Amministratore di Sistema in outsourcing: obblighi quando l'IT è esterno

Molte aziende, soprattutto piccole e medie imprese, non hanno un reparto IT interno. Server, firewall, reti, backup, Microsoft 365, database e assistenza vengono affidati a una società esterna. È una situazione del tutto normale — ma c'è una domanda spesso trascurata: chi sono, concretamente, le persone che possono entrare come amministratori nei sistemi aziendali?

Il nome della società informatica non basta. Il Provvedimento del Garante del 27 novembre 2008 dedica una prescrizione specifica proprio ai servizi di amministrazione affidati in outsourcing: devono essere conservati direttamente e specificamente gli estremi identificativi delle persone fisiche che operano come Amministratori di Sistema. Quindi "Alfa Informatica S.r.l. gestisce i nostri server" non identifica gli AdS: bisogna sapere quali tecnici di Alfa sono effettivamente autorizzati ad amministrarli. E questa è solo la prima parte del problema, perché l'outsourcing dell'IT non è outsourcing della responsabilità.

Chi è l'Amministratore di Sistema esterno?

È una persona fisica appartenente a un fornitore che svolge, sui sistemi del cliente, funzioni tecniche assimilabili a quelle di un amministratore: chi amministra server Windows o Linux, gestisce Active Directory, amministra database, configura firewall e VPN, gestisce apparati di rete, backup, virtualizzazione o infrastrutture cloud, o comunque dispone stabilmente di privilegi amministrativi.

Il Garante considera rilevanti non solo i classici "system administrator" ma anche figure equivalenti — amministratori di database, reti, apparati di sicurezza e sistemi software complessi — quando le loro funzioni rendono tecnicamente possibile l'accesso, anche fortuito, a dati personali. È la funzione effettivamente svolta a essere determinante, non il nome attribuito al tecnico nel contratto commerciale. Per il quadro generale di chi rientra, vedi Chi è obbligato a registrare i log degli Amministratori di Sistema.

Prima regola: il fornitore non è l'Amministratore di Sistema

È l'errore più frequente. In un documento aziendale si trova scritto "Amministratore di Sistema: XYZ Informatica S.r.l.". Dal punto di vista del Provvedimento non basta: la società è il fornitore del servizio; gli Amministratori di Sistema sono le persone fisiche che, dentro quella società, svolgono concretamente le funzioni amministrative. Il Garante richiede estremi identificativi che consentano di individuare il soggetto nell'organizzazione di appartenenza — nome, cognome, funzione o area organizzativa.

L'azienda dovrebbe poter rispondere a una domanda semplice: "Chi, oggi, presso il nostro fornitore IT, possiede credenziali amministrative per accedere ai nostri sistemi?" Se la risposta è solo il nome della società, l'informazione è incompleta.

Cosa deve fare concretamente l'azienda

1. Valutare il ruolo privacy del fornitore

Se il fornitore tratta dati personali per conto dell'azienda, il rapporto va disciplinato ai sensi dell'articolo 28 GDPR: il titolare deve ricorrere a responsabili che offrano garanzie sufficienti sulle misure tecniche e organizzative, e il trattamento deve essere regolato da un contratto che definisca natura, finalità, durata, obblighi e misure. Il contratto deve essere coerente con le attività sistemistiche reali: non basta una generica "nomina GDPR" da modello se poi il tecnico ha accesso amministrativo a server, backup, posta e database. Il rapporto tra logging e principi GDPR è approfondito in Log management e GDPR.

2. Individuare le persone fisiche che operano come AdS

Il Provvedimento richiede, per l'outsourcing, di conservare gli estremi identificativi delle persone preposte. Serve un elenco aggiornato che, per ogni tecnico, indichi ad esempio: nome e cognome, società di appartenenza, funzione, area tecnica, ambito di operatività, data di abilitazione ed eventuale cessazione. Le modifiche del 2009 consentono che la tenuta di questi elenchi sia affidata al responsabile esterno — ma questo non significa che il titolare possa ignorare chi opera sui propri sistemi: deve poter ottenere e verificare queste informazioni.

