Amministratori di sistema: il provvedimento del Garante

Il provvedimento del Garante privacy sugli amministratori di sistema del 27 novembre 2008, modificato il 25 giugno 2009, chiede alle aziende che trattano dati personali con strumenti elettronici sei cose: scegliere gli amministratori con criterio, designarli uno per uno, tenerne un elenco aggiornato, sapere chi sono quelli dei fornitori, verificarne l'operato almeno una volta l'anno e registrarne gli accessi in log conservati per almeno sei mesi. È ancora applicabile dopo il GDPR.

Qui trovi chi rientra nella definizione, cosa dice ciascun obbligo, come si gestisce l'outsourcing e cosa serve davvero per gli access log, che sono la parte su cui le aziende inciampano più spesso.

Cos'è il provvedimento e perché vale ancora

È un provvedimento a carattere generale del Garante per la protezione dei dati personali, pubblicato nella G.U. n. 300 del 24 dicembre 2008 (doc. web n. 1577499). Il Garante lo ha motivato con un rischio preciso: chi amministra un sistema ha di regola la capacità concreta di accedere in modo privilegiato a risorse e dati personali anche oltre il proprio profilo di autorizzazione, per scelta o per caso.

Il 25 giugno 2009 il Garante lo ha modificato dopo una consultazione pubblica (G.U. n. 149 del 30 giugno 2009): ha esteso al responsabile del trattamento alcuni compiti prima riservati al titolare e ha fissato per tutti il termine del 15 dicembre 2009 per adeguarsi.

Il testo è nato sotto il vecchio Codice privacy, ma non è decaduto con il GDPR. L'art. 22, comma 4, del D.Lgs. 101/2018 stabilisce che dal 25 maggio 2018 i provvedimenti del Garante continuano ad applicarsi, in quanto compatibili con il regolamento e con il decreto. In pratica il provvedimento è una delle forme concrete con cui si dimostrano le misure di sicurezza adeguate chieste dall'art. 32 del GDPR per gli accessi privilegiati.

Chi è l'amministratore di sistema

Il dispositivo richiama tre figure: l'amministratore di sistema (system administrator), l'amministratore di base di dati (database administrator) e l'amministratore di rete (network administrator), quando lavorano in un contesto in cui è tecnicamente possibile accedere, anche per caso, a dati personali.

Le FAQ del Garante lo descrivono come la figura professionale dedicata alla gestione e alla manutenzione dei sistemi con cui si trattano dati personali: server, database, sistemi complessi come gli ERP, reti locali e apparati di sicurezza, nella misura in cui permettono di intervenire sui dati. Conta la funzione, non il titolo in organigramma.

Chi resta fuori

• Chi interviene solo occasionalmente, per esempio per riparare un guasto o un malfunzionamento (FAQ 1).
• Gli accessi applicativi: l'utente che entra in un gestionale con il suo profilo non è un amministratore di sistema, e il suo accesso non va registrato in forza del provvedimento (FAQ 22).
• I trattamenti a fini amministrativo-contabili che pongono minori rischi, già oggetto delle semplificazioni del 2008. Le FAQ (24) vi riconducono attività di supporto ordinario come la gestione del parco auto, gli acquisti di materiali di consumo o la manutenzione degli immobili.
• Il titolare che è anche l'unico amministratore, caso limite delle realtà molto piccole: lì non si applicano la verifica annuale né la registrazione degli accessi (FAQ 3).

Le esclusioni sono strette. In un'azienda del mid-market con un ERP, un dominio e qualche database con dati di clienti e dipendenti, il provvedimento si applica quasi sempre.

