Source: http://docplayer.it/1922982-Arpat-decreto-del-direttore-generale-no-li-del-ii-oggetto-direzione-area-patrimonio-provveditorato-e-ufficio-tecnico-articolazione.html
Timestamp: 2017-09-24 07:19:39+00:00
Document Index: 165317276

Matched Legal Cases: ['art. 4', 'art. 42', 'art. 34', 'art. 4', 'art. 4', 'art. 22', 'art. 4', 'art. 640', 'art. 615', 'artt 635', 'art. 4']

ARPAT. Decreto del Direttore Generale no) Li del ii. Oggetto: Direzione Area Patrimonio, Provveditorato e Ufficio Tecnico - Articolazione - PDF
ARPAT. Decreto del Direttore Generale no) Li del ii. Oggetto: Direzione Area Patrimonio, Provveditorato e Ufficio Tecnico - Articolazione
Download "ARPAT. Decreto del Direttore Generale no) Li del ii. Oggetto: Direzione Area Patrimonio, Provveditorato e Ufficio Tecnico - Articolazione"
1 d&a Toscana. per la protezione ambientate funzionale Tecnologie dell informazione e della comunicazione Documento redazione, entro il 31 marzo di ogni anno, di un documento programmatico sulla sicurezza da elaborato dall Articolazione funzionale Tecnologie dell informazione e della comunicazione e forma e ne propone al Direttore generale l adozione del conseguente decreto; nominata Direttore Generale dell Agenzia Regionale per la Protezione Ambientale della Toscana; tecnico-aniministrativo: cui al decreto n. 456 del (allegato A); utile nella forma e nella sostanza per il servizio pubblico ed è regolare sotto l aspetto Visto il D. Lgs. 30 giugno 2006, n. 196 e in particolare gli articoli 34, 35 e la regola 19 del altri soggetti che a vario titolo prestano servizio o attività per conto e nelle strutture di ARPAT, funzionale Tecnologie dell informazione e della comunicazione e approvato dal Responsabile Visto altresì l art. i comma 2 della Legge Regionale Toscana n 55 del Rilevato che il dirigente proponente, a seguito dell istruttoria effettuata, ha attestato che l atto è della comunicazione (ICT) e i trattamenti dati effettuati dai dipendenti dell Agenzia e da tutti gli disciplinare tecnico contenuto nell allegato B del medesimo decreto legislativo, che richiede la Visto il decreto n. 147 del con il quale è stato approvato il Disciplinare ICT e protezione ambientale della Toscana ; parte del titolare di un trattamento di dati personali; Vista la L. R. 22 giugno 2009 avente per oggetto Nuova disciplina dell Agenzia regionale per la Esaminato il Documento programrnatico della sicurezza allegato, elaborato dall Articolazione Vista la Deliberazione della G.R.T. n 164 del , con la quale la sottoscritta è stata Il Direttore Generale titolarietà delle funzioni che riguardano le tecnologie della informazione e della comunicazione di comunicazione del Settore Tecnico SIRA Il Responsabile dell Articolazione Funzionale Tecnologie dell Informazione e della trattamenti dati, che disciplina l utilizzo delle risorse relative alle tecnologie dell informazione e approvato dal Responsabile del Settore tecnico SIRA; programmatico della sicurezza Oggetto: Direzione Area Patrimonio, Provveditorato e Ufficio Tecnico - Articolazione Attestato che, a seguito dell istruttoria effettuata, il contenuto della presente proposta è utile nella Decreto del Direttore Generale no) Li del ii dell Area Patrimonio Provveditorato e Ufficio Tecnico e dal Direttore amministrativo in virtù della Agenzia regionale ARPAT
2 Decreta 2. di individuare, quale Responsabile del procedimento, ai sensi deil art. 4 della Legge 24 1/90 3. di trasmettere il presente decreto al Collegio dei Revisori ai sensi e per gli effetti dell art. 42 Illi contabili del provvedimento sul bilancio e sul patrimonio dell Agenzia, riportato in calce; Contabilità e controllo di gestione in esito alla corretta quantifìcazione ed imputazione degli effetti Visto il parere positivo di regolarità contabile, espresso dal Responsabile dell Area Bilancio, Il Resp,ài1e Visti i pareri obbligatori non vincolanti, riportati in calce, del Direttore Amministrativo e del Il Direttore TeJo Direttore Tecnico attestanti il parere favorevole; Area Bilfrci, Contabilità e 1. di approvare il Documento Programmatico della sicurezza di ARPAT (Allegato A); Dr. Roberto 9 Controdi Gestione 4ettore 1nirnjnistraLlvo e della comunicazione dell Area Provveditorato, Patrimonio e Ufficio Tecnico; l Ing. Mario Daddi, Responsabile dell Articolazione funzionale Tecnologie dell informazione comma. 2 della L.R.T. n. 40/2005. &t\ella 6M Dr.ssa Sonia Cantoni Il Direttore Generale
3 Documento Programmatico della sicurezza (DPS) Documento Programmatico della sicurezza (DPS) Rev.04 i di sistema Amministratori J provvedimento annuale Firma responsabile: Firma: Firma: Recepisce Mario Dadd Data: Sonia Cantoni annuale. Firma responsabile: seconda verifica: Firma Emissione Data: Data: Data: Revisione Data: Data: Data: Revisione Data: Data: Data Revisione Data: Responsabile prima e Data Mario Daddi Gaetano Licitra Sonia Cantoni Mario Daddi Gaetano Licitra Sonia Cantoni Mario Daddi Gaetano Licitra Sonia Cantoni annuale Firma responsabile: Firma: Firma: annuale Firma responsabile: Firma: Firma: Mario Daddi Gaetano Licitra Sonia Cantoni Revisione Data: Data: Data: Firma responsabile: Firma: Firma: amministrativo Direttore Seconda Verifica: Tecnico comunicazione della Settore tecnico SIRA Prima Verifica: Area Provveditorato, dell informazione e Fino alla rev 03: Dalla rev. 04: A.F. Tecnologie Direttore generale n. stesura: o convalida: approvazione: Rev. Data Motivo Responsabile Responsabile verifica Responsabile Patrimonio e Ufficio e ANegato B, regola 19, del 30 giugno 2003, n. 196) Ai sensi del Codice in materia di protezione dei dati personali art. 34 Area Patrimonio Provveditorato e U.T. A.F.TIC
