Milano

Introduzione alla sicurezza informatica per il Codice della Privacy

Prof. Avv. Giovanni Ziccardi - Università degli Studi di Milanogiovanni.ziccardi@unimi.it

I principi fondamentali della sicurezza informatica

Principio 1

NON ESISTONO SISTEMI SICURI● Il software non può essere perfetto (privo di errori);● Il mito del sistema inviolabile è affine al mito del

caveau non svaligiabile o della nave inaffondabile (e.g. Titanic).

● Il grado di sicurezza è dato dal tempo necessario per violare il sistema, dall'investimento necessario e dalla probabilità di successo.

ne consegue che…

UN SISTEMA PIU’ E’ COMPLESSO E

PIU’ E’ INSICURO

... e la funzione è più che proporzionale.● Per fare sistemi sicuri occorre applicare la KISS

rule, cioè Keep It Simple and Stupid.● Attenzione: i sistemi da proteggere possono essere

molto complessi ma il sistema di protezione deve essere estremamente semplice. Ogni complessità non necessaria è solamente fonte di possibili errori e falle.

Principio 2

LE ENTITÀ COMPONENTI DI UN SISTEMA SICURO SONO TRE:

● hardware● software● Wetware (il fattore umano)● Senza continuo apporto di lavoro nessun sistema

può essere sicuro. Ciò che è sicuro oggi potrebbe non esserlo più domani, perché per esempio è stato scoperto un difetto del sistema. I sistemi che non vengono aggiornati diventano quindi fragili.

Principio 3

SICUREZZA = CONOSCENZA● Nessun sistema del quale non si può

comprendere a fondo il funzionamento può essere considerato sicuro.

Full disclosure vs. closed disclosure

● “La sicurezza di un crittosostema non deve dipendere dalla segretezza dell'algoritmo usato, ma solo dalla segretezza della chiave” (Kerckhoffs. La criptographie militaire, 1883)

L’importanza della conoscenza

● La conoscenza degli strumenti di sicurezza e la consapevolezza dei problemi collegati devono essere patrimonio di tutti gli utenti;

● L'illusione di sicurezza è più dannosa della assoluta mancanza di sicurezza;

● A un sistema riconosciuto insicuro non si possono affidare informazioni sensibili.

I principi alla base della sicurezza nel D.Lgs. 196/03

La nuova normativa ha risentito, in particolare, dell'influsso di tre elementi: lo Standard BS7799, la Direttiva 2002/58/CE e le linee guida OCSE/OECD per la sicurezza dei sistemi informativi e delle reti di telecomunicazioni, per cui ha fissato quattro principi basilari:

- Pertinenza;

- Custodia;

- Controllo;

- Separazione.

Gli obblighi di sicurezza

I principi che stanno alla base delle misure di sicurezza sono racchiusi nell'art. 31 del Codice, che recita:

“I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta”.

Scopi delle misure di sicurezza

Lo scopo finale delle misure di sicurezza è quello di garantire al dato:

- Integrità;

- Confidenzialità;

- Disponibilità.

E le misure minime?

Le misure minime non sono state contemplate dal Legislatore comunitario, ma sono una nostra creazione in sede di recepimento della Direttiva.

Ex art. 4 comma 3 del D.Lgs. 196/03 esse sono definite come

“Il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell'articolo 31”.

Analogie e differenze

Sia le misure “idonee” che quelle minime sono quindi rivolte a garantire integrità, disponibilità e riservatezza dei dati personali, ma differiscono nei seguenti punti:

1) le misure “idonee” non sono predefinite, ma sono individuabili sulla base delle soluzioni tecniche concretamente disponibili sul mercato, mentre le misure minime sono puntualmente individuate dalla legge (in particolare dall'allegato B);

2) l'inosservanza delle misure minime fa sorgere una responsabilità di tipo penale (arresto sino a due anni e ammenda da diecimila a cinquantamila euro), mentre invece l'inosservanza delle misure “idonee” fa sorgere una responsabilità ex art. 2050 c.c. (esercizio di attività pericolosa).

