DOCUMENTO PROGRAMMATICO SULLA SICUREZZA DEI DATI

(Misure di sicurezza per il trattamento di dati personali – art. da 33 a 36 del Decreto Legislativo 30/06/2003 n. 196)

I emissione in ottemperanza al 
D. lgs. 30/06/04 n. 196: Rev. 1	Data: xx/yy/2006
	
Redatto da: Responsabile dei dati della Struttura nella persona del Direttore/ Dirigente	
Supporto di: Centro Servizi Informatici dell’Ateneo Fiorentino	
Revisione corrente: Rev.: 1	Data: xx/yy/2006	

Autorizzazione formale per esterni

In data ______________  il Responsabile autorizza la consegna del presente documento,  

a ________________________ ai fini______________________________________

Firma del Responsabile _____________________________

Classificazione del documento: riservato

INDICE

CAPITOLO 1: GENERALITA’
1.1 Fonti normative
1. 2 Introduzione
1.3 Oggetto e obiettivi
1.4  Termini e definizioni
1.5 Elenco dei trattamenti
1.6 Titolarietà e ripartizione delle responsabilità
1.6.1 Il Titolare del trattamento
1.6.2 I Responsabili del trattamento
1.6.3 Gli Incaricati del trattamento
1.6.4 Società esterne
CAPITOLO 2: ANALISI DEI RISCHI ALLA SICUREZZA DEI DATI
2.1 Oggetto e finalità
2.2 Criteri per l’individuazione e classificazione dei beni
2.3 Metodologia adottata per  la valutazione dei rischi
CAPITOLO 3: LA GESTIONE DEI RISCHI - LE MISURE DI SICUREZZA adottate e da adottare PER IL TRATTAMENTO DEL RISCHIO
3.1 Oggetto e finalità
3.2  Protezione degli ambienti fisici
3.2.1 Misure fisiche in atto nell’edificio
3.2.2 Misure fisiche in atto nei locali
3.3 Misure di sicurezza  logica a garanzie della integrità, riservatezza e disponibilità dei dati
3.3.1 La gestione dei server
3.3.2  La gestione degli accessi
3.4  Le contromisure di sicurezza di carattere procedurale
3.4.1 Il piano di continuità e il back up dei dati
3.4.2 Le procedure attivate
3.4.3 Relazione al bilancio
3.5 Trattamenti cartacei
CAPITOLO 4: LA FORMAZIONE DEL PERSONALE SULLE MISURE DI SICUREZZA
4.1 Oggetto e obiettivi
4.1 Campo di applicazione
4.3 La pianificazione della formazione
Capitolo 5 : Elenco degli allegati

CAPITOLO 1: GENERALITA’
1.1 Fonti normative
Le disposizioni di legge principali concernenti la corretta gestione di sistemi informatici sono:
-	D.lgs.vo 30.6.2003 n.196 (recante il Codice in materia di protezione dei dati personali) e suo Disciplinare Tecnico (Allegato B)
-	R.D. 22.4.1941 n. 633 e D.Lgs. 29.12.1992 n. 518 (tutela del diritto di autore sul software);
-	L. 23.12.1993 n. 547 (reati legati all’informatica - modifiche al Codice penale);
-	Regolamento di attuazione del Codice di Protezione dei Dati Personali in possesso dell'Università degli Studi di Firenze (Decreto rettorale, 29/12/05, n. 1177, Prot. 79382).
1. 2 Introduzione
Il Decreto Legislativo 30 giugno 2003, n.196  garantisce che il trattamento dei dati personali si svolga nel rispetto dei diritti delle persone fisiche, con particolare riferimento alla riservatezza e alla identità delle persone.  
I principi fondamentali del nuovo codice in materia di protezione dei dati personali (d’ora in avanti “Decreto”), in cui anche la struttura “Dipartimento di …” / “Ufficio di …” dell'Ateneo Fiorentino (di seguito denominata “Struttura”) si riconosce, sono:
-	Principio di necessità nel trattamento dei dati : “i sistemi informativi e i programmi informatici sono configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi, in modo da escluderne il  trattamento quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi od opportune modalità che permettano di  identificare l’interessato solo in caso di necessità” (art.3 – codice della privacy);
-	Principio di trasparenza: il titolare del trattamento deve manifestare all’esterno e far conoscere una serie di elementi caratterizzanti la propria attività di trattamento: da qui l’esigenza di provvedere alla notifica al Garante, nei casi previsti dal decreto all’art. 37 del “codice della privacy”, e quella di fornire l’informativa  l’interessato (art. 13);
-	Adozione delle misure minime, di cui agli art. 33, 34, 35, 36 e all’Allegato B (Disciplinare tecnico in materia di misure minime di sicurezza)  che devono essere adottate obbligatoriamente;
-	Adozione di misure di sicurezza idonee (art. 31) per la protezione dei dati personali: tali misure sono quelle che devono essere valutate in process e adattate continuamente anche in base alle conoscenze acquisite con il progredire delle tecnologie,  alla natura dei dati e  alle specifiche caratteristiche del trattamento, in modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o  perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta 
1.3 Oggetto e obiettivi
Il “Documento Programmatico sulla Sicurezza” rappresenta lo standard di sicurezza dei dati trattati detenuti dalla “Struttura” e quindi lo strumento chiave per gestire al meglio tutti gli aspetti relativi alla sicurezza informatica dei dati e delle risorse di elaborazione che necessitano di protezione.  Il presente documento viene aggiornato in caso di cambiamenti degli standard di sicurezza adottati. Nell'Allegato 1 viene riportato l'"Elenco delle revisioni del Documento Programmatico sulla Sicurezza".
Comunque, entro il 31 marzo di ogni anno, il Responsabile del trattamento dei dati della Struttura aggiorna il documento programmatico sulla sicurezza. Il presente documento contiene informazioni e allegati atti a illustrare quanto realizzato e predisposto in materia di sicurezza, sulla base dell'art. 19 dell'allegato B al D.lgs.vo 30.6.2003 n.196.

