Quali accessi vanno registrati, per quanto tempo conservarli e come rendere le evidenze davvero utilizzabili per la verifica annuale.
Il Provvedimento del Garante per la protezione dei dati personali sugli Amministratori di Sistema stabilisce specifiche misure organizzative e tecniche per le organizzazioni che si avvalgono di figure con privilegi amministrativi sui sistemi informatici.
Tra queste vi è l'obbligo di adottare sistemi idonei alla registrazione degli accessi logici degli Amministratori di Sistema, conservando gli access log per un periodo non inferiore a sei mesi e garantendone completezza, inalterabilità e possibilità di verificarne l'integrità.
Consulta il Provvedimento del Garante
Un aspetto importante è che il Provvedimento non richiede la registrazione di tutte le operazioni eseguite dall'Amministratore di Sistema. Non è quindi necessario registrare sistematicamente comandi impartiti, transazioni effettuate o ogni singola attività svolta durante una sessione amministrativa.
Gli access log riguardano invece gli eventi generati dai sistemi di autenticazione quando un Amministratore di Sistema:
Le registrazioni devono consentire di individuare almeno gli elementi necessari a ricostruire l'accesso: username utilizzato, data e ora dell'evento, sistema o dispositivo interessato, tipo di evento (login, logout o accesso fallito) ed eventuali ulteriori informazioni tecniche utili a identificare l'origine e le modalità dell'accesso.
L'obiettivo non è quindi registrare tutto, ma raccogliere in maniera completa e attendibile gli eventi pertinenti all'accesso amministrativo. Il quadro completo degli obblighi è nell'articolo Log degli Amministratori di Sistema: cosa impone il Garante.
Quando si parla di accessi degli Amministratori di Sistema non bisogna pensare solamente alle credenziali utilizzate per accedere a un server Windows, Linux o a una workstation. Il perimetro può comprendere tutti i sistemi di elaborazione e gli archivi elettronici sui quali gli Amministratori di Sistema esercitano le proprie funzioni e che trattano, anche indirettamente, dati personali.
A seconda dell'infrastruttura aziendale possono quindi rientrare nel monitoraggio: server Windows, sistemi Linux e Unix, workstation, database e sistemi RDBMS, firewall, NAS, router, switch, sistemi di virtualizzazione come VMware, appliance di rete e di sicurezza, e altri dispositivi in grado di produrre log tramite protocolli standard RFC.
Il Garante chiarisce espressamente che anche i sistemi client possono essere interessati dall'obbligo e che tra gli accessi da registrare sono comprese anche le autenticazioni verso i Database Management System (DBMS).
La corretta individuazione del perimetro è quindi uno dei primi passaggi da effettuare prima di configurare il sistema di raccolta. Per capire se e come l'obbligo riguarda la tua organizzazione, vedi chi è obbligato a registrare i log.
Il Provvedimento stabilisce che la designazione dell'Amministratore di Sistema debba essere individuale e che debbano essere definiti gli ambiti di operatività consentiti. L'Amministratore di Sistema è quindi una persona fisica identificata, alla quale vengono attribuite determinate funzioni amministrative.
Per rendere realmente attribuibili gli accessi registrati è opportuno utilizzare credenziali amministrative nominative e non condivise. Un account amministrativo utilizzato indistintamente da più persone renderebbe infatti molto più difficile stabilire chi abbia realmente effettuato un determinato accesso: approfondimento in gestione degli accessi privilegiati.
Per ogni Amministratore di Sistema devono inoltre essere documentati gli ambiti di operatività assegnati. Ad esempio: amministratore di database/RDBMS, amministratore dei sistemi Windows, amministratore Linux, sistemista di rete, amministratore degli apparati di sicurezza, amministratore dei sistemi di virtualizzazione, desktop administrator o responsabile di specifiche infrastrutture e aree applicative.
Non è necessariamente necessario elencare ogni singolo server o ogni singola operazione: l'ambito può essere definito per settore o area applicativa, purché sia sufficientemente preciso. Se l'amministrazione è affidata a terzi, valgono le stesse regole: vedi Amministratore di Sistema in outsourcing.