Definizione di un livello di sicurezza personalizzato

Il livello di sicurezza di ogni struttura presa in esame dovrà essere conformato in relazione alla realtà di quest’ultimo, comprendendo così valutazioni che tengano conto dei parametri stabiliti dall’art. 31 del D.Lgs. 196/03, ossia:

1) Progresso tecnico;

2) Natura dei dati;

3) Specifiche caratteristiche del trattamento.

Progresso tecnico

● Per progresso tecnico la dottrina dominante ha individuato che esso vada identificato come “l’insieme delle soluzioni concretamente disponibili sul mercato” (G. Buttarelli, Privacy e banche dati, Giuffrè, 1997).

Natura dei dati (generalmente) presenti in un Ateneo

● La natura dei dati generalmente presente in un Ateneo copre tutta la gamma prevista dall’art. 4 del D.Lgs. 196/03, ossia tratterà sia dati personali che sensibili (compresi eventualmente dati relativi allo stato di salute dei dipendenti).

● Ciò comporta, come logica conseguenza, che l’attenzione nei confronti della sicurezza deve essere massima.

Le misure idonee e minime nel D.Lgs. 196/03

Il corpus normativo che disciplina le misure di sicurezza (nel ben più ampio corpus del Testo Unico sulla privacy) è riassumibile nel seguente schema:

- definizioni (art. 4 comma 3);- danni cagionati per effetto del trattamento (art. 15)- misure di sicurezza (artt. 31 e 32);- misure minime di sicurezza (artt. 33, 34, 35);- adeguamento (art. 36);- sanzioni (art. 169);- disposizioni transitorie (art. 180);- modalità di implementazione delle misure minime (allegato B, punti da 1 a 29);

I “particolari titolari”ovvero dell'influenza della Direttiva 2002/58/CE

L'articolo 32 del Codice introduce una interessante definizione:“1. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico adotta ai sensi dell'articolo 31 idonee misure tecniche e organizzative adeguate al rischio esistente, per salvaguardare la sicurezza dei suoi servizi, l'integrità dei dati relativi al traffico, dei dati relativi all'ubicazione e delle comunicazioni elettroniche rispetto ad ogni forma di utilizzazione o cognizione non consentita.

2. Quando la sicurezza del servizio o dei dati personali richiede anche l'adozione di misure che riguardano la rete, il fornitore del servizio di comunicazione elettronica accessibile al pubblico adotta tali misure congiuntamente con il fornitore della rete pubblica di comunicazioni. In caso di mancato accordo, su richiesta di uno dei fornitori, la controversia è definita dall'Autorità per le garanzie nelle comunicazioni secondo le modalità previste dalla normativa vigente.

3. Il fornitore di un servizio di comunicazione elettronica accessibile al pubblico informa gli abbonati e, ove possibile, gli utenti, se sussiste un particolare rischio di violazione della sicurezza della rete, indicando, quando il rischio è al di fuori dell'ambito di applicazione delle misure che il fornitore stesso è tenuto ad adottare ai sensi dei commi 1 e 2, tutti i possibili rimedi e i relativi costi presumibili. Analoga informativa è resa al Garante e all'Autorità per le garanzie nelle comunicazioni”.

La vecchia e la nuova normativa a confronto

COSA SCOMPARE● La distinzione tra elaboratori stand alone,

elaboratori in rete non disponibile ed elaboratori in rete disponibile al pubblico;

● La figura di amministratore di sistema e di custode delle parole chiave;

● L’obbligo di verificare l’efficacia dei programmi antivirus.

Cosa cambia● Si specificano puntualmente alcune procedure prevedendo i meccanismi

canonizzati dall’informatica di autenticazione e autorizzazione;● Si specificano meglio alcuni concetti del DPR 318/99, in particolare quelli relativi

al reimpiego dei supporti di memorizzazione e al trattamento effettuato senza l’ausilio di strumenti elettronici;

● C’è maggiore attenzione al lato progettuale e di formazione in materia di sicurezza: in pratica si punta molto sulle misure logistiche e procedurali (ad es. per quanto riguarda il DPS);

● Viene fissata una data (31 marzo) entro la quale redigere o aggiornare il DPS, la redazione del quale viene estesa anche ai trattamenti effettuati senza l’ausilio di strumenti elettronici (art. 6 DPR 318/99 vs. punto 19 dell’allegato B in contrasto con l’art. 34 del TU), e viene prescritto l’obbligo di citarne la redazione o l’aggiornamento nella relazione accompagnatoria del bilancio d’esercizio (se dovuta).

