Documento sulla sicurezza - 2018

I sistemi informativi del nostro fornitore si basano su una rete locale utilizzata per tutte le attività.
L’accesso a internet è controllato mediante un firewall che filtra le comunicazioni secondo le regole decise.
Tutti i computer sono dotati di antivirus e sistema di backup giornaliero automatici.

Si dispone delle seguenti attrezzature:

  • Elaboratori con accesso a internet
  • Stampanti
  • Armadio in cui sono allocati 2 server
  • Impianto di video sorveglianza

Sono installati i seguenti impianti di video sorveglianza:

un impianto atto a tutelare la sicurezza interna, è installato all’ingresso della sede del fornitore.

 

Procedure per gli incaricati del trattamento dei dati

Il trattamento dei dati viene effettuato solo da soggetti che hanno ricevuto un formale incarico mediante designazione per iscritto di ogni singolo incaricato, con la quale si individua puntualmente l’ambito del trattamento consentito. Oltre alle istruzioni generali, su come devono essere trattati i dati personali, agli incaricati vengono fornite esplicite istruzioni in merito ai seguenti punti aventi specifica attinenza con la sicurezza:

  • Procedura da seguire per la classificazione dei dati, al fine di distinguere quelli giudiziari per garantire la sicurezza dei quali occorrono maggiori cautele, rispetto a quanto previsto per i dati di natura comune;
  • Modalità di reperimento dei documenti contenenti i dati personali e modalità da osservare per la custodia degli stessi e la loro archiviazione al termine dello svolgimento del lavoro per il quale è stato necessario utilizzare i documenti;
  • Modalità per elaborare e custodire le password necessarie per accedere agli elaboratori elettronici ed i dati in essi contenuti, nonché per fornire una copia al preposto alla custodia della parola chiave;
  • Prescrizione di non lasciare incustoditi e accessibili gli strumenti elettronici
  • Screen – server con password
  • Procedure e modalità di utilizzo degli strumenti e di programmi atti a proteggere i sistemi informativi
  • Procedure per il salvataggio dei dati
  • Modalità di custodia ed utilizzo dei supporti removibili contenenti dati personali;
  • Dovere di aggiornarsi, utilizzando il materiale e gli strumenti forniti dal Titolare, sulle misure di sicurezza.

 

Soggetti incaricati alla gestione e manutenzione del sistema informativo

Il supporto tecnico per la manutenzione degli strumenti elettronici viene svolto dagli stessi tecnici dipendenti del nostro fornitore.

Ai soggetti incaricati della gestione e manutenzione del sistema informativo, siano essi interni o esterni all’organizzazione del Titolare, viene prescritto di non effettuare alcun trattamento sui dati personali contenuti negli strumenti elettronici, fatta unicamente eccezione per i trattamenti di carattere temporaneo strettamente necessari per effettuare la gestione o manutenzione dei sistemi (a titolo esemplificativo attività connesse  alla gestione dei backup, aggiornamenti automatici dei sistemi operativi e dei pannelli, richieste di supporto del cliente, interventi sul sistema di virtualizzazione, richieste di restore, upgrade hw, sostituzioni parti hw difettose, migrazione del sistema a seguito di richieste di upgrade hw).

Le lettere di incarico o di designazione degli incaricati, nonché quelle di nomina dei responsabili, vengono raccolte in modo ordinato. In tal modo il Titolare dispone di un quadro chiaro di chi fa cosa (mansionario privacy), nell’ambito del trattamento dei dati personali.

Periodicamente, con cadenza almeno annuale, si procede ad aggiornare la definizione dei dati cui gli incaricati sono autorizzati ad accedere e dei trattamenti che sono autorizzati a porre in essere, al fine di verificare la sussistenza delle condizioni che giustificano tali autorizzazioni.
La stessa operazione viene compiuta per le autorizzazioni rilasciate ai soggetti incaricati della gestione o manutenzione degli strumenti elettronici.
Sono previsti interventi formativi degli incaricati del trattamento, finalizzati a renderli edotti dei seguenti aspetti:

  • Profili della disciplina sulla protezione dei dati personali, che appaiono più rilevanti per l’attività svolta dagli incaricati e delle conseguenti responsabilità che ne derivano
  • Rischi che incombono sui dati
  • Misure disponibili per prevenire eventi dannosi
  • Modalità per aggiornarsi sulle misure di sicurezza adottate dal titolare

