IBM Global Services La gestione dei dati in Sanità tra diritti di sicurezza e necessità di...

IBM Global Services

La gestione dei dati in Sanità tra diritti di sicurezza e necessità di efficienza Mariangela FagnaniRoma – 5 Dicembre 2005

2 © Copyright IBM Corporation 2005

IBM Global Services

Agenda

Legge 196/03 e misure di sicurezza

Sicurezza e privacy: approccio e metodologia

Le principali soluzioni IBM

Consulenza per gli adempimenti alla legge 196/03

Controllo accessi e sistema di autorizzazione

Soluzioni di Business Continuity

Certificazione del Sistema di Gestione della Sicurezza vs BS7799

Conformita’ alla norma HIPAA (Health Insurance Portability

and Accountability Act)

IBM Data Governance Council


IBM Global Services

Agenda

Legge 196/03 e misure di sicurezza


IBM Global Services

Uno sguardo allo schema di sintesi della legge 196/03 : Codice in materia di protezione dei dati personali

D.lgs 196/’03 richiederichiede

Titolare

Responsabili

Incaricati

Organizzazione

Adempimenti Formali

InformativaConsensoNotificaAutorizzazione del GaranteDPSS

Adempimenti Strutturali

Inventario e selezione banche datiAnalisi dei RischiContromisure di sicurezzaContinuità del BusinessFormazioneProcedure di risposta

versoverso

perper

PERSONA FISICA O GIURIDICAcui si riferiscono i dati e le informazioni

(dipendenti, clienti, fornitori, abbonati.....) Interessato

per evitareper evitare

Sanzioni Penali

SanzioniAmministrative


IBM Global Services

Il legislatore pone la sicurezza come condizione fondamentale al trattamento di dati personali

La Legge rende primaria la necessità di realizzare alcune misure di Sicurezza atte a custodire e proteggere i dati personali e le altre informazioni di valore per l'azienda

La Legge rende primaria la necessità di realizzare alcune misure di Sicurezza atte a custodire e proteggere i dati personali e le altre informazioni di valore per l'azienda

Privacy

SicurezzaProtezione

dei dati personali

Fiducia dell’utente nel servizio Non si può' gestire la Non si può' gestire la

privacy...privacy...... senza una solida ... senza una solida

sicurezza!!sicurezza!!


IBM Global Services

Le misure di sicurezza previste dalla legge: misure idonee e misure minime

Sono l’insieme delle misure tecniche, informatiche, organizzative, logistiche e procedurali che configurano il livello di protezione necessario a ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta

Sono l’insieme delle misure tecniche, informatiche, organizzative, logistiche e procedurali che configurano il livello di protezione necessario a ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta

Cosa sono?

Le misure di sicurezza devono essere: preventive obbligatorie correlate al mezzo utilizzato crescenti

Le misure di sicurezza devono essere: preventive obbligatorie correlate al mezzo utilizzato crescenti

Che caratteristiche devono avere?

Idonee (è l’obiettivo di sicurezza della legge)Tutte le misure di sicurezza necessarie a minimizzare i rischi in funzione delle caratteristiche organizzative e tecniche dell’azienda nonché dell’evoluzione tecnologica

Minime (è il livello minimo delle misure idonee)devono essere adottate indipendentemente dalle caratteristiche dell’azienda. Hanno le seguenti caratteristiche:

• Rappresentano il livello “minimale” e non sono sufficienti a rappresentare l’obiettivo voluto dalla legge (“Misure Idonee”)

• Elenco pre-definito e identificate nel “disciplinare tecnico” incluso nel codice Privacy (all. B)

Idonee (è l’obiettivo di sicurezza della legge)Tutte le misure di sicurezza necessarie a minimizzare i rischi in funzione delle caratteristiche organizzative e tecniche dell’azienda nonché dell’evoluzione tecnologica

Minime (è il livello minimo delle misure idonee)devono essere adottate indipendentemente dalle caratteristiche dell’azienda. Hanno le seguenti caratteristiche:

• Rappresentano il livello “minimale” e non sono sufficienti a rappresentare l’obiettivo voluto dalla legge (“Misure Idonee”)

• Elenco pre-definito e identificate nel “disciplinare tecnico” incluso nel codice Privacy (all. B)

Quali possono essere?