● Viene cambiato il meccanismo di aggiornamento del disciplinare tecnico;● Vengono snellite alcune procedure, facendo gravare la messa in sicurezza

sull’incaricato (ad es. nel caso del punto 28 concernente il trattamento effettuato senza l’ausilio di strumenti elettronici).

Cosa c’è di nuovo● Innanzitutto si nota che le misure minime di sicurezza sono ora allegate

allo stesso testo di legge, e non fanno testo normativo a parte, pur conservando natura regolamentare;

● Sono state inserite nuove misure (ad es. la biometria per l’autenticazione o gli aggiornamenti periodici dei programmi per elaboratore) che hanno colmato in parte il gap tra la tecnica ed il diritto;

● Sono previste le figure dell’”addetto alla gestione” e “addetto alla manutenzione”;

● Sono state inglobate misure previste in altri fonti normative (ad es. l’utilizzo di tecniche crittografiche nel caso di trattamento di dati sensibili o giudiziari previsto dal D.Lgs. 135/99);

● Compare la definizione di “particolari titolari” contenuta nell’art. 32 del codice;

● Vi è una previsione specifica riguardo all’outsourcing della sicurezza (punto 25 dell’allegato B).

L'allegato B

Contrariamente a quanto previsto nella normativa precedente (DPR 318/99) l'Allegato B distingue solo due tipologie di trattamenti: con strumenti elettronici (art. 34 del Codice) e senza l'ausilio di strumenti elettronici (art. 35 del Codice).

Trattamento con strumenti elettronici“1. Il trattamento di dati personali effettuato con strumenti elettronici è consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B), le seguenti misure minime:-> a) autenticazione informatica;b) adozione di procedure di gestione delle credenziali di autenticazione;-> c) utilizzazione di un sistema di autorizzazione;d) aggiornamento periodico dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici;-> e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici;-> f) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi;g) tenuta di un aggiornato documento programmatico sulla sicurezza;-> h) adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari”.

Modalità di trattamento

● Le modalità considerate dall’Allegato B consistono solo nelle ipotesi di trattamento effettuato: – con l’ausilio di strumenti elettronici; – senza l’ausilio di strumenti elettronici.

Autenticazione & autorizzazione

Seppure possano sembrare sinonimi, in realtà l'autenticazione e l'autorizzazione si collocano a due layer diversi del processo di accesso e conseguente trattamento dei dati.

L'autenticazione è trattata nei punti da 1 a 11 dell'allegato B.

Autenticazione1. Il trattamento di dati personali con strumenti elettronici è consentito agli incaricati dotati di credenziali di autenticazione che consentano il superamento di una procedura di autenticazione relativa a uno specifico trattamento o a un insieme di trattamenti.

2. Le credenziali di autenticazione consistono in un codice per l'identificazione dell'incaricato associato a una parola chiave riservata conosciuta solamente dal medesimo oppure in un dispositivo di autenticazione in possesso e uso esclusivo dell'incaricato, eventualmente associato a un codice identificativo o a una parola chiave, oppure in una caratteristica biometrica dell'incaricato, eventualmente associata a un codice identificativo o a una parola chiave.

3. Ad ogni incaricato sono assegnate o associate individualmente una o più credenziali per l'autenticazione.

4. Con le istruzioni impartite agli incaricati è prescritto di adottare le necessarie cautele per assicurare la segretezza della componente riservata della credenziale e la diligente custodia dei dispositivi in possesso ed uso esclusivo dell'incaricato.

...continua5. La parola chiave, quando è prevista dal sistema di autenticazione, è composta da almeno otto caratteri oppure, nel caso in cui lo strumento elettronico non lo permetta, da un numero di caratteri pari al massimo consentito; essa non contiene riferimenti agevolmente riconducibili all'incaricato ed è modificata da quest'ultimo al primo utilizzo e, successivamente, almeno ogni sei mesi. In caso di trattamento di dati sensibili e di dati giudiziari la parola chiave è modificata almeno ogni tre mesi.

6. Il codice per l'identificazione, laddove utilizzato, non può essere assegnato ad altri incaricati, neppure in tempi diversi.

