Articolo Pubblicazioni
Amministratori di sistema e log degli accessi: il provvedimento del Garante del 27 novembre 2008
di Vincenzo Calabrò · Pubblicato il 29 dicembre 2008
Abstract
Con il provvedimento generale del 27 novembre 2008, pubblicato nella Gazzetta Ufficiale del 24 dicembre, il Garante per la protezione dei dati personali ha introdotto misure specifiche per le attività degli amministratori di sistema. L’articolo spiega chi rientra nella definizione, quali obblighi hanno i titolari, come devono essere registrati e conservati gli accessi e quali scelte tecniche permettono di rispettare i requisiti di completezza, inalterabilità e integrità dei log.
Perché un provvedimento
Gli amministratori di sistema hanno, per necessità, accesso a tutto. Possono leggere le caselle di posta, consultare le basi di dati, modificare i permessi, cancellare i log. Le misure minime del Codice privacy regolano l’accesso degli incaricati, ma lasciano in ombra chi gestisce i sistemi su cui quei controlli si basano. Le ispezioni del Garante hanno mostrato in più casi un uso improprio di questi privilegi e la mancanza di qualsiasi traccia delle operazioni. Il provvedimento del 27 novembre 2008 interviene su questo punto.
Chi sono gli amministratori di sistema
Il provvedimento usa una definizione ampia. Sono amministratori di sistema le figure professionali dedicate alla gestione e alla manutenzione di un impianto di elaborazione o di sue componenti. Rientrano nella definizione anche gli amministratori di basi di dati, gli amministratori di reti e di apparati di sicurezza e gli amministratori di sistemi software complessi, quando le loro attività consentono di intervenire su dati personali. Chi si limita a interventi occasionali di manutenzione hardware senza accesso ai dati, in linea di principio, resta fuori.
Gli obblighi per il titolare
Le misure prescritte ai titolari dei trattamenti effettuati con strumenti elettronici sono queste:
- valutare esperienza, capacità e affidabilità della persona prima di attribuirle il ruolo, anche alla luce delle garanzie che offre sul rispetto delle norme in materia di trattamento dei dati;
- designare individualmente ogni amministratore, con l’elenco analitico degli ambiti di operatività consentiti;
- tenere un documento interno con gli estremi identificativi degli amministratori e delle funzioni attribuite, da mettere a disposizione del Garante;
- quando l’attività degli amministratori riguarda anche dati dei lavoratori, rendere nota o conoscibile al personale l’identità degli amministratori, in base all’organizzazione dell’ente;
- verificare almeno una volta l’anno l’operato degli amministratori, per controllarne la rispondenza alle misure organizzative, tecniche e di sicurezza previste;
- registrare gli accessi logici degli amministratori ai sistemi di elaborazione e agli archivi elettronici.
Per i servizi affidati all’esterno il titolare deve conservare gli estremi identificativi delle persone fisiche preposte come amministratori dal fornitore. È un punto che richiede di rivedere i contratti di assistenza e outsourcing.
La registrazione degli accessi
La misura più impegnativa sul piano tecnico è la registrazione degli accessi. Il provvedimento chiede che le registrazioni, cioè gli access log, abbiano caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate allo scopo. Devono comprendere i riferimenti temporali e la descrizione dell’evento che le ha generate e devono essere conservate per un periodo congruo, non inferiore a sei mesi.
Si tratta degli accessi logici, cioè delle autenticazioni dell’amministratore ai sistemi. Non è richiesta la registrazione di tutte le operazioni svolte dopo l’accesso, anche se in alcuni contesti può essere opportuna.
Come realizzarla
In pratica i log di autenticazione dei server, dei database e degli apparati di rete vanno raccolti in un sistema centrale su cui gli amministratori dei sistemi controllati non possano intervenire. Alcune soluzioni tecniche sono già disponibili:
- l’invio dei log tramite syslog a un server di raccolta dedicato, gestito da una persona diversa;
- la memorizzazione su supporti non riscrivibili, come dischi ottici, o su sistemi che consentono solo l’aggiunta di dati;
- la firma o il calcolo periodico di un’impronta crittografica dei file di log, con marca temporale, per dimostrarne l’integrità;
- la sincronizzazione degli orologi di tutti i sistemi con un server NTP, perché log con orari diversi sono difficili da confrontare;
- prodotti commerciali di gestione dei log che offrono queste funzioni in modo integrato.
Un problema frequente sono le utenze condivise, come root o administrator usate da più persone. Un log che registra l’accesso di un’utenza generica non permette di sapere chi ha operato. Il provvedimento spinge quindi verso utenze nominative per ogni amministratore.
Le semplificazioni
Il provvedimento prevede alcune esclusioni e semplificazioni, per esempio per i trattamenti con finalità amministrative e contabili delle piccole realtà, ed esclude i trattamenti effettuati per fini esclusivamente personali. Le singole situazioni vanno valutate con attenzione, perché il confine non è sempre netto.
I tempi
Per i titolari già operanti il provvedimento fissa un termine di adeguamento di centoventi giorni dalla pubblicazione in Gazzetta Ufficiale, quindi entro la fine di aprile 2009. È un periodo breve per chi parte da zero, soprattutto per la raccolta centralizzata dei log. Conviene iniziare subito dal censimento degli amministratori, interni ed esterni, e dei sistemi che gestiscono.
La verifica annuale
La verifica annuale dell’operato degli amministratori è spesso sottovalutata. Conservare i log è solo il primo passo. Qualcuno deve esaminarli, confrontarli con le attività autorizzate e documentare l’esito. Una verifica efficace si concentra su accessi in orari insoliti, accessi a sistemi fuori dall’ambito assegnato, utenze usate da più persone, modifiche ai permessi e interruzioni nella registrazione. La verifica dovrebbe essere svolta da una funzione diversa da quella degli amministratori controllati, come l’internal audit o un consulente esterno.
Un aiuto anche per le indagini
Al di là dell’obbligo, log degli accessi completi e integri sono una risorsa preziosa in caso di incidente. Permettono di ricostruire chi ha avuto accesso a un sistema in un certo momento e di distinguere un’operazione legittima da un abuso. In un procedimento, un log conservato con garanzie di integrità ha un peso probatorio molto maggiore di un file di testo modificabile da chiunque abbia i privilegi di amministrazione.
Vedi anche: l’articolo del 2003 Codice Privacy e Allegato B, l’articolo del 2008 Legge 48/2008 e l’articolo del 2011 Network forensics.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn