Verbale per la Verifica annuale ADS: modello di esempio

Il Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008, come successivamente modificato, non si limita a richiedere la registrazione degli accessi degli Amministratori di Sistema. Prevede anche che il loro operato sia sottoposto a una verifica con cadenza almeno annuale. È un adempimento spesso trascurato, eppure è il momento in cui l'organizzazione dimostra di non essersi limitata a raccogliere i log, ma di controllarli davvero.

In questa guida vediamo che cos'è la verifica annuale, chi deve svolgerla, quali controlli comprende e come documentarla. In fondo trovi un modello di verbale in formato Word, pronto da adattare alla tua organizzazione.

Che cos'è la verifica annuale degli Amministratori di Sistema?

La verifica annuale è il controllo periodico con cui il titolare del trattamento accerta che l'attività svolta dagli Amministratori di Sistema sia coerente con gli incarichi attribuiti, con gli ambiti di operatività autorizzati e con le misure organizzative e di sicurezza adottate. Il Provvedimento richiede espressamente che questo controllo avvenga almeno una volta all'anno.

Non si tratta di una semplice presa d'atto dell'esistenza dei file di log. È un'attività sostanziale, che confronta ciò che gli amministratori erano autorizzati a fare con ciò che hanno effettivamente fatto, e che individua eventuali anomalie, accessi non giustificati o scostamenti rispetto alle mansioni assegnate.

Chi deve effettuare la verifica?

La responsabilità della verifica ricade sul titolare del trattamento, che può affidarne l'esecuzione operativa a una funzione interna o a un soggetto esterno qualificato. È importante, però, che chi effettua il controllo sia in una posizione di indipendenza rispetto agli Amministratori di Sistema verificati: non è coerente che un amministratore controlli sé stesso.

Nelle organizzazioni più piccole, dove questa separazione è difficile, la verifica può essere affidata a un consulente esterno, al Responsabile della Protezione dei Dati quando presente, oppure a una funzione aziendale distinta da quella tecnica. L'obiettivo è garantire che il controllo sia effettivo e non una formalità autoreferenziale.

Quali controlli comprende la verifica?

Una verifica annuale completa non si esaurisce nel guardare qualche riga di log. Dovrebbe articolarsi in una serie di controlli tra loro collegati.

Individuazione e designazione degli amministratori

Si verifica che l'elenco degli Amministratori di Sistema sia aggiornato, che ogni figura sia stata designata formalmente e che gli ambiti di operatività siano definiti. Vanno individuate eventuali persone che operano di fatto come amministratori senza una designazione, così come designazioni rimaste attive per persone che hanno cambiato ruolo o lasciato l'organizzazione.

Account e privilegi

Si controllano gli account privilegiati effettivamente attivi, confrontandoli con l'elenco degli amministratori designati. È il momento per individuare utenze generiche, account condivisi, credenziali obsolete o privilegi eccessivi rispetto alle mansioni.

Copertura dei sistemi

Si verifica che la registrazione degli accessi copra tutti i sistemi che trattano, anche indirettamente, dati personali: non solo i server, ma anche i client, i database, gli apparati di rete e sicurezza, i sistemi di virtualizzazione e le piattaforme cloud rilevanti.

Completezza e continuità dei log

Si accerta che la raccolta sia stata continua nel periodo esaminato, senza interruzioni non giustificate. Un intervallo in cui il logging risulta spento o non alimentato è di per sé un elemento da rilevare e motivare.

Conservazione e integrità

Si controlla che i log siano conservati per il periodo previsto, non inferiore a sei mesi, e che siano protetti da modifiche o cancellazioni non autorizzate. Dove appropriato, si verifica l'integrità delle registrazioni.

Coerenza degli accessi con le mansioni

È il cuore della verifica: confrontare gli accessi effettivamente registrati con gli ambiti autorizzati. Si analizzano, anche a campione, gli accessi fuori orario, i tentativi falliti ripetuti, gli accessi da postazioni o indirizzi inconsueti e ogni scostamento rispetto al comportamento atteso.

Accessi dei fornitori esterni

Quando la gestione dei sistemi è affidata a fornitori, si verifica che i loro accessi siano tracciati, riconducibili a persone fisiche identificabili e limitati agli intervalli e agli ambiti concordati.

