Log Amministratori di Sistema: chi è obbligato?

Il Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008 ha introdotto specifiche misure organizzative e tecniche per i soggetti che affidano a terzi, o a proprio personale, le funzioni di amministrazione dei sistemi informatici. Tra queste misure rientra la registrazione degli accessi logici effettuati dagli Amministratori di Sistema, abbreviati in AdS.

L'obbligo, tuttavia, non riguarda automaticamente ogni impresa che utilizza computer, server o servizi cloud. Per stabilire se sia necessario raccogliere e conservare i log degli Amministratori di Sistema occorre valutare l'organizzazione, i trattamenti di dati personali effettuati e, soprattutto, i privilegi realmente assegnati alle persone che gestiscono l'infrastruttura informatica.

Il Garante ha precisato che le prescrizioni riguardano i soggetti che, trattando dati personali con strumenti informatici, devono ricorrere o hanno fatto ricorso a un Amministratore di Sistema o a una figura equivalente. Non si applicano invece, in linea generale, alle organizzazioni dotate di sistemi informatici di modesta e limitata entità, che possono fare a meno di una figura specificamente dedicata all'amministrazione dei sistemi.

Quando è necessario tracciare i log AdS?

La registrazione degli accessi degli Amministratori di Sistema è normalmente necessaria quando ricorrono queste condizioni:

• l'organizzazione tratta dati personali mediante strumenti informatici;
• una o più persone dispongono di privilegi tecnici elevati sui sistemi;
• tali privilegi consentono, anche solo potenzialmente o accidentalmente, di accedere ai dati personali;
• le persone svolgono stabilmente funzioni di amministrazione di sistemi, reti, database, apparati di sicurezza o piattaforme software complesse.

Non è quindi la qualifica formale indicata nel contratto di lavoro a determinare l'applicazione del Provvedimento. Ciò che conta è la natura effettiva delle funzioni esercitate e il livello di privilegio tecnico assegnato.

Chi è un Amministratore di Sistema secondo il Garante?

Il Garante considera Amministratori di Sistema le figure professionali che svolgono attività di gestione e manutenzione di sistemi di elaborazione o delle relative componenti. Sono comprese anche figure equivalenti dal punto di vista dei rischi per la protezione dei dati, quali:

• amministratori di server e sistemi operativi;
• amministratori di dominio;
• amministratori di reti;
• amministratori di database;
• amministratori di apparati di sicurezza;
• amministratori di sistemi software complessi;
• tecnici che gestiscono backup, credenziali, autenticazioni e autorizzazioni;
• soggetti che amministrano infrastrutture virtuali o cloud con privilegi elevati.

Il Provvedimento prende in considerazione le persone che, per effetto delle proprie mansioni, possono accedere in modo privilegiato alle risorse informatiche e ai dati personali, anche quando non consultano ordinariamente i dati in chiaro.

Conta il potere effettivo, non il nome del ruolo

Una persona può rientrare nella figura dell'Amministratore di Sistema anche se viene formalmente indicata come tecnico informatico, responsabile IT, sistemista, network administrator, database administrator, cloud administrator, tecnico di un fornitore esterno, responsabile dell'infrastruttura o specialista della sicurezza.

Allo stesso modo, non è sufficiente avere nel proprio contratto la qualifica di "sistemista" per essere automaticamente considerati AdS. È necessario verificare i sistemi amministrati, i privilegi assegnati e la possibilità concreta di intervenire sui dati personali.

Quali aziende sono obbligate?

L'obbligo non dipende dal settore economico o dal numero di dipendenti. Può interessare imprese private, enti pubblici, associazioni, studi professionali e altre organizzazioni che trattano dati personali attraverso sistemi informatici amministrati da persone dotate di privilegi elevati. Alcuni esempi concreti aiutano a chiarire.

Azienda con tecnico informatico interno

Un'azienda dispone di un dominio Windows, alcuni server, un sistema di backup e un gestionale contenente dati di clienti e dipendenti. Il responsabile IT possiede privilegi di Domain Administrator e può accedere ai server e alle copie di sicurezza. In questo caso il tecnico svolge funzioni tipiche di Amministratore di Sistema e i suoi accessi amministrativi devono essere registrati.

Gestione informatica affidata a un fornitore

Una PMI non ha personale IT interno e affida la gestione dei server a una società esterna. I tecnici del fornitore possono collegarsi mediante VPN, RDP o SSH e utilizzare account amministrativi. L'esternalizzazione del servizio non elimina l'esigenza di identificare le persone fisiche che operano come Amministratori di Sistema: il titolare o il responsabile del trattamento deve poter conservare gli estremi identificativi delle persone incaricate. Non è quindi sufficiente indicare genericamente il nome della società informatica.