3. Definire gli ambiti di operatività

La designazione deve essere individuale e indicare gli ambiti autorizzati. Non serve un inventario di migliaia di oggetti: le FAQ chiariscono che l'ambito può essere definito per aree applicative. Per esempio:

• Mario Rossi – XYZ Informatica: amministrazione infrastruttura Microsoft Windows Server e Active Directory.
• Luigi Bianchi – XYZ Informatica: amministrazione firewall, VPN e apparati di rete.
• Anna Verdi – XYZ Informatica: amministrazione DBMS Microsoft SQL Server.

È molto diverso dal concedere genericamente a tutti i tecnici del fornitore accesso amministrativo a tutto.

4. Gestire ingressi e uscite dei tecnici

Le società informatiche cambiano personale: un tecnico può essere assunto, cambiare reparto, essere assegnato o rimosso dal cliente, o lasciare l'azienda. L'elenco degli AdS deve restare aggiornato. È opportuno prevedere nel rapporto col fornitore una procedura per comunicare tempestivamente nuove abilitazioni, variazioni di ambito, sostituzioni e cessazioni. Alla cessazione dell'incarico dovrebbero corrispondere la revoca delle credenziali e degli accessi non più necessari.

5. Evitare gli account amministrativi condivisi

Un account administrator usato indifferentemente da cinque tecnici permette di sapere che qualcuno ha effettuato l'accesso, non necessariamente chi. È molto più efficace disporre di credenziali nominali (m.rossi-admin, l.bianchi-admin, a.verdi-admin), collegabili alle persone dell'elenco AdS. Le buone pratiche di gestione degli accessi privilegiati sono trattate in Gestione degli accessi privilegiati.

6. Registrare gli accessi degli amministratori esterni

Essere dipendenti di un fornitore non crea alcuna esenzione dal logging. Quando il tecnico esterno opera come AdS, i suoi accessi rientrano nelle registrazioni previste dal Provvedimento: access log completi, inalterabili e verificabili, con username, data e ora, sistema interessato, tipo di evento, eventuale errore e sorgente. Gli eventi da registrare sono accesso, tentativo di accesso e disconnessione. Il dettaglio degli obblighi è nell'articolo di riferimento: cosa impone il Garante.

7. Conservare i log per almeno sei mesi

Vale anche per gli amministratori esterni: non sarebbe coerente prevedere sei mesi di log per gli AdS interni e non registrare gli accessi dei tecnici del fornitore, che dispongono degli stessi o maggiori privilegi.

8. Garantire integrità e inalterabilità

I log devono avere completezza, inalterabilità e verificabilità adeguate allo scopo. Qui l'outsourcing introduce una questione organizzativa cruciale: se l'intera infrastruttura di logging è installata e amministrata dallo stesso fornitore — che gestisce i server, gli account privilegiati, il logging, il database dei log e la retention — quanto è realmente indipendente il sistema di controllo? Il Provvedimento non vieta una specifica architettura né impone un soggetto terzo, ma resta un principio evidente: separare chi svolge l'attività amministrativa da chi conserva le evidenze usate per controllarla rafforza enormemente l'attendibilità del processo. Su cosa richieda davvero l'inalterabilità, vedi Inalterabilità degli access log AdS.

9. Effettuare la verifica almeno annuale

L'operato degli AdS va verificato almeno una volta l'anno, e questo vale anche per gli esterni. Il controllo può considerare accessi fuori orario, accessi a sistemi estranei all'ambito assegnato, account non presenti nell'elenco, tentativi falliti, accessi dopo la cessazione dell'incarico, anomalie di frequenza, uso di credenziali condivise o accessi da sorgenti inattese. L'obiettivo non è presumere comportamenti scorretti del fornitore, ma applicare un normale principio di controllo dei privilegi. Per come strutturarla, con modello di verbale, vedi Verifica annuale degli AdS.

Outsourcing dell'IT non significa outsourcing del controllo

È il punto centrale. Un'azienda può affidare a terzi manutenzione, gestione dei server, sicurezza perimetrale, backup, database e assistenza. Ma il titolare resta il soggetto che determina finalità e modalità del trattamento e deve usare fornitori che offrano garanzie sufficienti; l'art. 28 GDPR gli attribuisce anche specifici poteri e obblighi di verifica. Il fornitore può collaborare, mantenere l'elenco dei propri tecnici, configurare sistemi e fornire documentazione — ma il titolare non dovrebbe ridurre il proprio controllo a "il nostro fornitore ci ha detto che è tutto a posto", soprattutto quando l'oggetto del controllo è proprio l'attività amministrativa del fornitore.

