Il Garante chiede di registrare gli accessi logici degli amministratori di sistema agli elaboratori e agli archivi elettronici, cioè login, logout e tentativi di accesso, con log completi, inalterabili e di cui si possa verificare l'integrità. I log vanno conservati per un periodo congruo, non inferiore a sei mesi, e l'operato degli amministratori va verificato almeno una volta l'anno.
L'adempimento riguarda quasi ogni azienda, perché quasi ogni azienda ha qualcuno, interno o esterno, che gestisce server, rete, posta e gestionale con privilegi elevati. Questa guida spiega cosa chiede il provvedimento, come lo interpretano le risposte ufficiali alle domande frequenti e come applicarlo oggi, con una parte dell'infrastruttura in cloud.
Il provvedimento del Garante sugli amministratori di sistema
Il riferimento è il provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008, "Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema", pubblicato nella Gazzetta Ufficiale n. 300 del 24 dicembre 2008. È stato modificato dal provvedimento del 25 giugno 2009 (Gazzetta Ufficiale n. 149 del 30 giugno 2009), che tra l'altro ha chiarito il ruolo dei responsabili esterni. Nel 2009 il Garante ha pubblicato anche una serie di risposte alle domande frequenti, che restano la chiave di lettura più utile.
Il provvedimento nasce sotto il vecchio Codice privacy, ma non è decaduto con il GDPR. Il decreto legislativo 101/2018, che ha adeguato il Codice al regolamento europeo, ha stabilito che i provvedimenti del Garante adottati in precedenza continuano ad applicarsi in quanto compatibili. Oggi il registro degli accessi degli amministratori è anche uno dei modi più concreti per dimostrare le misure di sicurezza adeguate che il GDPR chiede all'articolo 32.
Le FAQ escludono i trattamenti effettuati solo per ordinarie finalità amministrative e contabili, con esempi come la gestione del parco auto, degli acquisti o della manutenzione degli immobili. In pratica, quasi tutte le aziende trattano anche altri dati, a partire da quelli dei dipendenti e dei clienti.
Chi è amministratore di sistema
Per il Garante l'amministratore di sistema è la figura professionale dedicata alla gestione e alla manutenzione di impianti di elaborazione o di loro componenti con cui si trattano dati personali. Il provvedimento include figure equiparabili dal punto di vista dei rischi: gli amministratori di basi di dati, di reti e di apparati di sicurezza, di sistemi software complessi.
Conta il ruolo, non il contratto. Sono amministratori di sistema il tecnico interno con le credenziali di dominio, il fornitore IT che gestisce i server da remoto, la software house che entra nel database del gestionale per l'assistenza. Secondo le FAQ non lo sono, invece, gli utenti che usano un'applicazione con il proprio profilo di autorizzazione, anche se ampio, né chi interviene sui sistemi solo occasionalmente, per esempio per riparare un guasto.
Gli amministratori esterni non ti esonerano. Quando l'amministrazione di sistema è affidata in outsourcing, il provvedimento chiede che il titolare o il responsabile esterno conservino direttamente e specificamente, per ogni eventuale evenienza, gli estremi identificativi delle persone fisiche preposte come amministratori. Le modifiche del 2009 hanno chiarito che queste misure possono essere attuate anche dal responsabile, sulla base del contratto. La nomina e le istruzioni al fornitore si preparano con la modulistica GDPR, e la sua affidabilità si verifica con la qualifica dei fornitori.
Le cinque misure richieste dal provvedimento
Il dispositivo elenca cinque misure. Il registro dei log è la più nota, ma da sola non basta.
| Punto | Cosa chiede | Cosa produrre |
|---|---|---|
| Valutazione delle caratteristiche | Attribuire il ruolo valutando esperienza, capacità e affidabilità della persona | Criteri di scelta documentati |
| Designazione individuale | Una designazione per persona, con l'elencazione analitica degli ambiti di operatività consentiti | Lettere di designazione firmate |
| Elenco degli amministratori | Estremi identificativi e funzioni attribuite, in un documento interno aggiornato; se gli amministratori trattano dati dei lavoratori, la loro identità va resa nota o conoscibile ai lavoratori | Elenco aggiornato, informativa o comunicazione interna |
| Verifica delle attività | Verifica dell'operato degli amministratori con cadenza almeno annuale | Verbale della verifica |
| Registrazione degli accessi | Sistemi idonei a registrare gli accessi logici, con log completi, inalterabili e verificabili, conservati non meno di sei mesi | Registro degli access log e prova della conservazione |
Cosa registrare negli access log
Il provvedimento chiede di registrare gli accessi logici, cioè le autenticazioni informatiche, degli amministratori ai sistemi di elaborazione e agli archivi elettronici. La FAQ n. 9 precisa che per access log si intende la registrazione degli eventi generati dal sistema di autenticazione all'atto dell'accesso o tentativo di accesso e all'atto della disconnessione. Quindi login riusciti, login falliti e logout.