7. Le credenziali di autenticazione non utilizzate da almeno sei mesi sono disattivate, salvo quelle preventivamente autorizzate per soli scopi di gestione tecnica.

…e continua● 8. Le credenziali sono disattivate anche in caso di perdita della qualità che

consente all'incaricato l'accesso ai dati personali.

● 9. Sono impartite istruzioni agli incaricati per non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento.

● 10. Quando l'accesso ai dati e agli strumenti elettronici è consentito esclusivamente mediante uso della componente riservata della credenziale per l'autenticazione, sono impartite idonee e preventive disposizioni scritte volte a individuare chiaramente le modalità con le quali il titolare può assicurare la disponibilità di dati o strumenti elettronici in caso di prolungata assenza o impedimento dell'incaricato che renda indispensabile e indifferibile intervenire per esclusive necessità di operatività e di sicurezza del sistema. In tal caso la custodia delle copie delle credenziali è organizzata garantendo la relativa segretezza e individuando preventivamente per iscritto i soggetti incaricati della loro custodia, i quali devono informare tempestivamente l'incaricato dell'intervento effettuato.

Autenticazione (punti da 1 a 11 dell’Allegato B)

● Il trattamento dei dati è subordinato dalla legge al superamento di una “procedura di autenticazione”, con ciò significando che è necessaria una interazione tra l’incaricato (persona fisica) e lo strumento elettronico;

● La credenziale di autorizzazione può consistere in qualcosa che l’utente conosce (ad es. la coppia di identificativi userid/password), possiede (ad es. un token USB) o è (ad es. una qualsiasi caratteristica biometrica del soggetto incaricato);

Assegnazione delle credenziali di autenticazione

● Ogni singola postazione dovrà adottare un sistema operativo in grado di delineare diversi profili utente non agevolmente soverchiabili (Windows NT, 2000, XP, 2003 o Linux, *BSD, ecc.);

● Le credenziali di autenticazione devono essere assegnate (nel caso di accoppiata userid/password) o associate (nel caso di dispositivo hardware o di chiave biometrica) singolarmente ad ogni incaricato;

● Devono essere impartite istruzioni in modo che l’incaricato sia consapevole dell’importanza della segretezza o della diligente custodia cui devono essere sottoposte le credenziali di autenticazione.

Caratteristiche delle credenziali di autenticazione

● La password deve essere conforme alle prescrizioni previste dall’allegato B (punto 5), ovvero:– dovrà essere di almeno otto caratteri o, nel caso in cui il

sistema non lo consenta, del massimo numero di caratteri consentito;

– non dovrà contenere riferimenti agevolmente riconducibili all’incaricato;

– dovrà essere modificata dall’incaricato al primo utilizzo;– bisognerà predisporre un sistema di scadenza automatica

della password che costringa l’incaricato a cambiarla almeno una volta ogni sei (meglio tre) mesi.

Ulteriori disposizioni circa l’autenticazione

● Le credenziali di autenticazione una volta utilizzate non potranno più essere adoperate per altri incaricati neppure decorso un margine di tempo;

● Il mancato utilizzo di una credenziale per un arco superiore ai sei mesi, così come la perdita della qualità di incaricato al trattamento dei dati, deve comportarne la disattivazione;

● La predetta scadenza non si applica alle credenziali di autorizzazione adoperate per la gestione tecnica.

Screensaver e password

● A norma del punto 9 dell’allegato B bisognerà impartire all’incaricato istruzioni al fine di non lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento, qualora l’incaricato debba allontanarsi dalla postazione per qualsiasi esigenza;

● La soluzione può essere rappresentata dall’adozione di screensaver protetti da password.

Autorizzazione

12. Quando per gli incaricati sono individuati profili di autorizzazione di ambito diverso è utilizzato un sistema di autorizzazione.

13. I profili di autorizzazione, per ciascun incaricato o per classi omogenee di incaricati, sono individuati e configurati anteriormente all'inizio del trattamento, in modo da limitare l'accesso ai soli dati necessari per effettuare le operazioni di trattamento.

