 19 del disciplinare tecnico allegato al d.lgs.vo n. 196/2003), esclusivamente nel caso di trattamento di dati particolari (sensibili e giudiziari),. Linee guida per la compilazione del documento programmatico sulla sicurezza

Premessa Il Codice sulla privacy (D.lgs.vo 196/03) impone a chiunque (anche impresa) tratta informazioni relative ad altre persone, imprese, enti od associazioni di rispettare alcuni principi fondamentali a garanzia della riservatezza dei dati stessi. Il Codice prescrive precisi obblighi e comportamenti da attuare nel trattare dati; questi obblighi sono sanzionati anche penalmente: è necessario, pertanto, procedere all’adeguamento dell’organizzazione aziendale al fine di rispettare gli obblighi imposti dal Codice. La finalità del “documento programmatico della sicurezza” è quella di definire i criteri e le procedure per garantire la sicurezza nel trattamento di dati personali. Fonti normative Le disposizioni di legge principali concernenti la corretta gestione di sistemi informatici sono: - R.D. 22.4.1941 n. 633 e D.Lgs. 29.12.1992 n. 518 (tutela del diritto di autore sul software); - L. 23.12.1993 n. 547 (reati legati all’informatica - modifiche al Codice penale); - D.lgs.vo 30.6.2003 n.196 (recante il Codice in materia di protezione dei dati personali) e suo Disciplinare Tecnico (Allegato B)

Sommario A - ANALISI DELLA SITUAZIONE AZIENDALE

1 - Descrizione del sistema informatico aziendale; 2 - Analisi ed elenco dei trattamenti di dati personali; 3 - Analisi ed elenco dei trattamenti di dati “particolari”; 4 - Struttura organizzativa funzionale al trattamento dati e singole responsabilità; 5 - Analisi dei rischi e dei danni conseguenti; B - MISURE MINIME DI SICUREZZA ADOTTATE E DA ADOTTARE 6

- Procedure operative al fine di garantire la predisposizione delle misure minime di sicurezza previste dal Disciplinare Tecnico;

7

- Criteri tecnici ed organizzativi per la protezione delle aree e dei locali e procedure di controllo per l’accesso;

8

- Criteri e procedure per assicurare l’integrità e la disponibilità dei dati;

9 - Criteri e procedure per il ripristino dell’accesso ai dati (Piano di Disaster Recovery); 10 - Criteri per garantire la predisposizione delle misure minime nel caso di trattamenti affidati all’esterno della struttura aziendale;

C - FORMAZIONE E ADEGUAMENTO DEL DOCUMENTO

11 - Piani di formazione per gli incaricati del trattamento; 12 - Programma di revisione ed adeguamento del documento. A - ANALISI DELLA SITUAZIONE AZIENDALE 1) Descrizione del Sistema Informatico Aziendale

Devono essere descritti gli elementi fondamentali del sistema informatico aziendale, individuando tutte le sue componenti, quali ad es.: Hardware

-

Server e sistemi multiutenti presenti in azienda con i relativi sistemi operativi utilizzati Reti locali ed altri sistemi di collegamento di terminali Elaboratori portatili Unità di accesso per gli utenti (terminali, personal computer, workstations, stampanti, telefax) Collegamenti del sistema a apparecchiature di produzione, rilevatori di presenze, od altri dispositivi di acquisizione dati Dispositivi di connessione verso l’esterno, per singoli utenti o condivisi tra più utenti

Software - Sistemi operativi utilizzati - Applicazioni di tipo gestionale - Applicazioni di office automation - Applicazioni tecniche o grafiche (CAD/CAM, progettazione, ecc.) - Sistemi di posta elettronica e strumenti di navigazione in Internet - Siti Internet interni o in hosting o housing presso provider - Altri casi ........................................................................................ 2) Analisi ed elenco dei dati personali

La sezione presenta le applicazioni esistenti (programmi di utilità), e sulla base delle informazioni gestite, determina se esse trattano, anche potenzialmente dati personali secondo quanto previsto dal codice sulla Privacy. Particolare attenzione va posta riguardo all’utilizzo dei prodotti di office automation, data la libertà d’azione che tali prodotti concedono agli utenti sia riguardo al contenuto dei documenti generati, sia riguardo alla loro gestione. La presentazione dovrà essere il più possibile completa, illustrando anche eventuali applicazioni che, pur non riguardando dati personali, sono gestite mediante il sistema informatico aziendale. Nella sezione dovranno essere individuate ed elencate le “banche dati” realizzate con le specifiche applicazioni in uso (ad es. clienti/fornitori; dipendenti; curricula...) e specificate le finalità di trattamento. Analogamente dovrà essere effettuata l’analisi degli archivi cartacei. 3) Analisi ed elenco dei trattamenti di dati “particolari”;

(il censimento degli archivi e il tipo di trattamento adottato potrà essere riportato nella tabella a) dell’allegato 1) a) Trattamento con strumenti elettronici La sezione evidenzia la presenza di dati personali di tipo “particolare” (quelli sensibili o giudiziari) all’interno del sistema informatico aziendale.