Ogni registrazione deve avere i riferimenti temporali e la descrizione dell'evento che l'ha generata. Secondo la stessa FAQ, un evento contiene di solito:
- Lo username utilizzato
- La data e l'ora dell'evento
- Il sistema o il software a cui si è acceduto
- Il tipo di evento: login, logout o condizione di errore
- La linea di comunicazione o il dispositivo da cui è avvenuto l'accesso
Tre chiarimenti delle FAQ evitano lavoro inutile o lacune:
- Non serve registrare i comandi. Il provvedimento non chiede di tracciare l'attività interattiva, cioè i comandi impartiti o le transazioni effettuate. Se il tuo sistema raccoglie di più, va bene, e puoi filtrare i soli dati pertinenti agli amministratori.
- Anche le postazioni di lavoro. Gli accessi degli amministratori vanno registrati sui server ma anche sui client, intesi come postazioni di lavoro informatizzate.
- Anche i database. Le autenticazioni verso i sistemi di gestione delle basi di dati rientrano nel perimetro.
Completezza, inalterabilità, integrità
Le registrazioni devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità, adeguate allo scopo di verifica per cui sono richieste.
Completezza significa, secondo la FAQ n. 11, che il sistema di log deve comprendere tutti gli eventi di accesso interattivo degli amministratori su tutti i sistemi con cui si trattano, anche indirettamente, dati personali. Se registri il controller di dominio ma non il firewall, il NAS e il database del gestionale, il registro non è completo.
Inalterabilità e integrità non richiedono per forza prodotti costosi. La FAQ n. 12 indica che nei casi più semplici può bastare la strumentazione dei sistemi operativi, con l'esportazione periodica dei log su supporti non riscrivibili; nei casi più complessi si può ricorrere a log server centralizzati e "certificati". Il principio è uno: chi viene controllato non deve poter modificare o cancellare le tracce dei propri accessi. Se l'amministratore del server è anche l'unico che può toccare i log, il requisito non è soddisfatto.
Per questo molte aziende raccolgono gli accessi su un sistema centrale separato, come un SIEM, gestito con credenziali diverse da quelle degli amministratori controllati. Se vuoi capire come funziona, leggi la guida cos'è un SIEM.
Per quanto conservare i log
Il provvedimento chiede di conservare le registrazioni per un congruo periodo, non inferiore a sei mesi. Sei mesi sono il minimo, non un valore consigliato. Il provvedimento non fissa un massimo: la durata va decisa dal titolare, motivata e scritta, tenendo conto dello scopo di verifica e del principio di limitazione della conservazione del GDPR.
Un ragionamento utile: se la verifica dell'operato degli amministratori è annuale, un registro che conserva solo sei mesi ti lascia senza dati per metà del periodo da verificare. Molte organizzazioni scelgono quindi un periodo più lungo, documentandone il motivo. Qualunque scelta fai, scrivila nella procedura e applicala davvero, compresa la cancellazione alla scadenza.
Attenzione al conteggio. "Non inferiore a sei mesi" vale per ogni registrazione. Se il sistema ruota i file di log quando raggiungono una certa dimensione, su un server molto attivo sei mesi possono diventare poche settimane senza che nessuno se ne accorga.
La verifica annuale dell'operato
L'operato degli amministratori deve essere oggetto, con cadenza almeno annuale, di un'attività di verifica da parte del titolare o dei responsabili, per controllarne la rispondenza alle misure organizzative, tecniche e di sicurezza previste. Il registro degli accessi è lo strumento di partenza: le FAQ indicano come scopo l'individuazione di anomalie nella frequenza, negli orari, nella durata e nei sistemi utilizzati.
