DLgs 81/2008 salute e sicurezza sul Lavoro nuovo Testo Unico Guide operative e CORSI FORMAZIONE , PRIVACY, PROTEZIONE DEI DATI PERSONALI DLGS 196/2003 , FIRMA DIGITALE, ANTIVIRUS AVIRA ANTIVIR, VENDITA ACQUISTO CASELLA POSTA ELETTRONICA CERTIFICATA, AMMIN

Cod. 270 - MANUALE E FACSIMILI: <PRIVACY: AMMINISTRATORE DI SISTEMA E ASSIMILATI> Tra poche righe c'è la sintesi della normativa e la descrizione analitica del manuale

Prezzo base : € 29,70 + garanzia (*)

(*) SE NON CI CONOSCI GIA', E' LOGICO DIFFIDARE. Hai bisogno di una GARANZIA:

ti diamo la più solida: a seguito del tuo ordine, PRIMA RICEVERAI IL PRODOTTO E LA FATTURA, PRIMA VERIFICHERAI BENE IL PRODOTTO stesso, PAGHERAI SOLO DOPO (entro 60 gg dalla fattura)

Sono possibili le seguenti due opzioni:

Cod. 888 Spedizione senza supplementi tramite e-mail. Sarà inviata un'e-mail recante la fattura nonché facilissime istruzioni e la password per scaricare rapidamente il prodotto come file tramite internet (questa opzione è già compresa nel prezzo base). Consigliato per semplicità, economicità e rapidità. (Attenzione! Non è un manuale cartaceo, ma si scarica tramite internet. D'altra parte i facsimili sono dei files in word e quindi sarebbe assurdo averli su cartaceo)

Cod. 997 (facoltativo) - spedizione postale RACCOMANDATA del CD : supplemento € 7,90 da aggiungere al prezzo base (totale € 29,70 + 7,90 = € 37,60). Insieme al CD sarà inviata anche la fattura. Chi volesse l'anticipazione tramite e-mail della password per disporre immediatamente del prodotto, deve barrare anche il codice 888

DEMO:

Cod. 271 : è possibile avere GRATIS in prova per circa un mese esclusivamente il software, non il manuale su come interpretare e applicare la nuova normativa. Consigliamo questa scelta solo a chi conosce perfettamente la normativa in questione, altrimenti suggeriamo di scegliere la soluzione che costa € 29,70, che è un prezzo estremamente basso, considerato che il manuale con facsimili da solo vale tale importo ed è un'opera pressoché indispensabile, a prescindere dal software applicativo. Infatti la mega-sanzione (da € 30.000 a 180.000 ) si applica anche alla mancata esibizione di taluni documenti cartacei.

Collegamento al modulo per ordinare la DEMO

Pagamento: entro 60 gg dal ricevimento della fattura, della licenza d'uso e della password segreta di attivazione o del CD Modulo per ordinarlo

E' possibile pagare anche con una qualsiasi carta di credito; in questo caso clicca: Ordine e pagamento tramite carta di credito in modalità sicura

N.B. Può essere acquistato da chiunque; deve solo adattare la firma del Modulo d'ordine e indicare i propri dati per la fattura (Codice Fiscale)

Dati per la fatturazione: è indispensabile che l'ordine rechi tutti i dati di chi ordina nonché Codice Fiscale (e Partita Iva, per chi ce l'ha). E inoltre: l'e-mail, il telefono e il fax, il nominativo del Dirigente che esegue l'ordine, nonché quello della persona che seguirà concretamente la pratica, in modo che abbiamo un referente con cui parlare per qualsiasi problema, senza disturbare il Dirigente.

Modulo per ordinarlo Oppure: Ordine e pagamento tramite carta di credito in modalità sicura

Sintesi della normativa

(Descrizione del manuale tra 70 righe)

Dal 15 dicembre 2009 ogni Ente o Azienda ha l’obbligo di:

registrare mediante apposito software gli accessi a qualsiasi computer di tutti coloro che svolgono attività rientranti nell’amministrazione del sistema informatico (in breve: i tecnici che creano o cancellano gli account, fanno la manutenzione sistematica della rete, impostano ed eseguono il backup, ecc.).
conservare tale registrazioni in modo inalterabile e per almeno 6 mesi.
una volta all’anno deve valutare a campione tali registrazioni.

Dal 30 giugno 2009 ogni Ente o Azienda ha l'obbligo di:

effettuare a tali figure una nomina specifica per le attività rientranti nell’amministrazione del sistema informatico, esplicitando una serie di requisiti e le specifiche modalità del loro incarico
redigere annualmente un documento di verifica della loro attività (la prossima scadenza coincide – in pratica – con la redazione del DPS, al 31 marzo 2010).
tenere un elenco aggiornato di tali figure
altre incombenze minori

Cosa può accadere a chi tralascia una di tali misure ?

