La verifica annuale degli amministratori di sistema deve collegare persone, funzioni autorizzate e sistemi effettivamente gestiti. Il risultato utile è un fascicolo che dimostra chi può svolgere attività privilegiate, per quali ambiti e quali controlli sono stati eseguiti. Non coincide con la sola firma di una nomina o con l’acquisto di un archivio dei log.
Il provvedimento del Garante del 27 novembre 2008, modificato nel 2009, e le relative FAQ costituiscono il riferimento italiano specifico. Nel relativo ambito, il provvedimento prevede individuazione delle persone e degli ambiti di operatività, verifica almeno annuale e registrazione degli accessi logici con conservazione non inferiore a sei mesi. Queste prescrizioni devono essere lette nel loro perimetro, insieme al GDPR, senza ripristinare automaticamente adempimenti storici ormai superati.
Verificare l’ambito prima di compilare la nomina
Identificate le attività realmente svolte: gestione di sistemi, database, reti, apparati di sicurezza o applicazioni complesse che consentono accesso, anche potenziale, a dati personali. Il titolo contrattuale della persona non risolve la qualificazione. Un tecnico esterno può svolgere funzioni rilevanti anche se viene descritto genericamente come assistenza.
Esaminate le precisazioni e le esclusioni contenute nel provvedimento e nelle FAQ, documentando la conclusione per il contesto concreto. Non considerate automaticamente amministratore di sistema ogni utente che possiede un permesso superiore agli altri, ma non escludete una persona soltanto perché l’accesso privilegiato è occasionale o esercitato da remoto.
La mappatura dei sistemi informativi permette di collegare ruoli e componenti. Per ciascun servizio chiedete chi può modificare configurazioni, attribuire privilegi, leggere archivi o intervenire sulle copie. Registrate i casi ancora da chiarire con il fornitore, assegnando un referente alla raccolta delle informazioni.
Individuare persone e ambiti autorizzati
Il fascicolo deve permettere di riconoscere le persone cui sono attribuite le funzioni e i limiti della loro operatività. Evitate una designazione generica che autorizzi «tutte le attività informatiche» senza descrivere sistemi o compiti. La delimitazione serve sia all’interessato sia a chi deve verificare successivamente l’operato.
Collegate identità personale e account utilizzati. Una persona può avere più account per ambienti diversi; un account condiviso richiede un esame delle ragioni e della capacità di attribuire le operazioni. La semplice conoscenza del nome del fornitore non consente necessariamente di sapere chi abbia eseguito un accesso.
Documentate valutazione delle caratteristiche professionali pertinenti, istruzioni e aggiornamenti dell’incarico. Quando cambia il ruolo, verificate privilegi e ambiti, anziché mantenere automaticamente tutti gli accessi precedenti. La politica password e MFA dovrebbe sostenere la separazione degli accessi privilegiati e il recupero controllato.
Gestire il fornitore esterno
Chiedete come vengono individuati i tecnici che intervengono e come l’organizzazione può ottenere le informazioni pertinenti. Un contratto con una società non sostituisce necessariamente la conoscibilità delle persone e delle funzioni richiesta nel contesto applicabile. Definite il processo per ingressi, sostituzioni e cessazioni del personale esterno.
Distinguete amministrazione del sistema e ruolo di responsabile del trattamento. La nomina dell’articolo 28 riguarda il rapporto privacy con il fornitore; il fascicolo degli amministratori descrive persone e accessi privilegiati. I documenti devono essere coerenti, ma non sono intercambiabili.
Concordate la consegna delle evidenze necessarie alla verifica annuale: elenco degli ambiti, accessi, controlli e anomalie pertinenti. Se parte dell’attività dipende da altri soggetti, identificate la catena e i punti in cui informazioni o responsabilità potrebbero perdersi. Le risposte commerciali generiche non sono sufficienti per ricostruire l’operatività.
Distinguere access log e attività applicative
Il riferimento specifico del Garante riguarda la registrazione degli accessi logici degli amministratori, con requisiti di completezza, integrità verificabile e protezione appropriata. Non va letto come un obbligo indistinto di registrare integralmente ogni azione di ogni utente o ogni contenuto consultato. Altri eventi possono essere necessari per sicurezza o per regole settoriali, ma richiedono una valutazione distinta.
La guida all’architettura dei log aiuta a separare autenticazione, modifiche amministrative e operazioni applicative. Per ogni sorgente annotate evento disponibile, significato, identità e riferimento temporale. Un login riuscito non dimostra da solo quali documenti siano stati aperti durante la sessione.
Evitate di registrare password, token o contenuti personali non necessari. Il sistema di logging deve produrre evidenze utili senza creare un archivio parallelo eccessivo. Per i metadati della posta elettronica dei lavoratori, mantenete separato il relativo esame: la durata prevista per gli accessi degli amministratori non si trasferisce automaticamente ai log MTA o al contenuto delle email.
Preparare la verifica annuale
Definite perimetro, periodo, verificatore e fonti. La verifica deve esaminare la corrispondenza delle attività alle misure organizzative, tecniche e di sicurezza previste, tenendo conto del contesto. Non riducetela a un’autodichiarazione identica ogni anno senza esame delle modifiche intervenute.