4 2 Introduzione Indice Area Patrimonio Provveditorato e UJ. A.FTIC Rev.04 L I Documento Programmatico defla sicurezza (DPS) 2. Distribuzione dei compiti e delle responsabilità nellambito delle strutture preposte al trattamento dei dati 3. Analisi dei rischi che incombono sui dati 4. Misure da adottare per garantire l integrità e la disponibilità dei dati, nonché la protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità 1.3 Amministratori di sistema 2.1 Generalità e assegnazione dei compiti dei responsabili 2.2 Compiti specifici di alcuni Responsabili 2.3 Compiti generali di tutti i Responsabili 1.1 Trattamenti dati effettuati in Agenzia, strumenti utilizzati e modalità 1. Descrizione generale dei trattamenti dati effettuati da ARPAT e responsabilità 2.4 Compiti generali dei Responsabili di dipartimento, dei servizi sub-provinciali e locali 3.1 Comportamenti degli operatori Responsabili ai fini del trattamento dati, di cui all art. 4 del D.Lgs. 196/ Strutture di riferimento, strutture che concorrono al trattamento ed elenco dei 3.2 Eventi relativi agli strumenti 3.3 Eventi relativi al contesto fisico ambientale 4.1 Misure in essere 4.2 Aspetti critici connessi alle misure di sicurezza 4.3 Misure adottate e adottabili per ridurre le criticità Responsabile Area Atti Omesso Responsabile A. F. Tecnologie dell informazione e della comunicazione Direttore amministrativo Omesso Responsabile A.F. Formazione interna e AGEFORM Responsabile U.0. Gestione organizzazione funzionale Responsabile Area Patrimonio, ufficio tecnico Misure generali Misure specifiche per i sistemi e servizi in uso Misure minime di sicurezza prescritte per tutti gli incaricati Criticità generali Criticità specifiche
5 dell Agenzia sicurezza in caso di trattamenti di dati personali affidati, in conformità al CP, all esterno 7. Descrizione dei criteri da adottare per garantire l adozione delle misure minime di 5. Descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in 6. Formazione per gli incaricati seguito a distruzione o danneggiamento L Documento Programmatico della sicurezza (DPS) 3 ALLEGATO-2: Dettaglio dei trattamenti di dati personali comuni, sensibili e giudiziari, di cui ALLEGATO-3: Elenco delle strutture di riferimento per i trattamenti di dati personali e dei relativi ALLEGATO-4: Descrizione dei sistemi in uso, limiti di utilizzo e criteri di gestione (elenco ALLEGATO-5: Elenco delle schede degli incaricati approvate ALLEGATO-6: Elenco degli amministratori di sistema e funzìoni assegnate responsabili aggiornato a cura dei Responsabili che hanno la gestione diretta degli applicativi all Allegato 1 - ADDENDUM all Allegato 1: Tavola di corrispondenza fra i trattamenti elencati utilizzati). nelle versioni 00 e 01 dell Allegato 1 al DPS riferimento, strutture che concorrono al trattamento ALLEGATO-i: Elenco dei trattamenti di dati personali comuni, sensibili e giudiziari, strutture di Elenco allegati 9. Modifiche apportate rispetto alle revisioni precedenti 8. Modalità di aggiornamento del DPS 10. Abbreviazioni Area Patrimonio Provvedttorato e U.T. A.F.TIC Rev.04
6 Patrimonio Provveditorato e U.T. Area F.TIC A. 4 è una delle misura minime di sicurezza prescritte dal Codice Privacy. La redazione e la tenuta di un aggiornato Documento Programmatico di Sicurezza (DPS) annualmente ed entro il 31 marzo di ogni anno. Con il presente documento il Titolare del trattamento dei dati ottempera agli obblighi Introduzione [j Documento Programmatico della sicurezza (DPS) Rev.04 essere utilizzato da ogni soggetto (definito titolare nel Codice Privacy) che tratta dati personali comuni, sensibili o giudiziari, al fine di assicurare un efficace distribuzione dei il DPS è uno strumento di lavoro e anche una sorta di manuale di gestione che deve comprendono in gran parte delle procedure che sarebbero adottate da qualsiasi attento Le misure di sicurezza prescritte dal Codice Privacy, che sono riportate nel DPS, ruoli e delle responsabilità per garantire un elevato livello di tutela dei dati personali trattati. responsabile della sicurezza anche in assenza di uno specifico dettato normativo. Si tratta di misure di sicurezza che presentano molte analogie a quelle in ogni caso sono più pesanti nel caso del Codice Privacy, che prevede la possibilità di perseguire il raccomandate, anche quando non vengono trattati dati personali, dalla Direttiva del soggetto inadempiente anche in sede penale con l arresto. come Codice Privacy, e si impegna a provvedere al suo aggiornamento almeno previsti dal punto 19 del disciplinare tecnico di cui all allegato 6) del D.Lgs. 196/2003, noto Presidente del Consiglio dei Ministri, Dipartimento per l innovazione e le Tecnologie del Pubblica Amministrazione (ora CNIPA). Le differenze principali riguardano le sanzioni che , pubblicata su G.U. n. 69 del e da circolari dell Autorìtà Informatica per la e delle responsabilità tra le figure professionali presenti nell Agenzia anche nei casi in cui Per questo motivo ARPAT sceglie di utilizzare il DPS per definire la distribuzione dei ruoli consentirà di ridurre il rischio che si verifichino alterazioni sul significato intrinseco delle dai sistema informativo dell Agenzia, che costituiscono una risorsa di valore strategico, e Questa scelta contribuirà a proteggere e tutelare efficacemente tutte le informazioni gestite non vengono trattati dati personali. Questa scelta è inoltre il primo passo verso la gestione del sistema informativo dell Agenzia secondo le procedure previste dal sistema di gestione della qualità. informazioni stesse. La revisione 04 del DPS (e successive) è redatta in adempimento a quanto prescritto dai protezione dei dati personali, relativo alle funzioni degli amministratori di sistema. Provvedimenti a carattere generale del e del Garante per la