Comuni Giudiz. Sensib. Sanit. Genetici


IBM Global Services

Sicurezza e privacy: approccio e metodologia

Agenda


IBM Global Services

La corretta applicazione e gestione delle misure di sicurezza richiede il raggiungimento di specifici requisiti

La sicurezza delle informazioni permette di governare e proteggere il valore e i requisiti dei dati

La sicurezza delle informazioni permette di governare e proteggere il valore e i requisiti dei dati

Dato Proteggere, custodire, gestire il dato in funzione del valore assegnato

Riservatezza

Prevenire modifiche / alterazioni del contenuto / valore del dato

Integrità

Garantire il servizio informatico e la disponibilità dei dati a fronte di possibili interruzioni

Continuità

Rendere accessibile il datosolo a chi ne ha necessitàper svolgere il proprio lavoro

Disponibilità

Gestire in modo controllato le attività attraverso i sistemi informatici

Governo

Ricostruire chi ha fatto cosa per garantire accuratezza e completezza dei dati

Verificabilità


IBM Global Services

Rischio:- legale- di business- contrattuale

La sicurezza dei dati personali riguarda le risorse da proteggere, le responsabilità da definire e si realizza attraverso il bilanciamento di interventi orientati al contenimento dei maggiori rischi...

Dato personale/sensibileSoftware di baseApplicazioni informatiche Hardware ReteArchivi...

Rischio

Risorse

ResponsabilitàMisure di SicurezzaProteggereGestireUsareAcquisire/Alienare

Organizzative, normative e tecniche di- Protezione- Controllo- Verifica


IBM Global Services

Sicurezza nei trattamenti informatici

tipologia di trattamento e sua finalità individuazione transazioni e output distribuzione e destinatari eliminazione duplicati

PC e Workstation necessità operative delle banche dati

salvate protezione fisica protezione logica output e supporti removibili

Continuità del servizio gestione degli archivi operazioni di back-up ripristino attività informatiche gestione degli incidenti

Sicurezza logica identificazione e autenticazione software di autenticazione Sistema di autorizzazione Crittografia dei dati accessi remoti accessi al web antivirus

Sicurezza della Rete hardware e software connessioni interne connessioni esterneSicurezza Fisica

installazioni, reti, aree riservate supporti magnetici uffici perimetri

Per realizzare le misure di sicurezza dei dati personali è necessario verificarne lo stato attuale, il conseguente livello di rischio e individuare le adeguate contromisure

Sviluppo e manutenzione applicazioni

test e sviluppo utilizzo di dati

appositi/mascheramento dati conversione degli archivi rilascio in produzione

Verifica e controllo requisiti di audit log informatici registrazione degli accessi monitoring

territorio

Azienda SanitariaAzienda SanitariaPubblica Amm.ne LocalePubblica Amm.ne Locale

Pazienti Pazienti

FornitoriFornitori

DipendentiDipendentiPubblicoPubblico

Aziende collegateAziende collegate

ASLASL

Forze di PoliziaForze di Polizia

Operatori sanitariOperatori sanitari

PARCPARC

OspedaliOspedali

VolontariVolontari


IBM Global Services

Il programma di sicurezza si affronta adottando una metodologia per fasi, capace di comprendere e gestire gli asset rilevanti per il servizio fornito e per la sua tutela

Comprensione dell’ Ecosistema Sanitario

Individuazione delle scoperture di sicurezza e gap vs la legge(organizzative e tecnologiche)

Prioritizzazione degli interventi

Individuazione e disegno delle contromisure adeguate

Implementazione delle soluzioni e dei prodotti

Gestione del rischio (Certificazione di Sicurezza delle informazioni BS7799 –ISO/IEC 27001:2005)

Assets Security

Assets Security


IBM Global Services

Le principali soluzioni IBM

Consulenza per gli adempimenti alla legge 196/03

Controllo accessi e sistema di autorizzazione

Soluzioni di Business Continuity

Certificazione del Sistema di Gestione della Sicurezza vs BS7799

Conformita’ alla norma HIPAA (Health Insurance Portability

and Accountability Act)

Agenda


IBM Global Services

Le principali soluzioni IBMConsulenza per gli adempimenti alla legge 196/03

Adeguamento Privacy (196/03)

Adeguamento Privacy (196/03)

Attività di supporto necessario alla realizzazione degli adempimenti formali della Legge 196/03, delle Misure Minime di Sicurezza ed alla stesura del Documento Programmatico sulla Sicurezza

Adempimenti formali

(lettere di incarico, istruzioni,

informativa, consenso,

notificazione, ..)

Adempimenti formali

(lettere di incarico, istruzioni,

informativa, consenso,

notificazione, ..)

3

Memoranda per i ruoli di

legge individuati

Memoranda per i ruoli di

legge individuati

4

Inventario banche datiInventario

banche dati

1

Ris

ulta

ti

AssessmentAssessment Inventario

banche dati

Inventario

banche dati

Adempimenti

formali

Adempimenti

sostanziali

Banche dati

sensibili

Banche dati

personali

Analisi

dei rischi

Analisi

dei rischi

Trattamento

automatizzato

Trattamento

“manuale”

Individuazione delle misure di sicurezza

Individuazione delle misure di sicurezza

Organizzative

Normative

Tecnologiche

Formazione e sensibilizzazione del

personale

Formazione e sensibilizzazione del

personale

Responsabili

del trattamento

Amministratori

di sistema

Incaricati

Redazione del DPSRedazione del DPS

Attività previste

Evidenza delle aree di

vulnerabilità e rischi

correlati.

Evidenza delle aree di

vulnerabilità e rischi

correlati.

2

Misure di sicurezza minime o

idonee

Misure di sicurezza minime o

idonee

5

DPSDPS

8Flussi

proceduraliFlussi

procedurali

6

Package di formazionePackage di formazione

7


IBM Global Services

Le principali soluzioni IBMControllo accessi e sistema di autorizzazione

• Definizione di processi, procedure e tecnologie per la gestione della “Identità digitale”, intesa come rappresentazione di un utente e dei relativi diritti di autenticazione ed autorizzazione all’interno dell’organizzazione sanitaria, in funzione della criticita’ dei dati.• Identity Management

creazione, propagazione e gestione cemtralizzata delle informazioni che descrivono un utente.

• Access Management creazione, propagazione e gestione delle informazioni che

servono per definire i diritti di autenticazione e autorizzazione dell’utente in relazione a risorse, servizi e dati.

• Strong Authentication adozione di strumenti per il riconoscimento degli utenti

(token, smart card, impronta digitale, ....)

• Single SignOn Propagazione e sincronizzazione delle credenziali di

accesso alla rete, sistemi, applicazioni

• Produttività e qualità del servizio• ottimizzare processo di gestione “account”• servizi per l’utente (Passw.Mgmt., SSO,..)

• Amministrazione• controllata e delegabile• consolidamento delle credenziali dell’utente all’interno di un unico repository centralizzato (LDAP)

• Sicurezza•Politiche di sicurezza rafforzate

• Costi• Amministrazione della sicurezza• Audit e controllo• Help desk

• Time to market• Risposta dinamica al businessLinee guida per lo sviluppo di nuove applicazioni


IBM Global Services

Le principali soluzioni IBMControllo accessi e sistema di autorizzazione basati sul ruolo dell’utente

