Amministratori di sistema e provvedimento del Garante
Nomine individuali, elenco aggiornato, verifica annuale dell'operato e registrazione degli accessi: cosa chiede il provvedimento del 2008 e come lo copri con le nomine generate e i log raccolti da tre sorgenti.
Il provvedimento del Garante sugli amministratori di sistema
Il provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008, pubblicato nella Gazzetta Ufficiale n. 300 del 24 dicembre 2008 e modificato con il provvedimento del 25 giugno 2009, prescrive ai titolari del trattamento misure specifiche per chi amministra i sistemi informatici.
Per amministratore di sistema si intende chi gestisce e fa manutenzione dei sistemi con cui si trattano dati personali: server, reti, apparati di sicurezza, banche dati, gestionali. Può essere un dipendente, ma molto spesso è esterno: il fornitore IT, il consulente, la software house che accede da remoto. Per questo l'adempimento riguarda quasi ogni azienda.
Il provvedimento resta un riferimento del Garante anche dopo il GDPR, perché le sue misure sono un modo concreto di dimostrare la sicurezza del trattamento e il controllo degli accessi privilegiati. Se vuoi un approfondimento tecnico sui log, leggi la guida ai log degli amministratori di sistema.
Le misure prescritte agli amministratori di sistema
Sono misure organizzative e tecniche insieme. Le prime si documentano con nomine ed elenchi, le seconde con i log.
- Valutazione preventiva di esperienza, capacità e affidabilità di chi riceve l'incarico
- Designazione individuale, con l'elenco analitico degli ambiti di operatività consentiti
- Elenco aggiornato degli amministratori, con estremi identificativi e funzioni attribuite, disponibile in caso di accertamenti
- Servizi in outsourcing: gli estremi delle persone fisiche che amministrano i sistemi vanno conservati anche quando il servizio è affidato a un fornitore
- Conoscibilità ai lavoratori dell'identità degli amministratori, quando trattano dati dei dipendenti
- Verifica dell'operato degli amministratori, con cadenza almeno annuale
- Registrazione degli accessi logici ai sistemi e agli archivi elettronici, con riferimenti temporali e descrizione dell'evento
- Log con caratteristiche di completezza, inalterabilità e verificabilità dell'integrità, conservati per almeno sei mesi
Il testo integrale è pubblicato dal Garante: provvedimento del 27 novembre 2008, testo aggiornato.
Le nomine e l'elenco, senza copiare e incollare
La nomina dell'amministratore di sistema è individuale: una lettera per ogni persona, con i suoi ambiti. Con la Modulistica GDPR carichi una volta l'anagrafica di dipendenti e fornitori, anche da CSV, scegli il modello di nomina e i destinatari, e scarichi un archivio con un documento compilato per ciascuno, in DOCX modificabile o in PDF.
Puoi usare i nostri modelli o caricare i tuoi, per esempio quello approvato dal tuo DPO. Le stesse anagrafiche servono per le altre nomine e informative del GDPR.
L'elenco degli amministratori di sistema, interni ed esterni, si dichiara nel modulo Log Accessi, accanto ai loro accessi. È il documento che il provvedimento chiede di tenere aggiornato e di esibire.
Per la verifica annuale dell'operato, il modulo Compliance e GRC ti permette di registrarla come attività periodica: alla scadenza si riapre da sola, così non resta approvata una volta per sempre.
Il registro degli accessi, da tre sorgenti
Gli amministratori oggi lavorano su postazioni, server e servizi cloud. Il registro li raccoglie tutti nello stesso posto.
Endpoint, con il Cyber Agent come SIEM
Il Cyber Agent su PC e server centralizza i log di accesso: utente, postazione, indirizzo IP, dominio, host, esito, se l'utenza è amministrativa, data e ora.
Microsoft 365 ed Entra ID
Con il modulo Microsoft Entra ID, collegato in sola lettura, entrano nel registro gli accessi al tenant, con gli avvisi su tentativi falliti, paesi nuovi e account amministrativi.
Google Workspace
Se lavori con Google, il modulo Google Workspace aggiunge gli accessi agli account del dominio, accanto a quelli delle postazioni.
Perché i log devono stare fuori dalle mani di chi amministra
Un log che l'amministratore può cancellare dalla sua stessa macchina non dimostra nulla. Per questo il provvedimento chiede inalterabilità e verificabilità dell'integrità.
Il Cyber Agent invia i log a una raccolta centralizzata, fuori dal sistema che li ha generati, e li conserva fino a sei mesi. Monitora anche l'integrità dei file sugli endpoint, così una modifica non autorizzata emerge come evento. Se la tua politica di conservazione prevede tempi più lunghi, l'export CSV del registro ti permette di archiviarlo periodicamente nel tuo sistema documentale.
Dagli avvisi può nascere una proposta di blocco di un account Microsoft. La disabilitazione avviene solo quando una persona la conferma: un blocco automatico potrebbe essere provocato da chiunque conosca un indirizzo email aziendale.
Domande sugli amministratori di sistema
Chi è l'amministratore di sistema secondo il Garante?
È la figura che gestisce e fa manutenzione di un sistema di elaborazione o delle sue componenti: server, reti, apparati di sicurezza, basi di dati, sistemi gestionali complessi. Conta il ruolo effettivo, non il titolo: anche un tecnico esterno che interviene da remoto può esserlo.
Per quanto tempo vanno conservati i log degli amministratori di sistema?
Il provvedimento indica un periodo non inferiore a sei mesi. I log devono essere completi, inalterabili e con integrità verificabile, e comprendere i riferimenti temporali e la descrizione dell'evento. Se hai altre norme o policy interne con tempi più lunghi, vale il termine più lungo.
Se l'IT è affidato a un fornitore, devo comunque nominare gli amministratori?
Sì. Il provvedimento chiede di conservare gli estremi identificativi delle persone fisiche che, presso il fornitore, operano come amministratori dei tuoi sistemi. In pratica serve l'elenco nominativo, oltre agli accordi con il fornitore come responsabile del trattamento.
Come si fa la verifica annuale dell'operato?
Il titolare controlla almeno una volta l'anno che l'attività degli amministratori rispetti le misure organizzative, tecniche e di sicurezza previste. Il registro degli accessi, con gli avvisi e l'export, è la base per farla e per documentarla.
Il registro degli accessi si può consegnare in un'ispezione?
Sì. L'export CSV contiene il registro completo e si allega come evidenza, insieme all'elenco degli amministratori di sistema e alle nomine individuali generate con la modulistica.
I moduli per l'adempimento
Log accessi
Gli accessi degli amministratori di sistema raccolti e conservati come chiede il Garante.
Scopri di più VedereCyber Agent
L'agente sugli endpoint: eventi di sicurezza, integrità dei file e avvisi in italiano.
Scopri di più GovernareModulistica GDPR
Nomine, informative e lettere di incarico per tutto il personale, generate in un passaggio.
Scopri di più VedereMicrosoft Entra ID
La postura di sicurezza del tenant Microsoft 365 su 72 indicatori, in sola lettura.
Scopri di più VedereGoogle Workspace
35 controlli sul catalogo CIS per la configurazione di Google Workspace, posta compresa.
Scopri di più ConformitàGDPR
Registro dei trattamenti, nomine, misure dell'art. 32 e data breach.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.