7 Documento Programmatico della sicurezza (DPS) dei compiti istituzionali di ARPAT i quali sono esplicitati nella legge istitutiva dell Agenzia e, In Agenzia sono effettuati e consentiti i soli trattamenti dati che riguardano l espletamento 1.1 Trattamenti dati effettuati in Agenzia, strumenti utilizzati e modalità 1. Descrizione generale dei trattamenti dati effettuati da ARPAT e responsabilità Rev.04 A.F. Formazione interna e AGEFORM del S.T. CEDIF). 1.2 Strutture di riferimento, strutture che concorrono al trattamento, elenco dei informatica e della privacy (A.F. Tecnologie dell informazione e della comunicazione, le partizioni organizzative che hanno specifiche funzioni nella gestione della sicurezza le le partizioni organizzative definite Strutture nell Atto di organizzazione; partizioni organizzative che non sono collocate all interno di una struttura; Le strutture di riferimento per tutte le tipologie di trattamenti sono le seguenti: Responsabili ai fini del trattamento dati, di cui ali art. 4 del D.Lgs. 196/2003 Internet, sull utilizzo degli strumenti e servizi relativi alle tecnologie dell informazione e Ciascun incaricato effettua i trattamenti relativi alle funzioni cui è assegnato attenendosi una i le eventuali regole di utilizzo. criteri su cui si basa l organizzazione, la gestione e l accesso ai dati trattati; caratteristiche del sistema, informazioni sui backup e sulle eventuali criticità); technology) descritti in apposite schede (ALLEGATO-4) che contengono per ciascun Per tutti i trattamenti sono utilizzati personal computer connessi in rete, strumenti di office dell art. 22 del Codice Privacy Principi applicabili al trattamento di dati sensibili e giudiziari. Tale regolamento identifica i tipi di dati sensibili e giudiziari trattati e le Alcuni trattamenti sono effettuati con specifici sistemi ICT (information communication Decreto n. 18 del del Presidente della Giunta Regionale, redatto in applicazione automation, servizio di condivisione delle risorse, posta elettronica, sistemi cartacei. descrizione del trattamento effettuato (tipologie di dati trattati, principali Per i trattamenti di dati personali sensibili e giudiziari si applica il regolamento di cui al sistema le seguenti informazioni: trattamenti di dati personali comuni, sensibili e giudiziari, i quali sono elencati e descritti operazioni eseguibili. della comunicazione, sulle modalità per effettuare i trattamenti dati di ARPAT, abbreviato con Disciplinare ICT e trattamenti dati, di cui al Decreto n. 147 del , consultabile nella intranet di Agenzia. negli allegati i e 2. alle prescrizioni riportate nel Disciplinare sull utilizzo della posta elettronica, sull accesso a Il presente DPS si applica a tutti i trattamenti dati descritti nella legge istitutiva, inclusi i per ciascuna struttura, nell Atto di Organizzazione. Area Patrimonio Provveditorato e U.T. A.F.TIC
8 6 operano sono, Gestione organizzazione funzionale. trattamenti dati è riportato nell allegato 3 del DPS e viene mantenuto aggiornato dalla U.O. L elenco aggiornato delle strutture di riferimento e dei relativi Responsabili ai fini dei coordina. Quanto precede salvo casi particolari che saranno precisati con decreto. Patrimonio Provveditorato e U.T. Area A.F.TIC Rev Amministratori di sistema r Documento Programmatico della sicurezza (DPS) finalizzate alla gestione e alla manutenzione di un impianto di elaborazione o di sue Con la definizione di amministratore di sistema si individuano sia le figure professionali componenti (che è la definizione che viene comunemente data in ambito informatico di amministratore di sistema), sia gli amministratori di database, gli amministratori direte, gli amministratori di apparati di sicurezza, gli amministratori di sistemi software complessi. Gli amministratori di sistema sono figure professionali critiche per i trattamenti dati in quanto: organizzazione. Ciascuna struttura concorre al trattamento secondo le competenze definite nell Atto di abbreviato con Responsabile, del trattamento dei dati che si svolgono nella struttura che Il relativo responsabile è il responsabile ai sensi dell art. 4 del Codice Privacy, nel seguito L individuazione dei soggetti idonei a svolgere le mansioni di amministratore di sistema sicurezza dei trattamenti svolti, e va perciò curata in modo particolare evitando incauti riveste una notevole importanza, costituendo una delle scelte fondamentali che, unitamente a quelle relative alle tecnologie, contribuiscono a incrementare la complessiva Anche nei casi in cui le funzioni di amministratore di sistema sono attribuite solo nel affidamenti. devono comunque attenersi a criteri di valutazione equipollenti a quelli richiesti per la quadro di una designazione quale incaricato del trattamento, il titolare e il responsabile informatica (art. 640 ter) nonché per le fattispecie di danneggiamento di informazioni, dati e programmi informatici (artt. 635 bis e ter) e di danneggiamento di sistemi informatici e designazione dei Responsabili. sono state considerate anche dal legislatore il quale ha individuato, con diversa La rilevanza, la specificità e la particolare criticità del ruolo di amministratore di sistema denominazione, particolari funzioni tecniche che, se svolte da chi commette un determinato reato, integrano ad esempio una circostanza aggravante. Ci si riferisce, in fattispecie di accesso abusivo a sistema informatico o telematico (art. 615 ter) e di frode particolare, all abuso della qualità di operatore di sistema prevista dal codice penale per le tele matici (artt 635 quater e quinques). in un contesto ove possono tecnicamente accedere, anche in modo fortuito, a in molti casi, concretamente responsabili di specifiche fasi lavorative che dati personali o riservati sebbene non siano preposti ordinariamente a operazioni che implicano una comprensione del dominio applicativo (significato dei dati, formato delle rappresentazioni e semantica delle funzioni); possono comportare elevate criticità rispetto alla protezione degli stessi dati.
9 fornire idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di dell esperienza, della capacità e dellaffidabilità dei soggetti designati, i quali devono L attribuzione di funzioni di amministratore di sistema deve avvenire previa valutazione autorizzazione assegnato. l elencazione analitica degli ambiti di operatività consentiti in base al profilo di La designazione quale amministratore di sistema deve essere individuale e deve recare rzj ;..,j Documento Programmatico della sicurezza (DPS) 7 2. il coordinamento e la definizione del sistema di sicurezza per la protezione della rete, informatico assegnato alla A.F. TIC; Il Direttore amministrativo assicura: dall Area Patrimonio, Provveditorato e Ufficio Tecnico e dalla A.F. TIC personale 1. il coordinamento delle attività che riguardano le tecnologie dell informazione, svolte 2.2 Compiti specifici dì alcuni Responsabili Responsabili. Alcuni compiti sono specifici, altri riguardano tutti i responsabili, altri riguardano tutti i responsabili di dipartimento, servizi sub-provinciali e locali come riportato nel seguito. I compiti sono riportati nel presente DPS e sono comunicati per iscritto ai competenti 2.1 Generalità e assegnazione dei compiti dei responsabili preposte al trattamento dei dati 2. Distribuzione dei compiti e delle responsabilità nell ambito delle strutture In allegato 6 è riportato l elenco degli amministratori di sistema e loro funzioni. l aggiornamento del loro elenco con le funzioni assegnate (che viene allegato alla revisione annuale del DPS). amministratori di sistema e a comunicare tali informazioni all A.F. TIC. eventuale evenienza, gli estremi identificativi delle persone fisiche preposte quali del trattamento dati è tenuto a conservare direttamente e specificamente, per ogni Nel caso di servizi di amministrazione di sistema affidati in outsourcing, il Responsabile la verifica del loro operato; operatività consentiti in base al profilo di autorizzazione assegnato; sistema, stabilendo per ciascuno di essi l elencazione analitica degli ambiti di l organizzazione, il coordinamento e la gestione delle attività degli amministratori di competenze istituzionali della struttura che coordina, cura: Tecnologie dell informazione e della comunicazione il quale, per quanto riguarda le L incarico di amministratore di sistema è conferito d intesa con il Responsabile dell A.F. trattamento ivi compreso il profilo relativo alla sicurezza. Area Patrimonio Provveditorato e U.T. A.F.TIC Rev.04
10 8 anno; riferimento di ciascun trattamento, da allegare al DPS; giudiziari consentiti in Agenzia, comprensivo delle informazioni relative alla struttura di delle banche dati e delle informazioni aziendali; Documento Programmatico della sicurezza (DPS) Patrimonio Provveditorato e U.T. Area 30.0a201 i A.F.TTC Rev la verifica periodica della rispondenza delle schede allegate al regolamento dei dati 3. la definizione delle esigenze di formazione in materia di privacy e le proposte di 4. il controllo formale sugli atti di nomina dei responsabili delle partizioni organizzative di cui al punto 1.2, che devono riportare i compiti e le responsabilità dei nominati ai sensi 5. il controllo formale sugli atti di nomina di commissioni, gruppi di lavoro o organismi similari, che devono individuare un soggetto responsabile della conservazione della 6. la comunicazione, al responsabile dell A.F. Tic, delle modifiche dell organizzazione Omesso Il Rewonsabile dell A.F. TecnoloQie dell informazione e della comunicazione (Tic) assicura: 1. la tenuta di un aggiornato elenco dei trattamenti di dati personali comuni, sensibili e Il Responsabile dell Area Atti assicura: 2. la elaborazione e l aggiornamento delle procedure ICT e della documentazione 1. la redazione della proposta e dell aggiornamento del DPS entro il 10 marzo di ogni 3. l organizzazione e la gestione della documentazione tecnica sull utilizzo e la gestione 4. la definizione delle esigenze di formazione in materia di sicurezza ICT e le proposte di 5. il supporto all attuazione del sistema di sicurezza Omesso. sensibili e giudiziari (Decreto n. 18 del del Presidente della Giunta documentazione e riportare la partizione organizzativa alla quale trasmettere la documentazione al termine delle attività. promuoverne l aggiornamento, qualora necessario; Regionale) ai trattamenti di dati sensibili e giudiziari effettuati da ARPAT e le azioni per formazione alla struttura dell Agenzia competente in materia. del Codice Privacy. dell Agenzia che richiedono una modifica del presente DPS. prevista dal presente DPS per le attività di competenza; dei sistemi ICT dell Agenzia; formazione alla struttura dell Agenzia competente in materia;
11 privacy del personale dell Agenzia e dei nuovi assunti secondo le indicazioni fornite dell informazione e della comunicazione, nell ambito del budget appositamente dalla Direzione Amministrativa e dal Responsabile dell A.F. Tecnologie 1. l organizzazione e la programmazione di corsi in materia di sicurezza informatica e li Responsabile dell A.F. Formazione interna e AGEFORM assicura: LJ I Documento Programmatico della sicurezza (DPS) Rev.04 9 sicurezza ICT dell Agenzia. sistema con l elenco delle funzioni ad essi attribuite. 9. l aggiornamento annuale, nell ambito del DPS, delle persone fisiche amministratori di previste dalle norme vigenti; devono essere conservate per un congruo periodo, non inferiore a sei mesi; li Resronsabile dell Area Patrimonio, ufficio tecnico assicura: energia elettrica, condizionamento, sistemi antincendio, servizi di guardiania e operato con cadenza almeno annuale, in modo da controllare la sua rispondenza alle comprendere i riferimenti temporali e la descrizione dell evento che le ha generate e adeguate al raggiungimento dello scopo per cui sono richieste. Le registrazioni devono (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità dall Area Patrimonio, Provveditorato e Ufficio Tecnico e dal personale informatico degli amministratori di sistema. Le registrazioni (access bg) devono avere 3. la disponibilità dei seguenti servizi di supporto al funzionamento dei sistemi informatici: 7. il coordinamento delle attività svolte dagli amministratori di sistema e la verifica del loro 8. la predisposizione di sistemi idonei alla registrazione degli accessi logici misure organizzative, tecniche e di sicurezza riguardanti i trattamenti dei dati personali che riguardano le forniture e i servizi necessari al funzionamento del sistema di assegnato alla A.F. TIC; 4. la gestione delle reti dati presso la Direzione Generale e presso le reti periferiche; 5. il coordinamento delle attività che riguardano le tecnologie dell informazione, svolte 6. il coordinamento delle attività necessarie per l espletamento delle procedure di appalto videosorveglianza presso la Direzione Generale; l accesso del personale in Agenzia avvenga in modo controllato; responsabile della struttura cui saranno assegnati. personali e dei relativi responsabili; tale elenco costituisce l ALLEGATO-3 del presente DPS; 1. la tenuta di un aggiornato elenco delle strutture di riferimento per i trattamenti di dati li Responsabile dell UD. Gestione organizzazione funzionale assicura: 2. la rendicontazione dei corsi effettuati in materia di sicurezza informatica e privacy. 