Organizzazione logicadell’Azienda

Organizzazionefisica sistemi IT

Politiche di controllo accessi / abilitazioni a servizi

22

11

W2K ADW2K AD

Politiche Servizi Target Sistemi fisici

NT PDC

RACFRACF

Policy 1Policy 1

W2K ADW2K AD

RACFRACF

Policy 2Policy 2

W2K ADW2K AD

RACFRACF

ExchangeExchange

Exchange 1Exchange 1

P2P2

P1P1

( Attachements )0,N --- 0,N 0,N --- 0,N 1 --- 1

XProcesso di validazione

PxPx Priorità x

PersoneFisiche(utenti)

Ruoli/Mansioni

RoleRole 11RoleRole 11

RACFRACF

ExchangeExchange

Exchange 1Exchange 1



Scelta ServizioScelta Servizio

NomUnitàRuoloEmailAliases…

NomeUtilizzatoreDescrizioneRuolo dinamico :•Regola

NomeDescrizione•priorità•membership•attachements

NomeServizio•Tipo

(manuale/automatico)•Gestione degli attributi• Workflow

(Processi di validazione)

Exchange

Exchange

L’accesso ai sistemi e ai dati e’ stabilito sulla base del ruolo/mansione dell’utente e della tipologia dei dati


IBM Global Services

Le principali soluzioni IBMControllo accessi e sistema di autorizzazione: strong authentication

Portale/LDAP

RACFActiveDirectory

Exchange

HR

Data feed

DB2

LDAPLDAP AuditAudit

Super Admin

Admin Applicativo

Admin HR

Target Admin

Gestione Centralizzata

Data Reconc.

XML over SSL

Utente


IBM Global Services

Le principali soluzioni IBMSoluzione di Disaster Recovery

Tier 0: No backupsTier 1: Backups off-site

Tier 2: Backups off-site + Hot Site

Tier 3: Electronic Vaulting in Remote Library

Tier 4: Batch/Online DB shadowing and journaling

Tier 5: SW two-phase commit

Tier 6: Near zero data loss with remote disk mirroring

Tier 7: Near zero or zero data loss with remote disk mirroring and highly automated recovery

WeeksDaysHoursMinutes RTO

$

Recovery

Rapid Recovery

Continuity

Centro Primario Centro Alternativo

Off-Site Storage

Scenariodi disastro

Off-Site and Hot Site


IBM Global Services

Le principali soluzioni IBMSoluzione di Business Continuity

Tier 0: No backupsTier 1: Backups off-site

Tier 2: Backups off-site + Hot Site

Tier 3: Electronic Vaulting in Remote Library

Tier 4: Batch/Online DB shadowing and journaling

Tier 5: SW two-phase commit

Tier 6: Near zero data loss with remote disk mirroring

Tier 7: Near zero or zero data loss with remote disk mirroring and highly automated recovery

WeeksDaysHoursMinutes RTO

$

Recovery

Rapid Recovery

Continuity

Centro Alternativo

Scenariodi disastro

Continuity

DUPLICAZIONE ON-LINE DATIFIBRA OTTICA (km)

Centro Primario


IBM Global Services

Le principali soluzioni IBMI centri di Business Continuity & Disaster Recovery di IBM

BCRS Center – Settimo Milanese (Milan)

Servizi offerti

Progettazione, realizzazione e gestione dei servizi e delle soluzioni di Disaster Recovery, High Availability e Business Continuity

Servizi offerti

Progettazione, realizzazione e gestione dei servizi e delle soluzioni di Disaster Recovery, High Availability e Business Continuity

Centro di Disaster Recovery : primo in Italia per dimensioni, capacità ed eterogeneità di apparati, livelli di continuità garantiti e servizi forniti

Centro di Disaster Recovery : primo in Italia per dimensioni, capacità ed eterogeneità di apparati, livelli di continuità garantiti e servizi forniti

BCRS – DR Centers

• 140 centri worldwide• 71 in Europa• 2 in Italia

BCRS Center – Worlwide


IBM Global Services

Le principali soluzioni IBM Certificazione del sistema di gestione della sicurezza vs BS7799 - ISO/IEC 27001-2005