Amministratore del database

Un DBA possiede credenziali privilegiate sul DBMS e può amministrare database che contengono dati personali. Le autenticazioni amministrative effettuate direttamente verso il database rientrano nel perimetro del Provvedimento e devono essere registrate: il Garante ha chiarito che l'obbligo riguarda anche le autenticazioni effettuate verso i Database Management System.

Amministratore di rete o firewall

Un tecnico gestisce firewall, VPN, apparati di rete o sistemi di sicurezza dai quali può controllare, modificare o intercettare flussi informativi contenenti dati personali. La sua qualificazione deve essere valutata in base ai privilegi effettivi e alla possibilità tecnica di intervenire sui dati o sui sistemi che li trattano.

Quando il Provvedimento può non applicarsi?

Il Garante ha chiarito che non sono soggetti alle prescrizioni coloro che, disponendo di sistemi informatici di modesta e limitata entità, possono effettivamente fare a meno di una figura professionale dedicata all'amministrazione dei sistemi. Non rientrano normalmente nella definizione di AdS neppure i soggetti che intervengono solo occasionalmente per risolvere un guasto o un malfunzionamento e non dispongono stabilmente di privilegi amministrativi.

Il caso del titolare che è anche unico amministratore

Le FAQ del Garante contemplano il caso limite di una piccolissima impresa nella quale il titolare sia anche l'unico Amministratore di Sistema. In questa situazione particolare non si applicano le prescrizioni relative alla verifica del proprio operato e alla tenuta dei log dei propri accessi. Non si tratta, però, di un'esenzione generale per tutte le microimprese: la valutazione deve considerare l'organizzazione concreta, la presenza di altri amministratori, l'eventuale outsourcing e la delicatezza dei trattamenti effettuati.

Il caso dei trattamenti amministrativo-contabili

Il testo originario e le FAQ del Provvedimento prevedono una specifica esclusione per determinati trattamenti amministrativo-contabili oggetto delle misure di semplificazione adottate nel 2008. Questa esclusione non dovrebbe però essere trasformata nella regola secondo cui tutte le piccole aziende, o tutti i trattamenti aziendali ordinari, sarebbero automaticamente esonerati. È opportuno valutare il caso concreto considerando le categorie di dati trattati, i sistemi utilizzati, la presenza di dipendenti, clienti o utenti, i privilegi attribuiti ai tecnici, la complessità dell'infrastruttura e i servizi affidati a fornitori esterni.

Quali sistemi devono essere inclusi?

L'obbligo non riguarda soltanto i server. Il Garante ha chiarito espressamente che anche i sistemi client, intesi come postazioni di lavoro informatizzate, rientrano tra i sistemi per i quali devono essere registrati gli accessi degli Amministratori di Sistema. In funzione dell'infrastruttura aziendale, il perimetro può comprendere:

• server Windows e Linux;
• domain controller;
• postazioni di lavoro;
• server virtuali e sistemi di virtualizzazione;
• NAS e sistemi di storage;
• apparati di rete;
• firewall e concentratori VPN;
• piattaforme cloud;
• sistemi di backup;
• DBMS;
• sistemi software complessi;
• console centralizzate di amministrazione.

Devono essere considerati i sistemi mediante i quali vengono trattati, anche indirettamente, dati personali e sui quali gli AdS possono effettuare accessi interattivi con privilegi amministrativi.

Quali log devono essere tracciati?

Il Provvedimento richiede la registrazione degli accessi logici, cioè degli eventi generati dal sistema di autenticazione informatica durante il collegamento interattivo di un Amministratore di Sistema. Devono essere registrati almeno:

• gli accessi riusciti (login);
• i tentativi di accesso, compresi quelli falliti;
• le disconnessioni (logout).

Il Garante definisce infatti l'access log come la registrazione degli eventi generati al momento dell'accesso, del tentativo di accesso o della disconnessione dell'Amministratore di Sistema.

Devono essere registrati anche i comandi eseguiti?

No, non in forza del solo Provvedimento sugli Amministratori di Sistema. Il Garante ha chiarito che il Provvedimento non richiede la registrazione generalizzata dei comandi impartiti, delle transazioni effettuate, dei file consultati, delle attività interattive svolte durante la sessione o di tutti i dati di utilizzo del sistema. Il requisito minimo riguarda gli eventi di autenticazione e disconnessione.

Un'organizzazione può decidere di raccogliere informazioni più estese per finalità di sicurezza informatica, audit o risposta agli incidenti. Tale raccolta deve però avere una finalità definita, essere proporzionata e rispettare la disciplina sulla protezione dei dati personali e, quando sono coinvolti lavoratori, le regole applicabili ai controlli a distanza.

