Nomina dell'amministratore di sistema: designazione, elenco e verifica annuale

Chi deve nominare l’amministratore di sistema?

La nomina spetta al titolare del trattamento, cioè all’organizzazione, pubblica o privata, che tratta dati personali con strumenti elettronici. Dove esiste un responsabile del trattamento, gli adempimenti possono essere curati anche da quest’ultimo.

Vanno designate tutte le persone che svolgono funzioni di amministrazione su sistemi di elaborazione, reti, apparati di sicurezza, basi di dati e sistemi software complessi con cui sono trattati dati personali. Restano esclusi i trattamenti effettuati a soli fini amministrativo-contabili.

Che cosa va valutato prima della nomina?

Il punto 4.1 del Provvedimento chiede di attribuire le funzioni di amministratore di sistema solo dopo aver valutato tre caratteristiche della persona:

• esperienza;
• capacità;
• affidabilità.

Il soggetto designato deve fornire idonea garanzia del pieno rispetto delle disposizioni sul trattamento dei dati, compreso il profilo della sicurezza.

Che cosa deve contenere l’atto di designazione?

La designazione è individuale (punto 4.2): un atto per ogni persona, non una nomina di gruppo o di reparto.

Deve riportare l’elencazione analitica degli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato. Il Garante ha chiarito che non occorre scendere al singolo sistema o alla singola operazione: basta indicare gli ambiti per settori o per aree applicative, evitando però definizioni generiche.

Un atto di designazione ben fatto indica quindi:

1. nome e cognome della persona designata;
2. il ruolo (ad esempio amministratore di sistemi, di rete, di basi di dati);
3. gli ambiti in cui può operare, per settore o area applicativa;
4. la data di decorrenza e l’eventuale scadenza dell’incarico.

Che cos’è l’elenco degli amministratori di sistema?

È un documento interno che riporta gli estremi identificativi delle persone fisiche designate e le funzioni attribuite a ciascuna (punto 4.3). Deve essere mantenuto aggiornato e reso disponibile in caso di accertamenti, anche da parte del Garante.

Due situazioni richiedono un’attenzione in più:

Situazione	Che cosa fare
I sistemi amministrati trattano dati personali dei lavoratori	Rendere nota o conoscibile l’identità degli amministratori all’interno dell’organizzazione.
L’amministrazione di sistema è affidata in outsourcing	Conservare direttamente e specificamente gli estremi identificativi delle persone preposte presso il fornitore.

Come si svolge la verifica annuale?

Il punto 4.4 prevede che l’operato degli amministratori di sistema sia verificato con cadenza almeno annuale dal titolare o dal responsabile del trattamento.

Va controllato che l’attività svolta sia conforme alle mansioni attribuite e alle misure organizzative, tecniche e di sicurezza previste per i trattamenti. I log degli accessi sono lo strumento naturale per farlo: secondo il Garante servono a rilevare anomalie nella frequenza degli accessi e nelle loro modalità, come orari, durata e sistemi a cui si è fatto accesso.

Una verifica documentabile segue in genere questi passaggi:

1. confrontare l’elenco degli amministratori con gli account privilegiati realmente attivi;
2. esaminare i log di accesso del periodo alla ricerca di anomalie;
3. verificare che gli ambiti di operatività dichiarati corrispondano a quelli effettivi;
4. redigere un verbale con data, esito ed eventuali azioni correttive.

BusinessLOG raccoglie in un unico archivio i log di accesso degli amministratori di sistema e mette a disposizione i report utili alla verifica periodica. Le differenze con le altre piattaforme sono riassunte nella pagina di confronto.

Fonti

• Garante per la protezione dei dati personali, Provvedimento del 27 novembre 2008 sugli amministratori di sistema, punti 4.1–4.4 e relative FAQ.

Questa pagina ha scopo informativo e non sostituisce una consulenza legale.