Dopo aver svenduto i dati personali di milioni di persone con il decreto mille proroghe (D.L. 207/2008), l'establishment si prepara, per voce del garante sulla privacy, a complicare ulteriormente l'esistenza di noi poveri amministratori di rete. Come?

Non bastasse la stesura od il mantenimeno dei vari documenti programmatici sulla sicurezza (DPS), e chiunque abbia avuto modo di parteciparne attivamente alla realizzazione sa che frullamento di genitali comporti, ora si sono inventati che bisogna archiviare per almeno sei mesi, garantendo l'inalterabilità dei dati, tutti gli accessi delle persone investite di ruoli amministrativi o sistemistici. Inoltre viene imposta la verifica sistematica delle attività di noi loschi figuri dal potere digitale infinito.

Il provvedimento, recante data 27 novembre 2008, in origine doveva partire a fine dicembre dello scorso anno, poi slittato di sei mesi, bussa ora con fare sommesso alle porte di tutte le aziende italiane.

Nello specifico il Garante identifica gli Amministratori di sistema come figure essenziali per la sicurezza e pertanto soggetti ad accorgimenti specifici. Definendo come amministratore "chiunque abbia la concreta capacità, per atto intenzionale, ma anche per caso fortuito, di accedere in modo privilegiato a risorse del sistema informativo e a dati personali cui non si è legittimati ad accedere rispetto ai profili di autorizzazione attribuiti". Nella pratica:

Amministratori di sistemi operativi
Gestore delle infrastrutture di rete e sicurezza
DBA
Gestore delle applicazioni

Le disposizioni del provvedimento prevedono:

registrazione degli accessi

"Devono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratterisitche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo per cui sono richieste. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi"

verifica delle attività

"L'operato degli amministratori di sistema deve essere oggetto, con cadenza almeno annuale, di un'attività di verifica da parte dei titolari del trattamento, in modo da controllare la sua rispondenza alle misure organizzative, tecniche e di sicurezza riguardanti i trattamenti dei dati personali previste dalle norme vigenti"

elenco degli amministratori

"Gli estremi identificativi delle persone fisiche amministratori di sistema, con l'elenco delle funzioni ad essi attribuite, devono essere riportati nel documento programmatico sulla sicurezza oppure, nei casi in cui il titolare non è tenuto a redigerlo, annotati comunque in un documento interno da mantenere aggiornato e disponibile in caso di accertamenti da parte del Garante"

Se volete approfondire la questione, il sito del garante pubblica una serie di domande più frequenti, potete trovarle anche nell'articolo in questo sito.

Contestualmente, sempre in virtù dell'articolo 44 del D.L. mille proroghe, sono state inasprite le sanzioni per la violazione della legge sulla privacy (D.L. 196/03). Vedasi in merito l'articolo in questo sito.

Avete solo un mese di tempo per sanare la situazione, oppure potete sperare di appartenere alla ristretta cerchia di persone esentate dall'art. 29 del decreto legge n. 112 del 25/06/2008, convertito in legge 6 agosto 2008 n. 133; nel quale si afferma che:

"per i soggetti che trattano soltanto dati personali non sensibili e l'unico dato sensibile e' costituito dallo stato di salute o malattia dei propri dipendenti senza indicazione della relativa diagnosi, l'obbligo di cui alla lettera g) del comma 1 e di cui al punto 19 dell'Allegato B e' sostituito dall'autocertificazione, resa dal titolare del trattamento ai sensi dell'articolo 47 del decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, di trattare soltanto dati personali non sensibili, che l'unico dato sensibile e' costituito dallo stato di salute o malattia dei propri dipendenti senza indicazione della relativa diagnosi, e che il trattamento di tale ultimo dato e' stato eseguito in osservanza delle misure di sicurezza richieste dal presente codice nonche' dall'Allegato B"

In bocca al lupo.

ATTENZIONE! Si consiglia la lettura di: Rinvio e modifiche del provvedimento sulla privacy