2. la formazione del personale addetto ai servizi di portierato ai fini di garantire che 3. la segnalazione dei nuovi assunti all A.F. Formazione interna e AGEFORM e al stanziato dal Direttore Generale; Area Patrimonio Provveditorato e UT. A.F.TC
12 lo - accettazione - una dati. I Rewonsabili curano quanto segue. 2.3 Compiti generali di tutti i Responsabili Documento Programmatico della sicurezza (DPS) Patrimonio Provveditorato e U.T. Area A.F.TIC Rev Designano per iscritto gli incaricati ai sensi dell art. 4 del Codice Privacy (nel seguito 4. Assicurano la formazione di base dei propri collaboratori interni ed esterni in materia di 5. Individuano i dati sensibili e giudiziari che vengono trattati presso la propria struttura, 6. I Responsabili che si avvalgono di soggetti esterni all Agenzia ricevono dal soggetto tenendo anche conto dei principi di adeguatezza, proporzionalità e necessità. vigore, gli estremi identificativi degli amministratori dei sistemi applicativi utilizzati dall elemento di organizzazione che coordinano (per i quali vale quanto riportato nel L elenco degli incaricati comprende, ove ciò sia previsto dalle procedure informatiche in paragrafo 1.3 Amministratori di sistema ), che devono essere comunicati all A.F. TIC Ciò si attua mediante la redazione della scheda incaricati e aggiornamento almeno 2. Tengono un aggiornato elenco degli incaricati e svolgono le azioni per assicurare che l ambito di trattamento assegnato ai singoli incaricati sia coerente ai compiti assegnati, in occasione di ogni variazione. riportati nell Atto di Organizzazione. 1. Assicurano che la partizione organizzativa che coordinano svolga i compiti istituzionali tramite la intranet negli spazi appositamente predisposti. annuale. Ogni revisione deve essere archiviata presso la struttura cui si riferisce, deve essere comunicata agli interessati e messa loro a disposizione per consultazione abbreviati con incaricati, i quali includono tutti gli operatori dei sistemi informatici comunicano i compiti agli incaricati. Ciò si attua utilizzando l apposito modello per Affidamento di funzioni, con il quale si utilizzati dalla struttura che coordinano e gli eventuali amministatori di sistema). trattamenti dati. La formazione è effettuata al momento dell ingresso dei collaboratori sicurezza informatica e privacy, a iniziare dalla diffusione del Disciplinare ICT e di nuovi significativi strumenti, rilevanti rispetto al trattamento dei dati personali. presso la struttura, nonché in occasione dei cambiamenti di mansioni, o di introduzione trattare queste tipologie di dati e impartiscono disposizioni affinché siano adottate le assicurano che il trattamento sia conforme a quanto prescritto dal Decreto n. 18 del specifiche misure di sicurezza previste in questi casi dal Disciplinare ICT e trattamenti esterno attestazione di conformità del trattamento alle disposizioni contenute nel del Presidente della Giunta Regionale, designano gli incaricati che possono archivio la documentazione ricevuta): D.Lgs. 196/2003. Nei casi applicabili richiedono al soggetto esterno (e conservano nel fascicolo di ritenuto necessario in relazione alla tipologia di dati trattati; delle regole stabilite nel Disciplinare ICT e trattamenti dati ; descrizione scritta dell intervento effettuato dal soggetto esterno, qualora ciò sia
13 Definiscono zj soggetto responsabile della conservazione della documentazione e che sia precisata la lavoro o organismi similari assicurano che nell atto di nomina sia individuato un 7. I Responsabili che si avvalgono o propongono la nomina di commissioni, gruppi di funzioni di amministratore di sistema (come da paragrafo 1.3) con la descrizione delle funzioni ad esse attribuite. - gli estremi identificativi delle persone fisiche del soggetto esterno che svolgono le j Documento Programmatico della sicurezza (DPS) Rev elettrica, condizionamento); 1, la disponibilità dei servizi di supporto al funzionamento dei sistemi informatici (energia attività dei Responsabili e inoltre adottano le misure necessarie ad assicurare: I Responsabili di dipartimento dei servizi sub-provinciali e locali curano le medesime 2.4 Compiti generali dei Responsabili di dipartimento, dei servizi sub-provinciali e locali 12.Vigilano sulla puntuale osservanza delle proprie istruzioni. 11. e prescrivono adeguate misure di sicurezza qualora ritengano che le e della comunicazione affinché siano allegate alla revisione annuale del DPS; La descrizione delle eventuali ulteriori misure di sicurezza adottate è riportata in appi icativa. all identificazione degli incaricati. accesso selezionato e disciplinano le modalità di accesso finalizzate impartiscono trattare la tipologia dei dati personali e delle informazioni gestite dalla propria struttura. misure minime prescritte nel Disciplinare ICT e trattamenti dati non siano idonee a 1O.Assicurano la presenza di procedure e regole di utilizzo per la gestione di eventuali ulteriori istruzioni finalizzate al controllo e alla custodia, per l intero le procedure per la conservazione di determinati atti in archivi ad conservati i dati; stesso paragrafo 1.2. organizzativa di cui al paragràfo 1.2, assicurano che nell atto di nomina siano riportat i 8. I Responsabili che propongono la nomina del responsabile di una partizione 9. Assicurano il rispetto delle procedure e delle regole per l utilizzo e la gestione degli Ad esempio: attività. compiti e le responsabilità dei nominati ai sensi del Codice Privacy come stabilito nello adottano definiscono accedano agli uffici nei quali si trattano dati personali, informazioni preziose o riservate; procedure idonee a ridurre il rischio che persone non autorizzate apposite schede, da trasmettere al Responsabile dell A.F. Tecnologie dell informazione ciclo del trattamento, degli atti, dei documenti e dei supporti rimovibili su cui sono partizione organizzativa alla quale trasmettere la documentazione al termine delle strumenti informatici. strumenti informatici dei quali hanno il completo controllo diretto o la gestione Area Patrimonio Provveditorato e U.T. A.F.TIC