Quali informazioni devono contenere i log AdS?

Il Provvedimento richiede espressamente che le registrazioni comprendano i riferimenti temporali e la descrizione dell'evento che ha generato il record. Nelle FAQ il Garante indica inoltre che gli eventi prodotti dai sistemi di autenticazione contengono normalmente lo username utilizzato, la data e l'ora dell'evento, il sistema di elaborazione o software interessato, la tipologia dell'evento (login, logout o condizione di errore), la linea di comunicazione e il dispositivo terminale utilizzato.

Per ottenere registrazioni realmente utilizzabili, è opportuno che ogni evento permetta di determinare almeno le informazioni riportate di seguito.

L'indirizzo IP può essere un elemento utile, ma da solo non identifica necessariamente la persona che ha effettuato l'accesso. L'attendibilità della ricostruzione dipende anche dalla presenza di account nominali, dall'inventario dei dispositivi, dalla corretta assegnazione delle credenziali e dalla sincronizzazione temporale dei sistemi.

Gli account amministrativi dovrebbero essere nominali?

Per rendere i log effettivamente utilizzabili, gli account privilegiati dovrebbero essere riconducibili a una persona fisica. Un account condiviso come administrator, root o admin può registrare correttamente l'evento tecnico, ma non consente da solo di stabilire quale persona abbia utilizzato le credenziali. Quando non è tecnicamente possibile eliminare un account condiviso, è opportuno prevedere misure complementari, ad esempio sistemi di gestione degli accessi privilegiati, procedure di assegnazione temporanea delle credenziali, autenticazione personale preliminare, registri di consegna e presa in carico, correlazione con VPN, jump server o bastion host, e sistemi di password vaulting.

Quali caratteristiche devono avere i log?

I log degli Amministratori di Sistema non devono essere soltanto generati: devono possedere caratteristiche adeguate allo scopo di controllo per il quale vengono raccolti. Il Provvedimento richiede completezza, inalterabilità e verificabilità dell'integrità.

Completezza

Devono essere raccolti tutti gli eventi di accesso interattivo degli Amministratori di Sistema sui sistemi che trattano, anche indirettamente, dati personali. Non dovrebbe quindi esistere una raccolta parziale che registra alcuni server ma ignora, senza una motivazione documentata, client, DBMS o altri sistemi amministrati.

Inalterabilità

Le registrazioni devono essere protette da modifiche o cancellazioni non autorizzate. Nei contesti più semplici il Garante ammette che possano essere sufficienti le funzionalità disponibili nei sistemi operativi, eventualmente associate all'esportazione periodica su supporti non riscrivibili. Nei contesti più complessi può risultare appropriato utilizzare server di log centralizzati, tecniche crittografiche o altre misure capaci di proteggere l'integrità delle registrazioni.

Verificabilità dell'integrità

Deve essere possibile controllare che i dati conservati non siano stati alterati dopo la loro registrazione. Le modalità tecniche possono variare in base al rischio e alla complessità dell'organizzazione: hash crittografici, catene di hash, firme elettroniche, marche temporali, repository append-only, supporti WORM, controlli di accesso separati, sistemi centralizzati di raccolta e verifiche periodiche dell'integrità. Il Garante non prescrive un unico livello tecnico di robustezza: spetta al titolare valutare l'adeguatezza della soluzione rispetto al contesto operativo e ai rischi.

Per quanto tempo devono essere conservati?

I log degli Amministratori di Sistema devono essere conservati per un periodo congruo e comunque non inferiore a sei mesi. I sei mesi rappresentano una durata minima, non necessariamente quella corretta per qualsiasi organizzazione. Un periodo superiore può essere giustificato dalla valutazione dei rischi, dai tempi medi di rilevamento degli incidenti, da esigenze di audit, da obblighi contrattuali, da norme di settore, dalla necessità di ricostruire eventi complessi, da requisiti di sicurezza informatica o dall'applicazione della disciplina NIS2. La durata scelta dovrebbe essere formalizzata in una policy, evitando di conservare i dati senza un termine definito.

I log devono essere controllati almeno una volta all'anno?

Il Provvedimento stabilisce che l'operato degli Amministratori di Sistema sia sottoposto a verifica con cadenza almeno annuale. La verifica deve controllare che le attività degli amministratori siano coerenti con gli incarichi attribuiti, gli ambiti di operatività autorizzati, le misure organizzative adottate, le misure tecniche e di sicurezza e le regole applicabili ai trattamenti di dati personali.

