Log Amministratori di Sistema: cosa deve fare l'azienda

Gli Amministratori di Sistema occupano una posizione particolare nell'infrastruttura informatica aziendale. Dispongono di privilegi elevati che permettono di amministrare server, database, reti, sistemi operativi e apparati critici, e per la natura di queste funzioni possono trovarsi nella condizione tecnica di accedere, anche accidentalmente, a dati personali che esulano dalle normali autorizzazioni.

Per questo il Provvedimento del Garante del 27 novembre 2008, modificato nel 2009, ha previsto obblighi specifici per le organizzazioni che utilizzano Amministratori di Sistema. L'obiettivo non è raccogliere file di log fine a sé stessi, ma agevolare il controllo del loro operato da parte del titolare del trattamento: individuare gli amministratori, definirne le funzioni, registrarne gli accessi e verificarne l'attività almeno una volta all'anno.

Questa è la guida completa a cosa deve fare un'azienda, punto per punto. Per i temi che meritano un approfondimento dedicato, troverai i rimandi agli articoli specifici.

1. Verificare se il Provvedimento si applica

Il primo errore è credere che qualsiasi impresa con dei computer debba applicare tutte le prescrizioni. Le prescrizioni riguardano i soggetti che trattano dati personali con strumenti informatici e devono ricorrere a un Amministratore di Sistema o figura equivalente. Sono generalmente escluse le organizzazioni con sistemi di modesta e limitata entità che possano fare a meno di una figura dedicata. La domanda giusta non è "abbiamo dei computer?", ma "ci sono persone che svolgono stabilmente funzioni di amministrazione con privilegi tecnici elevati?". Abbiamo dedicato a questo tema un articolo intero: Chi è davvero obbligato a registrare i log degli Amministratori di Sistema.

2. Individuare correttamente gli Amministratori di Sistema

Il nome sul contratto non è determinante: conta la funzione effettiva. Il Garante include chi amministra database, reti locali, apparati di sicurezza, sistemi software complessi e infrastrutture che permettono di intervenire sui dati personali. Possono quindi rientrare, secondo le mansioni reali: sistemisti Windows e Linux, amministratori di dominio, database administrator, amministratori di rete e di firewall, responsabili di virtualizzazione, amministratori di piattaforme cloud e tecnici di fornitori esterni. Non rientra invece chi interviene solo occasionalmente, per esempio per un guasto.

3. Valutare esperienza, capacità e affidabilità

Prima di attribuire le funzioni, l'azienda deve valutare esperienza, capacità tecnica e affidabilità del soggetto. La scelta non dovrebbe basarsi solo sulla disponibilità di una persona a "gestire i computer": il Provvedimento considera l'affidamento delle funzioni amministrative una scelta particolarmente delicata, proprio per i privilegi che ne derivano.

4. Designare individualmente ogni Amministratore

La designazione deve essere individuale: non basta "il reparto IT è incaricato dell'amministrazione". Per ciascuno vanno individuati gli ambiti in cui è autorizzato a operare. Il Garante richiede una descrizione analitica degli ambiti, ma chiarisce che non è obbligatorio elencare ogni singolo server: gli ambiti possono essere descritti per aree applicative (amministrazione infrastruttura Microsoft, database aziendali, apparati di rete, virtualizzazione, sistemi di backup), purché sufficientemente definiti.

5. Mantenere un elenco aggiornato degli AdS

L'azienda deve tenere un documento interno con estremi identificativi (nome, cognome, funzione, area di appartenenza) e funzioni attribuite a ciascun amministratore, aggiornato e disponibile in caso di accertamento. Va aggiornato ogni volta che si nomina un nuovo amministratore, cambia un ruolo, si modificano i privilegi, termina un rapporto o cambia il fornitore informatico.

6. Identificare anche gli Amministratori esterni

Affidare la gestione a un fornitore non elimina il problema: l'azienda deve sapere quali persone fisiche del fornitore amministrano i suoi sistemi. Il Provvedimento richiede espressamente, nei servizi in outsourcing, di conservare gli estremi identificativi delle persone preposte. Non basta "Amministratore di Sistema: Azienda Informatica S.r.l." — occorre individuare i tecnici effettivamente autorizzati, soprattutto quando accedono via VPN, Remote Desktop, SSH, console cloud o strumenti di assistenza remota.

7. Stabilire quali sistemi sottoporre a logging

Un errore frequente è controllare solo i server. Le FAQ del Garante chiariscono che anche i client (le postazioni di lavoro) rientrano tra i sistemi su cui registrare gli accessi degli AdS, quando ricadono nel perimetro. Secondo l'infrastruttura, il perimetro può comprendere server Windows e Linux, domain controller, PC e workstation, database, NAS e storage, virtualizzazione, apparati di rete, firewall, piattaforme cloud e sistemi di backup. Il Garante precisa inoltre che vanno registrate anche le autenticazioni amministrative verso i DBMS.

