Security & Privacy Integrità Riservatezza Disponibilità La Normativa Le operazioni per la gestione della sicurezza devono garantire le caratteristiche di un sistema informatico perché possa essere Effettivamente definito SICURO. Le normative riguardano essenzialmente Integrità Riservatezza Disponibilità

Security & Privacy Integrità La Normativa Riservatezza Disponibilità I dati non debbono essere alterati da chi non possiede le adeguate autorizzazioni. I dati devono essere compresi solo da chi ha i diritti per poterli utilizzare. I dati devono essere sempre a disposizione di chi è autorizzato a fruirne.

Security & Privacy La Normativa Inizialmente esisteva il CED (centro elaborazione dati) ed erano necessarie solo misure minime riguardo alla Sicurezza visto l’ambiente circoscritto in cui si operava.

Security & Privacy La Normativa Solo negli anni novanta, quando le reti hanno iniziato ad assumere grandi dimensioni, il problema della sicurezza ha assunto piena rilevanza

Security & Privacy La Normativa Il problema diviene imponente per garantire l’Azienda da attacchi e fughe di informazioni. Inoltre inizia ad affermarsi la necessità di tutelare gli utenti i cui dati vengono registrati presso l’Azienda stessa per quanto riguarda la propria vita privata

Security & Privacy La Normativa Nella seconda metà degli anni ’90, con la legge 675/96, viene introdotta la figura del Garante della Privacy Con questa normativa si vogliono garantire i diritti e la dignità dell’individuo nel trattamento dei suoi dati personali da parte di chi detiene informazioni su una o più persone.

Security & Privacy La Normativa Il Garante della Privacy è un organo indipendente. E’ composto da 4 membri eletti dal Parlamento che rimangono in carica per 4 anni (rinnovabili).

Security & Privacy La Normativa La normativa italiana prevede l’estensione della tutela della Privacy, oltre che alle persone fisiche, anche alle persone giuridiche. (persone giuridiche: associazioni, fondazioni, enti, società, cooperative, ecc.)

Security & Privacy La Normativa Dagli anni ‘90 ad oggi il Codice Civile e quello Penale hanno introdotto norme riguardanti: Il Software e le licenze d’uso La Privacy La Frode Informatica I Virus La Posta Elettronica La Firma Digitale

Security & Privacy La Normativa Una delle prime normative di gran rilievo è stata la Legge 547/93 che fra l’altro afferma: Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza o vi si mantiene contro la volontà di chi ha diritto di escluderlo, è punito con la reclusione fino a 3 anni.

Security & Privacy La Normativa Successivamente il Consiglio d’Europa ha ribadito sanzioni penali per l’accesso non autorizzato a un sistema informatico. Ha però puntualizzato che tale accesso è doloso solo se vengono violate le idonee misure di sicurezza messe in atto dal titolare del sistema. In altre parole, senza misure di sicurezza idonee, non si può procedere penalmente verso chi viola il sistema.

Security & Privacy La Normativa Si può osservare, a questo punto come il legislatore tuteli la riservatezza e l’integrità di chi detiene informazioni protette D’altro canto, se tali informazioni riguardano terze persone è opportuno che queste ultime vengano anch’esse tutelate Nel 2003 viene pubblicato sulla Gazzetta Ufficiale Il Testo unico Sulla Privacy

Security & Privacy D.L. 196 del 30 giugno 2003 Il Decreto Legislativo 196/2003, pubblicato sulla G.U. il 29 luglio dello stesso anno, tratta: Il diritto alla protezione dei dati personali Regole per la Sicurezza e la Protezione dei Dati e dei Sistemi

tratteremo solo gli articoli più significativi Security & Privacy D.L. 196 del 30 giugno 2003 Struttura del decreto: tratteremo solo gli articoli più significativi

Diritto alla protezione dei dati Articolo 1 Diritto alla protezione dei dati Chiunque ha diritto alla protezione dei dati personali che lo riguardano

Articolo 4 Definizioni

Articolo 4 Dati Personali Cognome, nome, data di nascita … Riassumendo Dati identificativi Cognome, nome, data di nascita … Dati giudiziari Casellario giudiziale Stato di imputato o indagato Dati sensibili Origine razziale ed etnica Convinzioni religiose o filosofiche Adesione a partiti politici, sindacati, associazioni religiose Stato di salute Vita sessuale

