Source: http://docplayer.it/8225675-Pon-fse-competenze-per-lo-sviluppo-asse-ii-capacita-istituzionale-obiettivo-h.html
Timestamp: 2017-12-16 21:34:34+00:00
Document Index: 6455906

Matched Legal Cases: ['art. 169', 'art. 15', 'art. 615', 'art. 17', 'art. 31', 'art. 31']

PON FSE - Competenze per lo sviluppo Asse II Capacità istituzionale - Obiettivo H - PDF
Download "PON FSE - Competenze per lo sviluppo Asse II Capacità istituzionale - Obiettivo H"
Renzo Bernasconi
1 PON FSE - Competenze per lo sviluppo Asse II Capacità istituzionale - Obiettivo H Percorso formativo su Semplificazione e nuovo Codice dell Amministrazione Digitale H FSE
2 Semplificazione e Nuovo CAD La sicurezza informatica: quello che le scuole devono sapere
3 PREMESSA Formazione Trasmissione Art. 40, primo comma CAD Gestione Conservazione
4 LA SICUREZZA DEI SISTEMI INFORMATICI: NORMATIVA DI RIFERIMENTO E MISURE DA IMPLEMENTARE PER RENDERE SICURI I SISTEMI
6 LA SICUREZZA INFORMATICA La sicurezza è un processo dinamico Non esistono soluzioni preconfezionate, o applicabili a tutti E' impossibile raggiungere la sicurezza assoluta, in quanto non esistono sistemi sicuri Occorre puntare a un grado ragionevole e adeguato di sicurezza Oltre alla sicurezza logica non si deve dimenticare la sicurezza fisica
7 LA SICUREZZA INFORMATICA Lo scopo della sicurezza è garantire: C Confidentiality L'accesso ai dati è riservato a chi ne ha diritto I Integrity I dati non devono essere danneggiati, manipolati o perduti A Availability I dati devono essere sempre disponibili
8 I FATTORI DELLA SICUREZZA Il grado di insicurezza di un sistema è direttamente proporzionale alla sua complessità Ogni sistema sia composto da tre fattori: Hardware Software Wetware (il fattore umano)
9 NORMATIVA CARDINE: D.LGS. 196/2003 MINIME MISURE DI SICUREZZA IDONEE
10 Art. 31 Codice Privacy: OBBLIGO DI SICUREZZA I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.
11 Art. 33 Codice Privacy: MISURE MINIME 1. Nel quadro dei più generali obblighi di sicurezza di cui all'articolo 31, o previsti da speciali disposizioni, i titolari del trattamento sono comunque tenuti ad adottare le misure minime individuate nel presente capo o ai sensi dell'articolo 58, comma 3, volte ad assicurare un livello minimo di protezione dei dati personali.
12 INOSSERVANZA DI MISURE MINIME E IDONEE Inosservanza delle misure minime Sanzione penale (art. 169) Mancata adozione delle misure idonee Responsabilità civile (art. 15)
13 Art. 34 Codice Privacy: MISURE MINIME Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime: a) autenticazione informatica; b) adozione di procedure di gestione delle credenziali di autenticazione; c) utilizzazione di un sistema di autorizzazione; d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici; e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi; [ g) tenuta di un aggiornato documento programmatico sulla sicurezza; ] h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari.
14 MISURE MINIME: SISTEMA DI AUTENTICAZIONE e AUTORIZZAZIONE
15 AUTENTICAZIONE INFORMATICA Il trattamento di dati personali con strumenti elettronici è consentito agli incaricati dotati di credenziali di autenticazione Le credenziali di autenticazione possono consistere in: A) un codice per l'identificazione dell'incaricato associato a una parola chiave riservata; B) un dispositivo di autenticazione; C) una caratteristica biometrica dell'incaricato Con le istruzioni impartite agli incaricati è prescritto di adottare le necessarie cautele per assicurare la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi in possesso ed uso esclusivo dell incaricato.
16 AUTENTICAZIONE INFORMATICA Le tre tipologie di autenticazione al sistema informatico: 1) in base a quello che si è (DNA, impronte digitali, impronta vocale, schema retinico, stile della grafia ); 2) in base a quello che si ha (tesserino identificativo, badge, chiave hardware ); 3) in base a quello che conosce (password, PIN )
17 LE CREDENZIALI DI AUTENTICAZIONE La parola chiave (password), quando è prevista dal sistema di autenticazione, è composta da almeno otto caratteri oppure, nel caso in cui lo strumento elettronico non lo permetta, da un numero di caratteri pari al massimo consentito; La password non può contenere riferimenti agevolmente riconducibili all'incaricato La password è modificata dall incaricato al primo utilizzo e, successivamente, almeno ogni sei mesi. In caso di trattamento di dati sensibili e di dati giudiziari la password è modificata almeno ogni tre mesi.