14 12 T i Documento Programmatico della sicurezza (DPS) ubicazione dei server in locali climatizzati e protetti da accessi non autorizzati; protezione degli apparati direte da accessi non autorizzati; servizi di guardiania; parte del personale tecnico addetto. infrastrutture informatiche, previa identificazione, per l effettuazione di interventi da Rev Analisi dei rischi che incombono sui dati ARPAT Area Patrimonio Provveditorato e U.T. A.F.TIC Si riportano di seguito i principali eventi potenzialmente dannosi per la sicurezza dei dati. 3.1 Comportamenti degli operatori 3.2. Eventi relativi agli strumenti 2. l adozione di adeguate misure di sicurezza (disponibilità di sistemi antincendio, 3.3 Eventi relativi al contesto fisico ambientale 3. l adozione di adeguate misure per consentire l accesso ai locali contententi 4. Misure da adottare per garantire l integrità e la disponibilità dei dati, nonché la 4.1 Misure in essere protezione delle aree e dei locali, rilevanti ai fini della loro custodia e accessibilità a) sottrazione di credenziali di autenticazione c) comportamenti sleali o fraudolenti b) carenza di consapevolezza, disattenzione o incuria d) errore materiale f) spamming o tecniche di sabotaggio e) azioni di virus informatici o di programmi suscettibili di recare danno g) malfunzionamento, indisponibilità o degrado degli strumenti j) ingressi non autorizzati a locali/aree ad accesso ristretto h) accessi esterni non autorizzati i) intercettazione di informazioni in rete k) sottrazione di strumenti contenenti dati I) eventi distruttivi, naturali o artificiali (movimenti tellurici, scariche atmosferiche, m) guasto a sistemi complementari (impianto elettrico, climatizzazione, ecc.) n) errori umani nella gestione della sicurezza fisica dovuti all incuria incendi, allagamenti, condizioni ambientali, ecc.), nonché dolosi, accidentali o
15 La riduzione dei rischi che incombono sui dati imputabili ai punti a, b, c, d, g, j, n del e aggiornamento del presente DPS nel quale si precisano compiti, responsabilità e misure minime di sicurezza. Una prima riduzione complessiva dei rischi che incombono sui dati si basa sulla redazione Misure generali, Documento Programmatico della sicurezza (DPS) Rev disponibilità di procedure per il salvataggio dei dati (backup) e per il ripristino della 11. disponibilità di sistemi di monitoraggio dei server e dei servizi; 14. utilizzo di apparati per la rete interna che a regime non consentono di carpire con sniffer le eventuali password passate in chiaro sulla rete. presenti su internet (WAN) da quelle utilizzabil in intranet (LAN). presentare un livello di protezione ancora maggiore; 13.separazione separazione, mediante sistemi di firewall/froxy, delle banche dati come precisato al punto precedente); 12.disponibilitàdi sistemi di monitoraggio di alcuni applicativi; programmi pericolosi); disponibilità dei dati a seguito di danneggiamento (crash recovery); sono generalmente ubicati in aree protette; personale che ha compiti di gestione tecnica (al fine di evitare l installazione di basati su username e password, con password di administrator nota al solo 4. utilizzo di sistemi operativi che supportano sistemi di autenticazione dell utente 3. conservazione delle informazioni sui supporti di memorizzazione dei server, i quali 2. protezione della intranet con firewall e proxy; 5. utilizzo generalizzato di server dotati di sistema operativo Linux, configurati per 6. utilizzo di tecnologie che assicurano elevata disponibilità dei sistemi applicativi 7. utilizzo di software applicativo che supporta sistemi di autorizzazione; 8. utilizzo di tecnologie per assicurare una elevata disponibilità dei dati dei sistemi strategici (storage); controllato nei casi in cui venga a mancare l alimentazione della rete elettrica; 9. server dotati di gruppi di continuità, configurati per assicurare lo spegnimento minori (macchine virtuali Linux e Windows residenti su server Linux configurati dati più critici viene utilizzato un sistema di storage, che ha la caratteristica di mirror, dei quali viene effettuato giornalmente il backup su un terzo disco; per i assicurare elevato livello di protezione dei dati, che risièdono su due dischi in 1. adozione di software antivirus e antispam; La riduzione dei rischi che incombono sui dati imputabili ai punti c, e, f, h, i, k, m del servizio. recovery, disponibilità di contratti di assistenza che assicurano determinati livelli di procedure inerenti la gestione e l utilizzo dei sistemi informatici, incluso backup e crash precedente punto 3 è attuata principalmente mediante formazione, definizione di precedente punto 3 è attuata mediate varie contromisure, tra cui le seguenti: Area Patrimonio Provveditorato e U.T. A.FTIC
16 14 - riconduce - pone Patrimonio Provveditorato e U.T. Area A.FTIC Rev.04 schede non hanno un livello di sicurezza/affidabilità definito (ALLEGATO-4). riportate, per ogni sistema / servizio gestito, nelle schede allegate. I sistemi / servizi privi di Misure minime di sicurezza prescritte per tutti gli incaricati Le misure minime di sicurezza prescritte per tutti gli incaricati sono riportate nella forma di norme generali di comportamento nel Disciplinare ICT e trattamenti dati. 4.2 Aspetti critici connessi alle misure di sicurezza, misure adottate e adottabili Criticità generali r Documento Programmatico della sicurezza (DPS) Questo paragrafo include l elenco delle principali criticità presenti connesse alle misure di sicurezza. Il paragrafo include sia le criticità individuate precedentemente non ancora risolte, sia le nuove criticità rilevate. 3 è attuata principalmente mediante ubicazione dei server in locali o armadi chiusi a La riduzione dei rischi che incombono sui dati imputabili ai punti j, n del precedente punto la eliminazione o riduzione. chiave, servizi di guardiania, videosorveglianza e formazione. Per ciascuna criticità si riporta l elenco delle attività già avviate o da avviare per ottenerne 1. Modello organizzativo La descrizione dei sistemi in uso, i loro limiti di utilizzo e le misure specifiche adottate sono Misure specifiche per i sistemi e servizi in uso 2. Postazioni di lavoro ARPAT ha adottato un modello organizzativo sperimentale, finalizzato a migliorare applicazioni, che: l efficacia dello svolgimento delle attività che riguardano le TIC e la sicurezza delle che riguardano la sicurezza ICT; continuità di servizio, di effettuare gli aggiornamenti software previsti dalla normativa sulla privacy, oltre che di attuare completamente i progetti avviati, tra i quali la UfficioTecnico. processo di supporto informatico. nuovo modello organizzativo e l approvazione di un documento di processo relativo al Il provvedimento ha carattere temporaneo e sperimentale sino alla definizione del Sono presenti molti personal computer obsoleti che non consentono di assicurare alla Direzione amministrativa la titolarietà di alcune funzioni fondamentali I A.F. TIC sotto il coordinamento dell Area Patrimonio, Provveditorato e
