Codice della privacy - Misure di sicurezza minime
Dal 1 Gennaio 2004 è in vigore, in Italia, il "Codice in materia di
protezione dei dati personali" (Decreto legislativo n. 196 del 30/6/2003)
che riforma interamente la disciplina sulla privacy. Il Codice abroga e
sostituisce tutte le precedenti leggi, decreti e regolamenti in materia,
riunendo in un unico organico contesto l'intera normativa sulla privacy. Il Codice richiede l'adozione di diverse misure di sicurezza per garantire che i dati trattati siano custoditi e controllati secondo alcune misure minime di sicurezza. Le misure minime di sicurezza richieste dalla legge sono tecniche, informatiche, organizzative, logistiche e procedurali e sono tutte orientate a ridurre i rischi che incombono sui dati personali trattati. In relazione al software SQTM si tratteranno, in questa sede, le misure tecniche e informatiche.
Credenziali, autenticazione, autorizzazione
Poiché alla base delle misure minime sono poste le modalità per l'accesso ai dati che devono avvenire solo da parte delle persone autorizzate ed esplicitamente incaricate, SQTM assegna ad ogni utente una cosiddetta credenziale di autenticazione, cioè una parola chiave che consente l'autenticazione informatica delle persone incaricate del trattamento di dati. Inoltre, poiché in genere sono più d’una le persone incaricate ad accedere ai dati, SQTM consente di associare ad ogni soggetto uno specifico profilo per l'accesso. Il profilo identifica dei trattamenti di dati che possono essere svolti e costituisce l'ambito del trattamento consentito.
Si può concludere che in SQTM il processo, chiamato sistema di autorizzazione, che consente l'accesso ai dati rispetta pienamente questo punto.
La legge definisce anche i criteri con cui le credenziali devono essere scelte; ad esempio la parola chiave usata in un sistema di autenticazione deve essere composta da almeno otto caratteri. L’attuale versione di SQTM consente anche l’introduzione di parole chiave composte da un numero minore di caratteri, delegando così agli utenti l’incombenza di rispettare questo punto; la misura di sicurezza non è dunque forzata a livello informatico ma dev’essere rispettata a livello procedurale, con un’invito esplicito da parte del Responsabile dei Dati di rispettarla. Tale misura procedurale va in ogni caso applicata, dal momento che – per la legge – la parola chiave non deve contenere riferimenti agevolmente riconducibili all'incaricato, e un normale sistema informatico non è in grado di impedirlo.
La legge richiede ancora che la password venga modificata al primo utilizzo, e l’invito – pur presente nella documentazione di SQTM – suggerisce una misura procedurale ma non forza tale modifica.
Trattandosi di dati sensibili, la parola chiave dev’essere modificata ogni tre mesi. SQTM non esegue attualmente alcun controllo sui periodi di tempo che separano le modifiche della password, delegando dunque all’utente il compito di eseguirle.
Protezione da programmi maligni, prevenzione dalle vulnerabilità, salvataggio dei dati
Il codice prevede misure rivolte a tutelare la sicurezza dei dati personali dalle nuove emergenti criticità, ed SQTM si pone nei seguenti modi rispetto ai vari rischi:
- poiché i dati personali devono essere protetti contro il rischio di intrusione e dell'azione di virus, internet worm, programmi maligni, ecc., mediante l'attivazione di idonei strumenti elettronici costantemente aggiornati SQTM dev’essere installato su macchine appositamente protette, ma – come qualsiasi database - non ha alcun ruolo attivo di difesa.
- SQTM viene aggiornato periodicamente con l’uscita di versioni realizzate in seguito all’individuazione di vulnerabilità e difetti del software.
- in una specifica documentazione, SQTM invita l’utente a salvare i dati su copie di riserva molto frequentemente (la legge impone di realizzare una copia del database almeno settimanalmente).
Evoluzioni previste
I requisiti di sicurezza richiesti dal Codice per le user-id e password verranno completamente rispettati nella prossima release del programma, che realizzerà i seguenti punti:
- impedire all'amministratore di sistema di conoscere le password degli utenti;
- pre-impostare una lunghezza minima della password;
- pre-impostare l'obbligo di sostituzione della password al primo uso;
- pre-impostare la modifica periodica delle password;
- pre-impostare la "disattivazione automatica" delle user-id dopo sei mesi di inattività.
|