Il presente “Documento Programmatico sulla Sicurezza” descrive le misure adottate e pianificate al fine di garantire la riservatezza, l’integrità, la disponibilità e -	la autenticità dei dati trattati.
Lo scopo è di adottare sia le misure minime previste dall’allegato B del “Decreto” sia dei criteri per il trattamento dei rischi residui al fine di ridurli ad un livello ritenuto accettabile. I rischi alla sicurezza delle informazioni in generale sono imputabili a  fattori quali:
-	l’inaffidabilità: cioè la non garanzia di corretto funzionamento (hardware o software)
-	l’esposizione alle intrusioni informatiche
-	l’errore umano 
-	i disastri

La sicurezza dei dati trattati presso la “Struttura” non dipende solo dall’utilizzo di misure di sicurezza di carattere tecnico, ma anche dalla adozione di misure di protezione fisica degli accessi e di regole organizzative e comportamentali seguite dal personale, definite nel presente “Documento Programmatico sulla Sicurezza” e in eventuali ulteriori istruzioni operative e regolamenti. Gli allegati, che fanno parte integrante del presente documento, sono elencati nel capitolo 5. 
Tali regole comportamentali sono supportate da una idonea formazione degli Incaricati al trattamento.
1.4  Termini e definizioni
Di seguito vengono riportate alcune definizioni, che verranno utilizzate nel presente documento:
•	"trattamento", qualunque operazione o complesso di operazioni, effettuati anche senza l'ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione, il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione di dati, anche se non registrati in una banca di dati;
•	"dato personale", qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale;
•	"dati sensibili", i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo  stato di salute e la vita sessuale;
•	"dati giudiziari", i dati personali idonei a rivelare provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.P.R. 14 novembre  2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di  imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale;
•	"misure minime": il complesso delle misure tecniche, informatiche, organizzative, logistiche e procedurali di sicurezza che configurano il livello minimo di protezione richiesto in relazione ai rischi previsti nell'articolo 31;
•	"titolare", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono, anche  unitamente ad altro titolare, le decisioni in ordine alle finalità, alle modalità del trattamento di dati personali e agli strumenti utilizzati, ivi compreso il profilo  della sicurezza;
•	"responsabile", la persona fisica, la persona giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo preposti dal titolare al  trattamento di dati personali;
•	"incaricati", le persone fisiche autorizzate a compiere operazioni di trattamento dal titolare o dal responsabile; 
•	"interessato", la persona fisica, la persona giuridica, l'ente o l'associazione cui si riferiscono i dati personali;
•	"banca di dati", qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti;
•	"autenticazione informatica", l'insieme degli strumenti elettronici e delle procedure per la verifica anche indiretta dell'identità; 
•	"credenziali di autenticazione", i dati ed i dispositivi, in possesso di una persona, da questa conosciuti o ad essa univocamente correlati, utilizzati per l'autenticazione informatica;
•	"parola chiave", componente di una credenziale di autenticazione associata ad una persona ed a questa nota, costituita da una sequenza di caratteri o altri dati in forma elettronica;
•	"profilo di autorizzazione", l'insieme delle informazioni, univocamente associate ad una persona, che consente di individuare a quali dati essa può accedere, nonché i trattamenti ad essa consentiti;
•	"sistema di autorizzazione", l'insieme degli strumenti e delle procedure che abilitano l'accesso ai dati e alle modalità di trattamento degli stessi, in funzione del profilo di autorizzazione del richiedente.
•	'analisi dei rischi': attività che consiste nella valutazione sistematica dei rischi tramite 
•	individuazione di tutte le risorse del patrimonio informativo;
•	identificazione delle minacce a cui tali risorse sono sottoposte;
•	identificazione delle vulnerabilità;
•	definizione delle relative contromisure;
•	'Decreto': il Decreto Legislativo 30.6.2003 n.196;
•	'Regolamento di Ateneo': Regolamento di attuazione del Codice di Protezione dei Dati Personali in possesso dell'Università degli Studi di Firenze.
1.5 Elenco dei trattamenti 
Riferimento normativo: Punto 19.1  –  Allegato B – D.Lgs. 30/06/2003 n. 196

Il “Documento Programmatico sulla Sicurezza” si applica a tutte le attività svolte all’interno della “Struttura” che abbiano un impatto sulle attività di trattamento dei dati personali,  sensibili, e giudiziari.  
L'Allegato 2 “Elenco dei Trattamenti – Informazioni base" contiene l'elenco dei trattamenti dati gestiti dalla “Struttura”; in esso viene riportato, accanto alla descrizione del trattamento, le sue finalità, le categorie di interessati, le tipologie di dati e di trattamento (ad ogni trattamento viene assegnata una sigla, per i riferimenti nelle tabelle successive).
L’Allegato 3 “Dettaglio trattamenti informatici” contiene per ogni trattamento informatico la descrizione dettagliata degli strumenti hardware utilizzati e della loro localizzazione, del software utilizzato, della tipologia di accesso.

In quanto alla finalità dei trattamenti si precisa che l'Università degli Studi di Firenze gestisce trattamenti di dati personali esclusivamente per il raggiungimento delle proprie finalità istituzionali.
1.6 Titolarietà e ripartizione delle responsabilità 
Riferimento normativo: Punto 19.2  –  Allegato B – D.Lgs. 30/06/2003 n. 196

