Documenti di Didattica
Documenti di Professioni
Documenti di Cultura
Misure minime di
sicurezza: aspetti pratici
Le norme contenute nell'Allegato B del “Codice in materia di protezione
dei dati personali” descrivono, tra gli altri, i requisiti minimi di sicurezza
dei sistemi informatici destinati al trattamento dei dati personali.
In questo articolo vedremo come implementarle, mostrando un semplice
caso pratico, in ambiente Windows e Linux
I
l trattamento di dati personali attraverso l’uso di lizzazione degli operatori, senza il cui impegno e diligenza la
sistemi informatici e telematici impone il rispetto di salvaguardia dei dati custoditi dal sistema può risultare com-
pratiche organizzative e parametri tecnici che garan- pletamente compromessa.
tiscano la protezione dei dati da accessi non autoriz-
zati. Il Codice in materia di protezione dei dati 17) Il trattamento di dati personali con strumenti elettro-
personali (Codice Privacy [1]) contiene le Misure nici è consentito agli incaricati dotati di credenziali di
minime di sicurezza da adottare (Allegato B) e fornisce autenticazione che consentano il superamento di una
indicazioni generali per titolari, responsabili, incaricati e procedura di autenticazione relativa a uno specifico
amministratori di sistema. Le problematiche di sicurezza in trattamento o a un insieme di trattamenti.
ambito aziendale (anche di piccole realtà), specie nel caso
della protezione dei sistemi destinati al trattamento dei dati Il primo punto può apparire scontato ma è fondamentale: per
sensibili ad opera di più incaricati con ruoli diversi, posso- l’accesso ad un sistema informatico destinato al trattamento
no crescere in maniera esponenziale su molteplici fronti. I dei dati è necessario che esso sia dotato di meccanismi che
sistemi dovranno gestire una lista di controllo degli accessi, impediscano l’accesso a coloro che non sono dotati delle cre-
che assegni a ciascuno i diritti minimi sui dati, per consen- denziali (nel caso più semplice: username e password).
tire di compiere il proprio lavoro e, allo stesso tempo, pro- Questo porta immediatamente ad escludere sistemi operati-
teggere i dati per le quali non si dispone dei requisiti di vi basati sul vecchio DOS, nonché Windows 95/98/ME, nei
accesso. quali la procedura di login può essere superata… con la sem-
Il rispetto della normativa sulla privacy, però, non riguarda plice pressione del tasto ESC! In questi sistemi, infatti, l’uso di
soltanto soggetti di grandi dimensioni (Pubblica diversi codici di accesso ha funzione di personalizzazione
Amministrazione, piccole e grandi aziende), ma investe piuttosto che di protezione del sistema, considerato anche il
anche piccole realtà, quali esercizi commerciali e gruppi. fatto che i file system supportati non gestiscono le ownership
Una associazione culturale, ad esempio, dovrà gestire in dei file e permessi distinti per utenti e gruppi. Drasticamente,
maniera opportuna i dati dei propri soci, adempiendo alle la normativa impone di dotarsi di sistemi moderni, evitando
misure minime in maniera corretta. Come caso pratico con- la pratica del riciclo di macchine ormai obsolete e non in
sideriamo, dunque, la gestione dei dati attraverso l’utilizzo grado di gestire sistemi più recenti. Su questi ultimi, comun-
di un unico calcolatore destinato alla memorizzazione e ela- que, sarà necessario disabilitare eventuali funzioni di auto-
borazione delle informazioni e alla quale avranno accesso logon, con le quali il sistema effettua l’accesso automatico con
un amministratore del sistema e uno o due incaricati con il uno username predefinito scelto dall’utente.
medesimo ruolo.
Vedremo come in ambiente Windows e Linux siano già dis- 18) Le credenziali di autenticazione consistono in un
ponibili strumenti che consentono di ottenere dei buoni codice per l’identificazione dell’incaricato associato a
livelli di sicurezza. una parola chiave riservata conosciuta solamente dal
medesimo oppure in un dispositivo di autenticazione
Sistema di autenticazione informatica in possesso e uso esclusivo dell’incaricato, eventual-
L’Allegato B enumera, in 11 punti, quali caratteristiche di mente associato a un codice identificativo o a una
autenticazione deve possedere il sistema informatico. Alcune parola chiave, oppure in una caratteristica biometrica
indicazioni sono di carattere squisitamente tecnico; altre dell’incaricato, eventualmente associata a un codice
dipendono da un attento processo di informazione e sensibi- identificativo o a una parola chiave.
sarà necessario attivare la funzione, presente in tutti gli tà, ma la semplice assegnazione delle credenziali è solo l’ini-
ambienti grafici, che consente di bloccare la workstation zio della procedura di protezione del sistema.