I sei obblighi del punto 2

Il cuore del provvedimento è il punto 2 del dispositivo, diviso in sei lettere.

a. Valutazione delle caratteristiche soggettive

Prima di attribuire le funzioni si valutano esperienza, capacità e affidabilità della persona, che deve dare garanzia di rispettare le norme sul trattamento, sicurezza compresa. Le FAQ (20) precisano che si tratta di qualità tecniche, professionali e di condotta, non di requisiti morali. Conviene lasciarne traccia: un curriculum e una nota di valutazione bastano a dimostrare che la scelta è stata fatta.

b. Designazione individuale

Ogni amministratore riceve una designazione personale, con l'elenco degli ambiti di operatività consentiti dal suo profilo. Non serve scendere al singolo server: secondo le FAQ (8) basta indicare l'ambito per settori o aree applicative, per esempio infrastruttura Windows, database del gestionale, rete e firewall. Una designazione collettiva, per esempio all'intero reparto IT, non rispetta il requisito.

c. Elenco degli amministratori di sistema

Gli estremi identificativi delle persone, con le funzioni attribuite, stanno in un documento interno aggiornato e disponibile in caso di accertamenti del Garante. Per le FAQ (21) gli estremi possono coincidere con nome, cognome e funzione o area di appartenenza.

C'è un secondo obbligo nella stessa lettera: se gli amministratori lavorano su sistemi che trattano dati dei lavoratori, anche indirettamente, la loro identità va resa nota o conoscibile al personale, per esempio nell'informativa, sulla intranet o con un ordine di servizio. Le FAQ (18) chiariscono che questa conoscibilità riguarda solo i trattamenti di dati del personale.

d. Servizi in outsourcing

Se l'amministrazione è affidata a un fornitore, il titolare o il responsabile esterno conservano gli estremi identificativi delle persone fisiche che fanno da amministratori. Ne parliamo più sotto, perché è il caso più frequente.

e. Verifica delle attività

L'operato degli amministratori è verificato «con cadenza almeno annuale» dai titolari o dai responsabili del trattamento, per controllare che sia conforme alle misure organizzative, tecniche e di sicurezza previste. Secondo le FAQ (5) si verifica che le attività svolte corrispondano alle mansioni attribuite.

f. Registrazione degli accessi

Servono sistemi che registrino gli accessi logici degli amministratori ai sistemi di elaborazione e agli archivi elettronici. Le registrazioni devono avere caratteristiche di «completezza, inalterabilità e possibilità di verifica della loro integrità» adeguate allo scopo, riportare i riferimenti temporali e la descrizione dell'evento ed essere conservate per un congruo periodo, «non inferiore a sei mesi».

Gli access log in pratica

È la lettera che richiede lavoro tecnico, e le FAQ del Garante la spiegano in dettaglio.

Cosa si registra

• Gli eventi di autenticazione: accesso, tentativo di accesso fallito e disconnessione dell'amministratore, con username, data e ora e una descrizione dell'evento, cioè sistema usato, tipo di evento, terminale o linea di collegamento (FAQ 9).
• Su tutti i sistemi pertinenti: server, ma anche postazioni di lavoro (FAQ 4) e autenticazioni sui database management system (FAQ 19).
• Non i comandi: il provvedimento non chiede di registrare l'attività interattiva, come comandi impartiti o transazioni effettuate (FAQ 15). Se il sistema di log raccoglie di più, va bene, purché nel rispetto dei principi di protezione dei dati (FAQ 10).

Completezza, inalterabilità, integrità

La completezza riguarda l'insieme degli eventi: tutti gli accessi interattivi degli amministratori su tutti i sistemi che trattano, anche indirettamente, dati personali (FAQ 11). Il difetto tipico non è il log illeggibile, è il sistema dimenticato: il firewall, l'hypervisor, il database di un'applicazione dipartimentale.

Per l'inalterabilità il Garante non fissa livelli di robustezza e lascia la valutazione al titolare (FAQ 13). Nei casi più semplici bastano gli strumenti già presenti nei sistemi operativi e l'esportazione periodica dei log su supporti non riscrivibili; nei casi più complessi si può ricorrere a log server centralizzati (FAQ 12). Le FAQ citano anche le tecniche crittografiche per verificare l'integrità delle registrazioni (FAQ 4). Il punto da tenere fermo: l'amministratore di cui si registrano gli accessi non deve poter cancellare o modificare i propri log.