BS7799 parte IBS7799 parte I

“should”

BS7799 parte IBS7799 parte I

“should”

Elenca le “best practice” suggerite per implementare un programma per la sicurezza delle informazioni

BS 7799 parte BS 7799 parte IIII

“shall”

BS 7799 parte BS 7799 parte IIII

“shall”

Elenca i processi ed i controlli per implementare e certificare un sistema di gestione della sicurezza delle informazioni

Obiettivo BS7799:

ottimizzazione rapporto costi/benefici delle misure di sicurezza.

11. Compliance

1. Security Policy

2. Organization of Information Security

3. Asset management

9. Information Security Incident Management10. Business Continuity Management

4. Human Resources security

5. Physical and environmental Security

6. Communication and Operations management

7. Access Control

8. Information System Acquisition, Development and Maint.


IBM Global Services

Le principali soluzioni IBM Conformita’ alla norma HIPAA

Assicurare la Confidenzialità, l’Integrità e la Disponibilità dei dati sanitari

A

Includere tutti gli aspetti della Security

B

Implementazione customizzata in relazione alla dimensione e complessità dell’organizzazione

C

Soluzioni non imposte ma adattabili ai progressi tecnologici

D

Obiettivi Security Guidelines

Regole generali

Sicurezza amministrativa

Sicurezza fisica

Sicurezza Tecnologica

Requisiti organizzativi

Politiche, procedure, documenti

L’HIPAA definisce le regole e le linee guida che un Organismo sanitario pubblico o privato deve adottare per la protezione dei PHI (Protected Health Information: qualsiasi informazione individuale relativa allo stato di salute, condizione, trattamento, che

rivelino l’identità dell’individuo o rappresentino una base importante per risalire all’identità dello stesso )


IBM Global Services

Le principali soluzioni IBM Conformita’ alla norma HIPAA: l’offerta di consulenza di IBM

L’approccio IBM consente l’integrazione

degli adempimenti previsti dalle Leggi nazionali

e internazionali sulla Privacy con l’HIPAA


IBM Global Services

Case history

Istituto Clinico in Lombardia

Obiettivi

Conformita’ alla legge 196/03 per le Cliniche del Gruppo .

Soluzione

Servizi di consulenza, alla Holding e alle Cliniche del Gruppo, per:•Adempimenti formali (notifica, nomine, etc)• Inventario banche dati•Analisi dei rischi•DPS•Formazione •Proposte di progetti di miglioramento del livello di sìcurezza

Obiettivi

Conformita’ alla legge 196/03 per le Cliniche del Gruppo .

Soluzione

Servizi di consulenza, alla Holding e alle Cliniche del Gruppo, per:•Adempimenti formali (notifica, nomine, etc)• Inventario banche dati•Analisi dei rischi•DPS•Formazione •Proposte di progetti di miglioramento del livello di sìcurezza


IBM Global Services

Tivoli Security Compliance Manager permette di

Controllare sistemi ed applicazioni per evidenziare possibili vulnerabilità (qualità della password)

Verificare la presenza di patch di sicurezza e livelli di software appropriati

Integrato con Cisco Trust Agent, Cisco ACS, Tivoli Configuration Manager per effettuare la remediation dei pc.

Cisco Self-Defending NetworkIdentifies, prevents and adapts to threatsLimits damage from viruses and worms

Delivers new system-level threat defense & identity management capabilities

+

Proposta per la conformita’ dei pc che si connettono alla rete alle policy di sicurezza dell’istituto clinico

Case history


IBM Global Services


Agenda


IBM Global Services


• Il 30 Giugno 2005 l’IBM ha costituito il “Data Governance Council”

• A questo Council partecipano altri software partners e gruppi di utenti (principalmente dal mondo bancario e governativo) ad oggi circa 40

• Il Council ha un approccio datacentrico, focalizzato sull’interazione tra dati e processi di business

• Dal punto di vista del business l’ottica è quello di ottimizzare i processi, con gli aspetti di sicurezza, privacy e compliance

• Dal punto di vista tecnico lo scopo è quello di legare il data modelling, le definizioni dei metadati e le attività per la gestione del ciclo di vita degli stessi

• Il Council ha lo scopo di produrre soluzioni che risolvano i problemi evidenziati, mediante l’utilizzo degli strumenti disponibli.