14. Periodicamente, e comunque almeno annualmente, è verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione.

Autorizzazione (punti da 12 a 14 dell’allegato B)

● Congiuntamente all’autenticazione, il Codice prevede che per gli incaricati vengano individuati profili diversi di autorizzazione e che la sussistenza delle condizioni per la conservazione dei profili di autorizzazione in capo ad ogni incaricato sia verificata con cadenza annuale;

● La soluzione tecnica può essere rappresentata dalla predisposizione di appositi gruppi di utenti.

Altre misure di sicurezza

15. Nell'ambito dell'aggiornamento periodico con cadenza almeno annuale dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati e addetti alla gestione o alla manutenzione degli strumenti elettronici, la lista degli incaricati può essere redatta anche per classi omogenee di incarico e dei relativi profili di autorizzazione.

16. I dati personali sono protetti contro il rischio di intrusione e dell'azione di programmi di cui all'art. 615-quinquies del codice penale, mediante l'attivazione di idonei strumenti elettronici da aggiornare con cadenza almeno semestrale.

17. Gli aggiornamenti periodici dei programmi per elaboratore volti a prevenire la vulnerabilità di strumenti elettronici e a correggerne difetti sono effettuati almeno annualmente. In caso di trattamento di dati sensibili o giudiziari l'aggiornamento è almeno semestrale.

18. Sono impartite istruzioni organizzative e tecniche che prevedono il salvataggio dei dati con frequenza almeno settimanale.

Altre misure di sicurezza(punti da 15 a 18 dell’allegato B)

● Antivirus (punto 16)– deve essere aggiornato con cadenza almeno

semestrale e non deve più consistere esclusivamente in un software, ma in qualsiasi strumento elettronico “idoneo”.

Altre misure di sicurezza(punti da 15 a 18 dell’allegato B)

● Aggiornamenti software (punto 17):– Particolare attenzione dovrà essere posta nei

confronti dell’aggiornamenti dei programmi per elaboratore, che dovranno essere aggiornati almeno annualmente (meglio semestralmente).

– Un esempio chiarificatore può essere rappresentato dal servizio Windows Update specifico per i sistemi operativi Microsoft.

Documento Programmatico sulla Sicurezza

E' un documento da predisporre entro il 31 marzo di ogni anno nel caso in cui vengano trattati dati personali sensibili mediante strumenti elettronici.

Esso dovrà essere preparato sulla base dell'analisi dei rischi e della distribuzione dei compiti e delle responsabilità.

Il suo contenuto comprenderà:l’elenco dei trattamenti dei dati personalila distribuzione di compiti e responsabilità nella struttura del titolarel’analisi dei rischi sui datile misure da adottare per garantire l’integrità e la disponibilità dei dati, la protezione delle aree e dei localila descrizione dei criteri da adottare per il ripristino della disponibilità dei dati a seguito di danneggiamento e/o distruzionela previsione della formazione sugli incaricati la descrizione dei criteri da adottare per garantire l’attuazione delle misure di sicurezza in caso di trattamenti svolti all’esterno della struttura del titolare

Detto documento dovrà essere periodicamente verificato, con cadenza almeno annuale, e dovrà essere data notizia dell’avvenuta refazione o aggiornamento nella relazione accompagnatoria del bilancio d'esercizio.

Documento Programmatico sulla Sicurezza

● Il Documento Programmatico sulla Sicurezza (d’ora in poi DPS), considerata la natura dei dati contenuti generalmente in Ateneo e le modalità di trattamento (prevalentemente elettroniche), dovrà quasi certamente essere redatto;

Contenuto del DPS

● Esso dovrà contenere sicuramente i seguenti elementi: – elenco dei trattamenti; – analisi valutativa del rischio; – elenco dei soggetti designati quali responsabili o incaricati; – procedure di sicurezza adottate; – policy interne allo studio (ad es. utilizzo della posta

elettronica, navigazione del Web, gestione delle password);– interventi di formazione in merito alla sicurezza specifici per

gli incaricati.

Scopo del DPS

● Lo scopo principale del DPS è quello di fornire una “fotografia” dell’apparato aziendale preposto al trattamento dei dati, con ciò indicando sia le risorse hardware, che quelle software, oltre a quelle umane, le modalità del trattamento e le prescrizioni adottate in materia di sicurezza dei dati;

● Bisogna rimarcare anche la natura “programmatica” del documento, ovvero la tendenza ad aggiornarsi e ad affrontare problematiche di sicurezza anche se future e incerte.