Tali interventi formativi sono programmati in modo tale da dare luogo al verificarsi di una delle seguenti circostanze:

  • Già al momento dell’ingresso in servizio
  • In occasione di cambiamenti di mansioni
  • In occasione della introduzione di nuovi significativi strumenti

 

Analisi dei rischi

I rischi che incombono sui dati sono essenzialmente rappresentanti da:

a) Calamità naturali

  1. Perdita di dati conseguenti ad allagamento
  2. Perdita di dati conseguenti ad incendio

b) Minacce intenzionali

Accessi non consentiti:

  • Accesso, furto, manomissione di dati su supporti cartacei e supporti informatici
  • Accessi non autorizzati
  • Perdita di dati dovuta a virus o altra intrusione informatica

c) Minacce involontarie

  • Black out elettrico
  • Malfunzionamenti del software
  • Malfunzionamenti dell’hardware

Misure atte a garantire l’integrità e la disponibilità dei dati

Calamità naturali:

1. Perdita di dati conseguente ad allagamento

Per ciò che concerne il rischio di perdita di dati da allagamento, considerata la posizione del fabbricato della sede del nostro fornitore si esclude che, salvo eventi imprevedibili e del tutto eccezionali, detto rischio possa verificarsi. Ad ogni modo le attrezzature informatiche sono state tutte rialzate da terra.

2. Perdita di dati conseguente a incendio

Per ciò che concerne la perdita di dati conseguente a incendio si precisa che sono state attuate tutte le misure previste dall’attuale legislazione in materia di prevenzione incendi, inclusa la verifica periodica dell’impianto elettrico, dell’impianto di riciclo dell’aria e di condizionamento. Si precisa, inoltre, che la posizione degli estintori risulta da appositi segnali affissi nei locali della sede del nostro fornitore.

b) Minacce intenzionali

1. Accessi non consentiti: accesso, furto, manomissione

Si evidenzia che:

  • Gli ingressi della sede sono protetti da doppia serratura
  • I locali nei quali si svolge il trattamento sono protetti da ingresso di allarme e ingresso sorvegliato da telecamere a circuito chiuso
  • Gli incaricati devono custodire in modo appropriato gli atti, i documenti e i supporti contenenti dati personali, loro affidati per lo svolgimento delle mansioni lavorative
  • Eventuali copie di documenti, di scritti, di appunti, di tabulati di prova, ecc, vengono distrutti al termine del loro utilizzo
  • È fatto espresso divieto di utilizzare carta riciclata per stampare documenti da consegnare a terzi.

Cautele particolari sono previste per gli atti, documenti e supporti contenenti dati giudiziari: agli incaricati viene in questi casi prescritto di provvedere al controllo e alla custodia in modo tale che ai dati non possano accedere persone prive di autorizzazione.

     Accesso, furto manomissione di dati su supporti informatici

Il nostro fornitore ha attivato ed è correntemente funzionante un sistema di autenticazione per ognuno degli incaricati che trattano dati personali:

  • Si associa un codice per identificazione dell’incaricato (username) attribuito da chi amministra il sistema, a una parola chiave riservata (password), conosciuta solamente dall’incaricato, che provvederà ad elaborarla, mantenerla riservata e modificarla periodicamente
  • Per l’attribuzione e la gestione delle credenziali per l’autenticazione si utilizzano i seguenti criteri:
    • Ad ogni incaricato esse vengono assegnate o associate individualmente, per cui non è ammesso che due o più incaricati possano accedere agli strumenti elettronici utilizzando le medesime credenziali
    • Il codice per l’identificazione (username) attribuito all’incaricato da chi amministra i sistemi, è univoco; esso non può essere assegnato ad altri incaricati neppure in tempi diversi
    • Viene segnalato agli incaricati che la lunghezza della password da utilizzare non deve essere inferiore ad 8 caratteri, salvo limitazioni tecniche nei software in uso
  • Agli incaricati è prescritto di utilizzare alcuni accorgimenti nell’elaborazione delle password:
    • Esse non devono contenere riferimenti agevolmente riconducibili all’interessato (non solo nomi, cognomi, soprannomi, ma neppure date di nascita proprie, dei figli e di amici), né consistere in nomi noti anche di fantasia (Pippo, Pluto, Paperino..)
    • Buona norma è che dei caratteri che costituiscono la password, da un quarto alla metà sia di natura numerica
    • La password non deve essere comunicata a nessuno (non solo soggetti esterni, ma neppure persone appartenenti all’organizzazione, siano essi colleghi, responsabili del trattamento, amministratori di sistema o titolari)
    • Nei casi di prolungata assenza o impedimento dell’incaricato, che renda indispensabile o indifferibile per esclusive necessità di operatività e di sicurezza del sistema, potrebbe, però, rendersi necessario disporre della password dell’incaricato per accedere agli strumenti ed ai dati.
      ​A tal fine, agli incaricati sono state fornite istruzioni scritte affinchè essi:
      • Scrivano la parola chiave su un foglio di carta da inserire in una busta che deve essere chiusa e sigillata; consegnino la busta a chi custodisce le copie delle parole chiave, il cui nominativo viene loro indicato al momento dell’attribuzione della password
      • Solo al verificarsi delle condizioni sopra esposte che rendono necessario accedere allo strumento elettronico, utilizzando la copia della parola chiave, il titolare o un responsabile potranno richiedere la busta che la contiene a chi la custodisce
      • Dell’accesso effettuato si dovrà provvedere ad informare tempestivamente l’incaricato cui appartiene la parola chiave.
    • Viene segnalato ad ogni incaricato la necessità di cambiare la password almeno ogni 6 mesi. Al verificarsi dei seguenti casi è prevista la disattivazione delle credenziali di autenticazione:
      • Immediatamente nel caso in cui l’incaricato perda la qualità che gli consentiva di accedere allo strumento
      • In ogni caso entro 6 mesi di mancato utilizzo

Il sistema di identificazione e autenticazione è operativo anche sui computer portatili, sui cellulari che possono gestire e contenere dati personali.
Per quanto concerne i supporti removibili (chiavette, hard disk e removibili) contenenti i dati personali, la norma impone particolari cautele solo nel caso in cui essi contengano dati giudiziari.
Tuttavia, il titolare del sistema ha vietato categoricamente l’uso degli stessi nell’ambiente lavorativo.

 

Accessi non autorizzati

Per quanto concerne il rischio di accessi non autorizzati, non appare necessario prevedere profili di autorizzazione distinti per le diverse persone, in relazione alle limitate dimensioni della struttura del titolare ed al fatto che non si ravvisano ragioni di tutela della riservatezza tali da imporre che uno o più incaricati non possano accedere ad alcune tipologie di dati personali oggetto di trattamento.

  1. Perdita di dati dovuta a virus o intrusioni informatiche

a. Virus: per ciò che concerne la perdita di dati o di danneggiamento degli stessi dovuta a virus, si precisa che i personal computer in dotazione alla sede sono dotati di programmi antivirus
b. Intrusione informatica: relativamente all’intrusione informatica da parte di terzi, si precisa che è stato installato un firewall hardware le cui direttive ed indicazioni sono state fornite dal responsabile dell’area tecnica. Anche in relazione a questo rischio non si registrano inconvenienti occorsi, sicché si reputa il sistema di protezione rispondente alle necessità della sede.
c. Minacce involontarie:

  • Black out elettrico: la sede si è dotata di un gruppo di continuità per prevenire le conseguenze dei black out elettrici o dei picchi di sovra o sotto tensione elettrica
  • Malfunzionamento del software: il nostro fornitore si è da tempo dotato di programmi che possiedono una funzionalità che consente l’aggiornamento automatico del sistema mediante l’installazione delle PATCH rilasciate dalla case madre volte a prevenire errori di protezione o malfunzionamento del software stesso.

Si ottempera così alla disposizione di legge che obbliga il titolare del trattamento a provvedere ad aggiornare con cadenza almeno annuale i software degli strumenti elettronici.
La suddetta cadenza annuale diviene semestrale per gli strumenti con i quali si trattano i dati giudiziari.

Malfunzionamenti hardware

La manutenzione degli strumenti elettronici a livello hardware viene svolta dagli stessi tecnici del nostro fornitore.