La presente sezione descrive la struttura organizzativa funzionale al trattamento dei dati personali e le singole responsabilità. 
1.6.1 Il Titolare del trattamento
Ai sensi dell'Art. 3, comma 1, del 'Regolamento di Ateneo', l’Università è Titolare del trattamento dei dati contenuti negli archivi, automatizzati e cartacei, da essa detenuti.
Ai sensi dell'Art. 3, comma 2,  del 'Regolamento di Ateneo' il Direttore / Dirigente Responsabile della “Struttura” è il Responsabile del trattamento dei dati detenuti dalla Struttura stessa. 
Ai sensi dell'Art. 13 del 'Regolamento di Ateneo' il Responsabile del trattamento dei dati della “Struttura” adotta, per la custodia dei dati personali detenuti, le misure minime di sicurezza e redige il “Documento Programmatico sulla Sicurezza”.
Il Responsabile del trattamento dei dati della “Struttura” è responsabile dell’analisi e della valutazione dei rischi che incombono sui dati: tale analisi è strumentale all’adozione delle misure di sicurezza descritte nel “Documento Programmatico sulla Sicurezza”. Il Responsabile del trattamento dei dati della Struttura effettua l'analisi seguendo i criteri e le modalità descritti nel capitolo 2 sull’analisi dei rischi.
Oltre alle misure minime, la “Struttura” adotta misure ulteriori ritenute idonee alla salvaguardia dell’integrità, riservatezza e disponibilità dei dati e delle trasmissioni in rete. 
Ai sensi dell'Art. 13 del 'Regolamento di Ateneo' il Responsabile del trattamento dei dati della “Struttura” entro il 31 marzo di ogni anno comunica al Titolare l’avvenuta emanazione e/o aggiornamento del “Documento Programmatico sulla Sicurezza”.
Il Responsabile del trattamento dei dati della “Struttura” è inoltre responsabile di:
-	ripartire le responsabilità per il trattamento dei dati e per la sicurezza delle informazioni, nominando i Responsabili; 
-	stabilire le regole e gli obiettivi generali per la sicurezza delle informazioni della “Struttura”;
-	promuovere, quando necessario, la formazione e l'addestramento sulle tematiche inerenti la sicurezza per il personale della “Struttura”;
-	mettere a disposizione le risorse disponibili che si rendano necessarie per l’implementazione e il mantenimento delle misure di sicurezza previste dal DPS.
1.6.2 I Responsabili del trattamento 
Il Responsabile del trattamento della “Struttura” può designare, ai sensi dell’art. 29 del 'Decreto' e dell'Art. 3 del 'Regolamento di Ateneo', uno o  più Responsabili. I Responsabili designati devono dare garanzia del pieno rispetto delle disposizioni in materia di privacy, incluso il profilo della sicurezza.   
I compiti affidati ai Responsabili designati sono analiticamente specificati per scritto dal Responsabile del trattamento della “Struttura”. 
Il Responsabile effettua il trattamento attenendosi alle istruzioni impartite dal Responsabile del trattamento della “Struttura”.

Nella “Struttura” i Responsabili del trattamento sono individuati nell’entità di competenza (ufficio / laboratorio / progetto / ricerca ecc) e comunque fra il personale afferente alla Struttura stessa; il caso di nomina a ditta esterna viene trattato specificatamente al par. 1.6.4.
Per la definizione delle responsabilità per i singoli trattamenti, si rimanda all'Allegato 4 "Responsabilità dei trattamenti". Tale documento fa parte integrante del “Documento Programmatico sulla Sicurezza”.
Il documento contiene le seguenti informazioni in relazione alle responsabilità dei singoli trattamenti:

1)	entità di competenza
2)	responsabile (funzione, nominativo, afferenza)
3)	compiti

I principali compiti e responsabilità attribuiti ai  Responsabili del trattamento  sono:
•	predisporre il programma di attuazione particolareggiato delle misure previste dal DPS, per sottoporlo al Responsabile del trattamento della “Struttura”;
•	garantire la corretta applicazione delle misure di sicurezza definite nel DPS o impartite dal Responsabile del trattamento della “Struttura”;
•	garantire un corretto trattamento dei dati, o direttamente (se incaricato dal Responsabile del trattamento della “Struttura”) o attraverso la nomina di Incaricati;
•	monitorare l’esposizione dei beni informativi a gravi minacce ed esaminare i dati inerenti eventuali incidenti di sicurezza;
•	segnalare anomalie nella applicazione delle misure di sicurezza e proporre corrispondenti azioni correttive;
•	proporre al Responsabile del trattamento della “Struttura” modifiche al Documento Programmatico sulla Sicurezza; 
•	adottare le misure preventive e protettive urgenti atte alla eliminazione/riduzione dei rischi individuati, dandone comunicazione al Responsabile del trattamento della “Struttura”;
•	controllare la corretta applicazione delle misure di sicurezza da parte delle società di consulenza di cui al par. 1.6.4.
1.6.3 Gli Incaricati del trattamento
Il Responsabile del trattamento della “Struttura” o i Responsabili designati possono nominare, ai sensi dell’art. 30 del 'Decreto' uno o più Incaricati. I compiti affidati agli Incaricati sono analiticamente specificati per scritto. 

Agli Incaricati possono essere dati i compiti di:
-	trattamento dei dati;
-	amministrazione (di sistema, di database, di applicazione); 
-	custodia delle credenziali.

L'Incaricato effettua i compiti assegnati attenendosi alle istruzioni impartite: il Responsabile che ha effettuato la nomina vigila sulla puntuale osservanza delle istruzioni impartite, anche tramite verifiche periodiche. 
Nello svolgimento dei compiti è fatto assoluto divieto agli Incaricati di comunicare e divulgare  qualsivoglia dato personale, se non previa autorizzazione del Responsabile. Tale obbligo di riservatezza si intende esteso anche al periodo successivo alla scadenza dell'incarico,  fino a quando le suddette informazioni non vengano divulgate ad opera del Titolare, oppure divengano di dominio pubblico.
Per quanto riguarda il profilo della sicurezza gli Incaricati devono osservare le istruzioni impartite, anche successivamente alla designazione, dal Responsabile del trattamento dei dati della “Struttura” e dal Responsabile da lui designato. L'elenco degli Incaricati viene controllato semestralmente / annualmente dal Responsabile del trattamento dei dati della “Struttura e dal Responsabile da lui designato.

Gli Incaricati della amministrazione vengono nominati con profili di autorizzazione abilitati alla gestione e manutenzione dei sistemi e/o database e/o applicazioni. Oltre a tutti gli adempimenti previsti per tutti gli Incaricati, avendo accesso alle informazioni presenti sui sistemi, essi sono tenuti a:
-	salvaguardare ed aver cura dell’hardware e/o del software e/o  delle informazioni relative ai trattamenti di competenza;
-	segnalare tempestivamente  al Responsabile qualsiasi sospetta vulnerabilità nel sistema di sicurezza delle informazioni;
-	conoscere ed applicare le istruzioni per la sicurezza delle informazioni in cui sono direttamente coinvolti
-	trattare con riservatezza tutti i dati presenti sui sistemi.