17 proseguire il rinnovo dei pc. Per contrastare tali rischi (evidenziati al precedente punto 3.2.g) è necessario omogeneizzazione del software installato sulle postazioni di lavoro e la migrazione a Ope noffice. [LzJ 15 relative al crash-recovery; - prosegue il progetto per la virtualizzazione dei servizi, che semplifica alcune attività gestione dei decreti; tecnologie quali la ristrutturazione del sito web, della intranet e della applicazione per la - sono stati avviati vari progetti, tuttora in corso, di omogeneizzazione e riduzione delle Per ridurre queste criticità: migrare a OpenOffice. l integratità dei dati gestiti non può essere assicurata, dall altro implica difficoltà a Excel (come banche dati multi-utente): questo da un lato comporta che l affidabilità e molteplici applicazioni fortemente personalizzate che utilizzano Microsoft Access o - alcuni sistemi sono stati svìluppati e sono manutenuti da personale esterno alla A.F. - le applicazioni per la programmazione delle attività sono state realizzate con TIC senza contratti di assistenza e garanzia di interscambiabilità con il personale informatico; Esiste il rischio di ritardi o problemi a ripristinare il funzionamento di alcuni sistemi tecnologie gestite; di crash recovery per tutti i sistemi e servizi e di acquisire suffienti conoscenze sulle - la presenza di molte diverse tecnologie e sistemi non ha consentito di effettuare prove applicativi a seguito di crash e malfunzionamenti in quanto: a) Criticità generali legate alla continuità dei servizi 4. Software applicativo successivamente attivare uno specifico progetto per la eliminazione delle criticità residue. sistemi gestiti, che richiede circa tre mesi di lavoro dalla stesura del presente DPS e Per eliminare la criticità è necessario modificare tutte le password di amministratore dei il personale designato a svolgere attività di amministratore di sistema. Garante del ) riduce la dimensione di questa criticità individuando formalmente La revisione 04/2010 del DPS (che recepisce il Provvedimento a carattere generale del quali condividono le password di superuser alfine di poter intervenire tempestivamente ogni qualvolta si verifica un malfunzionamento. fiducia che esiste nei confronti del personale addetto alla gestione tecnica dei sistemi, i Il livello di sicurezza dei sistemi informativi centralizzati si basa su un forte rapporto di 3. Applicazione del Provvedimento del Garante sugli amministratori di sistema I Documento Programmatico della sicurezza (DPS) Area Patrimonio Provveditorato e U.T. A.F.TIC Rev.04
18 16 - è - è stato adottato, nel 2010, un modello organizzativo sperimentale che affida la Patrimonio Provveditorato e U.T. Area A.F.TIC Rev.04 I Documento Programmatico della sicurezza (DPS) stesura del presente DPS; funzioni- di strumenti di office automation, dall altra, le criticità di RANA, descritte nel management al fine di eliminare, da una parte le criticità legate all uso -per queste paragrafo successivo. b) Sistema per la rendicontazione delle attività non analitiche (RANA) senza contratto di assistenza e garanzia di interscambiabilità con il personale Si tratta di una applicazione sviluppata e gestita da personale esterno all A.F. TIC, dell Agenzia. - è necessario effettuare un censimento delle applicazioni in uso, documentarle gestione delle applicazioni a un solo elemento di organizzazione (A.F. TIC); informatico. Non rispetta gli standard minimi di sicurezza delle applicazioni funzioni evolute per la gestione e il monitoraggio delle attività (project management e Openoffice e che crea le condizioni per semplicare l applicazione della cosiddetta controllo di gestione), che consentirebbe inoltre di ridurre l impatto per la migrazione a E opportuno prevederne la sostituzione con uno strumento che disponga anche di Riforma Brunetta. applicativi, con priorità sul software che ha elevata valenza strategica per motivazioni - è necessario programmare e/o proseguire specifici interventi di consolidamento degli ove possibile e conveniente, a criteri omogenei di gestione; secondo gli standard previsti dalla normativa sulla privacy e ricondurle gradualmente, c) Sistema di gestione delle attività di laboratorio (ARPA-Lab) Nel seguito vengono riportati gli interventi di consolidamento ritenuti prioritari alla legate alla funzione dell applicazione, al numero degli utilizzatori e ai costi di gestione. dell Agenzia, disegnata sulla nostra specifica organizzazione, sviluppata e Si tratta di una applicazione proprietaria, complessa e strategica per il funzionamento alla presenza di un solo fornitore in grado di assicurarne la manutenzione. manutenuta da una ditta esterna di Roma. Presenta alti costi di gestione e rischi legati standard promossi da Regione Toscana (vedi Legge 54 I 2009 citata in premessa), L applicazione utilizza tecnologie proprietarie Microsoft che non rientrano negli sulle quali ARPAT non ha potuto investire per acquisire alte competenze specialistiche. Questo aumenta il livello di rischio, che si traduce nella difficoltà di individuare i malfunzionamenti dovuti a presenza di colli dì bottiglia. conseguenti difficoltà di realizzare il controllo direzionale sulle attività analitiche di L applicazione richiede tempi lunghi per ogni evoluzione/aggiornamento, con laboratorio. allo stato attuale, l integrazione con altri applicativi dell Agenzia con conseguenti L applicazione non rispetta i requisiti di ergonomicità di cui al D. Lgs. 81/ Manca, implicazioni sulla integrità dei dati e alti costi indiretti dovuti a attività non produttive opportuno introdurre in Agenzia di uno strumento condiviso per il project