La mancata attuazione di una di queste misura è punita con una sanzione amministrativa davvero esagerata: da € 30.000 (trentamila !) ad € 180.000, aumentabili in alcuni casi.

Da quali norme derivano i nuovi adempimenti ?

Tutto ciò (e qualcos’altro sul tema) è reso obbligatorio da un formale Provvedimento di prescrizione del Garante Privacy: <<Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema - 27 novembre 2008 (G.U. n. 300 del 24 dicembre 2008)>>, che ha poi subito lievi modifiche e rinvii delle scadenze. Per l’emissione del Provvedimento in questione il Garante si è valso dei poteri a lui conferiti dall’art. 154 comma 1 lettera c) del DLgs 196/2003, che recita “ Il Garante ha il compito di (…) << c) prescrivere anche d'ufficio ai titolari del trattamento le misure necessarie o opportune al fine di rendere il trattamento conforme alle disposizioni vigenti, ai sensi dell'articolo 143;>> , cioè dà al Garante il potere di prescrivere misure e accorgimenti di carattere generale, che i titolari di trattamento sono tenuti ad adottare per evitare pesantissime sanzioni amministrative ( da 30.000 a 180.000 euro)

Per visualizzare il Provvedimento in oggetto, clicca queste parole

Cosa fare in pratica ?

1) eseguire una serie di NUOVI adempimenti DOCUMENTALI

2) acquisire e far funzionare su ciascun computer che tratta dati personali di un certo spessore (quindi della sola segreteria) un apposito software, in grado di registrare automaticamente le attività di chiunque utilizza il computer (limitatamente agli orari degli accessi e delle uscite dal sistema e da determinati programmi applicativi) e di conservarle in modo sicuro e inalterabile. Purtroppo in commercio si trovavano solo software concepiti per grandi aziende, del costo minimo di varie centinaia di euro all’anno. Pertanto abbiamo creato un ns software, denominato <E20AdS>, che siamo in grado di vendere a un costo di circa € 30 all’anno.

Come adeguarsi alle nuove norme ? Ecco cosa serve:

1) un manuale con le istruzioni passo-passo e i facsimili dei documenti da produrre (ed ecco la nostra proposta di manuale Cod. 270 , a soli € 29,70)

2) un software in grado di eseguire la registrazione degli eventi e di garantirne la conservazione inalterabile (ed ecco il ns software <E20AdS>, addirittura in omaggio fino al 30 settembre 2010 e poi a un costo annuale decisamente senza paragoni sul mercato, cioè circa € 30,00 per l'intera rete)

Requisiti tecnici per l’uso del nostro software:

Il nostro software <E20Ads> è pienamente utilizzabile solo se ciascun computer della rete utilizza uno seguenti sistemi operativi : Windows 2000, XP, Vista, 7, server 2003, server 2008). Per sistemi operativi più vecchi non è garantito il funzionamento.

Lo spirito del Provvedimento (sintesi)

L’evoluzione tecnologica fa sì che nelle aziende e nelle organizzazioni pubbliche e private acquistino crescente importanza le figure che gestiscono i sistemi informatici.

Dall’esperienza si è visto che, però, che i Dirigenti hanno ancora una diffusa preoccupante sottovalutazione delle criticità insite nello svolgimento delle predette mansioni nonché dei rischi derivanti dall'azione incontrollata di tali Amministratori informatici, ovvero dei danni enormi che costoro potrebbero causare, in particolare alla riservatezza dei dati personali.

Tale carenza di consapevolezza nei Dirigenti non si riscontra soltanto in organizzazioni di piccole dimensioni, anzi la recente cronaca ha dimostrato che giganti quali Telecom, Wind, la Regione Lazio hanno infranto gravissimamente le regole della corretta gestione informatica, senza che i vertici (a quanto pare…) se ne rendessero conto. Tuttavia, al di là dei casi scoperti e resi noti all’opinione pubblica, chissà quanti sono gli abusi informatici che realmente si verificano ogni giorno in centinaia di aziende o Enti.

Ovviamente la vittima di <Amministratori informatici> sleali, scorretti o superficiali è prima di tutto la privacy di qualcuno o di molti. Pertanto il Garante Privacy ha deciso di imporre con la forza (cioè con previsione di sanzioni economiche colossali) due regole sostanziali.

Le figure che sono nel suo mirino sono tutti coloro che nella gestione dei computers hanno un ruolo tale per cui “potrebbero” visionare dati senza autorizzazione o – peggio – copiarli per esportarli all’esterno. Cioè sono quelle mansioni che risultano potenzialmente maggiore fonte di rischio per i dati personali.