La figura del soggetto preposto alla custodia della copia delle credenziali è obbligatoria a norma dell’art.10 del disciplinare tecnico allegato al 'Decreto'.
Poiché l'accesso ai dati e agli strumenti elettronici è consentito esclusivamente mediante l’utilizzo della componente riservata (password) della credenziale per l'autenticazione, sono impartite idonee e preventive disposizioni scritte volte a individuare chiaramente le modalità con le quali il Responsabile del trattamento dei dati della “Struttura” o il Responsabile, se nominato,  può assicurare la disponibilità di dati o strumenti elettronici in caso di prolungata assenza o impedimento dell'Incaricato.
La custodia delle copie delle credenziali è sempre organizzata garantendo la relativa segretezza. I Responsabili nominano per scritto i soggetti Incaricati della custodia delle copie delle credenziali di autenticazione, i quali devono informare tempestivamente l'Incaricato dell'eventuale intervento effettuato in sua assenza.
1.6.4 Società esterne 
La “Struttura” si avvale di società esterne per la fornitura e/o gestione dei trattamenti per i quali è specificata una ‘afferenza’ esterna nella tabella dell’Allegato 4 "Responsabilità dei trattamenti";  inoltre si avvale di società esterne per il supporto hardware o software ai sistemi in relazione ai trattamenti per i quali  è specificato “si” nelle relative colonne della tabella dell’Allegato 3 “Dettaglio trattamenti informatici”. In tali casi i dati dell'Ateneo sono trattati anche da strutture esterne. In ambedue i casi la “Struttura” si adopera per garantire che sia mantenuta la conformità al codice della privacy e al presente “Documento Programmatico della Sicurezza”.

Le società esterne che, anche in outsourcing, forniscono o gestiscono servizi che trattano archivi della “Struttura”, nelle persone dei loro rappresentanti legali, sono automaticamente designati Responsabili del relativo trattamento, ai sensi dell'art. 3 del 'Regolamento di Ateneo'.
Nei contratti stipulati con tali società, deve essere riportata una clausola che ne definisce i compiti e le responsabilità per le violazioni. 

Le società esterne o i prestatori d'opera che fanno interventi di supporto ai sistemi, vengono designati per scritto "Incaricati" del trattamento da parte del Responsabile di riferimento che ha chiesto l'intervento. Essi pertanto hanno il compito di eseguire l'attività di supporto in conformità con il presente “Documento Programmatico della Sicurezza”. Sono tenuti a rilasciare una descrizione dell'intervento che attesta la conformità al DPS.
Il Responsabile vigila sulla puntuale osservanza delle norme.
Tali nomine possono essere fatte "fino a revoca" o "fino ad ultimazione dell'intervento".

I criteri descritti sono in ottemperanza al Riferimento normativo: Punto 19.7 - Allegato B – D.Lgs. 30/06/2003 n. 196.
La richiesta di descrizione degli interventi in conformità al DPS soddisfa il Riferimento normativo: Punto 25 - Allegato B – D.Lgs. 30/06/2003 n. 196.
CAPITOLO 2: ANALISI DEI RISCHI ALLA SICUREZZA DEI DATI
2.1 Oggetto e finalità
Riferimento normativo: Punto 19.3  –  Allegato B – D.Lgs. 30/06/2003 n. 196

Il presente capitolo definisce i criteri e le modalità operative adottate per individuare i beni da proteggere e i rischi per la sicurezza delle aree, dei dati e delle modalità di accesso ai dati.
Le misure di sicurezza  adottate dalla “Struttura”  e descritte nel presente documento hanno origine da una attenta analisi dei rischi.
Tale analisi comporta una stima del rischio al fine di stabilire il livello di rischio accettabile, gli interventi per eliminare o ridurre il rischio e per minimizzare le probabilità di accadimento. 
2.2 Criteri per l’individuazione e classificazione dei beni
Le risorse da tutelare, al fine di adottare le misure di sicurezza,  sono suddivise nelle seguenti tipologie di beni:
-	ambiente fisico 
-	hardware 
-	software
-	accesso ai dati
Per tali tipologie di beni viene eseguita una analisi dei rischi.
I beni sono classificati in gruppi omogenei e viene riempita una scheda di rischio per ogni gruppo. La lista dei beni è riportata nell’Allegato 5 "Inventario dei beni"; vengono presi in considerazione:
•	ambiente fisico:
•	edificio
•	locali (eventualmente raggruppati) di ubicazione degli archivi informatizzati, corrispondenti a quelli presenti nelle colonne “Localizzazione – Ubicazione strumenti”, “Localizzazione – Ubicazione salvataggi”, “Accesso al trattamento – Localizzazione” dell’Allegato 3 “Dettaglio trattamenti informatici”
•	locali di conservazione dei dati cartacei
•	hardware: strumenti utilizzati (eventualmente raggruppati) presenti nelle relative colonne dell’Allegato 3 “Dettaglio trattamenti informatici”
•	software: software utilizzati (eventualmente raggruppati) presenti nelle relative colonne dell’Allegato 3 “Dettaglio trattamenti informatici”
•	accesso ai dati: interconnessione e stazioni di lavoro per l’accesso (eventualmente raggruppati) presenti nelle relative colonne dell’Allegato 3 “Dettaglio trattamenti informatici”
2.3 Metodologia adottata per  la valutazione dei rischi 
Per ogni bene individuato nell’Allegato 5 "Inventario dei beni” viene riempita una scheda per la valutazione del rischio. 
In relazione al bene vengono identificate delle minacce (eventi che, nel caso si verifichino, possono provocare un danno al bene); a fronte di ogni minaccia vengono identificati i possibili impatti (conseguenze del verificarsi di una minaccia).
Le schede vengono riempite assegnando i seguenti valori in relazione ad ogni impatto di ogni minaccia:
•	valore: quantizzazione del danno (in una scala da 1 a 10) valutato sia da un punto di vista quantitativo (costi di ripristino, giornate di lavoro …) che da un punto di vista qualitativo (perdita di immagine, violazioni, perdita di operatività …)
•	livello della minaccia: probabilità (riportata in valori da 1 a 5) che si verifichi una minaccia, indipendentemente dalle contromisure
•	livello della vulnerabilità: misura (in una scala da 1 a 3) della debolezza del bene, tenendo conto delle misure adottate.