dopo un certo intervallo di inattività (generalmente attraverso
il salvaschermo). Oltre le misure minime…
Se è vero, infatti, che l’uso di password e liste di controllo
26) Quando l’accesso ai dati e agli strumenti elettronici è d’accesso (per gli scenari più complessi), l’adozione di
consentito esclusivamente mediante uso della compo- policy efficaci per le password, l’eventuale uso di strumenti
nente riservata della credenziale per l’autenticazione, hardware quali token USB o smart card, costituiscono un
sono impartite idonee e preventive disposizioni scritte primo fondamentale livello di protezione delle macchine
volte a individuare chiaramente le modalità con le destinate al trattamento dei dati, è altrettanto vero che alcu-
quali il titolare può assicurare la disponibilità di dati ne leggerezze sulla gestione del sistema nel suo complesso
o strumenti elettronici in caso di prolungata assenza o possono portare a conseguenze disastrose.
impedimento dell’incaricato che renda indispensabile A questo proposito, l’esperienza di ciascuno porterà imme-
e indifferibile intervenire per esclusive necessità di ope- diatamente alla memoria qualche episodio avvenuto duran-
ratività e di sicurezza del sistema. In tal caso la custo- te lo svolgimento della propria attività professionale e occor-
dia delle copie delle credenziali è organizzata garan- rerebbero numerose pagine per compilare una lista dei casi
tendo la relativa segretezza e individuando preventi- più comuni. Limitiamo per ora la nostra attenzione ad un
vamente per iscritto i soggetti incaricati della loro caso particolarmente semplice: si ipotizzi che su un sistema
custodia, i quali devono informare tempestivamente dotato di una robusta gestione delle credenziali di accesso e
l’incaricato dell’intervento effettuato. permessi limitati sui singoli file di interesse sia presente un
account di servizio.
Per gli approfondimenti sul decimo punto si veda l’articolo
di questo Speciale “Quali altri modi per intendere la
Privacy?”: l’esercizio del diritto dell’utente ad avere accesso
ai propri dati deve essere garantito anche nel caso in cui
l’incaricato non possa essere present. Infine, per completez- Smart card e sistemi biometrici
za riportiamo anche l’ultimo punto (11), in cui si specifica
un caso particolare per il quale le norme appena descritte possono aumentare la sicurezza
non si applicano: delle credenziali di accesso
27) Le disposizioni sul sistema di autenticazione di cui ai
precedenti punti e quelle sul sistema di autorizzazione
non si applicano ai trattamenti dei dati personali
destinati alla diffusione. Tale account potrebbe essere stato reso disponibile per con-
sentire ad alcuni utenti ospiti di usare una risorsa locale non
Quanto mostrato fino a qui non presenta sostanziali difficol- condivisa (ad esempio, uno scanner). Quale problema
FIGURA 2
Un esempio di policy per la gestione della password in Linux
caci (con accezione fortemente negativa!). Si tenga presente relative alla protezione da attacchi provenienti dalla rete: il
che quanto descritto finora può avvenire, potenzialmente, tema si amplia notevolmente, sia per la molteplicità dei casi
senza che i responsabili dei sistemi si accorgano del danno. possibili che per le implicazioni nell’uso di applicativi quali
Linux [5] e Windows [6] dispongono di validi strumenti per client email, web browser e la necessità di una adozione
la cifratura del disco rigido e la loro adozione è fortemente sistematica di firewall. Tali temi sono stati trattati nel detta-
consigliata quanto non possa essere garantita la totale sicu- glio sulle pagine delle riviste Infomedia, alla quali si riman-
rezza dei locali in uso. Il caso estremo, infatti, è rappresen- da per approfondimento.
tato dal furto del supporto di memorizzazione (disco rigido
interno o esterno) o della workstation completa. Usando Conclusioni
strumenti di cifratura forte, senza disporre delle credenziali In questo breve articolo sono stati analizzati i requisiti minimi
sarà pressoché impossibile avere accesso ai dati. di autenticazione previsti dal Codice Privacy. In un caso sem-
plice, come una singola workstation e incaricati con medesi-
I passi successivi mo ruolo, gli strumenti disponibili sono sufficienti a garantire
Il sistema di autenticazione non è l’unico accorgimento da il rispetto della norma. V
adottare per essere in regola con la normativa. Nel caso, infat- a rilevato, però, che accanto ai requisiti tecnici, vi sono
ti, in cui più soggetti abbiano accesso ai dati con ruoli diver- importanti implicazioni dal punto di vista organizzativo e
si, sarà necessario prevedere un Sistema di autorizzazione, comportamentale: informare ed educare alla sicurezza diven-
attraverso una opportuna Access Control List a livello di siste- ta indispensabile.
ma e di applicazioni. Vedremo prossimamente alcuni importanti approfondimenti
sui temi presentati in questo articolo.