Pertanto la definizione <<AMMINISTRATORE DI SISTEMA>> ha per il Garante contorni assai ambigui e in realtà si riferisce anche agli ASSIMILABILI : figure che intervengono part-time o solo per il tempo necessario, purché con un minimo di sistematicità, nonché coloro che svolgono mansioni relativamente marginali, ma che potenzialmente consentirebbero di realizzare abusi anche importanti: l’incaricato di eseguire il backup (potrebbe fare una copia da esportare), il cosiddetto <Custode delle Passwords> (dato che custodisce, sia pure in busta chiusa, le credenziali segrete, potrebbe in qualche modo prenderne visione e abusivamente accedere a qualunque dato), ecc.

Le due regole fondamentali imposte dal Garante

1) qualsiasi accesso informatico (= mediante account+password) a qualsiasi computer ecc. da parte di chiunque svolga funzioni di Amministratore di sistema o Assimilato, deve essere registrato (= “LOG”) mediante un sistema di registrazione continuo, automatico e immodificabile. Tali registrazioni devono essere conservate integre per almeno 6 mesi (con l’obbligo di dimostrarne in qualsiasi momento, appunto, l’integrità, cosa che si ottiene con determinate soluzioni tecniche per la registrazione).

In tal modo l’AdS e l’Assimilato devono sentirsi continuamente sulla testa una sorta di spada di Damocle.

Infatti, il Titolare Privacy ha la possibilità di esaminare periodicamente tali registrazioni, per individuare eventuali anomalie di comportamento (accesso in giorni od orari strani, accesso ingiustificato a particolari computer, ecc.). Inoltre, in caso emergano lamentele o possibili irregolarità, l’Ads deve sapere che queste registrazioni potranno essere sottoposte a un perito che potrà eventualmente ricavarne indizi o prove di abuso.

Tali registrazioni con i requisiti forti richiesti sono facilmente realizzabili dal punto di vista tecnico, perché sfruttano i <Registri degli eventi>, che sono funzionalità già presenti nei sistemi operativi allo scopo di identificare le cause degli errori o svolgere analisi statistiche. Tali registrazioni non disturbano l’attività del sistema informatico, né lo rallentano. Possono essere eseguite in automatico, senza far perdere tempo alle persone. Non registrano mai i “contenuti”, ma solo “eventi” informatici puntiformi connessi a uno degli account, quali l’ingresso in un computer o l’uscita, l’apertura di un software applicativo o di una base dati, ecc. oppure un certo tipo di comandi impartiti al computer.

I software che realizzano quanto impone il Garante si sviluppano a partire dalle predette funzionalità già esistenti. Anche il software <E20AdS> [sta per <EventiAsS>] che noi proponiamo appartiene a questa tipologia ed è simile a tanti altri oggi offerti dal mercato, con la sola differenza che è leggermente più spartano ma ha un canone annuale infinitamente minore (circa € 30,00 , cioè meno di un decimo del prodotto concorrente più economico, che costa da 350 euro in su a seconda del numero di macchine).

2) I Responsabili o Dirigenti di Aziende ed Enti devono concretamente prendere consapevolezza del problema, in quanto ora sono responsabilizzati nella scelta delle persone da designare Amministratori di sistema o Assimilati.

Infatti il Provvedimento introduce l’obbligo sanzionato di un atto formale di nomina recante anche una chiara delineazione del perimetro delle sue attività. La nomina deve essere preceduta da un’attenta valutazione delle caratteristiche del nominando: esperienza , capacità, affidabilità e idonea garanzia del pieno rispetto delle vigenti disposizioni in materia di trattamento ivi compreso il profilo relativo alla sicurezza. Viene in un certo senso introdotta la <Culpa in eligendo> : se al momento della designazione era possibile a un Dirigente dotato di normale diligenza e attenzione accorgersi che il soggetto era carente in uno di tali requisiti, scatta la colpa nella scelta.

Inoltre il Titolare e il Responsabile del trattamento hanno l’obbligo di eseguire un’attività di verifica sull’operato effettivo degli AdS e Assimilati con cadenza almeno annuale. Devono anche conservare come documento interno un elenco aggiornato di coloro che vanno considerati AdS o Assimilati, in modo che se arriva, mandata dal Garante, un gruppo di ispettori o la Guardia di Finanza, tale informazione possa essere immediatamente utilizzata per i controlli.

Indice ragionato

01) LEGGIMI PER PRIMO - INDICE

n. 2 pagine

E’ questo capitolo cioè l’indice ragionato dei contenuti, che è anche una guida alla comprensione della struttura del manuale. Se ne consiglia la lettura preliminare per avere un’idea chiara degli argomenti trattati.