8-9. Registrare gli accessi e con quali informazioni

Vanno adottati sistemi idonei a registrare gli accessi logici degli AdS — i cosiddetti access log — negli eventi di accesso, tentativo di accesso e disconnessione. Ogni record dovrebbe permettere di ricostruire l'essenziale:

Il quadro completo degli obblighi del Provvedimento su registrazione e caratteristiche dei log è nell'articolo di riferimento: Log degli Amministratori di Sistema: cosa impone il Garante Privacy.

10. Non è obbligatorio registrare tutti i comandi

Punto importante e spesso frainteso: il Provvedimento non richiede la registrazione generalizzata delle attività svolte durante la sessione. Il Garante specifica che non vanno registrati comandi impartiti, transazioni o attività interattive dell'AdS. L'obbligo riguarda gli accessi. Un sistema può raccogliere altro per finalità diverse, ma non va confuso con ciò che il Provvedimento prescrive per il controllo degli amministratori.

11. I log devono essere completi

Completezza non significa solo che ogni file sia integro, ma che la raccolta comprenda tutti gli eventi di accesso amministrativo nel perimetro. L'azienda dovrebbe verificare periodicamente che tutti i sistemi previsti inviino i log, che non ci siano sorgenti silenziose o periodi inspiegabilmente vuoti, che i sistemi nuovi siano stati aggiunti e quelli dismessi rimossi dal perimetro.

12. I log devono essere inalterabili e verificabili

Gli access log devono avere completezza, inalterabilità e possibilità di verifica dell'integrità adeguate allo scopo. Il Garante non impone un'unica tecnologia: nei casi semplici possono bastare le funzioni dei sistemi operativi con esportazione periodica su supporti non riscrivibili; in situazioni più articolate, raccolta centralizzata, log server separati o tecniche crittografiche. Non esiste un livello di robustezza universale. Su questo tema — spesso sovrainterpretato in chiave "forense" — abbiamo scritto un chiarimento: Inalterabilità degli access log AdS: cosa chiede davvero il Garante.

13. Separare il controllato dal sistema di controllo

È l'aspetto da non sottovalutare. Se l'AdS amministra i server, il sistema di raccolta, il database dei log, può modificare la retention e cancellare le registrazioni, la funzione di controllo diventa debole. Non significa che una soluzione interna sia automaticamente inadeguata — il Garante ammette anche strumenti gratuiti nei casi semplici — ma il titolare deve chiedersi: chi controlla il sistema che controlla l'Amministratore di Sistema? Una raccolta centralizzata gestita separatamente rafforza la separazione dei ruoli. Abbiamo approfondito perché questo cambia tutto in Perché un normale software di Log Management non basta.

14. Conservare i log per almeno sei mesi

Il requisito è preciso: gli access log vanno conservati per un periodo congruo e comunque non inferiore a sei mesi. Non esiste invece nel Provvedimento un obbligo generale di 12 o 24 mesi: un periodo superiore può essere scelto dal titolare quando appropriato rispetto a contesto, rischi ed esigenze organizzative. Il Garante ha chiarito in provvedimenti successivi che finalità e tempi di conservazione vanno individuati e formalizzati preventivamente.

15. Verificare almeno annualmente l'operato

Conservare i log senza guardarli non realizza la finalità del Provvedimento. Il titolare o il responsabile deve effettuare, almeno una volta l'anno, una verifica dell'operato degli AdS, valutando la coerenza delle attività con mansioni, ambiti, misure organizzative, tecniche e di sicurezza. L'analisi dei log aiuta a individuare anomalie su frequenza, orari, durata e sistemi ai quali si è avuto accesso.

16. Documentare la verifica

Il Provvedimento non prescrive un formato di verbale, ma documentare la verifica con una relazione permette di dimostrare quando è stata svolta, quale periodo e quali AdS e sistemi sono stati esaminati, quali evidenze e anomalie, quali chiarimenti ed esiti, e le eventuali azioni correttive. Il principio: non basta possedere i log, bisogna usarli per lo scopo per cui si raccolgono. Per la parte operativa mettiamo a disposizione un modello: Verbale per la verifica annuale AdS: modello di esempio.

La checklist di autovalutazione

Per misurare lo stato dell'adempimento, l'azienda dovrebbe poter rispondere "sì" a queste domande: è stato verificato se il Provvedimento si applica? Sono stati individuati tutti gli AdS, inclusi i tecnici esterni? Sono state valutate esperienza, capacità e affidabilità? Le designazioni sono individuali e gli ambiti definiti? Esiste un elenco aggiornato? Sono stati individuati tutti i sistemi da monitorare, inclusi client e DBMS? Sono registrati login, tentativi falliti e logout con informazioni sufficienti? La raccolta è completa? I log sono protetti e verificabili? Il controllato può modificare il repository? La retention è di almeno sei mesi? L'operato viene verificato almeno annualmente e documentato? Le anomalie producono azioni correttive?

