Provvedimento amministratori di sistema: obblighi, log di accesso e GDPR

In questo articolo

Il provvedimento amministratori di sistema è uno dei principali riferimenti in materia di sicurezza informatica e protezione dei dati personali. Introdotto dal Garante Privacy nel 2008 e successivamente aggiornato nel 2009, il provvedimento nasce con l’obiettivo di regolamentare le attività delle figure tecniche che gestiscono sistemi informatici, reti, database e infrastrutture aziendali.

Nonostante il GDPR non richiami espressamente la figura dell’amministratore di sistema, gli obblighi previsti dal provvedimento continuano a essere fondamentali per garantire la sicurezza del trattamento dei dati personali e la tracciabilità degli accessi ai sistemi informatici.

Il provvedimento del Garante Privacy sugli amministratori di sistema definisce le misure organizzative e tecniche che aziende e pubbliche amministrazioni devono adottare per controllare le attività degli utenti con privilegi amministrativi.

Secondo il Garante, i system administrator sono figure professionali incaricate della gestione e manutenzione di impianti di elaborazione, reti, basi di dati e sistemi software complessi. Rientrano quindi nel perimetro del provvedimento:

• amministratori di reti informatiche
• database administrator
• amministratori di sistemi software
• gestori di apparati di sicurezza
• tecnici con accessi privilegiati ai sistemi

Le figure professionali elencate possiedono credenziali che consentono di accedere a dati personali, modificare configurazioni, autorizzare utenti e intervenire direttamente sulle infrastrutture IT. Proprio per questo il Garante ha introdotto specifici obblighi di controllo e monitoraggio delle loro attività.

Il provvedimento amministratori di sistema impone ai titolari del trattamento una serie di adempimenti finalizzati a ridurre i rischi legati agli accessi privilegiati.

Tra gli obblighi principali troviamo:

• la valutazione preventiva dell’esperienza, affidabilità e competenza tecnica dell’amministratore di sistema
• la designazione individuale con indicazione analitica degli ambiti di operatività
• la predisposizione di un elenco aggiornato degli amministratori di sistema
• la verifica periodica, almeno annuale, delle attività svolte
• la registrazione degli accessi logici ai sistemi e agli archivi elettronici

Il Garante sottolinea inoltre che la nomina degli amministratori di sistema deve essere formalizzata e documentata, anche quando il servizio viene affidato a fornitori esterni o società ICT. In questi casi il soggetto esterno assume spesso il ruolo di responsabile del trattamento ai sensi dell’art. 28 del GDPR.

Dal punto di vista organizzativo, il provvedimento si collega direttamente ai principi di accountability e sicurezza del trattamento previsti dall’art. 32 del GDPR.

Uno degli aspetti più rilevanti del provvedimento riguarda la registrazione dei log di accesso degli amministratori di sistema. Il Garante richiede l’adozione di sistemi in grado di tracciare gli accessi logici effettuati dagli utenti con privilegi amministrativi ai sistemi che trattano dati personali.

I log devono registrare almeno:

• eventi di login e logout
• autenticazioni fallite
• riferimenti temporali degli accessi
• descrizione dell’evento generato

Le registrazioni devono inoltre garantire:

• completezza
• integrità
• inalterabilità
• possibilità di verifica nel tempo

La conservazione minima prevista è di almeno sei mesi.

È importante evidenziare che il provvedimento non richiede necessariamente il tracciamento dettagliato delle operazioni svolte dagli amministratori di sistema, ma soprattutto la registrazione degli eventi di accesso ai sistemi informatici.

Per approfondire il tema della gestione e conservazione dei registri informatici può essere utile consultare anche i nostri approfondimenti
Log management e GDPR
Log management
Analisi dei log e sicurezza aziendale

Per essere conformi al provvedimento è necessario adottare misure tecniche e organizzative adeguate alla complessità dell’infrastruttura IT aziendale.

Tra le best practice più diffuse rientrano:

• gestione centralizzata dei log;
• separazione degli account amministrativi;
• controllo degli accessi privilegiati;
• utilizzo di sistemi di log management;
• protezione dei log contro modifiche o cancellazioni;
• verifica periodica delle autorizzazioni assegnate.

Nelle aziende più strutturate vengono spesso utilizzati sistemi centralizzati di raccolta log o piattaforme SIEM (Security Information and Event Management) in grado di migliorare il monitoraggio degli accessi amministrativi e facilitare eventuali verifiche ispettive. Anche la protezione del trasporto e dell’archiviazione dei log assume un ruolo fondamentale, soprattutto per evitare alterazioni dei dati durante la trasmissione o la conservazione.

Sebbene il GDPR non disciplini espressamente la figura dell’amministratore di sistema, il provvedimento del Garante continua a essere considerato pienamente attuale.

Gli obblighi previsti si integrano infatti con:

• l’art. 29 GDPR sugli autorizzati al trattamento;
• l’art. 32 GDPR relativo alla sicurezza del trattamento;
• i principi di accountability e gestione del rischio;
• le misure di prevenzione dei data breach.

Gli amministratori di sistema rappresentano infatti una delle figure più critiche dal punto di vista della sicurezza informatica, poiché dispongono di accessi privilegiati a sistemi, database e infrastrutture contenenti dati personali.

Semplificare la gestione dei log può sembrare un compito arduo ma con l’adozione di soluzioni adeguate si rivela decisamente gestibile. Optare per una piattaforma dedicata alla gestione dei log permette agli amministratori di sistema di centralizzare e monitorare efficacemente i processi.

Le soluzioni software disponibili sul mercato presentano una vasta gamma di funzionalità: dall’aggregazione centralizzata dei dati, alla correlazione degli eventi, fino a strumenti avanzati per la ricerca e l’analisi dei log, completi di reportistica automatizzata che fornisce aggiornamenti in tempo reale sulle prestazioni dei sistemi. Per raggiungere un livello superiore di efficienza e sicurezza l’adozione di un servizio IT completamente gestito offre però benefici maggiori in termini di gestione e protezione dei dati.

BeeTech è la nostra Business Unit dedicata ai servizi IT gestiti, progettati e sviluppati per soddisfare in modo proattivo le esigenze tecnologiche delle aziende che scelgono di affidarsi ad un Managed Service Provider (MSP).

BeeTech, fornisce un’ampia gamma di servizi IT essenziali che includono la scansione, la gestione e il monitoraggio proattivo dei sistemi informatici, la sicurezza delle reti e dei dati, il backup e il ripristino, la gestione delle applicazioni e del cloud e la consulenza tecnologica.