Misure minime di sicurezza Articolo 4 Misure minime di sicurezza Nell’articolo 4 viene anche definito che livello minimo di sicurezza deve garantire da: Distruzione o perdita anche accidentale Accesso non autorizzato Trattamento non consentito

Articolo 15 Danni causati dal trattamento dei dati Conseguenze dovute a trascuratezza Chiunque cagiona danni ad altri nello svolgimento di un’attività pericolosa è tenuto al risarcimento se non prova di aver adottato tutte le misure idonee ad evitare il danno

Obblighi sulla protezione dei dati Articolo 31 Obblighi sulla protezione dei dati Gli obblighi riguardano la custodia, il controllo e la riduzione dei rischi

Misure minime sul trattamento dei dati Articolo 34 Misure minime sul trattamento dei dati Viene individuata la via da seguire per un’adeguata protezione dei dati.

Misure minime sul trattamento dei dati Articolo 34 Misure minime sul trattamento dei dati Adozione di credenziali per l’autenticazione Informatica Adozione di adeguate procedure per gestire tali credenziali

Misure minime sul trattamento dei dati Articolo 34 Misure minime sul trattamento dei dati Utilizzo di un appropriato sistema di autorizzazioni

Misure minime sul trattamento dei dati Articolo 34 Misure minime sul trattamento dei dati Protezione contro trattamenti illeciti e accessi non consentiti

Misure minime sul trattamento dei dati Articolo 34 Misure minime sul trattamento dei dati Adozione di procedure di custodia e ripristino disponibilità dei dati

Misure minime sul trattamento dei dati Articolo 34 Misure minime sul trattamento dei dati Custodia di un documento aggiornato sulla sicurezza

Misure minime sul trattamento dei dati Articolo 34 Misure minime sul trattamento dei dati Adozione di adeguate tecniche di cifratura e codifica per la protezione dei dati che rivelino lo stato di salute o la vita sessuale effettuati da organismi sanitari.

Misure minime sul trattamento dei dati Articolo 34 Misure minime sul trattamento dei dati RIASSUMENDO Adozione di credenziali per l’autenticazione informatica Adozione di adeguate procedure per gestire tali credenziali Utilizzazione di un sistema di autorizzazioni Protezione contro trattamenti illeciti e accessi non consentiti Adozione di procedure di custodia e ripristino disponibilità dati Custodia di un documento aggiornato sulla sicurezza Adozione di adeguate tecniche di cifratura e codifica per la protezione dei dati che rivelino lo stato di salute o la vita sessuale.

Misure minime sul trattamento dei dati Articolo 35 Misure minime sul trattamento dei dati Istituzione di Unità Organizzative per la gestione e la custodia dei dati Procedure documentate per la custodia dei dati Procedure d’identificazione degli accessi effettuati da parte del personale autorizzato alla gestione a alla custodia dei dati OSSERVAZIONE La documentazione conduce alla redazione di documenti (obbligatori e/o facoltativi) che indichino le misura di sicurezza assunte in ambito aziendale

Documento Programmatico per la Sicurezza hardware, software ed umane Il documento contiene informazioni riguardanti l’organizzazione delle risorse hardware, software ed umane destinate a tutelare la privacy dei dati conservati presso l’azienda.

Documento Programmatico per la Sicurezza X Documento Programmatico per la Sicurezza Con il Decreto sulla Semplificazione Amministrativa del 2012 (DL 5/2012), il DPS è stato abolito. Non è più obbligatorio, quindi, tenere una traccia cartacea delle misure messe in atto per la tutela della Privacy. Questo non esime però dall’applicare tutte le norme e le cautele per garantire la tutela dei dati conservati

X Privacy Officer Il nuovo regolamento europeo sui dati personali, che entrerà in vigore direttamente nei 27 paesi dell'Unione, introdurrà misure molto stringenti sulla privacy. Obbligherà le imprese sopra i 250 dipendenti a dotarsi del Privacy Officer, che dovrà sovrintendere alla sicurezza dei dati aziendali

Trattamento con strumenti elettronici Allegato B Trattamento con strumenti elettronici Concludiamo citando l’Allegato B relativo al D.L. 196/03

Trattamento con strumenti elettronici Allegato B Trattamento con strumenti elettronici FINE PRESENTAZIONE