La valutazione del livello della minaccia, viene effettuata con la seguente scala, in base alla frequenza ipotizzata per il verificarsi della minaccia:
1 = BB: molto basso =  ci si aspetta una frequenza superiore a 10 anni 
2 = B: basso = ci si aspetta una frequenza fra 3 anni e 10 anni
3 = M: medio = ci si aspetta una frequenza fra 1 anno e 3 anni
4 = A: alto =  ci si aspetta una frequenza fra 1 mese e 1 anno
5 = AA: molto alto= ci si aspetta una frequenza inferiore a 1 mese

La valutazione del livello della vulnerabilità, viene effettuato in base alla seguente scala: 
1 = B: Basso
2 = M: Medio
3 = A: Alto 

In mancanza di altri elementi, l’individuazione dei rischi avviene utilizzando come criterio l’esperienza maturata e la raccolta di dati statistici.

La misura del rischio viene poi calcolata per ogni impatto come funzione di valore, livello di minaccia e livello di vulnerabilità. 
La funzione di rischio adottata si basa su una matrice di valutazione del rischio che fornisce un valore nel range [1:7] in funzione delle minacce, delle vulnerabilità e del valore del bene sopra descritti.

Matrice di valutazione del rischio 

Minacce	BB	BB	BB	B	B	B	M	M	M	A	A	A	AA	AA	AA	
Vulner.	B	M	A	B	M	A	B	M	A	B	M	A	B	M	A	
Valore																
1	1	1	1	1	1	1	1	1	2	1	2	2	2	2	3	
2	1	1	2	1	2	2	2	2	3	2	3	3	3	3	4	
3	1	2	2	2	2	3	2	3	3	3	3	4	3	4	4	
4	2	2	3	2	3	3	3	3	4	3	4	4	4	4	5	
5	2	3	3	3	3	4	3	4	4	4	4	5	4	5	5	
6	3	3	4	3	4	4	4	4	5	4	5	5	5	5	6	
7	3	4	4	4	4	5	4	5	5	5	5	6	5	6	6	
8	4	4	5	4	5	5	5	5	6	5	6	6	6	6	7	
9	4	5	5	5	5	6	5	6	6	6	6	7	7	7	7	
10	5	5	6	5	6	6	6	6	6	6	7	7	7	7	7	

I risultati forniti dall’attività di analisi dei rischi costituiscono l’input di ingresso per la gestione del rischio e dunque per definire e selezionare:
-	le politiche di sicurezza 
-	le contromisure per ridurre il rischio ad un livello considerato accettabile dal Responsabile del trattamento dei dati della “Struttura”
In funzione del valore numerico di Rischio, la “Struttura” adotta idonee misure di prevenzione e protezione. 
Una volta calcolato il valore del rischio, si pianificano le priorità di intervento al fine di installare le contromisure adeguate per ridurre il rischio ad un livello considerato accettabile 

L’analisi dei rischi viene aggiornata con una frequenza annuale, in maniera tale che sia continuamente aggiornata e quindi sia sempre possibile individuare nuove minacce e vulnerabilità. 

Nell’Allegato 6 "Analisi dei rischi” vengono riportate le schede dell’analisi dei rischi per i beni individuati nell’Allegato 5 "Inventario dei beni”.
CAPITOLO 3: LA GESTIONE DEI RISCHI - LE MISURE DI SICUREZZA adottate e da adottare PER IL TRATTAMENTO DEL RISCHIO 
3.1 Oggetto e finalità
Riferimento normativo: Punto 19.4  –  Allegato B – D.Lgs. 30/06/2003 n. 196

Scopo del presente capitolo è descrivire le misure adottate e le eventuali ulteriori misure  di sicurezza da adottare, formalizzate in un piano operativo per la loro messa in funzione. In particolare, le azioni necessarie per l’adozione di idonee misure di sicurezza riguardano:
-	prevenzione: attività che permette di ridurre/impedire gli incidenti di sicurezza, agendo direttamente sulla diminuzione delle probabilità di manifestazione reale di tali incidenti;
-	protezione: attività che permette di ridurre/eliminare la gravità degli effetti nocivi dell’accadimento negativo.
Dopo aver individuato e valutato i fattori di rischio connessi alle risorse e ai beni da proteggere, vengono identificate le misure di prevenzione e protezione più idonee ad eliminare o ridurre il rischio al livello ritenuto accettabile.
Le misure intraprese o in programma sono sia tecniche che organizzative che di verifica.
3.2  Protezione degli ambienti fisici 
Il presente paragrafo descrive le misure di sicurezza adottate per:
-	prevenire accessi fisici non autorizzati all’edificio ed ai locali che devono essere protetti;
-	prevenire danni o interferenze nei locali ove si svolgono attività di trattamento dai dati personali; 
-	garantire e mantenere la sicurezza e l’integrità delle apparecchiature e degli impianti, al fine di evitare guasti che possono causare interruzione al funzionamento continuo delle attività. 
Tali misure contrastano le minacce evidenziate nella Analisi dei Rischi relativa ai beni "Ambienti fisici".
3.2.1 Misure fisiche in atto nell’edificio
Nella “Struttura” sono attive le seguenti misure di sicurezza relative alla intera struttura, per contrastare le minacce e i possibili impatti della scheda “Edificio”:
•	Accessi dall'esterno:
•	…
•	…
•	Eventi naturali:
•	…
•	…
•	Incendio: 
•	Impianto antincendio
•	…
•	Guasto all’impianto elettrico: 
•	Gruppo di continuità
•	…
•	Guasto all’impianto di condizionamento: …
•	Accessi interni:
•	…
•	…
•	…
•	Perdita completa di tutti i dati: 
•	supporti di salvataggio in altro locale/edificio
•	…

Inoltre sono previste le seguenti ulteriori misure per la diminuzione del rischio, in relazione ai rischi evidenziati con il valore superiore a …, considerato accettabile:

•	……………. da realizzarsi entro la data ….; realizzazione a cura di …..
•	….
3.2.2 Misure fisiche in atto nei locali
Nella “Struttura” sono attive le seguenti misure di sicurezza relative ai locali ….., per contrastare le minacce e i possibili impatti delle schede “Locali di tipo …”

•	Accessi dall'esterno:
•	…
•	…
•	Eventi naturali:
•	…
•	…
•	Incendio: 
•	Impianto antincendio
•	…
•	Guasto all’impianto elettrico: 
•	Gruppo di continuità
•	…
•	Guasto all’impianto di condizionamento: …
•	Accessi interni:
•	…
•	…
•	…
•	Perdita completa di tutti i dati: 
•	supporti di salvataggio in altro locale/edificio
•	…

Inoltre sono previste le seguenti ulteriori misure per la diminuzione del rischio, in relazione ai rischi evidenziati con il valore superiore a …, considerato accettabile:

•	……………. da realizzarsi entro la data ….; realizzazione a cura di …..
•	….
3.3 Misure di sicurezza  logica a garanzie della integrità, riservatezza e disponibilità dei dati 
La presente sezione descrive, in linea generale, le contromisure adottate al fine  di garantire la sicurezza logica nella gestione del trattamento dei dati, durante tutto l’iter:
-	server sui quali risiedono i dati
-	software di base sul quale si appoggiano gli applicativi
-	applicativi
-	interconnessioni di rete utilizzate per accedere ai dati
-	stazioni di lavoro dalle quali si accede ai dati 
-	accesso ai dati
3.3.1 La gestione dei server
Nella “Struttura” sono attive le misure di sicurezza relative ai server descritte nei paragrafi seguenti.
3.3.1.1 Hardware
Misure per contrastare le minacce e i possibili impatti specifici delle schede “HARDWARE …”

•	Guasto tecnico:
•	Duplicazione componenti hw
•	Contratti manutenzione
•	…
•	Mancato approvvigionamento: ….
•	…..

Inoltre sono previste le seguenti ulteriori misure per la diminuzione del rischio, in relazione ai rischi evidenziati con il valore superiore a …, considerato accettabile:

•	……………. da realizzarsi entro la data ….; realizzazione a cura di …..
•	….
3.3.1.2 Software
Misure per contrastare le minacce e i possibili impatti specifici delle schede “SOFTWARE …”

•	Ritardata consegna:
•	Clausole contrattuali
•	….
•	Introduzione di software malevolo
•	Installazione di software antivirus: …...
•	Installazione di software di protezione: …….
•	Attivazione di firewall: ………
•	….. 
•	Abuso delle risorse di sistema:
•	Gestione sicurezza di sistema: ….
•	Aggiornamenti sistemi operativi: ….
•	….

Inoltre sono previste le seguenti ulteriori misure per la diminuzione del rischio, in relazione ai rischi evidenziati con il valore superiore a …, considerato accettabile:

•	……………. da realizzarsi entro la data ….; realizzazione a cura di …..
•	….

La misura relativa al rischio “Introduzione di software malevolo” soddisfa anche il riferimento normativo: Punto 16  –  Allegato B – D.Lgs. 30/06/2003 n. 196.
La misura relativa al rischio “Abuso delle risorse di sistema” soddisfa anche il riferimento normativo: Punto 17  –  Allegato B – D.Lgs. 30/06/2003 n. 196.
3.3.1.3 Gestione operativa
Misure per contrastare le minacce e i possibili impatti comuni alle schede “HARDWARE …” e “SOFTWARE …”

•	Errori operativi, di manutenzione hardware e software, errati funzionamenti e configurazioni
•	Pianificazione backup
•	Procedure scritte …
•	Procedure automatizzate …
•	Formazione degli addetti …
•	…
•	Carenza di personale, assenza di supporto:
•	Ridondanze …
•	Procedure automatizzate …
•	…

Inoltre sono previste le seguenti ulteriori misure per la diminuzione del rischio, in relazione ai rischi evidenziati con il valore superiore a …, considerato accettabile:

•	……………. da realizzarsi entro la data ….; realizzazione a cura di …..
•	….

La misura “Pianificazione di backup” soddisfa anche il riferimento normativo: Punto 18  –  Allegato B – D.Lgs. 30/06/2003 n. 196.

3.3.2  La gestione degli accessi 
La presente sezione descrive, in linea generale, le contromisure adottate al fine  di:   
-	prevenire danni nelle comunicazioni di rete
-	prevenire accessi di utenti non autorizzati ai servizi ed ai sistemi di elaborazione dell’informazione;
-	controllare l’allocazione dei diritti di accesso ai dati;
-	definire le regole per gestire tutto il ciclo di vita di un accesso utente: dalla registrazione iniziale del nuovo utente, alla cancellazione finale dell’utente;
-	definire le responsabilità dell’utente e le regole comportamentali per prevenire accessi logici di personale non autorizzato 
-	definire una policy relativa ai requisiti per il controllo accessi. 
3.3.2.1 Rete locale
Nella “Struttura” sono attive le seguenti misure di sicurezza relative alle interconnessioni di rete nella rete locale, per contrastare le minacce e i possibili impatti delle schede “Accesso – interconnessione di rete”
•	Furti: sono attive le misure citate nel par. 3.2.2 relativamente ai locali dove sono situati gli apparati di rete
•	Danni dall’esterno:
•	….
•	Guasto tecnico:
•	Duplicazione componenti hw
•	Contratti manutenzione
•	Apparati di scorta
•	…
•	Errori operativi, di manutenzione hardware e software:
•	Procedure scritte …
•	Procedure automatizzate …
•	Formazione degli addetti …
•	…
•	Carenza di personale, assenza di supporto:
•	Ridondanze …
•	Procedure automatizzate …
•	…

Inoltre sono previste le seguenti ulteriori misure per la diminuzione del rischio, in relazione ai rischi evidenziati con il valore superiore a …, considerato accettabile:

•	……………. da realizzarsi entro la data ….; realizzazione a cura di …..
•	….
3.3.2.2 Stazioni di lavoro personali
Nella “Struttura” sono attive le seguenti misure di sicurezza relative alle stazioni di lavoro personali, per contrastare le minacce e i possibili impatti delle schede “Accesso – stazioni di lavoro”
•	Guasto tecnico:
•	Contratti manutenzione
•	Apparecchiature di scorta
•	Apparecchiature comuni
•	…
•	Errori operativi, di manutenzione hardware e software:
•	Pianificazione backup
•	Procedure scritte …
•	Formazione degli addetti …
•	Supporto tecnico di personale specializzato
•	…
•	Introduzione di software malevolo
•	Installazione di software antivirus: …...
•	Installazione di software di protezione: …….
•	Attivazione di firewall: ………
•	….. 
•	Abuso delle risorse di sistema:
•	Gestione sicurezza di sistema: ….
•	Aggiornamenti sistemi operativi: ….
•	….

Inoltre sono previste le seguenti ulteriori misure per la diminuzione del rischio, in relazione ai rischi evidenziati con il valore superiore a …, considerato accettabile:

•	……………. da realizzarsi entro la data ….; realizzazione a cura di …..
•	….

La misura relativa al rischio “Introduzione di software malevolo” soddisfa anche il riferimento normativo: Punto 16  –  Allegato B – D.Lgs. 30/06/2003 n. 196.
La misura relativa al rischio “Abuso delle risorse di sistema” soddisfa anche il riferimento normativo: Punto 17  –  Allegato B – D.Lgs. 30/06/2003 n. 196.
3.3.2.3 Accesso ai dati
Nella “Struttura” sono attive le seguenti misure di sicurezza relative alla gestione dei dati da parte degli utenti, per contrastare le minacce e i possibili impatti delle schede “Accesso – accesso ai dati”.
•	Falsificazione identità, utilizzo non autorizzato
•	Sistema di autenticazione informatica, costituito dalle seguenti caratteristiche:
-	l’accesso ai dati installati su server multi-utente avviene sulla base di abilitazioni per singole persone che devono essere nominate come Incaricati del trattamento dati; le abilitazioni sono assegnate singolarmente agli Incaricati, su designazione del Responsabile del trattamento dei dati della “Struttura” o del Responsabile se nominato;
-	tutte le abilitazioni sono gestite attraverso un sistema di credenziali costituite da un identificativo dell'utente (User ID) e da una parola chiave di autenticazione (password) che consentono l’identificazione e l'autenticazione univoca degli utenti;
-	ad ogni Incaricato possono essere assegnate più credenziali in relazione a trattamenti diversi;
-	uno stesso identificativo, non può, neppure in tempi diversi,  essere assegnato a persone diverse;
-	disattivazione delle credenziali (per non utilizzo e per perdita di qualità)
•	Sistema di autorizzazione, con le seguenti caratteristiche:
-	ove necessario e consentito vengono definiti diversi profili di utenti e vengono attivati diversi profili di autorizzazione;
-	i profili sono configurati all’inizio del trattamento per limitare l’accesso ai soli dati necessari per le operazioni di trattamento;
•	Istruzioni agli incaricati relative a:
-	cautele da adottare per assicurare la segretezza della password;
-	custodia dei dispositivi in possesso esclusivo;
-	modalità di scelta della password (lunghezza e caratteristiche);
-	obblighi relativi alla modifica della password (primo login e periodicità);
-	non abbandono della stazione di lavoro
•	Organizzazione sistema gestione incarichi e assegnazioni credenziali:
-	disposizioni scritte per la custodia delle credenziali e l’assicurazione di disponibilità dei dati in caso di assenza dell’incaricato;
-	manutenzione periodica  che garantisca la sussistenza delle condizioni per la conservazione delle credenziali assegnate;
-	corretta gestione della lista degli incaricati, anche per classi omogenee;
•	gestione di log delle attività
•	……
•	Infiltrazione, manipolazione errori nelle comunicazioni
•	Configurazione di firewall]
•	Filtri su siti con programmi pericolosi
•	Sezionamento reti
•	Monitoraggio richieste non autorizzate
•	Cifratura traffico
•	Certificazione fra macchine
•	……
•	Errori dell’utente
•	Controlli software di correttezza a livello di inserimento dati e di eliminazione situazioni anomale
•	Istruzioni scritte …
•	Formazione degli addetti …
•	Supporto tecnico di personale specializzato
•	…
•	Rivelazione, manipolazione dei dati:
•	Dati personali:
-	….
•	Dati sensibili e/o giudiziari:
-	……
•	Dati relativi a stato di salute e vita sessuale e/o dati genetici (organismi sanitari)
-	Cifratura
-	Trattamento disgiunto
-	…..
•	…..

Inoltre sono previste le seguenti ulteriori misure per la diminuzione del rischio, in relazione ai rischi evidenziati con il valore superiore a …, considerato accettabile:

•	……………. da realizzarsi entro la data ….; realizzazione a cura di …..
•	….
 
Le misure “Sistema di autenticazione informatica” soddisfano anche i riferimenti normativi: Punti 1, 2, 3, 6, 7, 8  –  Allegato B – D.Lgs. 30/06/2003 n. 196.
Le misure “Sistema di autorizzazione” soddisfano anche i riferimenti normativi: Punti 12, 13  –  Allegato B – D.Lgs. 30/06/2003 n. 196.
Le misure “Istruzioni agli incaricati” soddisfano anche i riferimenti normativi: Punti 4, 5, 9  –  Allegato B – D.Lgs. 30/06/2003 n. 196.
Le misure “Organizzazione gestione incarichi” soddisfano anche i riferimenti normativi: Punti 10, 14, 15 –  Allegato B – D.Lgs. 30/06/2003 n. 196.
Le misure relative agli impatti di rivelazione e manipolazione dei dati relativamente ai dati sensibili e/o giudiziari soddisfano anche il riferimento normativo: Punti 20 –  Allegato B – D.Lgs. 30/06/2003 n. 196.
Le misure relative agli impatti di rivelazione e manipolazione dei dati relativamente ai dati relativi agli organismi sanitari soddisfano anche i riferimenti normativi: Punti 19.8, 24 –  Allegato B – D.Lgs. 30/06/2003 n. 196.

