Log degli amministratori di sistema: cosa registrare e come conservarli

Quali accessi vanno registrati?

Vanno registrati gli accessi logici, cioè gli eventi di autenticazione informatica, compiuti dagli amministratori di sistema sui sistemi di elaborazione e sugli archivi elettronici (punto 4.5 del Provvedimento).

In concreto ogni registrazione riguarda uno di questi eventi:

• log-in: l’accesso riuscito;
• tentativo di accesso: compresi i tentativi falliti;
• log-out: la disconnessione.

L’obbligo vale sia per i server sia per le postazioni di lavoro (client), su tutti i sistemi con cui sono trattati, anche indirettamente, dati personali.

Quali caratteristiche devono avere i log?

Requisito	Che cosa significa
Completezza	Il sistema di log comprende tutti gli accessi interattivi degli amministratori su tutti i sistemi interessati.
Inalterabilità	Le registrazioni non possono essere modificate dopo la loro generazione.
Verifica dell’integrità	Deve essere possibile dimostrare che i log non sono stati alterati.
Riferimenti temporali	Ogni registrazione riporta data e ora dell’evento.
Descrizione dell’evento	Ogni registrazione indica che cosa è accaduto e su quale sistema.
Conservazione	I log sono conservati per un periodo congruo, non inferiore a sei mesi.

Le registrazioni prodotte dai sistemi di autenticazione contengono di norma il nome utente utilizzato, la data e l’ora dell’evento e la sua descrizione: il sistema o il software interessato e il tipo di evento (log-in, log-out o condizione di errore).

Che cosa non è richiesto?

Il Provvedimento fissa una forma minima di documentazione, non un regime generalizzato di tracciamento. Il Garante lo ha precisato nelle FAQ:

• non chiede di registrare l’attività interattiva dell’amministratore, come i comandi impartiti o le transazioni effettuate;
• non comprende l’accesso a livello applicativo, regolato dai profili autorizzativi validi per tutti gli utenti;
• non stabilisce livelli di robustezza specifici per l’integrità: la scelta è lasciata al titolare in base al contesto.

Questo non impedisce di raccogliere più informazioni quando altre norme o esigenze di sicurezza lo richiedono, come accade per chi è soggetto alla direttiva NIS2 o certificato ISO/IEC 27001.

Per quanto tempo vanno conservati i log?

Per un periodo non inferiore a sei mesi. È un minimo: organizzazioni con obblighi ulteriori, o che vogliono poter ricostruire eventi più lontani nel tempo, adottano spesso periodi di conservazione più lunghi, da definire nel rispetto del principio di limitazione della conservazione previsto dal GDPR.

Basta il registro eventi del sistema operativo?

Dipende dalla complessità dell’infrastruttura. Il Garante riconosce che nei casi più semplici il requisito può essere soddisfatto con le funzionalità già presenti nei sistemi operativi, purché la registrazione offra sufficienti garanzie di integrità.

Quando i sistemi sono molti, il registro locale mostra i suoi limiti: i log restano sparsi sulle singole macchine, sono modificabili da chi le amministra e vengono sovrascritti quando lo spazio si esaurisce. Per questi casi il Garante indica la raccolta centralizzata dei log su un sistema dedicato.

Come si mettono in pratica i requisiti?

1. Mappare i sistemi con cui sono trattati dati personali: server, postazioni, apparati di rete, basi di dati.
2. Attivare la registrazione degli eventi di autenticazione su ciascuno.
3. Centralizzare i log su un archivio separato dai sistemi amministrati.
4. Proteggere l’archivio da modifiche e definire la durata della conservazione.
5. Sincronizzare gli orologi dei sistemi, perché data e ora siano confrontabili.
6. Esaminare i log periodicamente e conservarne l’evidenza per la verifica annuale.

BusinessLOG Server raccoglie i log in modalità agentless dall’infrastruttura on-premise; BusinessLOG RT Cloud offre lo stesso servizio senza infrastruttura da gestire. I log acquisiti sono protetti con crittografia AES-256 e gestiti con policy di conservazione personalizzabili. Il confronto con le altre piattaforme riassume le differenze funzione per funzione.

Fonti

• Garante per la protezione dei dati personali, Provvedimento del 27 novembre 2008 sugli amministratori di sistema, punto 4.5 e FAQ n. 4, 9–16 e 22.
• Regolamento (UE) 2016/679 (GDPR), articolo 5.

Questa pagina ha scopo informativo e non sostituisce una consulenza legale.