Stato delle azioni correttive precedenti

Si controlla che le anomalie rilevate nella verifica precedente siano state effettivamente risolte, e non semplicemente annotate e dimenticate.

Come documentare la verifica: il verbale

La verifica annuale deve lasciare una traccia documentale. Il verbale è lo strumento con cui l'organizzazione dimostra, in caso di controllo del Garante o di audit, di avere effettivamente svolto il controllo previsto. Un verbale ben strutturato dovrebbe contenere almeno:

• i dati dell'organizzazione e il periodo sottoposto a verifica;
• l'oggetto e il perimetro del controllo;
• l'elenco degli Amministratori di Sistema verificati;
• la documentazione esaminata;
• la metodologia utilizzata, incluso l'eventuale campionamento;
• l'esito dei singoli controlli;
• le anomalie e le non conformità rilevate;
• un giudizio conclusivo;
• il piano delle azioni correttive con responsabili e scadenze;
• la data della verifica successiva;
• le firme dei soggetti coinvolti.

La sola esistenza dei log, senza un verbale che ne documenti l'analisi, non è sufficiente a dimostrare l'adempimento dell'obbligo di verifica.

Modello scaricabile. In fondo a questa guida trovi un modello di verbale di verifica annuale in formato Word, con tutte le sezioni sopra descritte, pronto da compilare e adattare alla tua organizzazione.

Ogni quanto va fatta, oltre alla scadenza annuale?

La cadenza annuale è il minimo previsto dal Provvedimento. Una verifica anticipata o straordinaria è opportuna in alcune situazioni: dopo un incidente di sicurezza, in presenza di modifiche rilevanti dell'infrastruttura, in caso di cambiamento degli Amministratori di Sistema, all'attivazione di nuovi fornitori con accesso ai sistemi, quando vengono rilevate anomalie significative o quando le azioni correttive di una verifica precedente non risultano completate.

Come PrivacyLog supporta la verifica annuale

Buona parte della fatica della verifica dipende dalla difficoltà di reperire e leggere i log. Una raccolta centralizzata riduce sensibilmente questo onere. PrivacyLog consente di ricercare gli accessi per account, sistema e intervallo temporale, di produrre report utili all'analisi periodica, di individuare tentativi di accesso anomali e di conservare le registrazioni in modo protetto per il periodo previsto.

Il software fornisce le evidenze tecniche su cui si basa la verifica, ma non sostituisce l'attività di controllo e la sua documentazione: l'individuazione degli amministratori, la definizione degli ambiti autorizzati, l'analisi degli accessi e la redazione del verbale restano attività dell'organizzazione.

Approfondimento: per il quadro completo degli obblighi previsti dalla norma, leggi Log degli Amministratori di Sistema: cosa impone il Garante Privacy. Per capire se l'obbligo riguarda la tua organizzazione, vedi Chi è obbligato a registrare i log degli Amministratori di Sistema.

Domande frequenti

La verifica annuale è obbligatoria?

Sì. Il Provvedimento del Garante prevede espressamente che l'operato degli Amministratori di Sistema sia sottoposto a verifica con cadenza almeno annuale.

Chi può effettuarla?

La responsabilità è del titolare, che può affidarne l'esecuzione a una funzione interna indipendente o a un soggetto esterno qualificato. È preferibile che chi verifica non coincida con gli amministratori verificati.

È sufficiente conservare i log?

No. La conservazione dei log è un presupposto, ma la verifica richiede di analizzarli e di documentare il controllo, di norma attraverso un verbale.

Cosa succede se non viene svolta?

La mancata verifica costituisce un'omissione rispetto a una misura prevista dal Provvedimento e può concorrere a una violazione della disciplina sulla protezione dei dati personali, valutata dall'Autorità secondo i criteri applicabili.

Riferimenti ufficiali

• Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008, come modificato il 25 giugno 2009.
• FAQ del Garante sugli Amministratori di Sistema.

Il presente contenuto ha finalità informativa e non sostituisce una valutazione legale, privacy o organizzativa riferita alla specifica organizzazione.