GARANTE DELLA PRIVACY: Provvedimento ADS
La legge odierna
L’entrata in vigore del regolamento UE 679/2016 (General Data Protection Regulation o GDPR), che impone alle organizzazioni di tutelare i dati personali dei cittadini comunitari, ha avuto sin dall’inizio un impatto immediato sui sistemi informativi.
Tuttavia, il “Provvedimento degli amministratori di sistema” (pubblicato sulla G.U. n. 300 del 24 dicembre 2008), emanato dal Garante per la Privacy, è ancora attuale e perfettamente integrato con le disposizioni del GDPR (in particolare gli articoli 24, “responsibility of the controller” e 32, “security of processing”).
Il provvedimento, com’è noto, impone la registrazione degli accessi effettuati dagli amministratori (access log), l’indicazione dell’intervallo temporale e la descrizione dell’evento.
La disposizione impone il salvataggio delle informazioni per almeno 6 mesi e la salvaguardia dei principi di completezza, inalterabilità e integrità (di attualità anche con il GDPR).
SGBox è conforme al Provvedimento degli Amministratori di Sistema
Completezza
SGBox permette di raccogliere i log senza alterazioni, in modo sicuro, proteggendo i dati at rest e in transito (via HTTPS), tramite il protocollo TLS 1.2. L’integrità è offerta dalla cifratura all’interno dell’appliance e dalla firma digitale, che determina anche l’orario di salvataggio in modo certo.
Inalterabilità
L’applicazione di backup permette il salvataggio periodico dei dati raccolti su un supporto di memorizzazione esterno. Il dato cifrato, potrà essere conservato su supporti di memorizzazione non riscrivibili e verificare in qualsiasi momento che non sia stato alterato.
Conservazione
SGBox offre inoltre la possibilità di stabilire la durata della conservazione dei dati di log, impostando tempi di retention personalizzati (tutelando ad esempio il salvataggio delle informazioni dei dati raw per almeno 6 mesi, come richiesto dal Garante).
Accessibilità
Il pieno rispetto dei criteri della Segregation of Duties (SoD), permette infine di differenziare gli accessi al fine di non permettere, da parte degli amministratori di sistema, modifiche o sottrazione dei dati di log in modo arbitrario (principio della inalterabilità del dato).