Source: http://www.slideshare.net/rmozzillo/misure-relative-agli-amministratori-di-sistema
Timestamp: 2016-05-27 11:54:59+00:00
Document Index: 127356456

Matched Legal Cases: ['art. 29', 'art. 34', 'art. 29', 'art. 13', 'art. 169', 'art. 483', 'art. 483']

by Marco Baldassari
Roberto Mozzillo, Responsabile Security e Infrastruttura di Networking
Misure relative agli amministratori di sistema<br />Provvedimento del Garante Privacy – 27/11/2008<br />
Le Norme<br />16/12/2009<br />Roberto Mozzillo<br />2<br />Provv. Garante 27/11/2008 (GU n. 300 del 24/12/2008)<br />Provv. Garante 21/04/2009 (Avvio consultazione pubblica con richiesta di osservazioni e commenti entro il 31/05/2009)<br />Provv. Garante 25/06/2009 (Modifiche al Provv. originario e proroga dei termini dal 30/06/2009 al 15/12/2009)<br />
Chi è soggetto?<br />03/04/2009<br />Roberto Mozzillo<br />3<br />Alle nuove misure devono attenersi tutti i Titolari dei trattamenti effettuati con strumenti elettronici, salvo quelli coinvolti nelle misure di semplificazione<br />
Chi non è soggetto?<br />03/04/2009<br />Roberto Mozzillo<br />4<br />I titolari di alcuni trattamenti effettuati in ambito pubblico e privato a fini amministrativo-contabili, i quali pongono minori rischi per gli interessati e sono stati pertanto oggetto delle misure di semplificazione: <br />art. 29 d.l. 25 giugno 2008, n. 112, conv., con mod., con l. 6 agosto 2008, n. 133<br />art. 34 del Codice<br />Provv. Garante 27 novembre 2008<br />Le PMI come definite nel Decreto MSE del 18 Aprile 2005 <br />Art. 2. La categoria delle microimprese, delle piccole imprese e delle medie imprese (complessivamente definita PMI) e&apos; costituita da imprese che:<br />hanno meno di 250 occupati<br />hanno un fatturato annuo non superiore a 50 milioni di euro, oppure un totale di bilancio annuo non superiore a 43 milioni di euro.<br />
Chi sono gli AdS?<br />03/04/2009<br />Roberto Mozzillo<br />5<br />Amministratore di sistema<br />Amministratore di basi di dati<br />Amministratore di rete<br />Amministratore di apparati di sicurezza<br />Amministratore di sistemi software complessi (ERP)<br />
Chi sono gli AdS?<br />03/04/2009<br />Roberto Mozzillo<br />6<br />Ѐ nominato amministratore sistema, di database, di rete o di software complessi chi, in ragione delle proprie mansioni, riceve attributi, privilegi o accessi che sono associati ad un sistema di elaborazione o alle sue componenti;<br />tali privilegi o accessi sono richiesti per svolgere attività di system support o di manutenzione;<br />chi possiede l’autorità di sistema potrebbe, in astratto, operare impropriamente in modo da alterare i sistemi di elaborazione affidatigli o accedere, senza la necessaria autorizzazione, a dati ed informazioni dell’azienda al di fuori del proprio ambito di competenza;<br />le attività che competono all’amministratore di sistema, di database, di rete o di software complessi devono essere esplicitamente autorizzate dal Titolare o dal Responsabile dei Sistemi Informatici<br />
Quali gli adempimenti?<br />03/04/2009<br />Roberto Mozzillo<br />7<br />Valutazione di caratteristiche soggettive<br /><ul><li>Ѐ necessario valutare l’esperienza, la professionalità, l’affidabilità, la conoscenza ed il rispetto della normativa sulla protezione dei dati
Tali criteri di valutazione sono analoghi a quelli richiesti per la designazione dei Responsabili ai sensi dell’art. 29 del Codice (D.L. 196/03)</li></li></ul><li>Quali gli adempimenti?<br />03/04/2009<br />Roberto Mozzillo<br />8<br />Nomine individuali<br /><ul><li>La nomina ad amministratore di sistema deve avvenire su base individuale
Occorre dettagliare l’ambito di azione consentito in base al profilo di autorizzazione assegnato</li></ul>In caso di incauta o inidonea designazione si potrebbe andare incontro a responsabilità di ordine penale e civile (violazione delle misure minime di sicurezza, responsabilità civile da trattamento dati personali)<br />