Scarica il facsimile di incarico per Amministratore di Sistema
Dal punto di vista tecnico, gli aspetti fondamentali sono quattro:
A questi si aggiunge l'obbligo organizzativo di effettuare, con cadenza almeno annuale, una verifica dell'operato degli Amministratori di Sistema. Una lista di controllo completa è disponibile nella checklist degli adempimenti; sul tema della conservazione, vedi come conservare i log per sei mesi.
È proprio in questa fase che PrivacyLog semplifica notevolmente il processo.
Una volta installato e configurato, PrivacyLog raccoglie centralmente i log provenienti dai sistemi e dai dispositivi aziendali, individua gli eventi pertinenti e consente di eliminare le informazioni non necessarie.
Questo è un aspetto importante. Molti sistemi producono migliaia o milioni di eventi che non hanno alcuna relazione con gli accessi degli Amministratori di Sistema. Memorizzarli indiscriminatamente significa occupare grandi quantità di spazio, aumentare inutilmente la complessità, rendere più difficile individuare le informazioni realmente importanti e allungare i tempi necessari per verifiche e controlli.
PrivacyLog nasce invece con un obiettivo preciso: raccogliere ciò che serve, eliminando il rumore di fondo.
PrivacyLog riceve gli eventi prodotti dai diversi sistemi e applica regole di selezione e interpretazione. Gli eventi pertinenti vengono mantenuti e normalizzati; quelli non necessari possono essere scartati attraverso specifiche regole di drop. Il risultato è un archivio molto più leggibile e gestibile rispetto alla raccolta indiscriminata di tutti gli eventi prodotti dall'infrastruttura.
Il Titolare del trattamento può quindi effettuare le verifiche previste dal Provvedimento disponendo di informazioni centralizzate e facilmente consultabili. PrivacyLog consente inoltre di effettuare esportazioni periodiche dei log, alle quali possono essere applicati meccanismi destinati a garantirne integrità e riferibilità temporale — tema approfondito in inalterabilità degli access log.
La raccolta dei log non esaurisce gli adempimenti. Il Provvedimento prevede che l'operato degli Amministratori di Sistema venga sottoposto a verifica almeno annuale, allo scopo di controllare che le attività svolte siano coerenti con gli incarichi attribuiti, gli ambiti di operatività autorizzati, le misure organizzative adottate e le misure tecniche e di sicurezza applicabili.
PrivacyLog rende disponibili le evidenze necessarie per effettuare questo controllo. È opportuno documentare la verifica attraverso un verbale di controllo dell'operato degli Amministratori di Sistema, conservandolo insieme alla documentazione privacy e di sicurezza dell'organizzazione.
Progettata per adattarsi sia a infrastrutture semplici sia ad ambienti distribuiti e multisede, si compone principalmente di tre elementi.
Installato all'interno della rete dell'organizzazione, riceve i log provenienti dai dispositivi e dai sistemi monitorati. In presenza di più sedi possono essere installati più Collector locali, ciascuno dedicato alla propria infrastruttura, riducendo la complessità di configurazione dei singoli dispositivi.
I Collector locali trasferiscono gli eventi al Collector remoto PrivacyLog, dove avvengono centralizzazione, interpretazione e applicazione delle regole. Le regole di riconoscimento e filtraggio vengono aggiornate nel tempo, migliorando progressivamente la qualità dei dati senza intervenire su ogni dispositivo.
Sui sistemi operativi che lo richiedono viene installato un Agent di raccolta, che individua gli eventi previsti dalla configurazione e li trasferisce al Collector. Guida pratica: installare l'agent su Windows Server.
Per dispositivi e appliance già dotati di sistemi di logging compatibili con protocolli standard non è invece necessario installare un Agent: PrivacyLog può ricevere direttamente eventi trasmessi mediante protocolli standard RFC, utilizzando i relativi servizi TCP o UDP. Questo permette di integrare, oltre ai sistemi operativi, apparati come firewall, router, switch, NAS, VMware e altri sistemi di virtualizzazione, appliance di sicurezza e dispositivi di rete.