La verifica annuale non dovrebbe limitarsi a constatare che esistano dei file di log. Dovrebbe comprendere almeno:

• aggiornamento dell'elenco degli Amministratori di Sistema;
• verifica delle designazioni individuali;
• controllo degli account amministrativi attivi;
• individuazione di utenze generiche, obsolete o condivise;
• verifica della copertura dei sistemi;
• controllo della continuità della raccolta;
• analisi di accessi anomali per orario, frequenza o provenienza;
• verifica degli accessi di fornitori esterni;
• controllo della retention;
• verifica dell'integrità delle registrazioni;
• produzione di un verbale o rapporto di verifica.

Il Garante indica che la raccolta dei log serve anche a rilevare anomalie nella frequenza e nelle modalità degli accessi, considerando elementi come orari, durata e sistemi interessati.

Log AdS e NIS2: finalità diverse, ma complementari

Il Provvedimento del Garante e la disciplina NIS2 hanno ambiti e finalità differenti. Il Provvedimento sugli Amministratori di Sistema è focalizzato sulla protezione dei dati personali e sulla possibilità di verificare gli accessi effettuati da persone dotate di privilegi tecnici elevati. La NIS2 è invece orientata alla gestione del rischio informatico, alla resilienza dei sistemi e alla prevenzione, rilevazione e gestione degli incidenti.

Gli stessi log di autenticazione amministrativa possono però contribuire anche agli obiettivi NIS2, perché permettono di rilevare tentativi di accesso anomali, verificare l'utilizzo degli account privilegiati, ricostruire la sequenza temporale di un incidente, controllare gli accessi dei fornitori, dimostrare l'applicazione delle politiche di accesso, raccogliere evidenze durante un'indagine e individuare abusi di privilegi. I log richiesti dal Garante rappresentano quindi una base utile, ma non esauriscono le registrazioni normalmente necessarie per una strategia completa di conformità NIS2.

Approfondimento: per il dettaglio degli adempimenti previsti dalla NIS2, leggi:  Log management e NIS2: come la gestione dei log contribuisce alla conformità

Come PrivacyLog supporta la gestione dei log AdS

PrivacyLog è progettato per supportare gli adempimenti tecnici relativi alla registrazione e alla conservazione degli accessi degli Amministratori di Sistema. Una gestione centralizzata consente di:

• raccogliere gli eventi di autenticazione dai diversi sistemi;
• ridurre il rischio di perdita dei log locali;
• applicare regole di conservazione uniformi;
• ricercare gli accessi per account, sistema e intervallo temporale;
• produrre report per la verifica periodica;
• proteggere le registrazioni da modifiche non autorizzate;
• disporre delle evidenze necessarie in caso di controllo o incidente.

Il software costituisce uno strumento a supporto della conformità. La corretta applicazione del Provvedimento richiede anche attività organizzative, tra cui l'individuazione degli AdS, le designazioni individuali, la definizione degli ambiti autorizzati e la verifica periodica del loro operato.

Approfondimento: per il dettaglio degli adempimenti previsti dalla norma, leggi Log degli Amministratori di Sistema: cosa impone il Garante Privacy.

Domande frequenti

Tutte le aziende devono conservare i log degli Amministratori di Sistema?

No. Le prescrizioni riguardano le organizzazioni che trattano dati personali mediante sistemi informatici e ricorrono effettivamente a uno o più Amministratori di Sistema o a figure equivalenti.

I tecnici del fornitore esterno devono essere identificati?

Sì. Quando il servizio è esternalizzato, devono essere disponibili gli estremi identificativi delle persone fisiche che svolgono le funzioni amministrative.

Bisogna registrare anche gli accessi ai PC?

Sì. Il Garante ha chiarito che il perimetro comprende anche i client, non soltanto i server.

Devono essere tracciati gli accessi ai database?

Sì. Le autenticazioni amministrative effettuate verso i DBMS rientrano nel perimetro.

Devono essere registrati tutti i comandi eseguiti?

No. Il Provvedimento richiede gli eventi di accesso, tentativo di accesso e disconnessione. La registrazione dei comandi può essere adottata per ulteriori finalità di sicurezza, ma non è richiesta dal solo Provvedimento.

Quanto devono essere conservati i log?

Per un periodo congruo e comunque non inferiore a sei mesi.

Un file di log locale è sufficiente?

Può esserlo nei contesti più semplici, se garantisce completezza, integrità e inalterabilità adeguate. Nei contesti articolati è generalmente preferibile una raccolta centralizzata.

Riferimenti ufficiali

• Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008, come modificato il 25 giugno 2009.
• FAQ del Garante sugli Amministratori di Sistema.
• Precisazioni del Garante del 10 dicembre 2009.

Il presente contenuto ha finalità informativa e non sostituisce una valutazione legale, privacy o giuslavoristica riferita alla specifica organizzazione.