DISPOSIZIONI IN ORDINE ALL’ADOZIONE

DELLE MISURE MINIME DI SICUREZZA NELL’AMBITO DELL’UFFICIO

Il presente Manuale è stato realizzato da 

N.B. : PER L'HARDWARE,  I SOFTWARE PROPOSTI E I LORO COSTI E LA LORO REPERIBILITA' COMMERCIALE POTETE RIVOLGERVI AL VOSTRO FORNITORE DI FIDUCIA OPPURE O CONSULTARMI PER AIUTARVI ATTRAVERSO I MIEI CANALI DI FIDUCIA E FORNIRVI UN PREVENTIVO.

Criteri e le procedure per assicurare l'integrità dei dati.

Ulteriori informazioni di Carattere Tecnico/Normativo potranno essere prelevate ai seguenti indirizzi :

http://www.pmi.microsoft.com/bussolaimpresa

http://www.pmi.microsoft.com/sicurezza

1) ERRATA MESSA IN SICUREZZA DEI DATI

2) CORRETTA MESSA IN SICUREZZA DEI DATI

ØA) Criteri tecnici e organizzativi per la protezione delle aree e dei locali interessati dalle misure di sicurezza nonché le procedure per  controllare  l'accesso  delle   persone  autorizzate  ai  locali medesimi.

Protezione delle aree e dei locali interessati

1.      Le macchine server vanno collocate in un apposito locale (sala server).

2.      La sala server deve essere dotata di:

a)      Impianto antincendio adeguato a locali contenenti apparati informatici;

b)      Impianto di condizionamento ambientale, opportunamente dimensionato;

c)      Porte e finestre blindate;

d)      Impianto elettrico a norma;

e)      Gruppo di continuità.

3.      L’accesso alla sala server è consentito solo al responsabile del trattamento, o alle persone espressamente autorizzate.

4.      In assenza del personale autorizzato, la sala server deve essere tenuta chiusa a chiave.

5.      I supporti di backup vanno tenuti in armadi blindati, posti in locali distanti dalla sala server, non trasportabili e dotati di impianto antifurto.

6.      Tutte le chiavi vanno custodite dalla vigilanza o da personale delegato dal Capo dell’Ufficio.

ØB) Criteri e le procedure per assicurare l'integrità dei dati.

Sicurezza del software.

1.      Presso ciascun Ufficio è consentita l’installazione esclusiva delle seguenti tre categorie di software:

1.      Software commerciale, dotato di licenza d’uso;

2.      Software Ministeriali realizzati specificamente per la gestione dello STUDIO e dei relativi adempimenti, a livello nazionale;

3.      Software realizzato specificamente per l’Ufficio, a livello locale.

2.      L’installazione di software diversi da quelli indicati va autorizzato dal responsabile del trattamento.

3.      Il software deve essere installato solo da supporti fisici originali o dei quali sia nota la provenienza.

4.      Tramite l’Ufficio del Responsabile per i Sistemi Informativi Automatizzati si provvede alla distribuzione di un software antivirus aggiornato.

5.      In mancanza di procedure automatiche, il responsabile del trattamento garantisce l’effettuazione dell’Aggiornamento del software antivirus su tutte le postazioni di lavoro, con cadenza almeno quindicinale.

Integrità dei dati.

13.  Il responsabile, con la collaborazione degli Amministratori di Sistema, mantiene un elenco, da aggiornare con cadenza almeno semestrale, di tutte le attrezzature informatiche dell’ufficio, dello scopo cui sono destinate, della loro locazione fisica, delle misure di sicurezza su esse adottate e delle eventuali misure di adeguamento pianificate.

14.  Il responsabile del trattamento individua i volumi logici o le aree di disco da sottoporre a backup, sui vari server.

15.  A ciascun utente viene assegnata una directory, in un’area disco di un server che sia sottoposta a backup, dove mantenere i dati che debbono essere mantenuti in maniera sicura. L’accesso a queste directory è consentita esclusivamente all’utente proprietario, nonché agli incaricati del backup.

16.  Il responsabile del trattamento individua, tra gli amministratori di sistema, uno o più incaricati del backup.

17.  Laddove il backup venga effettuato localmente nell’ambito dell’ufficio, gli incaricati effettuano le seguenti operazioni:

a)        Esecuzione quotidiana del backup, eventualmente attraverso procedure automatiche;

b)       Verifica almeno settimanale della corretta esecuzione dei backup;

c)        Mantenimento di un elenco dei backup effettuati;

d)      Archiviazione dei supporti secondo le disposizione della sezione “A” “Protezione delle aree e dei locali interessati” punto N° 5  ( I supporti di backup vanno tenuti in armadi blindati ecc. ecc.).

e)       Verifica, con cadenza almeno mensile, della procedura di recovery dai supporti di backup;

f)       Effettivo ripristino dei dati in caso di necessità.