 

Criteri e modalità di ripristino dei dati in seguito a distruzione o danneggiamento

Back up dati

Al fine di garantire non solo l’integrità ma anche la pronta disponibilità dei dati, il nostro fornitore si è dotato dei seguenti strumenti e procedure di back up:

  • Server esterno

Tutti i dati personali gestiti con strumenti elettronici nella sede vengono inclusi nella procedura di backup. La frequenza con cui vengono effettuate le copie di sicurezza è giornaliera. Il tempo necessario per recuperare i dati delle copie di sicurezza, a fronte di una generica emergenza, viene stimato in poche ore dal verificarsi del possibile accadimento, comunque, ampiamente sotto il limite dei 7 giorni previsti dal punto 23 dell’all. B del D. Lgs 196/2003. Il ripristino avviene mediante apposito programma di restore in dotazione all’unità preposta al backup.

  • Protezione dei contenuti

Attraverso le reti private virtuali è possibile connettere in modo sicuro sedi distaccate di un’azienda o singole postazioni. Grazie alla crittografia i dati viaggiano protetti anche su reti aperte come se si fosse all’interno di reti locali private. Attivando un firewall si ha a disposizione fino a 750 VPN native su tecnologia CISCO ASA.

  • Back orario

È la scelta ideale per progetti con contenuti aggiornati di frequente. È la garanzia di uno snapshot orario dei dati, immediatamente disponibile in farm per il ripristino completo del sistema.

  • Backup disponibili

I backup e restore sono eseguibili in qualsiasi momento grazie alla comoda interfaccia web accessibile via browser.
Il sito e i contenuti saranno subito online in caso di accidentale perdita dei dati, con pochi semplici click.

  • Protezione dei dati con R1- Soft CDP

Il sistema più affidabile per i backup continui dei dati. Basato su R1- Soft, con backup orario si ha la semplicità del migliore pannello di controllo per tenere al sicuro i dati anche in maniera selettiva.

  • Sicurezza e disaster recovery

La vera garanzia di un backup e la rapidità e facilità di ripristino. Con backup orario si può effettuare alla massima velocità il ripristino dell’intero file system o solamente del database a partire da qualsiasi snapshot disponibile.

  • Backup su server Dell

Gli snapshot vengono salvati su server Dell, la soluzione più avanzata sul mercato con le migliori performance per stabilità, sicurezza e velocità.

  • Web farm (ubicata in Roma – Via di Tor Cervara, 282/a)

Di seguito le principali caratteristiche dal datacenter ubicato in Italia.

  • Webfarm fisicamente isolata
  • Sistema di controllo degli accessi con badge e codice numerico a più livelli
  • Armadio rack dedicato alla conservazione dei log con sistema di accesso biometrico
  • Sistema di rilevamento antintrusione
  • Presidio con agente di vigilanza H24 per 7 giorni su 7
  • Telecamere a circuito chiuso e archiviazione digitale delle riprese
  • Sistemi di rilevamento antifumo, antiincendio e antiallagamento
  • Trasformatori principali ridondanti al 100%
  • Gruppi di continuità ridondati al 100%
  • Gruppi elettronici con tempo di rilevazione minori di 10 secondi
  • Armadi rack con doppia alimentazione e potere di interruzione del corto circuito al primo interruttore a monte del rack
  • Impianto di condizionamento ridondato al 100%
  • Climatizzazione completa in grado di mantenere un delta < 1°
  • Singolo armadio rack con condizionamento forzato ed estrattore di calore dall’alto
  • Continuità e affidabilità di servizio oltre il 99, 99%
  • Firewall di fornitori diversi per limitare i rischi dovuti alle potenziali vulnerabilità

Tutti i sistemi di supporto del datacenter sono ampliamente ridondati e dotati di sistema di monitoraggio che consentono una reazione tempestiva a qualsiasi anomalia e rendono esiguo il rischio di interruzione del servizio.

Sono, inoltre, protetti da sofisticati sistemi di sicurezza in grado di rilevare ed impedire tempestivamente qualsiasi intrusione dall’esterno.

Il Quality managment system della web farm è certificato ISO 9001, ISO 14001 , OH SAS 18001, SA 8000 e

ISO 27001.