Una verifica che regge in un controllo è documentata. Il verbale indica chi l'ha svolta e quando, quale periodo e quali sistemi ha esaminato, quali anomalie ha trovato e cosa è stato deciso. Una verifica senza traccia scritta, per chi controlla, non è avvenuta.
Microsoft 365 e Google Workspace
Il provvedimento è del 2008, ma i principi valgono anche per i servizi cloud: gli amministratori del tenant Microsoft 365 o della console Google Workspace accedono a caselle di posta, documenti e anagrafiche. Il punto delicato è quanto a lungo la piattaforma conserva i log da sola.
- Microsoft 365. Secondo la documentazione Microsoft, i log di accesso di Microsoft Entra ID sono conservati per sette giorni con la licenza gratuita e per trenta giorni con le licenze P1 e P2. Molto meno di sei mesi: i log vanno esportati e archiviati altrove. Il registro di controllo unificato di Microsoft Purview segue regole proprie, che dipendono dalla licenza.
- Google Workspace. Secondo la documentazione Google, gli eventi dei log di amministrazione e degli accessi degli utenti restano disponibili per sei mesi, e gli amministratori non possono cambiarne la durata. Sei mesi coincidono con il minimo, senza margine: se la tua procedura prevede un periodo più lungo, serve un'esportazione.
In entrambi i casi la soluzione è la stessa: raccogliere gli accessi in un registro esterno al tenant, separato dagli amministratori che si vogliono verificare. È anche il modo per avere in un unico posto gli accessi al cloud e quelli alle postazioni.
Gli errori tipici
- L'elenco esiste solo per gli interni. Il fornitore IT e la software house sono spesso i primi amministratori di sistema, e i più dimenticati.
- Account condivisi. Un'utenza "admin" usata da tre persone rende il log inutile: registra un accesso, ma non dice chi l'ha fatto.
- Log sullo stesso server che controllano. Se l'amministratore può cancellarli, non sono inalterabili.
- Solo i server. Le FAQ includono postazioni di lavoro e database.
- Conservazione "a occhio". Nessuno ha verificato che i log arrivino davvero indietro di sei mesi.
- Cloud dimenticato. Si registra il dominio locale e si ignora il tenant, dove i log scadono dopo pochi giorni.
- Verifica annuale mai verbalizzata. I log ci sono, ma nessuno li ha mai guardati.
Come dimostrarlo in un controllo
In un'ispezione o in un audit, sia per il provvedimento sia per norme come la ISO/IEC 27001 o la NIS2, ti verrà chiesto di mostrare evidenze, non intenzioni. Prepara un fascicolo con:
- L'elenco aggiornato degli amministratori di sistema, interni ed esterni, con le funzioni attribuite
- Le designazioni individuali firmate e, per i servizi in outsourcing, gli estremi identificativi degli amministratori del fornitore
- La comunicazione ai lavoratori dell'identità degli amministratori, quando trattano dati del personale
- Un estratto del registro degli accessi, con utente, data e ora, sistema ed esito
- La prova che il registro copre almeno sei mesi, e la procedura che fissa il periodo di conservazione
- La descrizione di come è garantita l'inalterabilità dei log
- Il verbale dell'ultima verifica annuale, con le anomalie trovate e le azioni decise
Lo stesso registro serve anche dopo un incidente: per ricostruire chi è entrato e quando, come spiega la guida data breach: cosa fare nelle 72 ore.
Come ti aiuta Dottor Box
Il controllo Log accessi raccoglie gli accessi in un unico registro da tre sorgenti: dagli endpoint, con il Cyber Agent che fa da SIEM, e dai tenant collegati in sola lettura tramite i moduli Microsoft Entra ID e Google Workspace. Per ogni accesso agli endpoint registra utente, postazione, indirizzo IP, dominio, host, esito, se l'utenza è amministrativa, data e ora.
Accanto al registro trovi l'elenco dichiarato degli amministratori di sistema e l'export CSV completo da allegare in audit. Gli avvisi su tentativi falliti ripetuti, accessi da paesi nuovi e ingressi con utenze amministrative sono la base della verifica periodica. Il percorso completo, dalle nomine alla verifica, è descritto nella pagina amministratori di sistema.