18 QUALE PASSWORD? Password VIETATE: quelle che contengano riferimenti agevolmente riconducibili all'incaricato. Password SCONSIGLIATE: quelle costituite da parole contenute in un vocabolario Gli incaricati non possono lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento! (si suggerisce di utilizzare uno screensaver protetto da password, porte chiuse a chiave in caso di brevi assenze degli incaricati dalla postazione di lavoro ) Lo stesso codice di autenticazione non può essere utilizzato per più di un incaricato, nemmeno in tempi diversi
19 SISTEMA DI AUTORIZZAZIONE Quando per gli incaricati sono individuati profili di autorizzazione di ambito diverso è utilizzato un sistema di autorizzazione. L'autorizzazione consente di differenziare i privilegi di accesso allo stesso sistema informatico da parte di più soggetti. profilo di autorizzazione = insieme delle informazioni, univocamente associate ad una persona, che consente di individuare a quali dati essa può accedere, nonché i trattamenti ad essa consentiti
20 ALTRE MISURE MINIME DI SICUREZZA
21 Soluzioni anti-intrusione e anti-virus I dati personali sono protetti contro il rischio di intrusione e dell'azione di programmi di cui all'art. 615-quinquies c.p. (ossia quelli potenzialmente idonei a danneggiare o interrompere il funzionamento dei sistemi informatici o telematici), mediante l'attivazione di idonei strumenti elettronici da aggiornare con cadenza almeno semestrale.
22 Aggiornamento del software Gli aggiornamenti periodici dei programmi per elaboratore - programmi e sistema operativo - volti a prevenire la vulnerabilità di strumenti elettronici e a correggerne difetti devono essere effettuati almeno annualmente. In caso di trattamento di dati sensibili o giudiziari l'aggiornamento è almeno semestrale.
23 Backup settimanale Almeno una volta alla settimana deve essere eseguito il backup dei dati. Il backup è un operazione che permette di conservare i dati (preferibilmente su supporti ottici non riscrivibili) e consente di prevenire inaspettati blocchi del sistema o dannosissime perdite di dati. L'aggiornamento settimanale, tuttavia, potrebbe non bastare. E' sempre consigliabile il backup quotidiano dei dati, anche se fosse soltanto di tipo incrementale su supporti magnetici.
24 Dice il saggio The best way to recover from unexpected data loss is to be properly prepared Il modo migliore per recuperare i dati improvvisamente persi consiste nel farsi trovare pronti
25 MISURE MINIME E DATI SENSIBILI E GIUDIZIARI protezione dagli accessi abusivi istruzioni organizzative e tecniche per la custodia e l uso dei supporti rimovibili adozione di sistemi di wiping sui supporti rimovibili inutilizzati sistemi di data recovery nei 7 giorni
26 ALTRI PROFILI DI RISCHIO Cancellazione accidentale dei dati L'implementazione di un buon sistema di backup dovrebbe essere sufficiente a fronteggiare anche l'eventualità di danni dovuti a cancellazioni accidentali. Esistono in rete, strumenti gratuiti anche per far fronte a tali eventualità. Le cancellazioni non eseguite tramite wiping sono (solitamente) recuperabili
27 ALTRI PROFILI DI RISCHIO Ingegneria sociale (Social Engineering) Attaccare un sistema informatico pressoché perfetto (senza vulnerabilità sfruttabili) sarebbe impossibile. Tuttavia anche in questi casi l attaccante può trovare una falla nel wetware. Kevin Mitnick nel suo The art of deception entra nel dettaglio dell'analisi che un attaccante fa delle persone che gestiscono gli apparati informatici obiettivo dell'attacco. I passaggi dell'opera d'attacco dell'ingegnere sociale sono: studio della vittima, fase di verifica della correttezza delle informazioni acquisite, attacco.
28 ALTRI PROFILI DI RISCHIO Ingegneria sociale (Social Engineering) - esperimento del 2006: The USB Way
29 ALTRI PROFILI DI RISCHIO Ingegneria sociale (Social Engineering) - esperimento del 2006: The USB Way di Secure Network Technologies Su 20 USBpen dimenticate (contenenti un trojan) 15 vengono trovate dai dipendenti e inserite nel sistema che è stato violato! Curiosity killed the cat!
30 ALTRE IMPLICAZIONI DELLA SICUREZZA INFORMATICA
31 CONTINUITÀ OPERATIVA Art. 50-bis Continuità operativa 1. In relazione ai nuovi scenari di rischio, alla crescente complessità dell'attività istituzionale caratterizzata da un intenso utilizzo della tecnologia dell'informazione, le pubbliche amministrazioni predispongono i piani di emergenza in grado di assicurare la continuità delle operazioni indispensabili per il servizio e il ritorno alla normale operatività. 2. Il Ministro per la pubblica amministrazione e l'innovazione assicura l'omogeneità delle soluzioni di continuità operativa definite dalle diverse Amministrazioni e ne informa con cadenza almeno annuale il Parlamento. 3. A tali fini, le pubbliche amministrazioni definiscono: a) il piano di continuità operativa, che fissa gli obiettivi e i principi da perseguire, descrive le procedure per la gestione della continuità operativa, anche affidate a soggetti esterni. Il piano tiene conto delle potenziali criticità relative a risorse umane, strutturali, tecnologiche e contiene idonee misure preventive. Le amministrazioni pubbliche verificano la funzionalità del piano di continuità operativa con cadenza biennale; b) il piano di disaster recovery, che costituisce parte integrante di quello di continuità operativa di cui alla lettera a) e stabilisce le misure tecniche e organizzative per garantire il funzionamento dei centri di elaborazione dati e delle procedure informatiche rilevanti in siti alternativi a quelli di produzione. DigitPA, sentito il Garante per la protezione dei dati personali, definisce le linee guida per le soluzioni tecniche idonee a garantire la salvaguardia dei dati e delle applicazioni informatiche, verifica annualmente il costante aggiornamento dei piani di disaster recovery delle amministrazioni interessate e ne informa annualmente il Ministro per la pubblica amministrazione e l'innovazione. 4. I piani di cui al comma 3 sono adottati da ciascuna amministrazione sulla base di appositi e dettagliati studi di fattibilità tecnica; su tali studi è obbligatoriamente acquisito il parere di DigitPA.