Quanto conservarli

Sei mesi sono il minimo, non il valore consigliato. Il provvedimento parla di congruo periodo: se la verifica annuale deve guardare l'intero anno, o se un incidente può emergere dopo mesi, ha senso decidere un tempo più lungo e scriverlo, motivandolo.

Serve un SIEM?

No, per il provvedimento basta un log management con integrità garantita e conservazione documentata. La differenza fra le due cose è spiegata in log management vs SIEM. Un SIEM diventa utile quando i log non devono solo esistere, ma essere letti: le FAQ (16) indicano che la raccolta serve a verificare anomalie nella frequenza e nelle modalità degli accessi, come orari, durata e sistemi raggiunti, e che l'analisi dei log può entrare nella valutazione dell'operato degli amministratori. Un accesso amministrativo alle tre di notte da una postazione insolita è proprio il tipo di evento che una correlazione mette in evidenza e che un archivio tiene soltanto.

Amministratori di sistema in outsourcing

Nel mid-market una parte dell'amministrazione è quasi sempre esterna: il fornitore che gestisce i server, quello del gestionale, quello della rete. Il provvedimento resta rivolto al titolare, ma dopo la modifica del 2009 due compiti possono passare al fornitore come responsabile del trattamento: conservare gli estremi delle persone che amministrano (lettera d) e verificarne l'operato (lettera e). L'affidamento avviene nell'atto di designazione del responsabile o con clausole contrattuali (punto 3-bis).

Quello che conviene scrivere nel contratto o nella designazione:

1. L'elenco nominativo dei tecnici con privilegi sui tuoi sistemi, aggiornato a ogni ingresso e uscita, e il diritto di riceverlo su richiesta.
2. Account nominativi, mai condivisi: senza un account per persona l'access log non dice chi ha fatto l'accesso.
3. Dove finiscono i log degli accessi dei tecnici del fornitore, chi può modificarli e per quanto tempo restano.
4. Chi fa la verifica annuale e in che forma ti viene restituito l'esito.

Una checklist per metterti in regola

1. Censisci gli amministratori, interni ed esterni, partendo dagli account privilegiati reali su dominio, server, database, rete e cloud, non dall'organigramma.
2. Prepara le designazioni individuali con gli ambiti di operatività e la traccia della valutazione.
3. Aggiorna l'elenco e decidi come renderlo conoscibile ai dipendenti, se gli amministratori toccano dati del personale.
4. Mappa le sorgenti di log e verifica che ogni sistema pertinente registri login, logout e tentativi falliti degli amministratori.
5. Centralizza e rendi i log inalterabili, con un tempo di conservazione scritto, di almeno sei mesi.
6. Pianifica la verifica annuale, con un verbale che confronti accessi e mansioni.
7. Allinea i contratti con i fornitori su elenco, account nominativi, log e verifica.

Come lavora AmagisTech sui log degli accessi

Con il nostro SOC gestito i log di autenticazione di server, database, rete e cloud confluiscono in una piattaforma centralizzata e vengono analizzati in continuo: gli accessi anomali degli amministratori emergono quando succedono, non alla verifica di fine anno. Se vuoi capire da dove partire nel tuo caso, trovi come lavoriamo nella pagina cybersecurity gestita.

In sintesi: il provvedimento del Garante del 27 novembre 2008, modificato nel 2009 e ancora applicabile dopo il GDPR, chiede di scegliere e designare individualmente gli amministratori di sistema, tenerne l'elenco, conoscere quelli dei fornitori, verificarne l'operato almeno una volta l'anno e registrarne gli accessi in log completi, inalterabili e conservati almeno sei mesi. Si registrano gli accessi, non i comandi: per farlo basta un log management solido, per accorgersi in tempo di un abuso serve qualcuno che quei log li legga.