Ø                C) Criteri e procedure per la sicurezza delle trasmissioni dei dati, ivi compresi quelli per le restrizioni di accesso per via telematica.

Controllo degli accessi.

1.      Tutte le stazioni di lavoro debbono essere protette da una password di accensione.

2.      L’inserimento della password di accensione va effettuato a cura dell’utente, affidandone una copia, in busta chiusa, al responsabile del trattamento, che le custodirà sotto chiave.

3.      Ai fini dell’assistenza sistemistica, la password di accensione può venire comunicata agli incaricati, e sostituita al termine dell’intervento.

4.      La password di accensione va modificata con cadenza annuale.

5.      L’accesso alla rete di sistema va protetto tramite un nome utente e una password.

6.      Il processo di autenticazione consente di ottenere uno specifico insieme di privilegi di accesso ed utilizzo, denominato profilo, rispetto alle risorse del sistema informatico. A ciascun profilo è associato un gruppo di utenti, che condividono gli stessi privilegi di accesso e utilizzo.

7.      Il responsabile del trattamento fornisce ai preposti alla custodia delle parole chiave i nominativi e la qualifica degli utenti autorizzati, nonché i loro privilegi di utilizzo del sistema informatico. I preposti provvedono:

a)                 A definire, per ciascun utente, il nome utente e la password per il primo accesso;

b)                 A definire i gruppi necessari per rispettare i privilegi di utilizzo;

c)                 A consegnare agli interessati il nome utente e la password, unitamente a una copia del Manuale per la sicurezza.

8.      Non poter utilizzare lo stesso nome utente per accedere contemporaneamente al sistema da due postazioni di lavoro distinte.

9.      La password di accesso alla rete:

8.                 Non deve derivare dal nome utente o dai dati personali dell’utente;

9.                 Deve avere una lunghezza di almeno otto caratteri;

10.             Non deve essere una semplice parola rintracciabile in un dizionario;

11.             Deve contenere almeno un carattere non alfabetico, oppure un misto di lettere minuscole e maiuscole.

10.  Gli applicativi utilizzati per il trattamento possono sfruttare l’autenticazione di cui al punto 5, oppure richiedere a loro volta un nome utente e una password per una propria autenticazione

11.  Alle eventuali password di accesso agli applicativi si applicano le indicazioni di cui ai punti 7, 8 e 9. Per gli applicativi che non consentano di automatizzare i controlli di cui al punto 8 va previsto un adeguamento, i cui tempi vanno indicati nel documento di cui al punto “B1” paragrafo “INTEGRITA’ DEI DATI”.

12.  I preposti alla custodia delle parole chiave provvedono, con cadenza almeno trimestrale, alla verifica degli elenchi degli utenti, e provvedono, previa verifica con il responsabile del trattamento, alla disattivazione delle utenze su cui risultasse qualche problema (mancato utilizzo da più di sei mesi, un elevato numero di tentativi di accesso non riusciti, o simili).

13.  Nome utente e password sono strettamente personali. L’utente è tenuto:

a)                 A non comunicare a terzi le password;

b)                A non annotare le password su supporti posti in vicinanza della propria postazione di lavoro, o comunque incustoditi;

c)                 A scegliere la password di accensione diversa dalle altre due password;

d)                Ad attenersi a tutte le indicazioni contenute nel manuale per la sicurezza.

14.  Ogni incaricato provvederà alla periodica sostituzione della propria parola chiave, previa comunicazione  al soggetto preposto alla custodia delle parole chiave.

Ulteriori misure di sicurezza relative a elaboratori accessibili in rete:

a)     I codici  identificativi  personali per  l’utilizzazione dell’elaboratore devono essere  assegnati e gestiti in  modo che ne sia  prevista la disattivazione in caso di perdita della qualità che consentiva l’accesso all’elaboratore o di mancato utilizzo dei medesimi per un periodo superiore ai sei mesi.

b)     I programmi in dotazione, di protezione contro  il rischio di intrusione o danneggiamento ad opera di terzi, devono essere verificati, quanto a efficacia ed aggiornamento, con cadenza almeno semestrale.

c)      Nel caso in cui l’elaboratore contenga i dati sensibili di cui all’articolo  22 della legge n. 675 del 1996 o i dati particolari di cui all’articolo  24 della citata legge n. 675 del 1996:

·        l’accesso all’elaboratore sarà consentito sulla base di autorizzazioni assegnate, singolarmente o per gruppi di lavoro, agli incaricati del trattamento o della manutenzione; se si tratta di elaboratori accessibili mediante una rete di telecomunicazioni disponibili al pubblico sono oggetto di autorizzazione  anche  gli strumenti  che possono  essere utilizzati  per  l’interconnessione mediante reti  disponibili  al  pubblico;

·        l’autorizzazione, se riferita agli strumenti, dovrà individuare i singoli  elaboratori attraverso i quali è possibile accedere per effettuare operazioni di trattamento;

·        le autorizzazioni  all’accesso sono  rilasciate e  revocate solo dal titolare e dal  responsabile;

·        periodicamente,  e comunque almeno una volta l’anno, dovrà essere verificata la sussistenza delle condizioni per le autorizzazioni all’accesso;

·        l’autorizzazione  all’accesso deve in ogni caso intendersi limitata  ai soli dati la cui conoscenza è necessaria e sufficiente per lo svolgimento delle operazioni di trattamento o di manutenzione.

·        la  validità delle  richieste di accesso  ai dati  personali deve essere verificata prima di consentire l’accesso stesso;

·        è vietata  l’utilizzazione  di  un  medesimo  codice identificativo personale per accedere contemporaneamente alla stessa applicazione da diverse stazioni di lavoro.

Misure di sicurezza relative a documentazione e archivi cartacei  (o comunque a “strumenti  diversi  da quelli elettronici o comunque automatizzati”):

a)     I fascicoli cartacei, nelle fasi di trasporto all’interno dell’ufficio, devono permanere nei corridoi il tempo strettamente necessario alla loro consegna.

b)     Gli incaricati devono avere accesso ai soli dati personali la  cui  conoscenza  sia  strettamente necessaria  per  adempiere  ai compiti loro assegnati.

c)      Nessuno può accedere all’archivio se non autorizzato.

d)     I fascicoli se affidati  agli incaricati del trattamento, devono essere da questi ultimi conservati e restituiti al termine delle operazioni affidate.

e)     Nel caso in cui i documenti o l’archivio contengano i dati sensibili di cui all’articolo  22 della legge n. 675 del 1996 o i dati particolari di cui all’articolo  24 della citata legge n. 675 del 1996:

·        gli  atti e  i documenti contenenti i dati se affidati  agli  incaricati  del trattamento, devono essere conservati, fino alla restituzione, in contenitori muniti di serratura;

·        l’accesso all’archivio deve essere controllato e devono essere identificati  e registrati  i soggetti  che vi  vengono ammessi  dopo l’orario di chiusura dell’archivio stesso;

·        i  supporti  non  informatici  contenenti  la  riproduzione  di informazioni relative al trattamento devono conservati e custoditi con le modalità suddette.

Trasmissione dei dati

1.          Le connessioni telematiche verso le banche dati degli uffici, provenienti dall’esterno dello stesso ufficio, sono distinti in tre categorie:

a)                 Connessioni provenienti da altri uffici e/o aree adibite al trattamento dei dati;

b)                Connessioni provenienti dall’interno dell’ufficio, su postazioni di lavoro pubblicamente disponibili;

c)                 Connessioni provenienti da utenti e postazioni di lavoro non appartenenti all’ambito dell’area di trattamento dei dati.

2.                  Le connessioni di tipo “a” vengono controllate attraverso il Sistema Informatico di Sicurezza della Rete dello Studio, secondo le regole seguenti:

3.                  Sul collegamento dell’ufficio verso la Rete dello STUDIO è installato un apparato di controllo (firewall);

4.                  In maniera predefinita, il firewall è configurato in maniera da permettere alle postazioni di lavoro interne all’ufficio di accedere ai servizi disponibili sulla rete, bloccando i tentativi di accesso provenienti dall’esterno verso l’ufficio;

5.                  Qualora un ufficio voglia rendere disponibili dei servizi ad altri uffici interni e/o esterni all’Ambito locale di trattamento, dovrà richiedere all’Ufficio del Responsabile per i Sistemi Informativi Automatizzati l’apertura dei canali di comunicazione necessari sul firewall.

6.                  Le procedure per la sicurezza delle connessioni di tipo b) sono stabilite dal responsabile del trattamento. Qualora le postazioni pubbliche consentano l’accesso ai dati sensibili di cui all’art. 22 della legge 675/99, o ai dati riservati di cui all’art. 24 della medesima legge, occorrerà stabili