Quali gli adempimenti?<br />03/04/2009<br />Roberto Mozzillo<br />9<br />Tenuta dell’elenco nominativo degli AdS<br />Elenco annotato nel DPS o in un documento interno<br />Conoscibilità degli amministratori di sistema addetti a trattamento di dati del personale (Amministratori che gestiscono servizi o sistemi che trattano informazioni di carattere personale dei lavoratori: ad es. sistemi per il controllo dei dati di navigazione, sistemi di gestione delle paghe)<br />Obbligo di informativa ai lavoratori ai sensi dell’art. 13 del Codice (D.L. 196/03)<br />Utilizzo di bollettini, Intranet, procedure formalizzate<br />
03/04/2009<br />Roberto Mozzillo<br />10<br />Quali gli adempimenti?<br />Servizi in Outsourcing<br />Se i servizi di amministrazione di sistema sono eseguiti in outsourcing, il titolare chiede al responsabile esterno di formare e rendere disponibile l’elenco degli amministratori di sistema addetti ai trattamenti di sua pertinenza<br />Regolamentazione dell’adempimento nel quadro del contratto di servizio o della nomina a Responsabile<br />
17/12/2009<br />Roberto Mozzillo<br />11<br />Quali gli adempimenti?<br />Controlli periodici<br /><ul><li>I titolaridevono effettuare controlli, anche mediante l’analisi dei log, (Audit tramite OdV o altro organo “indipendente” per evitare conflitti di interesse) almeno su base annuale
Si deve verificare che l’operato sia conforme alle misure tecniche, organizzative e di sicurezza previste dalla normativa, nonché alle istruzioni ricevute
La natura del controllo deriva dalla norma che attribuisce al Titolare un obbligo di vigilanza sull’operato del Responsabile del trattamento</li></li></ul><li>03/04/2009<br />Roberto Mozzillo<br />12<br />Quali gli adempimenti?<br />Registrazione degli accessi<br /><ul><li>Gli accessi logici da parte degli AdS alle risorse ed agli archivi (solo ed esclusivamente il login, il logout ed i tentativi errati) devono essere registrati da adeguati sistemi informatici
Tali sistemi devono garantire che i log siano:
completi (comprensivi di riferimenti temporali e descrizione dell’evento che li ha generati)
I log devono essere conservati per almeno 6 mesi</li></li></ul><li>Quali le sanzioni?<br />03/04/2009<br />Roberto Mozzillo<br />13<br />In caso di ispezioni che dovessero accertare che il Titolare che si è avvalso della autocertificazione (cioè abbia adottato i cosiddetti criteri di semplificazione) risulti scoperto sul fronte della sicurezza minima ed adeguata, le conseguenze potrebbero essere le seguenti:<br /><ul><li>misure minime di sicurezza: contravvenzione (oltre a sanzione amministrativa) sanabile con il meccanismo del ravvedimento operoso (art. 169 Dlgs 196/2003) + delitto ben più grave di falso ideologico del privato in atto pubblico (applicazione per costante giurisprudenza del Consiglio di Stato dell’art. 483 cp).
misure di sicurezza adeguate: anche in tale contesto - di per sé non è assistito da sanzione penale autonoma -potrebbe configurarsi il delitto di falso ideologico del privato in atto pubblico (applicazione per costante giurisprudenza del Consiglio di Stato dell’art. 483 cp)</li></li></ul><li>Quali le sanzioni?<br />03/04/2009<br />Roberto Mozzillo<br />14<br />162 comma 2 -ter<br />Inosservanza dei provvedimenti di prescrizione di misure necessarie o di<br />divieto di cui, rispettivamente, all&apos;articolo 154, comma 1, lettere c) e d)<br />164 bis comma 1<br />Se taluna delle violazioni di cui agli articoli 161, 162, 163, e 164 è di minore<br />gravità, avuto altresì riguardo alla natura anche economica o sociale<br />dell&apos;attività svolta<br />164 bis comma 2<br />Caso di più violazioni di un&apos;unica o di più disposizioni …. , commesse anche in<br />tempi diversi in relazione a banche di dati di particolare rilevanza o<br />dimensioni. Non è ammesso il pagamento in misura ridotta<br />164 bis comma 3<br />Casi di maggiore gravità e, in particolare, di maggiore rilevanza del pregiudizio<br />per uno o più interessati, ovvero quando la violazione coinvolge numerosi<br />interessati<br />164 bis comma 4<br />Caso in cui le sanzioni possono risultare inefficaci in ragione delle condizioni<br />economiche del contravventore<br />30.000€ - 180.000€<br />12.000€ - 72.000€<br />[Due Quinti]<br />50.000€ - 300.000€<br />60.000€ - 360.000€<br />[Doppio ]<br />120.000€ - 720.000€<br />[ Quadruplo]<br />