3.4  Le contromisure di sicurezza di carattere procedurale
La presente sezione descrive le contromisure adottate al fine  di:
-	Garantire una organizzazione nel salvataggio dei dati;
-	Definire procedure per tutte le operazioni che devono seguire uno specifico iter
3.4.1 Il piano di continuità e il back up dei dati
Il backup dei dati viene eseguito periodicamente; il dettaglio dell’organizzazione del piano di backup viene riportato nella tabella “Piano di backup / restore dei trattamenti”, Allegato 7, nel quale viene specificato, per ogni trattamento e, nel caso di salvataggi diversificati, per ogni componente:
-	la periodicità del backup
-	i giorni schedulati
-	il tempo previsto per il ripristino
-	il tempo di conservazione di ogni backup
-	il luogo di conservazione
-	il supporto utilizzato
Vengono date precise disposizioni perché il piano venga attuato.

I dati riportati nella colonna relativa ai tempi di ripristino sono tali da garantire i diritti degli interessati e soddisfano il riferimento normativo: Punti 23  –  Allegato B – D.Lgs. 30/06/2003 n. 196.
La pianificazione del backup soddisfa anche il riferimento normativo: Punti 18  –  Allegato B – D.Lgs. 30/06/2003 n. 196.
3.4.2 Le procedure attivate
Vengono definite procedure e date specifiche istruzioni organizzative e tecniche per:
-	Assicurazione della segretezza della componente riservata delle credenziali (v. Punto 4 –  Allegato B – D.Lgs. 30/06/2003 n. 196)
-	Controllo della stazione di lavoro durante le sessioni di trattamento, evitandone l’abbandono e l’accessibilità (v. Punto 9 –  Allegato B – D.Lgs. 30/06/2003 n. 196)
-	Modalità di ripristino dei dati in seguito a distruzione o danneggiamento (v. Punto 19.5  –  Allegato B – D.Lgs. 30/06/2003 n. 196)
-	Disponibilità dei dati in caso di assenza dell’incaricato (v. Punto 10 –  Allegato B – D.Lgs. 30/06/2003 n. 196)
-	Custodia e uso di supporti rimovibili per dati sensibili o giudiziari (v. Punto 21 –  Allegato B – D.Lgs. 30/06/2003 n. 196)
-	Gestione dei supporti rimovibili per dati sensibili o giudiziari non più utilizzati (v. Punto 22 –  Allegato B – D.Lgs. 30/06/2003 n. 196)
-	…..

In particolare le procedure di ripristino consistono nelle seguenti operazioni:
-	…
-	…
3.4.3 Relazione al bilancio
Il Responsabile del trattamento dei dati della “Struttura” riferisce della avvenuta redazione o aggiornamento del DPS nella relazione accompagnatoria del bilancio (v.  Punto 26 –  Allegato B – D.Lgs. 30/06/2003 n. 196)
3.5 Trattamenti cartacei
Gli archivi cartacei contengono i seguenti dati: 
•	Personali:
•	….. 
•	Sensibili:
•	…..
•	Giudiziari:
•	…..
Vengono utilizzate le seguenti modalità per la gestione degli archivi cartacei:
-	Vengono impartite istruzioni scritte agli incaricati per il controllo dei documenti contenenti dati personali o sensibili che indicano: ………
-	Gestione e custodia dei documenti durante l’utilizzo: …….
-	Modalità di accesso controllato agli archivi: ………
-	……..

Le misure relative ai dati cartacei soddisfano anche i riferimenti normativi: Punti 27, 28, 29 –  Allegato B – D.Lgs. 30/06/2003 n. 196.
CAPITOLO 4: LA FORMAZIONE DEL PERSONALE SULLE MISURE DI SICUREZZA
4.1 Oggetto e obiettivi
I Responsabili e gli Incaricati devono essere consapevoli dei rischi che incombono sui dati e devono essere edotti sulle misure di sicurezza atte a prevenire eventi dannosi; devono altresì essere informati sulle rispettive responsabilità.
Gli Incaricati al trattamento dei dati, che eseguono operazioni di trattamento secondo quanto prescritto dal Responsabile del trattamento dei dati della “Struttura” o da altro Responsabile, se nominato, devono inoltre essere in possesso di competenze tecniche volte a valutare e ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta.  
4.1 Campo di applicazione
La formazione è rivolta a tutti i soggetti coinvolti nel trattamento di dati personali, sensibili o giudiziari. 
4.3 La pianificazione della formazione
Ai sensi dell’Art. 4 del Regolamento di Ateneo, il Rettore, avvalendosi dello CSIAF, assicura il piano annuale degli interventi formativi per tutte le strutture.

La “Struttura”, al fine di consolidare l’efficacia delle contromisure di sicurezza di carattere fisico, logico ed organizzativo contenute nel Decreto e nel DPS, anche su specifici temi tecnici, integra gli interventi formativi sulla sicurezza pianificati dall’Ateneo elaborando un apposito piano di formazione del personale (vedi Allegato 8 "Piano di formazione") rivolto a :
-	Responsabili del trattamento
-	Incaricati del trattamento
Capitolo 5 : Elenco degli allegati
I seguenti allegati fanno parte integrante del presente documento programmatico sulla sicurezza, ma hanno un proprio indice di revisione: 

1.	Elenco delle revisioni del DPS
2.	Elenco dei trattamenti – Informazioni base
3.	Dettaglio trattamenti informatici
4.	Responsabilità dei trattamenti
5.	Inventario dei beni 
6.	Report di misura del rischio
7.	Piano di backup/restore dei trattamenti
8.	Piano di formazione

Data, xx/yy/2006

Firma ,  per approvazione, del
RESPONSABILE DEL TRATTAMENTO DEI DATI DELLA STRUTTURA

______________________________