32 SICUREZZA DI DATI, SISTEMI E INFRASTRUTTURE Art. 51. Sicurezza dei dati, dei sistemi e delle infrastrutture delle pubbliche amministrazioni 1. Con le regole tecniche adottate ai sensi dell'articolo 71 sono individuate le modalità che garantiscono l'esattezza, la disponibilità, l'accessibilità, l'integrità e la riservatezza dei dati, dei sistemi e delle infrastrutture. 1-bis. DigitPA, ai fini dell'attuazione del comma 1: a) raccorda le iniziative di prevenzione e gestione degli incidenti di sicurezza informatici; b) promuove intese con le analoghe strutture internazionali; c) segnala al Ministro per la pubblica amministrazione e l'innovazione il mancato rispetto delle regole tecniche di cui al comma 1 da parte delle pubbliche amministrazioni. 2. I documenti informatici delle pubbliche amministrazioni devono essere custoditi e controllati con modalità tali da ridurre al minimo i rischi di distruzione, perdita, accesso non autorizzato o non consentito o non conforme alle finalità della raccolta. 2-bis. Le amministrazioni hanno l'obbligo di aggiornare tempestivamente i dati nei propri archivi, non appena vengano a conoscenza dell'inesattezza degli stessi.
33 CONTINUITÀ OPERATIVA E DISASTER RECOVERY
34 DPCM Conservazione Art. 12. Sicurezza del sistema di conservazione 1. Nelle pubbliche amministrazioni, il responsabile della conservazione, di concerto con il responsabile della sicurezza e, nel caso delle pubbliche amministrazioni centrali, anche con il responsabile dell ufficio di cui all art. 17 del Codice, provvede a predisporre, nell ambito del piano generale della sicurezza, il piano della sicurezza del sistema di conservazione, nel rispetto delle misure di sicurezza previste dagli articoli da 31 a 36 [MINIME E IDONEE!] del decreto legislativo 30 giugno 2003, n. 196 e dal disciplinare tecnico di cui all allegato B del medesimo decreto, nonché in coerenza con quanto previsto dagli articoli 50-bis e 51 del Codice e dalle relative linee guida emanate dall Agenzia per l Italia digitale
Applicazioni concrete di massima sicurezza: La gestione delle password e regole pratiche di sicurezza dei dati
S.A.F. SCUOLA DI ALTA FORMAZIONE Privacy - aggiornamenti e istruzioni per l uso Applicazioni concrete di massima sicurezza: La gestione delle password e regole pratiche di sicurezza dei dati Dr. Paolo
Misure minime di sicurezza informatica del nuovo codice della privacy (D.Lgs. 196/2003)
di Enrico Zimuel (enrico@zimuel.it) 7 Maggio 2004 Padova Note sul copyright (copyfree): Questa presentazione può essere utilizzata liberamente a patto di citare la fonte e non stravolgerne il contenuto.
CON TABLET E SMARTPHONE L UFFICIO È IN TASCA, MA OCCHIO ALLA PRIVACY!
Nicola Bernardi Presidente FederPrivacy CON TABLET E SMARTPHONE L UFFICIO È IN TASCA, MA OCCHIO ALLA PRIVACY! I dispositivi mobili dei quali facciamo largo uso possono rivelarsi una concreta insidia alla
S.A.F. SCUOLA DI ALTA FORMAZIONE Sicurezza informatica: aspetti operativi La gestione delle password Paolo Luppi - pluppi@asol.it 26 Novembre 2008 - Sala R. Bianchi - Via Lentasio, 7 - Milano Indice Password:
Privacy e Sicurezza nelle attività di consultazione telematica
Privacy e Sicurezza nelle attività di consultazione telematica Foggia, 28 ottobre 2011 Michele Iaselli Al fine di impostare correttamente l argomento in questione, è opportuno premettere quanto ormai già
Documento Programmatico sulla Sicurezza (D.P.S.) adottato ai sensi dell art. 31 del d. lgs. 196/2003 e dell allegato B
Pagina 1 di 18 Documento Programmatico sulla Sicurezza (D.P.S.) adottato ai sensi dell art. 31 del d. lgs. 196/2003 e dell allegato B Pagina 2 di 18 SCOPO DEL (DPS) GR Elettronica S.r.l. (di seguito azienda),