Amministratori di sistema

Scarica esempio di “criteri di selezione”

Scarica esempio di “modulo di valutazione”

Gli amministratori di sistema, pur non essendo preposti ordinariamente a operazioni che implicano una comprensione del dominio applicativo (significato dei dati, formato delle rappresentazioni e semantica delle funzioni), nelle loro consuete attività sono, in molti casi, concretamente assegnatari di specifiche fasi lavorative che possono comportare elevate criticità rispetto alla protezione dei dati personali.

Il paragrafo 4.2 del provvedimento dell’autorità così stabilisce:

La designazione “individuale” vuol dire che ciascun AdS deve essere nominato con apposita comunicazione a lui/lei diretta e che si deve poterne produrre prova, mediante conservazione del documento di designazione.

La «elencazione (…) degli ambiti di operatività consentiti» indica la formale attribuzione delle mansioni affidate all’AdS mediante la loro menzione nel medesimo documento di designazione individuale. Le mansioni devono specificare, in dettaglio (“elencazione analitica”), cosa effettivamente l’AdS può fare coerentemente «al profilo di autorizzazione assegnato». Nel rispetto dei principi di minimizzazione e pertinenza, il livello di autorizzazione dovrà essere quello necessario – e non sovrabbondante – per lo svolgimento delle mansioni affidate.

L’atto di designazione va rivisto dal titolare con cadenza almeno annuale per eventuale aggiornamento. In tal modo, può essere controllata la sua rispondenza alle misure organizzative, tecniche e di sicurezza rispetto ai trattamenti dei dati personali previste dalle norme vigenti. Si prospettano due scenari, che contemplano AdS interni o esterni all’organizzazione:

• AdS interni all’organizzazione: possono essere autorizzati per iscritto allo svolgimento delle mansioni e dei compiti assegnati da elencare in maniera analitica;
• AdS esterni all’organizzazione: in questo caso se gli AdS sono singoli professionisti autonomi sarà necessaria la stipula di un atto giuridico che regola i rapporti tra l’azienda nominante (titolare) ed il professionista (responsabile del trattamento) ai sensi dell’articolo 28 del GDPR. Nel contratto verrà anche disciplinato il rispetto delle prescrizioni del Garante in tema di AdS. Qualora, invece, il rapporto che include un servizio di amministrazione di sistema è concluso con un’impresa, il contratto titolare / responsabile vincolerà l’azienda responsabile del trattamento all’esecuzione delle prescrizioni del provvedimento con l’obbligo di elencare i dati identificativi degli AdS designati e, in maniera analitica, tutte le attività che verranno svolte da ciascuno. L’elenco aggiornato dovrà essere messo a disposizione del titolare, su richiesta, in modo da consentire a quest’ultimo di rispondere alla pertinente prescrizione del provvedimento (v. al riguardo il successivo capitolo “4. Censimento”).

Scarica esempio di “atto di designazione di AdS”

Lo svolgimento delle mansioni di un amministratore di sistema, a seguito di una sua formale designazione, comporta di regola la concreta capacità, per atto intenzionale, ma anche per caso fortuito, di accedere in modo privilegiato a risorse del sistema informativo e a dati personali cui non si è legittimati ad accedere rispetto ai profili di autorizzazione attribuiti.

Attività tecniche quali il salvataggio dei dati, l´organizzazione dei flussi di rete, la gestione dei supporti di memorizzazione e la manutenzione hardware comportano infatti, in molti casi, un´effettiva capacità di azione su informazioni che va considerata a tutti gli effetti alla stregua di un trattamento di dati personali; ciò, anche quando l´amministratore non consulti “in chiaro” le informazioni medesime.

Riguardo alle mansioni dell’AdS, esso principalmente

• gestisce e manutiene il dominio che è oggetto del suo ambito di applicazione (rete, data base, sistema operativo, applicativo complesso)
• implementa i sistemi di sicurezza di pertinenza
• definisce le procedure di autenticazione e di autorizzazione all’accesso ai dati da parte degli utenti
• cura interventi di conservazione dei dati attraverso debite soluzioni di “backup”
• progetta le attività di supporto al “disaster recovery”.

I domini su cui operano gli AdS sono:

• sistemi di gestione delle basi di dati (data base administrator o amministratore di data base)
• sistemi operativi (system administrator o ammininistratore sistemi operativi)
• sistemi software complessi quali i sistemi ERP (application administrator o amministratore applicativo)
• reti locali e gli apparati di sicurezza (network administrator o amministratore di rete).

