[normattiva_dump]

aggiornamenti dei software, secondo la tempistica prevista dalle case produttrici ovvero, periodicamente, a seguito di interventi di manutenzione; configurazioni delle basi di dati per consentire un ripristino completo delle informazioni senza causarne la perdita di integrità e disponibilità; gruppi di continuità che, in caso di mancanza di alimentazione elettrica di rete, garantiscono la continuità operativa; un sistema di gestione degli accessi e di profilazione utenti, che prevede anche, ove opportuno, strumenti di autenticazione forte; un sistema di tracciatura delle operazioni di accesso ai sistemi (sia tramite funzioni applicative o tramite accesso diretto), al fine di permettere l'individuazione di eventuali anomalie. Le operazioni di accesso al sistema, tramite funzioni applicative o tramite accesso diretto, sono tracciate al fine di poter individuare eventuali anomalie. 4.1.1 Gestione dei supporti di memorizzazione I supporti di memorizzazione, che includono nastri magnetici, dischi ottici e cartucce, possono essere fissi o rimovibili. Sui supporti di memorizzazione non vengono, comunque, conservate informazioni in chiaro; ciò malgrado, per ridurre al minimo il rischio di manomissione delle informazioni, viene identificato un ruolo di custode dei supporti di memorizzazione, al quale è attribuita la responsabilità della gestione dei supporti di memorizzazione rimovibili. Per la gestione dei supporti di memorizzazione sono state adottate, in particolare, le seguenti misure: tutti i supporti sono etichettati a seconda della classificazione dei dati contenuti; viene tenuto un inventario dei supporti di memorizzazione secondo controlli predefiniti; sono state definite ed adottate misure di protezione fisica dei supporti di memorizzazione; i supporti di memorizzazione non più utilizzati saranno distrutti e resi inutilizzabili. 4.1.2 Misure idonee a garantire la continuità del servizio A garanzia della corretta operatività del servizio sono state attivate procedure idonee a definire tempi e modi per salvaguardare l'integrità e la disponibilità dei dati e consentire il ripristino del sistema in caso di eventi che lo rendano temporaneamente inutilizzabile. In particolare, per quel che riguarda i dati custoditi presso il Centro Elaborazione Dati (CED), sono previste: procedure per il salvataggio periodico dei dati (backup sia incrementale che storico); procedure che regolamentano la sostituzione, il riutilizzo e la rotazione dei supporti ad ogni ciclo di backup; procedure per il data recovery; procedure per la verifica dell'efficacia sia del backup che del possibile, successivo, ripristino. La struttura organizzativa del CED e le procedure adottate consentono, in caso di necessità, di operare ripristino dei dati in un arco di tempo inferiore ai sette giorni. 4.2 Modalità di abilitazione degli utenti Gli utenti accedono ai servizi del NSIS attraverso gli strumenti definiti dalla vigente normativa (art. 64 del Codice dell'amministrazione digitale) per l'autenticazione telematica ai servizi erogati in rete dalle pubbliche amministrazioni. In fase di prima attuazione, qualora compatibile con la tipologia dei dati trattati, come meglio specificato nei paragrafi che seguono, gli utenti possono accedere al sistema tramite credenziali di autenticazione generate secondo le modalità riportate sul sito del Ministero, in conformità all'art. 64 del Codice dell'amministrazione digitale. Il NSIS dispone di un sistema di gestione delle identità digitali, attraverso il quale vengono definiti i profili di autorizzazione previsti per ogni sistema, definiti secondo le logiche del Controllo degli accessi basato sui ruoli, declinati nello specifico in relazione al ruolo istituzionale, alle funzioni svolte e all'ambito territoriale delle azioni di competenza. Gli amministratori dell'applicazione, nominati dal Ministero della salute, gestiscono la designazione degli utenti e l'assegnazione dei privilegi di accesso. Per l'accesso, l'architettura prevede un'abilitazione in due fasi. 4.2.1 Fase A - Abilitazione alla piattaforma NSIS. La prima fase consente la registrazione da parte dell'utente mediante l'inserimento delle generalità e del proprio indirizzo di posta elettronica ove ricevere le credenziali di autenticazione nonché dei dettagli inerenti la struttura organizzativa di appartenenza. Successivamente, il sistema di registrazione invia una e-mail contenente l'identificativo e la password che l'utente è obbligato a cambiare al primo accesso e, periodicamente, con cadenza trimestrale. La parola chiave dovrà avere le seguenti caratteristiche: sarà composta da almeno otto caratteri; non conterrà riferimenti facilmente riconducibili all'incaricato. Le credenziali di autorizzazione non utilizzate da almeno sei mesi sono disattivate. 4.2.2 Fase B - Abilitazione ai servizi Nella seconda fase, l'utente (che viene definito utente NSIS) può chiedere l'abilitazione ad un profilo del un sistema informativo censito nel NSIS (in questo caso il «sistema informativo sui dimessi dagli istituti di cura pubblici e privati»). Il sistema permette di formulare richieste solo per le applicazioni associate alla struttura organizzativa di appartenenza dell'utente. L'amministratore dell'applicazione effettua un riscontro della presenza del nominativo nella lista di coloro che sono stati formalmente designati dal referente competente (ad es. della regione o provincia autonoma di appartenenza). Qualora questa verifica abbia esito negativo, la procedura di registrazione si interrompe; nel caso in cui questa verifica abbia esito positivo, l'utente è abilitato all'utilizzo del sistema. Per garantire l'effettiva necessità, da parte del singolo utente NSIS, di accedere alle informazioni per le quali ha ottenuto un profilo di accesso, le utenze vengono, periodicamente, sottoposte a revisione e l'amministratore verifica, con i referenti competenti, il permanere degli utenti abilitati nelle liste delle persone autorizzate ad accedere all'NSIS e ai sistemi ad esso riconducibili. 4.2.3 Fase B - Regole speciali per l'abilitazione ai servizi che prevedono l'accesso a dati riferiti ai singoli assistiti Nel caso in cui, per comprovate e documentate esigenze di validazione dei dati, il servizio per il quale è richiesta l'abilitazione, preveda l'accesso a dati riferiti ai singoli assistiti, il processo di autenticazione degli utenti avviene esclusivamente da postazioni identificate e attraverso strumenti di autenticazione forte, in conformità all'art. 64 del Codice dell'amministrazione digitale e all'art. 34 del decreto legislativo 30 giugno 2003, n. 196 e successive modificazioni. L'accesso è garantito tramite l'utilizzo di un protocollo sicuro. L'amministratore dell'applicazione effettua uno specifico riscontro della presenza del nominativo nella lista di coloro che sono stati designati, la cui gestione è a cura del Ministero della salute. Qualora questa verifica abbia esito negativo la procedura di registrazione si interrompe; nel caso in cui questa verifica abbia esito positivo viene confermata all'utente la possibilità di accedere a tali servizi e gli viene chiesto di indicare la postazione da cui intende accedere al servizio. Infine, per rendere più sicuro il processo di abilitazione, un altro amministratore dell'applicazione, distinto dall'amministratore che ha generato le credenziali, provvede all'eventuale consegna dello strumento di autenticazione forte (se non già in possesso dell'utente che richiede l'abilitazione) e, in ogni caso, alla sua associazione alle suddette credenziali. In nessun caso i servizi consentono di effettuare più accessi contemporanei con le medesime credenziali.