GDPR (General Data Protection Regulation)

Demografico

Tributi

Uff.Tecnico

Ragioneria

Aff.Generali

Governance

Personale

Gestione

Sanità

Introduzione

In data 25 maggio 2018' diventa pienamente efficace il Regolamento Generale sulla Protezione dei Dati (UE 2016/679).
I software della suite “Sicraweb” di Maggioli Spa aderiscono alle indicazioni della Circolare Agid n.2/2017 del 18 aprile 2017 in relazione alle «Misure minime di sicurezza ICT per le pubbliche amministrazioni. (Direttiva del Presidente del Consiglio dei ministri 1° agosto 2015)» , e garantiscono il pieno rispetto di quanto previsto dal Reg. UE 2016/679.

Opzioni Sicurezza Account

All'interno della procedura Sicraweb, è possibile parametrizzare le diverse opzioni di sicurezza che ogni account di accesso al sistema deve rispettare, attraverso la consolle che si trova alla voce di menù:
Gestione -> Utenti e Gruppi -> Configurazione

Per impostare come vincoli minimi di accesso al sistema quelli definiti dall'Agid, sarà sufficiente scegliere la voce omonima tramite l'apposito menù a tendina, come da immagine di esempio che segue:


Tramite l'operazione sopra descritta, la procedura andrà a valorizzare automaticamente i valori dei diversi parametri disponibili, al fine di rispettare le istruzioni del Regolamento Europeo e relativa Circolare Agid.
Sarà comunque facoltà dell'amministratore di sistema, intervenire sui singoli parametri per andare a personalizzare le diverse opzioni di sicurezza, ad esempio per renderle ancora più stringenti rispetto a quanto indicato dalla normativa.

Misure Tecniche

Gestione Utenti e accessi

Il sistema di autenticazione degli utenti a Sicraweb permette di integrarsi in modo efficace con un sistema di autenticazione LDAP. Il sistema di autenticazione di Sicraweb è ovviamente in grado di operare in autonomia anche se non collegato ad un sistema di autenticazione LDAP, in particolare per gestire le situazioni di servizio LDAP momentaneamente offline oppure quando non si voglia proprio fare uso di un LDAP. L'autenticazione degli utenti è prevista una sola volta, al momento dell'accesso all'applicazione. L'applicazione prevede funzionalità di tipo amministrativo, tali da consentire una profilazione centralizzata e granulare degli utenti.
Nello specifico Sicraweb recepisce le seguenti indicazioni previste nella Circolare Agid n.2/2017

• [ABSC 5.1.2] Utilizzare le utenze amministrative solo per effettuare operazioni che ne richiedano i privilegi, registrando ogni accesso effettuato
• [ABSC 5.7.1] Quando l'autenticazione a più fattori non è supportata, utilizzare per le utenze amministrative credenziali di elevata robustezza (e.g. almeno 14 caratteri con la regola di avere almeno una maiuscola e un numero)
• [ABSC 5.7.3] Assicurare che le credenziali delle utenze amministrative vengano sostituite con sufficiente frequenza (password aging opzione 30-60-90 gg)
• [ABSC 5.7.4] Impedire che credenziali già utilizzate possano essere riutilizzate a breve distanza di tempo (password history opzione 15-20-25 volte)
• [ABSC 5.4.1] Tracciare nei log l'aggiunta o la soppressione di un'utenza amministrativa
• [ABSC 5.4.2] Generare un'allerta quando viene aggiunta un'utenza amministrativa
• [ABSC 5.4.3] Generare un'allerta quando vengano aumentati i diritti di un'utenza amministrativa
• [ABSC 5.5.1] Tracciare nei log i tentativi falliti di accesso con un'utenza amministrativa
• [ABSC 5.7.2] Impedire che per le utenze amministrative vengano utilizzate credenziali deboli
• [ABSC 5.7.5] Assicurare che dopo la modifica delle credenziali trascorra un sufficiente lasso di tempo per poterne effettuare una nuova
• [ABSC 5.7.6] Assicurare che le stesse credenziali amministrative non possano essere riutilizzate prima di sei mesi

Cifratura dei dati

Il sistema Sicraweb eb adotta misure di sicurezza a protezione dei dati sensibili con la “pseudonimizzazione” che prevede l’assenza di identificabilità diretta del soggetto interessato («trattamento dei dati personali in modo tale che i dati non possano essere più attribuiti ad un interessato specifico senza l’utilizzo di informazioni aggiuntive»);

Gli Enti possono inoltre adottare sistemi di cifratura a protezione delle copie di sicurezza (backup) dei dati ed utilizzare certificati di sicurezza per garantire la cifratura della comunicazione Client-Server.

Misure Tecniche – Log La soluzione Sicraweb prevede una completa gestione dei log all’interno dell’RDBMS sia per tracciare e registrare le operazioni svolte dagli utenti che accedonoall’applicazione tramite le credenziali attribuite), per tracciare e registrare le operazioni svolte dagli amministratori di sistema che accedono all’applicazione tramite le credenziali attribuite. Il sistema gestisce la tracciabilità delle modifiche a livello infrastrutturale direttamente sui sistemi RDBMS utilizzati. Il logging avviene a livello transazionale offrendo il massimo livello di accuratezza e veridicità.
Il livello di dettaglio può essere configurato fino ad arrivare alla tracciatura delle letture e non solo delle modifiche. I log prodotti sono consultabili direttamente dall’ambiente applicativo, semplificando così notevolmente le attività degli amministratori di sistema.

Integrazione con componenti esterne

Per quanto riguarda l’utilizzo di componenti esterne quali Java e Libre Office, trattandosi di tecnologie e prodotti in continua evoluzione e non potendo avere certezza della retro-compatibilità delle versioni, al fine di garantire la stabilità e il corretto funzionamento dei nostri prodotti, vengono progressivamente certificate le nuove release, previo collaudo dell’intera piattaforma. Al momento le release certificate con Sicraweb sono Java JRE 1.8.0_151 e Libre Office 4.2.6.3

Argomenti Correlati e Collegamenti Esterni

• Regolamento (UE) 2016/679 del Parlamento Europeo ed del Consiglio dell'Unione Europea
• Circolare Agid n.2/2017 del 18 aprile 2017
• Gestione Utenti Tabellare