Il paradosso del sistemista che controlla sé stesso

Situazione frequente: l'azienda affida tutta l'infrastruttura a una società che crea gli account amministrativi, installa il logging, decide quali eventi raccogliere, amministra il server dei log e il database, stabilisce la retention e produce il report annuale. Il titolare riceve un file e lo archivia. Tecnicamente può funzionare tutto, ma esiste un'evidente concentrazione di poteri. La finalità delle misure sugli AdS è proprio agevolare la verifica della loro attività da parte di chi ha la titolarità dei sistemi: per questo una buona architettura dovrebbe evitare che l'AdS disponga anche del controllo esclusivo delle sole evidenze usate per verificarne l'operato. Abbiamo dedicato a questo tema un articolo: Perché un normale software di Log Management non basta.

Cosa prevedere nel contratto con il fornitore IT

Oltre al contratto ex art. 28 GDPR quando applicabile, è opportuno disciplinare espressamente gli aspetti relativi agli AdS. Una clausola o allegato tecnico può prevedere: individuazione delle persone fisiche che svolgono funzioni AdS; comunicazione degli ambiti operativi; aggiornamento dell'elenco; comunicazione di nuove assegnazioni e cessazioni; uso di credenziali individuali quando possibile; divieto di condividere credenziali non autorizzate; registrazione degli accessi; collaborazione alla verifica annuale; revoca degli accessi a fine incarico; obblighi di riservatezza; modalità di utilizzo di eventuali subfornitori. L'art. 28 richiede inoltre che le persone autorizzate siano vincolate alla riservatezza, che siano adottate le misure dell'art. 32 e che l'uso di altri responsabili rispetti le condizioni del Regolamento.

E se il fornitore usa dei subfornitori?

Situazione comune: il fornitore principale può usare consulenti, specialisti esterni, società del gruppo, supporto di terze parti, provider cloud. Sul piano GDPR, quando un responsabile ricorre a un altro responsabile devono essere rispettate le condizioni dell'art. 28 e imposti obblighi equivalenti sul sub-responsabile. Sul piano AdS la domanda resta la stessa: quali persone fisiche possono concretamente accedere con privilegi amministrativi ai sistemi del cliente? L'elenco non dovrebbe fermarsi al primo livello della catena contrattuale.

Rendere conoscibile l'identità degli AdS

Quando l'attività degli AdS riguarda, anche indirettamente, sistemi che trattano dati personali dei lavoratori, il Provvedimento prevede che la loro identità sia resa nota o conoscibile nell'organizzazione, secondo le caratteristiche dell'azienda. Questo non scompare quando gli amministratori sono esterni: l'azienda deve valutare come rendere conoscibili le informazioni pertinenti — informativa, intranet, policy IT, disciplinare interno o procedure dedicate.

Come PrivacyLog semplifica il controllo degli AdS esterni

L'outsourcing è uno dei casi in cui la separazione tra amministratore e sistema di logging diventa particolarmente utile. PrivacyLog è progettato proprio per permettere al titolare di disporre direttamente delle registrazioni necessarie al controllo: gli eventi vengono raccolti e trasferiti verso un LogServer separato dall'infrastruttura amministrata, e il cliente può configurare l'elenco dei dispositivi e degli AdS per facilitare l'estrazione delle registrazioni pertinenti.

Il principio è semplice: il fornitore IT amministra i sistemi; il titolare conserva uno strumento indipendente per controllarne gli accessi. Questo evita che, per verificare il proprio outsourcer, l'azienda debba chiedere allo stesso outsourcer di estrarre i propri log, selezionare i propri accessi, garantire l'integrità del proprio database e produrre il report con cui sarà controllato. PrivacyLog non sostituisce la corretta gestione contrattuale e organizzativa degli AdS esterni, ma semplifica la componente tecnica del controllo.