19 multidisciplinare, da programmare nel di RANA) e una analisi di fattibilità, mediante specifico gruppo di lavoro sistema di project management nell ambito di un progetto minore (come la sostituzione li superamento di questa criticità richiede l acquisizione di esperienza sull utilizzo di un gestione e il monitoraggio delle attività (project management). degli utenti, non facilmente quantizzabili. L applicazione non dispone di strumenti per la _; -; Documento Programmatico della sicurezza (DPS) Rev realizzati, nel caso in cui si debbano aggiungere nuove funzionalità, se cessa il sistemi applicativi; questo comporta il rischio di dover riprogettare gli applicativi senza poter adottare idonee procedure per conseguire il pieno know-how dei maggiori La maggior parte del software dell Agenzia, anche quello strategìco, viene appaltato f) Criticità legate alla mancanza dì know-how sui sistemi applicativi strategici ARPAT. successivi dopo àver risolto le altre maggiori criticità presenti nel sistema informativo di e) Sistema di protocollo informatico e gestione documentale affidarne comunque a terzi la manutenzione attenua questa criticità. interne sull applicativo. Ulteriori azioni e valutazioni saranno effettuate negli anni Ai fini di una sua riduzione si cercherà di acquisire, dal 2011, maggiori competenze premessa) e, per questo, presenta i medesimi livelli di rischio dei citati applicativi. negli standard promossi da Regione Toscana (vedi Legge 54 / 2009 citata in aggiornamenti del software vengono affidate a ex-dipendenti di tale ditta con forme Come ARPA-Lab e AdHoc utilizza tecnologie proprietarie Microsoft che non rientrano sviluppatori interni. La possibilità di modificare il software da parte di ARPAT e contrattuali più deboli di quelle che possono instaurarsi con una ditta esterna o con La ditta che ha sviluppato l applicativo ne ha cessato il supporto. Le evoluzioni e gli sistema di project management nell ambito di un progetto minore (esempio sostituzione per questo, presenta i medesimi livelli di rischio di ARPA-Lab. standard promossi da Regione Toscana (vedi Legge 54 / 2009 citata in premessa) e, Il superamento di questa criticità richiede l acquisizione di esperienza sull utilizzo di un Come ARPALab utilizza tecnologie proprietarie Microsoft che non rientrano negli di strumenti per la gestione e il monitoraggio delle attività che riguardano la gestione di RANA) e una analisi di fattibilità, che potrebbe essere programmata nel realizzare il controno direzionale sulla gestione del budget. L applicazione non dispone richiede tempi lunghi per ogni evoluzione/aggiornamento, con conseguente difficoltà a costi di gestione, mancanza di controllo da parte del personale informatico interno, organizzazione di ARPAT, sviluppata e manutenuta da una ditta esterna. Presenta alti Si tratta di una applicazione proprietaria fortemente personalizzata sulla specifica d) Sistema di gestione del bilancio (AdHoc Enterprise) del budget (project management). Area Patrimonio Provveditorato e U.T. A.F.TIC 3OO3.2O1 i
20 18 - adozione implementazione motivazioni. supporto delle Ditte che li hanno sviluppati; questo comporta inoltre che i tempi di y j: Documento Programmatico della sicurezza (DPS) Patrimonio Provveditorato e U.T. Area A.F.TC Rev Servizi relativi alla gestione delle intrastrutture (progetto pilota per la migrazione a OpenOffice, sviluppo di portali tematici, controllo del software, migliorare l affidabilità dei dati e l integrazione dei sistemi del software delle postazioni di lavoro). integrazione portali tematici con protocollo informatico e sito web, omogeneizzazione formazione, gestione personale, gestione apparecchiature di laboratorio, gestione consentito di avviare lo sviluppo di una serie di applicativi verticali (gestione catasti impianti RE e altri applicativi minori). Inoltre l assunzione di due nuovi programmatori, uno nel 2009, l altro nel 2010, ha zone protette e climatizzate. Esiste il rischio che si verifichino interruzioni di servizio per manomissione accidentale o intenzionale o per avarie non coperte dal contratto di Si prevede l ultimazione di un primo gruppo di progetti nel 2010 e di rafforzare ulteriormente lo sviluppo software negli anni successivi. workflow. Si tratta di criticità dovute sia alla carenza di personale, sia alla necessità che diverse tecnologie per lo sviluppo del software appaltato, la gestione documentale e il risposta alle esigenze dell Agenzia non sono ottimali. Inoltre, sono state utilizzate molte a) Sistemazione protetta dei server ha avuto l Agenzia di dotarsi rapidamente dei necessari applicativi, sia ad altre Una parte dei server ubicati presso le sedi periferiche dell Agenzia non è installata in assistenza. gli obiettivi di standardizzare il software e le tecnologie, conseguire gradualmente il Per ridurre queste criticità sono stati avviati, nel 2007, vari progetti paralleli che hanno eterogenei HDD e nastro LTO4 su tape library. I software utilizzati sono sia di tipo open source bacula, sia di tipo commerciale. Sono in uso anche nastri worm compatibili con sedi dell Agenzia per la ristrutturazione degli armadi e dei locali dove sono installati i server, i dispositivi direte ed i centraliini telefonici. Per ridurre questa criticità è in corso un progetto già finanziato che coinvolge tutte le b) Protezione dei dati e delle applicazioni Sono state attivate le seguenti contromisure: conservati in casseforti ignifughe situate in luoghi diversi e distanti dalle sale server. la legislazione riguardante l archiviazione ottica dei documenti. I dati vengono critici; servizio delle applicazioni; implementazione di un sistema per il backup mediante l utilizzo di supporti un sistema di storage per aumentare il livello di protezione dei dati di tecnologie dì virtualizzazione per migliorare la disponibilità e i livelli di
PARCO NATURALE ADAMELLO BRENTA STREMBO
PARCO NATURALE ADAMELLO BRENTA STREMBO Documento programmatico sulla sicurezza Redatto in base alle disposizioni di cui al punto 19 del DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME DI SICUREZZA del
Manuale Operativo per la Protezione dei Dati Personali
UNITN 18/02/2015 0003486 I - Allegato Utente 1 (A01) Direzione Sistemi Informativi Manuale Operativo per la Protezione dei Dati Personali Versione 1.0 14/12/2014 TUTTI I DIRITTI SONO RISERVATI - Questo
PRIVACY. linee guida ad uso delle associazioni di volontariato
La PRIVACY linee guida ad uso delle associazioni di volontariato Il testo del presente fascicolo La privacy Linee guida ad uso delle associazioni di volontariato è a cura di Bruna Sartena e Nevio Meneguz