Ambito a livello applicativo

Fatta eccezione per gli amministratori dei sistemi software complessi, risultano esclusi dall’ambito di applicazione delle prescrizioni dei provvedimenti dell’autorità, gli utenti che operano a livello applicativo, ivi inclusi gli utenti che possiedono privilegi di accesso elevati (cosiddetti “privileged users”) sul layer applicativo.

Recita la FAQ 22 del provvedimento:

Questa esclusione si giustifica in quanto tale tipo di accesso è tipicamente regolato da profili autorizzativi che, per ciascun incaricato o per classi omogenee di incaricati, sono individuati e configurati anteriormente all’inizio del trattamento, in modo da limitare l’accesso ai soli dati necessari per svolgere le operazioni assegnate. I profili autorizzativi di accesso a livello applicativo, infatti, consentono di assegnare i privilegi di accesso in base a necessità (need to know) e quindi consentire l’effettuazione delle operazioni sui dati che siano pertinenti con la mansione; questa granularità non può essere assicurata invece a livello di data base, sistemi operativi e apparati di rete/sicurezza, ambiti per i quali l’accesso degli operatori è di tipo amministrativo.

Tipologie di AdS e ambiti di operatività

Il provvedimento del Garante prescrive che siano individuati gli ambiti di operatività consentiti agli AdS; per facilitare l’operazione in base al profilo di autorizzazione assegnato, la tabella di cui al file scaricabile ipotizza la suddivisione in quattro distinte categorie di Amministratore di Sistema con evidenza dei corrispondenti compiti principali.

La lettera di designazione di ciascun AdS riporteranno la tipologia (secondo la classificazione e il relativo ambito di operatività mostrati nel file).

Scarica esempio di “tipi di AdS e ambito di operatività”.

AdS come presidio di sicurezza

L’AdS svolge un’essenziale funzione di presidio nell’ambito della sicurezza delle informazioni monitorando costantemente lo stato di sicurezza di tutti i processi di elaborazione dati di propria competenza, mantenendo aggiornati i supporti hardware e software e, se necessario, comunicando al titolare le attività da attuare al fine di garantire un adeguato livello di sicurezza, in proporzione alla tipologia e alla quantità dei dati personali trattati.

A titolo esemplificativo segue l’elencazione di possibili compiti propri dell’amministratore di sistema:

• classificare analiticamente le banche dati e impostare/organizzare un sistema complessivo di trattamento dei dati personali comuni e sensibili, predisponendo e curando ogni relativa fase applicativa nel rispetto della normativa vigente in materia di protezione dei dati personali;
• individuare per iscritto il/i soggetto/i incaricato/i della custodia delle parole chiave per l’accesso al sistema informativo e vigilare sulla sua/loro attività;
• individuare per iscritto gli altri soggetti, diversi dall’/dagli incaricato/i della custodia delle parole chiave, che possono avere accesso a informazioni che concernono le medesime;
• impostare e gestire un sistema di autenticazione informatica per i trattamenti di dati personali effettuati con strumenti elettronici;
• impostare e gestire un sistema di autorizzazione per gli incaricati dei trattamenti di dati personali effettuati con strumenti elettronici;
• assicurare e gestire sistemi di salvataggio e di ripristino dei dati (backup/recovery) anche automatici, nonché approntare adeguate misure e/o sistemi software di salvaguardia per la protezione dei dati personali (antivirus, firewall, IDS ecc.);
• impartire a tutti gli incaricati istruzioni organizzative e tecniche che prevedano le modalità di utilizzo dei sistemi di salvataggio dei dati con frequenza almeno settimanale;
• adottare procedure per la custodia delle copie di sicurezza dei dati e per il ripristino della disponibilità dei dati e dei sistemi;
• organizzare i flussi di rete, la gestione dei supporti di memorizzazione, la manutenzione hardware, nonché la verifica di eventuali tentativi di accessi non autorizzati al sistema provenienti da soggetti terzi, quali accesso abusivo al sistema informatico o telematico, frode, danneggiamento di informazioni, dati e programmi informatici, danneggiamento di sistemi informatici e telematici;
• predisporre un piano di controlli periodici, da eseguire con cadenza almeno semestrale, atti a verificare l’efficacia delle misure di sicurezza adottate in azienda;
• coadiuvare, se richiesto, il titolare del trattamento nella predisposizione e/o nell’aggiornamento e/o nell’integrazione di tutti i documenti necessari per il rispetto del GDPR.

La rispondenza dell’operato dell’AdS alle misure organizzative, tecniche e di sicurezza relative ai trattamenti dei dati personali previste dalle norme, va verificata dal titolare o dal responsabile del trattamento, con cadenza almeno annuale.