Checklist: Amministratori di Sistema in outsourcing

Prima di considerare correttamente gestito il rapporto con un fornitore IT, il titolare dovrebbe poter rispondere "sì" a queste domande: conosciamo le persone fisiche del fornitore che operano come AdS e le loro funzioni? L'elenco è aggiornato e il fornitore comunica tempestivamente nuovi tecnici e cessazioni? Gli ambiti di operatività sono definiti? Si usano credenziali riconducibili alle singole persone? Gli accessi amministrativi vengono registrati (login, tentativi falliti, logout)? I log sono completi e verificabili? Gli AdS possono modificare o cancellare autonomamente le evidenze centralizzate? I log si conservano almeno sei mesi? L'attività degli AdS esterni viene verificata almeno annualmente e documentata? Sono disciplinati eventuali subfornitori? Il contratto privacy riflette davvero le attività svolte?

Se la risposta a una di queste è "non sappiamo", quella è probabilmente la prima area da approfondire. Una versione generale di questa checklist è in Checklist adempimenti Amministratori di Sistema.

Domande frequenti

Una società esterna può essere nominata Amministratore di Sistema?

La società può fornire il servizio, ma ai fini del Provvedimento devono essere individuate le persone fisiche che svolgono concretamente le funzioni di AdS.

Basta indicare il nome del fornitore IT?

No. Devono essere disponibili gli estremi identificativi delle persone fisiche preposte alle funzioni di AdS.

Il fornitore può mantenere l'elenco degli AdS?

Sì. Le modifiche del 2009 hanno consentito che l'individuazione degli AdS e la tenuta degli elenchi possano essere effettuate anche dai responsabili del trattamento. Il titolare deve però assicurarsi che le informazioni siano aggiornate e disponibili.

I tecnici esterni devono avere una designazione individuale?

Sì. Il Provvedimento stabilisce che la designazione sia individuale e riporti analiticamente gli ambiti di operatività consentiti.

Devono essere registrati anche gli accessi degli AdS esterni?

Sì. Il requisito riguarda gli accessi degli Amministratori di Sistema e non distingue tra personale interno ed esterno.

L'azienda deve controllare anche l'operato dei tecnici esterni?

Sì. La verifica almeno annuale può essere effettuata dal titolare o dal responsabile, ma è opportuno che il titolare disponga comunque dell'evidenza del controllo e dei relativi esiti.

È obbligatorio che il sistema di log sia gestito da una terza parte?

No. Il Garante non prescrive una specifica architettura né impone un servizio terzo. Separare il repository dagli amministratori controllati è però una soluzione organizzativa particolarmente efficace.

Un account amministrativo condiviso è vietato?

Il Provvedimento non contiene un divieto formulato in questi termini, ma la finalità della registrazione è rendere controllabile l'operato delle singole persone. L'uso di credenziali nominali è la soluzione più coerente.

Conclusioni

Affidare la gestione informatica a un fornitore esterno non elimina gli obblighi sugli Amministratori di Sistema: cambia semplicemente il luogo dove si trovano le persone da controllare. Il titolare deve continuare a sapere chi può accedere, con quali privilegi, a quali sistemi, quando, e se l'operato è coerente con l'incarico. Per questo il Provvedimento richiede di individuare le persone fisiche che svolgono funzioni di AdS anche in outsourcing.

La società informatica può gestire server, database e reti, e può collaborare nella gestione di elenchi e procedure. Ma l'outsourcing non dovrebbe mai produrre il paradosso per cui l'unico soggetto in grado di dire al titolare cosa hanno fatto gli AdS è lo stesso fornitore che dovrebbe essere controllato. Il principio è semplice: delegare l'amministrazione dei sistemi è possibile; delegare completamente il controllo sull'amministrazione dei sistemi è un'altra cosa. Ed è proprio quando l'IT è esternalizzato che una raccolta dei log indipendente, accessibile direttamente al titolare e non modificabile dagli amministratori controllati, acquista il suo massimo valore.

Riferimenti ufficiali

• Provvedimento del Garante del 27 novembre 2008 sugli Amministratori di Sistema, come modificato il 25 giugno 2009.
• FAQ ufficiali del Garante sugli Amministratori di Sistema.
• Comunicato del Garante sulle modifiche del 25 giugno 2009 relative ai servizi affidati a società esterne.
• Regolamento (UE) 2016/679, articolo 28 – Responsabile del trattamento.

Il contenuto ha finalità informativa e non sostituisce la valutazione delle specifiche responsabilità, dei contratti e dell'architettura informatica della singola organizzazione.