-

Essa riporta in particolare: I server e/o i sistemi su cui sono archiviati i dati sensibili Le applicazione utilizzate per il trattamento Le finalità del trattamento Gli specifici tipi di dati particolari (sensibili o giudiziari) esistenti nel sistema (elencare le banche dati relative)

b) Trattamento senza l’ausilio di strumenti elettronici - Dislocazione fisica degli archivi - Le finalità del trattamento - Gli specifici tipi di dati particolari, sensibili o giudiziari) presenti negli archivi cartacei (elencare le banche dati relative) 4) Struttura organizzativa funzionale al trattamento dati e singole responsabilità

La sezione riporta gli elementi fondamentali della struttura organizzativa aziendale coinvolti nel trattamento dei dati personali, specificandone le singole responsabilità. In particolare nella sezione vengono evidenziati: - Il “titolare del trattamento” dei dati, coincidente con il legale rappresentante dell’azienda - Il/i “responsabile/i del trattamento” dati, se nominato/i (*) - Gli “incaricati del trattamento” (anche individuati per mansione svolta all’interno della struttura aziendale) - Profili di autorizzazione (individuati per singolo incaricato o per classi omogenee di incaricati) - Il custode delle credenziali - Gli eventuali prestatori di servizi che trattano all’esterno dell’impresa dati per conto della stessa impresa (consulenti elaborazione paghe, professionisti, società di certificazione del bilancio, società di assistenza software, ...). (*) per questa figura la nomina è facoltativa

Il documento potrà contenere, in allegato, gli atti di nomina dei responsabili, le istruzioni scritte comunicate agli incaricati (nominative o per classi omogenee) ed al custode delle credenziali. Dovranno altresì essere specificate le responsabilità connesse alle mansioni da ciascuno ricoperte all’interno della struttura aziendale. 5) Analisi dei rischi possibili e dei danni conseguenti

(i possibili tipi di rischi ed i conseguenti tipi di danni dovranno essere riportati anche nella tabella b) dell’allegato 1) Questa sezione rappresenta il nucleo fondamentale del documento, in quanto sulla base di questa valutazione l’azienda individuerà le specifiche azioni da intraprendere. Si devono individuare ed elencare i possibili rischi cui è esposto il sistema informatico aziendale, quali ad es.: - Alterazione/danneggiamento accidentale o dolosa del sistema, dei programmi e/o dati - Diffusione/comunicazione non autorizzata sia accidentale che dolosa - Danneggiamento delle risorse informatiche per disastri naturali (incendi...) - Accessi non autorizzati - Sottrazione di elaboratori, programmi, supporti o dati - Intrusioni dall’esterno nel sistema - ........................................................ Si devono altresì individuare i tipi di danni arrecabili ai dati personali (fermo restando che l’adozione delle misure serve anche a garantire il know-how ed in genere il patrimonio aziendale), quali ad es.: - Distruzione dei dati

- Alterazione dei dati - Trattamento/comunicazione/diffusione non autorizzata dei dati B - MISURE DI SICUREZZA ADOTTATE O DA ADOTTARE 6) Procedure relative alle misure imposte dal Disciplinare tecnico (Allegato B al Codice della privacy)

Scopo della sezione è evidenziare in quale maniera le misure minime di sicurezza vengono realizzate nella realtà tecnologica ed organizzativa aziendale. In particolare andranno evidenziate: Misure minime per i trattamenti informatici - Definizione delle credenziali di autenticazione, individuate tra le seguenti tipologie: 1. Codice identificativo, più parola chiave 2. Dispositivo di autenticazione (smart card e simili), più eventuale parola chiave 3. Rilevazione biometrica (es. impronta digitale), più eventuale parola chiave - Modalità di attivazione, variazione e gestione delle credenziali (tra l’altro, individuazione del custode delle credenziali) - Criteri di definizione dei profili di autorizzazione - Attribuzione, revoca ed aggiornamento dei profili di autorizzazione - Criteri di utilizzo e di aggiornamento dei programmi antivirus e dei programmi di antintrusione - Aggiornamento dei programmi volti a prevenire vulnerabilità ed a correggerne i difetti (software update) Misure minime per i trattamenti cartacei - Procedure e modalità per l’organizzazione degli archivi cartacei ad accesso autorizzato - Modalità di custodia dei dati particolari durante l’utilizzo - Modalità di identificazione e registrazione degli accessi ai dati particolari dopo l’orario di chiusura 7) Criteri tecnici ed organizzativi per la protezione delle aree e dei locali e procedure di controllo per l’accesso