Soggetti che devono redigere il DPS

● Sono tenuti alla redazione del DPS tutti i titolari di trattamenti di dati sensibili o giudiziari effettuati mediante strumenti elettronici, anche qualora tale redazione avvenga per mezzo di un responsabile all’uopo incaricato.

● Ciò non toglie che l’adozione di un DPS, seppur non previsto come misura minima nel caso di trattamenti di dati personali o comuni, rientra sicuramente tra le misure classificabili come “idonee”;

● Il DPS dovrà, una volta redatto, essere conservato dal titolare presso la struttura cui si riferisce, non essendo necessaria nessuna altra forma di pubblicità.

Termini per l’adozione del DPS

● Il DPS dovrà essere redatto o aggiornato entro il 30 giugno 2004, e successivamente entro il 31 marzo di ogni anno;

● Dell’avvenuto aggiornamento o redazione dovrà esserne data comunicazione nella relazione accompagnatoria al bilancio d’esercizio (se dovuta);

● In ogni caso, la legge non impone un limite all’aggiornabilità del DPS, che può quindi subire delle revisioni anche più volte nel corso di un anno solare;

● Il DPS non richiede la data certa, seppure l’apposizione di quest’ultima sia consigliabile (basta farsi apporre un timbro dall’ufficio postale).

Criteri per la redazione del DPS

● Il DPS è a forma libera, in quanto l’allegato B ne stabilisce, per sommi capi, solo i contenuti;

● Recentemente il Garante ha rilasciato sul suo sito alcune linee guida per la redazione del DPS (http://www.garanteprivacy.it/garante/document?ID=1002486);

● La forma da preferire sarà ovviamente quella modulare, che consenta quindi di intervenire solo nel settore interessato, senza dover ogni volta stravolgere interamente il documento

Ulteriori misure in caso di trattamento di dati sensibili o giudiziari

● 20. I dati sensibili o giudiziari sono protetti contro l'accesso abusivo, di cui all'art. 615-ter del codice penale, mediante l'utilizzo di idonei strumenti elettronici.

● 21. Sono impartite istruzioni organizzative e tecniche per la custodia e l'uso dei supporti rimovibili su cui sono memorizzati i dati al fine di evitare accessi non autorizzati e trattamenti non consentiti.

● 22. I supporti rimovibili contenenti dati sensibili o giudiziari se non utilizzati sono distrutti o resi inutilizzabili, ovvero possono essere riutilizzati da altri incaricati, non autorizzati al trattamento degli stessi dati, se le informazioni precedentemente in essi contenute non sono intelligibili e tecnicamente in alcun modo ricostruibili.

● 23. Sono adottate idonee misure per garantire il ripristino dell'accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati e non superiori a sette giorni.

● 24. Gli organismi sanitari e gli esercenti le professioni sanitarie effettuano il trattamento dei dati idonei a rivelare lo stato di salute e la vita sessuale contenuti in elenchi, registri o banche di dati con le modalità di cui all'articolo 22, comma 6, del codice, anche al fine di consentire il trattamento disgiunto dei medesimi dati dagli altri dati personali che permettono di identificare direttamente gli interessati. I dati relativi all'identità genetica sono trattati esclusivamente all'interno di locali protetti accessibili ai soli incaricati dei trattamenti ed ai soggetti specificatamente autorizzati ad accedervi; il trasporto dei dati all'esterno dei locali riservati al loro trattamento deve avvenire in contenitori muniti di serratura o dispositivi equipollenti; il trasferimento dei dati in formato elettronico è cifrato.

Backup

● La procedura di backup dell’intero sistema (per effettuare la quale sarebbe opportuno dotarsi di fileserver centrale ed evitare che ogni singola postazione conservi in locale copia dei documenti) deve effettuarsi con cadenza almeno settimanale (punto 18);

● In caso di trattamento di dati sensibili o giudiziari, il backup dovrà avvenire con filesystem cifrati, al fine di impedire i danni conseguenti allo smarrimento del supporto contenente il backup stesso (punto 21).