02) ILLUSTRAZIONE PROVVEDIMENTO

n. 20 pagine

Analisi chiara, completa ed operativa delle prescrizioni contenute nel Provvedimento del Garante, con interpretazione dei vari adempimenti previsti i e proposte applicative

03) FACS ATTO RICOGNITIVO in materia di Amministratori di Sistema e Assimilati

n. 8 pagine

Si tratta del facsimile di un documento facoltativo, ma assai utile per impostare il lavoro e documentare-motivare le scelte fatte.

Suggeriamo di farne un allegato del Documento Programmatico sulla Sicurezza.

In ogni caso va almeno letto per comprendere la procedura da seguire.

Può essere copiato in un nuovo file di word usando il copia-e-incolla di Windows. Come tutti i facsimili, va attentamente analizzato per vedere con quali modifiche o integrazioni può essere applicato alla situazione concreta dell’azienda/ente che deve eseguire la nomina.

04) FACS NOMINA ADS

n. 7 pagine

Si tratta del facsimile ragionato di vari tipi di nomine (obbligatorie) di dell’Amministratore di sistema o assimilato.

FILENAME 05) FACS ELENCO AdS

n. 1 pagine

E’ il facsimile dell’elenco obbligatorio degli AdS e Assimilati, che il Titolare deve detenere in forma sempre aggiornata.

06) FACSIMILE VERIFICA ANNUALE

n. 5 pagine

Si tratta del facsimile della relazione sull’attività obbligatoria di verifica sull’operato degli ultimi 12 mesi di tutti gli AdS e Assimilati designati.

Tra l’altro mostra come compiere la verifica predetta.

07) COSA VA REGISTRATO E COME

n. 16 pagine

Come interpretare praticamente le prescrizioni del Garante in materi di Registrazione dell’attività informatica degli AdS e Assimilati. E’ tarato sul caso di un ente o azienda di dimensioni piccole/medie, che non tratti dati fortemente sensibili quali potrebbero essere dati genetici ecc.

08) WINDOWS E IL PROVVEDIMENTO GARANTE

n. 9 pagine

[lettura facoltativa] Questo documento semi-ufficiale di Microsoft Italia è inserito per documentare come sia perfettamente corretta la nostra scelta di utilizzare per le registrazioni obbligatorie prescritte dal Garante i <Registri Eventi> di Windows.

09) IL VISUALIZZATORE EVENTI

n.15 pagine

Questo capitolo è riservato in particolare ai tecnici, ma può essere compreso da chiunque abbia una infarinatura di informatica.

Esso spiega cos’è e come funziona il software Windows che consente di registrare gli accessi logici di ogni account (e quindi anche dell’account di ciascun AdS o Assimilato) e di registrare parimenti altre tipologie di eventi che –in caso di necessità – consentirebbero di ricostruire nei dettagli l’operato di ciascun AdS o Assimilato.

10) MONITORARE L’ADS CON LE REGISTRAZIONI

n. 2 pagine

E’ possibile e facile estrarre dai Registri Eventi le informazioni che riguardano solo l’account di un AdS o Assimilato e solo i suoi Accessi Logici al sistema, come indica il Garante. Questo capitolo insegna come farlo anche a dirigenti poco esperti di informatica, che hanno però l’obbligo di controllare l’operato degli AdS e Assimilati.

11) ESEMPIO DI TRACCIAMENTO

n. 6 pagine

[lettura facoltativa] Un interessante esempio di come le registrazioni di eventi sono utilizzate nei processi (informatica forense). Serve a dimostrare che i <REGISTRI EVENTI> sono di per sé inalterabili e se ne può dimostrare l’integrità, tanto che sono utilizzati nelle perizie per i tribunali.

12) ISTRUZIONI OPERATIVE INFORMATICHE

n. 3 pagine

Questo capitolo è riservato in particolare ai tecnici, ma può essere compreso da chiunque abbia una infarinatura di informatica.

Contiene una descrizione sintetica del funzionamento del nostro software <E20AdS> creato per applicare automaticamente l’obbligo di registrazione prescritto dal Garante.

Contiene inoltre le prime istruzioni operative per installarlo.

13) PROVVEDIMENTO E FAQ GARANTE

n. 12 pagine

Il testo del Provvedimento del Garante Privacy e delle sue utilissime risposte alle domande più frequenti.

14) WINDOWS 7-VISTA-SERVER 8

n. 35 pagine

[lettura facoltativa] Questo capitolo è riservato in particolare ai tecnici, ma può essere compreso da chiunque abbia una infarinatura di informatica.

Poiché nel manuale abbiamo prevalentemente dato spiegazioni calibrate sul sistema operativo <XP> che è il più diffuso, questo capitolo illustra alcune piccole differenze e peculiarità, nella materia trattata da questo manuale, proprie dei sistemi operativi successivi a <XP>.

TOTALE N. 141 PAGINE

Torna all’iniziopagina Avvertenze editoriali Informativa Privacy (art.13 D.Lgs 196/2003)