Potranno essere evidenziate una o più delle seguenti misure per la protezione fisica: - Localizzazione e limitazioni all’accesso del data center (localizzazione del server) - Dispositivi antintrusione (specifici per il data center o generali per tutto l’edificio/stabilimento) - Dispositivi antincendio (estintori, manichette, impianti di rilevazione e/o spegnimento automatico) - Sistemi di registrazione degli ingressi e di chiusura dei locali - Presenza di un custode e/o di un servizio di vigilanza esterna - Custodia in armadi o classificatori ad accesso autorizzato - Modalità di custodia delle chiavi - .......................................................... 8) Criteri e procedure per assicurare l’integrità e la disponibilità dei dati;

-

Criteri di definizione del salvataggio dei dati Procedure per l’esecuzione del backup Definizione delle tecniche e dei criteri di backup Procedure per la conservazione dei backup (utilizzo di casseforti od armadi ignifughi) Procedure per la verifica della registrazione dei backup Presenza di un responsabile per l’esecuzione e la verifica dei backup Procedura di sostituzione ed eliminazione dei dispositivi di conservazione obsoleti (cassette, nastri magnetici, supporti ottici)

Eventuali altre misure - Alimentazione: presenza di gruppi di continuità, sistemi collegati e tempi di funzionamento garantiti - Climatizzazione dei locali - Sistemi dotati di mirroring, in RAID, di tipo hot-swap, dotati di alimentazione ridondante, sistemi in cluster - Procedure di riutilizzo controllato dei supporti di memorizzazione 9) Criteri e procedure per il ripristino dell’accesso ai dati (Piano di disaster recovery)

-

Criteri di definizione per il ripristino dei dati (a seguito di distruzione o danneggiamento dei dati stessi e/o degli strumenti elettronici) Identificazione degli incidenti “eccezionali” dei sistemi informatici Definizione di procedure che assicurino tempi certi di ripristino dei sistemi Verifica periodica delle procedure attivate Definizione di una policy di business continuity

10) Criteri per garantire la predisposizione delle misure minime nel caso di trattamenti affidati all’esterno della struttura aziendale - Definizione di una corretta applicazione delle misure minime di sicurezza da parte di fornitori esterni relativi alla gestione di dati sensibili o giudiziari (es. gestione paghe) - Politica di responsabilizzazione dei soggetti esterni (predisposizione di adeguati modelli contrattuali e/o clausole contrattuali)

C - FORMAZIONE E ADEGUAMENTO DEL DOCUMENTO 11) Piani di formazione per gli incaricati del trattamento

- Calendario e contenuti degli incontri svolti o previsti - Conservazione della documentazione consegnata - Registrazione dei partecipanti agli incontri formativi 12) Programma di revisione ed adeguamento

Determinare la periodicità dei controlli sull’efficienza ed efficacia delle misure previste nel documento (almeno una volta all’anno e comunque non oltre il 31 marzo di ciascun anno). Vanno individuate le modalità di effettuazione del controllo (soggetti obbligati, determinando le misure di cui ogni soggetto è tenuto a verificare l’efficacia e a provvedere ai necessari interventi di adeguamento) e della relativa annotazione sulla relazione al bilancio dell’azienda.

Allegato 1

Tabella A – Censimento Archivi - Esempio di compilazione Rev. N° .................... del ......./............/........... N° Denominazione Archivio/banca dati (e finalità del trattamento) 1 Personale (fiscale, previdenziale, contributiva, retributiva, ecc.)

Dati sensibili (contraddistinguere con X se ricorre) X

Trattamento elettronico (indicare gli elaboratori ove vengono archiviati i dati) Server 1

Trattamento cartaceo (indicare dove sono custoditi i documenti) Armadio presso ufficio personale

Tabella B – Analisi dei rischi - Esempio di compilazione Rev. n° ............... del .........../................/............ Funzioni/ Aree aziendali (sez. 4)

Referenti Area/ Funzione (sez.6)

Ufficio personale Capo ufficio personale Medico del lavoro

Incaricati (interni o esterni) (sez.4)

Applicazioni Tipo di informatiche danno (sez.6)

Addetti Ufficio Rilevazione presenze Consulente del lavoro (o Gestionale società di paghe elaborazione paghe)

Perdita dati Comunicazi one illecita Diffusione illecita Accesso non autorizzato

Cause del danno (sez.6)

Eventi accidentali: -incendi -black-out Sabotaggio (interno o esterno) Negligenza, imprudenza , imperizia

Valutazione del rischio collegato alle cause (alto, medio, basso) (sez.6)

Misure già attivate (sez. 7-12)

M M

Estintori Gruppo di continuità Passwords

B

M B B

Istruzioni scritte

Misure da attivare (sez. 7-12)

Credenziale d’accesso