Procedura di disaster recovery

● Una copia del backup dovrà sempre essere asportata dal titolare o da un responsabile appositamente incaricato, al fine di evitare che fenomeni accidentali possano distruggere anche le copie di backup;

● E’ importante verificare periodicamente la reale ripristinabilità del backup, nonché le condizioni nelle quali si trovano i supporti (magnetici o ottici) demandati a questa attività.

Firewall

● In caso di trattamento di dati sensibili o giudiziari, la natura stessa dei dati trattati impone l’utilizzo di sistemi di firewalling, o comunque di sistemi di sicurezza atti ad impedire l’accesso abusivo ai propri sistemi (punto 20).

Misure di tutela e garanzia

● 25. Il titolare che adotta misure minime di sicurezza avvalendosi di soggetti esterni alla propria struttura, per provvedere alla esecuzione riceve dall'installatore una descrizione scritta dell'intervento effettuato che ne attesta la conformità alle disposizioni del presente disciplinare tecnico.

● 26. Il titolare riferisce, nella relazione accompagnatoria del bilancio d'esercizio, se dovuta, dell'avvenuta redazione o aggiornamento del documento programmatico sulla sicurezza.

Outsourcing e sicurezza

Il titolare del trattamento può delegare a soggetti esterni l'adempimento degli obblighi di sicurezza, ma dovranno sussistere i seguenti presupposti:

- il titolare dei dati dovrà scegliere i soggetti tra persone di comprovata capacità e di sorvegliarli nel corso del loro lavoro;

- di converso, gli incaricati dovranno certificare la conformità del sistema alle misure minime di sicurezza ex D.Lgs. 196/03.

Ciò non toglie che il titolare è comunque responsabile della sicurezza del proprio sistema di trattamento dei dati.

Riutilizzo dei supporti

● I supporti (floppy disk, hard disk, CD-R o RW, DVD-R o RW, memorie USB, etc.) adoperati nel trattamento di dati sensibili devono essere distrutti o resi inutilizzabili;

● Potranno tuttavia essere adoperati da altri incaricati solo qualora il contenuto in essi presente sia stato previamente distrutto (ad es. con un’operazione di wiping che comprenda almeno 7 passaggi, o con formattazione a basso livello)

Trattamenti senza l'ausilio di strumenti elettronici

● 27. Agli incaricati sono impartite istruzioni scritte finalizzate al controllo ed alla custodia, per l'intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali. Nell'ambito dell'aggiornamento periodico con cadenza almeno annuale dell'individuazione dell'ambito del trattamento consentito ai singoli incaricati, la lista degli incaricati può essere redatta anche per classi omogenee di incarico e dei relativi profili di autorizzazione.

● 28. Quando gli atti e i documenti contenenti dati personali sensibili o giudiziari sono affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti, i medesimi atti e documenti sono controllati e custoditi dagli incaricati fino alla restituzione in maniera che ad essi non accedano persone prive di autorizzazione, e sono restituiti al termine delle operazioni affidate.

● 29. L'accesso agli archivi contenenti dati sensibili o giudiziari è controllato. Le persone ammesse, a qualunque titolo, dopo l'orario di chiusura, sono identificate e registrate. Quando gli archivi non sono dotati di strumenti elettronici per il controllo degli accessi o di incaricati della vigilanza, le persone che vi accedono sono preventivamente autorizzate.

Misure di sicurezza per i trattamenti effettuati senza

l’ausilio di strumenti elettronici● Gli incaricati devono ricevere istruzioni scritte che illustrino procedure volte al

controllo ed alla custodia, per l'intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali;

● Se gli atti e i documenti affidati agli incaricati del trattamento per lo svolgimento dei relativi compiti contengono dati personali sensibili o giudiziari, sarà compito degli incaricati stessi controllarli e custodirli fino alla restituzione in maniera che ad essi non accedano persone prive di autorizzazione, nonchè restituirli al termine delle operazioni affidate.

● L'accesso agli archivi contenenti dati sensibili o giudiziari deve essere controllato mediante strumenti elettronici o personale appositamente preposto. Le persone ammesse, a qualunque titolo, dopo l'orario di chiusura, sono identificate e registrate. Per accedere ad archivi privi di controllo elettronico o umano l’incaricato necessiterà di un’apposita autorizzazione.