Non esiste un tempo identico per tutte le infrastrutture. La configurazione iniziale viene effettuata dai tecnici PrivacyLog durante la fase di installazione e comprende l'analisi dei sistemi da monitorare e la predisposizione delle modalità di raccolta. Al cliente vengono fornite le indicazioni necessarie per configurare i dispositivi e, dove previsto, installare gli Agent.
I tempi dipendono principalmente da numero dei sistemi da monitorare, tipologia dei dispositivi, numero delle sedi, presenza di infrastrutture virtualizzate, presenza di firewall, NAS e appliance, e modalità con cui ciascun sistema produce ed esporta i propri log.
Il problema, infatti, non è semplicemente riuscire a raccogliere dei log: quello è relativamente facile. Il vero problema è capire quali log servono davvero e renderli utilizzabili.
Un sistema Windows, Linux, un firewall o un hypervisor possono generare una quantità enorme di eventi. Se questi eventi vengono semplicemente riversati in un database senza essere interpretati, nel giro di poco tempo si ottiene un archivio composto da milioni di righe nel quale individuare ciò che interessa diventa estremamente complesso. È il cosiddetto rumore di fondo.
PrivacyLog lavora invece sulla selezione degli eventi. Le regole vengono costantemente evolute per riconoscere gli eventi realmente significativi, eliminare quelli non pertinenti, classificare gli eventi raccolti, ridurre drasticamente la quantità di informazioni inutili e facilitare verifiche, ricerche e controlli.
In questo modo il log non è più semplicemente un dato memorizzato: diventa un'informazione utilizzabile. È la stessa ragione per cui un normale software di log management spesso non basta, come spieghiamo in questo approfondimento.
Un altro problema dei sistemi di logging tradizionali è il linguaggio utilizzato. Event ID, facility, severity, codici numerici, messaggi Syslog e descrizioni tecniche sono spesso perfettamente comprensibili a un sistemista, ma molto meno a chi deve effettuare una verifica privacy o organizzativa.
PrivacyLog svolge anche un lavoro di interpretazione e normalizzazione degli eventi, presentandone il significato in italiano quando possibile. L'obiettivo è rendere le informazioni comprensibili non soltanto al reparto IT, ma anche a figure come il Titolare del trattamento, il DPO, il Responsabile privacy, gli auditor, il responsabile della sicurezza e il management aziendale.
Perché un log che esiste ma che nessuno riesce a interpretare ha un'utilità molto limitata.
Per le organizzazioni che vogliono ampliare il monitoraggio oltre quanto strettamente necessario per la gestione degli access log degli Amministratori di Sistema è disponibile PrivacyLog Extended, che estende la raccolta e l'analisi a ulteriori eventi significativi per la sicurezza dei sistemi e dei dati.
L'obiettivo resta però differente da quello di un SIEM generalista: PrivacyLog mantiene una forte focalizzazione sulla leggibilità degli eventi, sulla semplicità operativa e sulla possibilità di individuare rapidamente le informazioni realmente significative. In questo modo la stessa piattaforma può diventare non soltanto uno strumento per supportare gli adempimenti relativi agli Amministratori di Sistema, ma anche un ulteriore presidio per il monitoraggio della sicurezza dell'infrastruttura.
Questo è probabilmente il concetto più importante. Il Provvedimento sugli Amministratori di Sistema non richiede di registrare qualsiasi attività svolta da un amministratore: richiede invece di poter disporre di access log completi, integri e verificabili relativi agli accessi amministrativi ai sistemi interessati.
PrivacyLog nasce precisamente per questo: raccogliere, selezionare, conservare e rendere comprensibili le informazioni che servono realmente. Meno rumore. Più controllo. Più semplicità nella verifica.
PrivacyLog può essere configurato sulle caratteristiche reali della tua infrastruttura, individuando sistemi, dispositivi e accessi amministrativi che devono essere monitorati.
Scopri PrivacyLog Richiedi una demo