Raccogliete elenco degli amministratori, ambiti assegnati, account, variazioni e sorgenti dei log. Confrontate le informazioni con lo stato osservato. Un tecnico cessato può essere assente dall’elenco aggiornato ma mantenere una chiave o un account locale: proprio queste divergenze devono emergere dal controllo.
Scegliete campioni motivati, includendo sistemi critici, cambi di ruolo e accessi esterni quando pertinenti. Il campione deve essere descritto con i suoi limiti. Una verifica su un solo server non consente di dichiarare automaticamente controllata tutta l’organizzazione, ma può rappresentare un passaggio delimitato di un programma più ampio.
Utilizzare una scheda di controllo
| Area | Verifica da svolgere | Evidenza attesa |
|---|---|---|
| Persone | Elenco coerente con chi può intervenire | Identità e riferimento dell’incarico |
| Ambiti | Privilegi coerenti con funzioni assegnate | Matrice sistema, account e autorizzazione |
| Variazioni | Ingressi, cambi e cessazioni recepiti | Richieste e revoche eseguite |
| Log | Eventi disponibili e interpretabili | Campione con sorgente e tempi |
| Integrità | Protezione da modifiche non autorizzate | Configurazione e controllo dei privilegi |
| Conservazione | Durata applicata nel perimetro pertinente | Impostazioni e verifica temporale |
| Anomalie | Scostamenti esaminati e assegnati | Azione, referente e stato |
La scheda non sostituisce la descrizione del lavoro. Per ogni risultato registrate fonte e interpretazione. «Conforme» senza indicazione della verifica non permette a un sostituto di capire che cosa sia stato effettivamente controllato e quali lacune restino.
Eseguire una prova sul percorso degli accessi
Con un’attività autorizzata e delimitata, generate un accesso di esercitazione e verificatene la presenza nella sorgente e nell’archivio. Controllate identità, orario, esito e interpretabilità. Verificate anche se un’interruzione della raccolta venga rilevata: un archivio apparentemente regolare può essere incompleto perché una sorgente ha smesso di trasmettere.
Esaminate chi può cancellare o modificare i registri. Se la stessa identità che amministra il sistema può alterare senza controllo tutte le evidenze, valutate il rischio e le misure necessarie. La protezione dell’integrità deve essere descritta attraverso configurazioni e responsabilità effettive.
Per un servizio esterno, simulate la richiesta di un campione. Verificate tempi tecnici, formato, significato dei campi e canale di consegna. Questa prova può far emergere dipendenze non visibili nel contratto, come una licenza necessaria per esportare o l’assenza di un referente capace di interpretare i dati.
Gestire anomalie senza conclusioni automatiche
Un evento fuori orario o un accesso inatteso richiede contesto. Può derivare da manutenzione autorizzata, differenza di fuso o attività non prevista. Registrate gli elementi disponibili e coinvolgete le persone competenti, mantenendo il controllo proporzionato e limitato alla finalità.
Se emergono possibili accessi indebiti a dati personali, collegate l’esame alla procedura di gestione delle violazioni. La verifica annuale non deve ritardare la valutazione di un incidente in corso. Distinguete accertamenti tecnici, decisioni privacy e ulteriori profili applicabili nel contesto lavorativo.
Assegnate le correzioni alla causa: account da revocare, ambito da chiarire, sorgente da configurare o processo del fornitore da modificare. Una nota generica nel verbale non risolve la lacuna. Conservate prova dell’attuazione e indicate quali questioni richiedono una verifica successiva.
Chiudere il verbale e mantenere il fascicolo
Il verbale dovrebbe riportare periodo, perimetro, fonti, campioni, risultati, limiti e azioni aperte. Mantenete le date reali: una verifica eseguita oggi non deve essere presentata come già svolta in passato. La gestione delle prove di accountability aiuta a collegare documenti e decisioni nel tempo.
Aggiornate il fascicolo anche fra due verifiche annuali quando cambiano amministratori, fornitori o sistemi. L’obbligo di una verifica periodica non rende irrilevanti le variazioni intervenute nel frattempo. Il risultato operativo è la capacità di rispondere a tre domande con evidenze coerenti: chi può amministrare, quale ambito gli è consentito e come l’organizzazione controlla che l’accesso privilegiato sia gestito secondo le regole applicabili.
Esempio di rilievo e chiusura
In una verifica ipotetica, il fascicolo identifica due tecnici esterni autorizzati a gestire il database, mentre l’elenco degli account mostra una terza identità ancora attiva. Il referente chiede al fornitore di confermare persona, funzione e necessità dell’accesso. Emerge che si tratta di un tecnico sostituito: la correzione comprende revoca dell’account, verifica delle chiavi collegate e controllo degli eventi pertinenti, senza presumere automaticamente un uso illecito.
Il verbale registra la differenza, le informazioni ottenute e l’esito della revoca. Il responsabile del contratto aggiorna inoltre il processo: ogni sostituzione del personale esterno deve produrre una comunicazione nominativa e una conferma delle variazioni di accesso. La chiusura viene accettata quando il vecchio percorso non consente più l’accesso e il nuovo elenco coincide con le funzioni autorizzate. L’esempio mostra perché il controllo annuale deve confrontare documenti e sistemi, e perché correggere soltanto il foglio delle nomine lascerebbe irrisolta la causa del rilievo.