La conservazione sostitutiva: le norme del garante della privacy introducono novità in materia di sicurezza

La conservazione sostitutiva: le norme del garante della privacy introducono novità in materia di sicurezza

Pubblicato il 17/10/2009 | da Dott. Nicola Savino

Con le ultime novità del garante della privacy gli operatori e i professionisti che propongono e gestiscono il servizio di conservazione sostitutiva, devono ora implementare determinate procedure atte a rendere maggiormente sicuri i sistemi informativi utilizzati per la conservazione di documenti fiscali e giuridici o in caso di trattamento di dati sensibili. Il garante inoltre fornisce delle linee guida per garantire almeno delle misure minime di sicurezza, necessarie per la corretta tenuta di dati sensibili.

Ricordiamo infatti che, oltre a quelle minime, vengono fornite dal Garante anche misure sufficienti di sicurezza, che devono essere obbligatoriamente soddisfatte, ma che in questo capitolo non tratteremo.
Ma per gli operatori della conservazione sostitutiva, cosa significa in termini pratici ? Innanzitutto, è ovviamente obbligatorio l'uso di un software di protezione contro le più basilari minacce del web, ma non basta. Infatti, per ovviare a determinati attacchi provenienti dalla rete, che mirano a catturare i dati e le informazioni riservate contenute nei sistemi informativi adottati, c'è bisogno anche di idonei strumenti elettronici. Il problema è definire cosa la normativa intende per idonei strumenti elettronici. Qualunque firewall hardware potrebbe essere considerato idoneo ? A mio avviso no. E' chiaro che per la corretta conservazione di documenti e di dati sensibili e giuridici, non basta un semplice firewall, ma i sistemi informativi devono essere protetti da macchinari hardware di indubbia qualità. Al momento, il mercato della sicurezza informatica offre tecnologie di prevenzione, i cosiddetti IPS, che permetto di prevenire appunto le frodi informatiche, proteggendo tutto il perimetro della rete aziendale. E' necessario comunque anche intraprendere delle metodologie a garanzia dei dati. Queste metodologie devono essere attentamente progettate e gestite, in modo da avere un architettura di sicurezza capace di prevenire non solo le intrusioni e le minacce, ma anche riuscire a rispondere quasi istantaneamente a guasti e/o problemi ormai verificati. Insomma, c'è bisogno di un attenta analisi di gestione dei rischi e di adeguate misure di sicurezza.

Oltre a queste novità, il garante della privacy obbligherà la tenuta, da parte degli Amministratori di Sistema, dei file di log che attestano gli accessi ai sistemi informativi, per almeno sei mesi. Ma non solo. Questi file di log, dovranno essere firmati dalla persona autorizzata al trattamento dei dati sensibili o suo/i delegato/i, per renderli immodificabili e integri per tutto il periodo di conservazione.

Link: Seen Solution