IBM Global Services

La necessità di un approcio datacentrico L’esperienza della Data Governance di IBM

Il modello di sicurezza dei datiL’esperienza quotidiana mostra come sia difficile per la direzione aziendale comprendere i modelli di sicurezza:

– La terminologia relativa alla sicurezza non è di uso comune (es. non-repudiation, message digest, provisioning)

– Le funzioni di sicurezza non sono spesso ben comprese e confuse dai non esperti (eg, authentication vs authorization vs access control)

– Il management percepisce i modelli di sicurezza come complessi

E’ necessario che i modelli di sicurezza diventino meno tecnici e più orientati ai processi di business, quindi comprensibili dal management.


IBM Global Services

Un modello di sicurezza centrato sul controllo dei dati

I modelli di sicurezza esistenti, basati sulla tecnologia devono essere ripensati un’ottica Datacentrica

La protezione dei dati e il controllo del loro uso diventa indispensabile per la compliance con le varie normative (SOX, HIPAA, Legge Privacy, etc.) e per avere processi efficienti


IBM Global Services

Data-Centric Security Model

DATA

Standards Polic

y

Reg

ulat

ory

Strategy

Usa

ge

Type

Retention

Ow

ner

Orig

in

Protection

Risk

Sales

Human Resources

Legal

Product D

esign Mar

ketin

g

LOBs

Corporate & Regulatory Guidelines

Intrusio

n Preve

ntion

Physical

Authentication

Confid

entia

lity

Firewalls

VP

Ns

Authorization

Hardened OS

Ant

i-viru

s

Integrity

Netw

ork Authentication

Security Z

ones

Application Layer& Perimeter Security

Infrastructure

Data Classification

Data Owner & Custodian

IBM Global Services

Grazie per l’attenzioneGrazie per l’attenzione


IBM Global Services

Le principali soluzioni IBM Certificazione del sistema di gestione della sicurezza vs BS7799 - ISO/IEC 27001-2005

Definizione delle Politiche Definizione dell’Ambito Inventario Asset Classificazione Asset Risk Assessment Risk Management Selezione Controlli Allineamento e integrazione col Sistema

Qualità SOA Redazione documentazione ISMS

Definizione delle Politiche Definizione dell’Ambito Inventario Asset Classificazione Asset Risk Assessment Risk Management Selezione Controlli Allineamento e integrazione col Sistema

Qualità SOA Redazione documentazione ISMS

AuditperiodiciAuditperiodici

CertificatoCertificatoCertificatoCertificato

Audit inizialePre-valutazione

Pre-valutazione

Realizzazione

Azienda

Realizzazione

Azienda Auditor(s)Auditor(s)

Creazione della consapevolezzaCreazione della consapevolezza

Mantenimento(chiusura NC)

Risk treatment Plan Organizzazione di Sicurezza Procedure Business Continuity Plan Implementazione tecnologica

Risk treatment Plan Organizzazione di Sicurezza Procedure Business Continuity Plan Implementazione tecnologica

AI,Fase 2

AI,Fase 2

Gruppo di AuditEsperti tecnici (ev.)

AI,Fase 1

AI,Fase 1

Riesamedella

documentazione

Mantenimento(chiusura NC)

IBM Global Services La gestione dei dati in Sanità tra diritti di sicurezza e necessità di...

Documents

Transcript of IBM Global Services La gestione dei dati in Sanità tra diritti di sicurezza e necessità di...