Il Provvedimento del Garante del 27 novembre 2008 elenca una serie di requisiti tecnici e organizzativi per il controllo degli Amministratori di Sistema. Tradurli in una checklist operativa aiuta a capire, punto per punto, cosa deve essere realmente presente in azienda e cosa un software di log management come PrivacyLog può coprire.

Questa guida propone una checklist di verifica, distingue ciò che lo strumento risolve da ciò che resta in capo all'organizzazione e chiude con un verdetto operativo. È pensata per titolari, DPO e responsabili IT che vogliono un quadro concreto, non solo teorico.

La checklist degli adempimenti AdS

Per ciascun requisito del Garante indichiamo cosa verificare concretamente in azienda e se PrivacyLog lo copre.

Requisito del Garante Cosa verificare in azienda PrivacyLog
Registrazione accessi logici Sono tracciati login, logout e tentativi di accesso degli Amministratori di Sistema ai sistemi che trattano dati personali. Sì. PrivacyLog registra accessi, disconnessioni e tentativi falliti sui sistemi monitorati.
Completezza dei log Tutti i sistemi rilevanti sono inclusi, non solo alcuni server o alcuni account. Sì, se sorgenti e perimetro sono configurati correttamente. PrivacyLog raccoglie da sistemi eterogenei: server, client, database, NAS e apparati.
Inalterabilità I log non possono essere modificati dopo la registrazione. Sì. I log risiedono su un server cloud separato e non sono modificabili né cancellabili con le normali funzioni.
Verifica dell'integrità Deve essere possibile controllare che i log non siano stati alterati. Sì. L'export è protetto da marca temporale eIDAS: la verifica avviene ricaricando l'archivio nella piattaforma.
Riferimenti temporali Ogni evento deve riportare data e ora. Sì. Ogni record contiene data e ora dell'evento, e l'export è marcato temporalmente.
Descrizione dell'evento Il log deve indicare l'evento generato e il sistema coinvolto. Sì. Ogni record riporta descrizione dell'evento, sistema, utente e sorgente, con spiegazione in italiano.
Conservazione minima I log devono essere conservati per almeno sei mesi. Sì. Retention di 6, 12 o 24 mesi secondo il piano, con un mese tecnico aggiuntivo.
Verifica annuale dell'operato AdS Il titolare deve riesaminare periodicamente l'operato degli Amministratori di Sistema. Parziale. Non è un compito del software: va organizzata internamente. PrivacyLog fornisce i report e le evidenze su cui basarla.
Sicurezza del canale Il trasferimento dei log deve essere protetto. Sì. Il Syslog Collector trasmette verso il cloud cifrando in TLS.
Separazione dei dati I log di ciascun cliente devono restare separati da quelli di altri. Sì. L'architettura è multi-tenant: i dati di ogni cliente restano separati.
Backup e continuità Devono esistere copie e possibilità di ripristino. Sì. Backup completo giornaliero su sistemi ridondati, distinto dalla retention applicativa.
Export per ispezione Occorre poter produrre evidenze quando richiesto. Sì. Export selezionabile per periodo, utenti ed eventi, con marca temporale eIDAS.

Cosa resta comunque in capo all'azienda

Anche con PrivacyLog, la conformità non è automatica. Un software fornisce la misura tecnica, ma alcune attività restano responsabilità dell'organizzazione. È il titolare del trattamento a dover completare questi passaggi:

  • Nomina e censimento degli Amministratori di Sistema, con designazioni individuali.
  • Elenco dei sistemi coperti dai controlli e definizione del perimetro.
  • Definizione di chi può consultare i log all'interno dell'organizzazione.
  • Procedura di verifica almeno annuale dell'operato degli AdS.
  • Conservazione e gestione delle esportazioni marcate temporalmente.
  • Documentazione interna che spieghi per quali sistemi e finalità vengono raccolti i log.
  • Eventuale integrazione con altre sorgenti, se alcuni sistemi non producono già log sufficienti.

Il Garante è chiaro su questo: non basta disporre di uno strumento. Serve che l'insieme degli eventi censiti copra tutti gli accessi interattivi degli amministratori sui sistemi che trattano dati personali. La completezza del perimetro è una scelta organizzativa, non un automatismo del software.

Verdetto operativo

Se usi PrivacyLog e lo configuri correttamente, la checklist degli adempimenti AdS risulta in gran parte soddisfatta sul piano tecnico: registrazione, inalterabilità, integrità verificabile, conservazione, sicurezza del canale ed export certificato sono coperti dallo strumento.

Quello che resta in capo a te è la parte organizzativa: individuazione degli amministratori, definizione del perimetro dei sistemi, verifica periodica dell'operato e conservazione corretta delle evidenze. È la combinazione tra lo strumento tecnico e questi adempimenti a determinare la conformità effettiva.

Approfondimenti collegati: per il quadro completo degli obblighi vedi Log degli Amministratori di Sistema: cosa impone il Garante Privacy; per la parte organizzativa più delicata, Verifica annuale degli Amministratori di Sistema (con modello di verbale scaricabile); per capire se l'obbligo ti riguarda, Chi è obbligato a registrare i log degli Amministratori di Sistema.

Domande frequenti

Basta installare PrivacyLog per essere conformi?

No. PrivacyLog copre gli aspetti tecnici (registrazione, inalterabilità, conservazione, export certificato), ma la conformità richiede anche attività organizzative come la designazione degli amministratori e la verifica annuale del loro operato.

Chi definisce quali sistemi includere nel monitoraggio?

È una scelta del titolare del trattamento, sulla base dei sistemi che trattano dati personali e degli amministratori che vi accedono. Il perimetro va definito e documentato: PrivacyLog raccoglie ciò che le sorgenti configurate inviano.

La verifica annuale la fa il software?

No. La verifica annuale dell'operato degli Amministratori di Sistema è un'attività del titolare. PrivacyLog fornisce i report e le evidenze necessarie a svolgerla e documentarla.

Come dimostro l'integrità dei log in caso di ispezione?

Esportando i dati dalla piattaforma: l'archivio è protetto da marca temporale eIDAS. La verifica dell'integrità avviene ricaricando l'archivio originale in PrivacyLog, senza software esterni.

Riferimenti

  • Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008 sugli Amministratori di Sistema.

Questa checklist ha finalità informativa e non sostituisce una valutazione di conformità riferita alla specifica organizzazione, ai suoi sistemi e ai trattamenti effettuati.

Registra gli accessi in modo automatico

PrivacyLog traccia e conserva gli accessi degli Amministratori di Sistema come richiesto dal Garante Privacy.

Vedi i piani