Se una o più risposte sono negative, c'è un'area da approfondire. Una versione ragionata di questa checklist, con l'indicazione di cosa copre uno strumento software e cosa resta all'organizzazione, è in Checklist adempimenti Amministratori di Sistema.

Software gratuito o piattaforma dedicata?

Il Garante ha chiarito che l'adempimento può essere realizzato anche con soluzioni a basso costo, incluso software gratuito o open source. Il problema non è il prezzo della licenza, ma quanto lavoro serve per ottenere un sistema realmente adatto: con una soluzione generalista l'azienda deve occuparsi di installazione, hosting, configurazione, aggiornamenti, acquisizione delle sorgenti, filtri, retention, protezione del repository, account, backup, esportazioni, controlli di integrità e report. E spesso tutto questo viene affidato proprio all'AdS che dovrebbe essere controllato — con l'evidente problema di separazione dei ruoli. Un confronto economico concreto con le principali alternative è in PrivacyLog vs Wazuh, Graylog e Splunk.

Come PrivacyLog semplifica il processo

PrivacyLog nasce per ridurre questa complessità. La piattaforma può ricevere numerose tipologie di eventi, ma nella configurazione dedicata al Provvedimento il filtro di ingestion conserva solo gli eventi pertinenti al controllo degli accessi amministrativi. Il cliente dispone così di una configurazione predisposta per raccogliere gli eventi AdS, centralizzarli, conservarli secondo la retention prevista, ricercarli per utente/dispositivo/periodo, sottrarre il repository al controllo degli AdS monitorati, esportare le registrazioni proteggendole con marca temporale e usare i dati durante la verifica annuale.

L'obiettivo non è sostituire le attività organizzative del titolare: PrivacyLog non decide chi nominare AdS e non esegue al posto tuo la valutazione annuale. Fornisce lo strumento tecnico per raccogliere e utilizzare le evidenze del controllo, senza dover progettare da zero l'infrastruttura di logging. I dettagli architetturali sono nella pagina tecnica.

Domande frequenti

Tutte le aziende devono raccogliere i log degli AdS?

No. Le prescrizioni riguardano chi tratta dati personali con strumenti informatici e deve ricorrere a un Amministratore di Sistema o figura equivalente. Sono escluse le organizzazioni con sistemi di modesta e limitata entità che possano fare a meno di una figura dedicata.

Bisogna registrare anche i tentativi di accesso falliti?

Sì. Il tentativo di accesso rientra espressamente nella definizione di access log del Garante, comprese le condizioni di errore dell'autenticazione.

Devono essere registrati tutti i comandi eseguiti?

No. Il Garante chiarisce che il Provvedimento non richiede la registrazione dell'attività interattiva, come comandi o transazioni.

I log vanno raccolti anche dai PC client?

Sì, quando rientrano nel perimetro. Le FAQ specificano che anche le postazioni client sono comprese tra i sistemi per cui registrare gli accessi degli AdS.

Gli accessi amministrativi ai database vanno registrati?

Sì. Tra gli accessi logici rientrano anche le autenticazioni verso i DBMS.

È obbligatorio usare supporti WORM?

No. Il Garante cita i supporti non riscrivibili come una possibile soluzione tra altre. Nei casi complessi si possono usare raccolta centralizzata e tecniche crittografiche. La scelta spetta al titolare secondo il contesto.

Posso usare un software gratuito?

Sì. Il Garante ha chiarito che anche software gratuito e open source sono valide alternative. Il titolare deve però configurarli e gestirli in modo da soddisfare effettivamente le prescrizioni.

Ogni quanto va verificato l'operato degli AdS?

Almeno una volta l'anno, controllando la coerenza dell'attività con mansioni, autorizzazioni e misure organizzative, tecniche e di sicurezza.

Conclusioni

La gestione dei log degli Amministratori di Sistema non è installare un programma che raccoglie eventi. L'azienda deve costruire un processo in cui sia chiaro chi sono gli AdS, cosa possono amministrare, quali sistemi rientrano nel perimetro, quali accessi si registrano, come si proteggono e conservano i log, chi può accedervi, come si svolge la verifica annuale e come si documentano gli esiti.

Il punto centrale del Provvedimento è il controllo. L'Amministratore di Sistema dispone necessariamente di privilegi elevati per lavorare: proprio per questo il titolare deve avere uno strumento indipendente e attendibile con cui verificare come tali privilegi vengono usati, e dimostrare di averlo fatto. Una soluzione di logging efficace non deve soltanto raccogliere dati: deve permettere il controllo reale.

Riferimenti ufficiali

• Provvedimento del Garante del 27 novembre 2008, come modificato il 25 giugno 2009.
• FAQ ufficiali del Garante sugli Amministratori di Sistema.
• Precisazioni del Garante del 10 dicembre 2009.

Il contenuto ha finalità informativa e non sostituisce una valutazione riferita alle caratteristiche della singola organizzazione.