Il GDPR non nomina mai l’amministratore di sistema. L’obbligo di designarlo è tutto italiano e viene da un provvedimento del Garante del 2008 — e quasi tutto quello che si vede in giro, nomine intestate a società comprese, è sbagliato o inutile.
Da dove viene l’obbligo
Se gestisci un’impresa di assistenza informatica, le «nomine ad amministratore di sistema» te le sei già viste arrivare. Arrivano dai consulenti privacy dei tuoi clienti, e se ne vedono di tutti i colori: c’è chi vuole nominare la società intera, chi il legale rappresentante, chi tutti i dipendenti in blocco. Quasi sempre nessuno sa cosa comporti davvero. L’importante è avere un foglio firmato nel cassetto, «perché è obbligatorio per il GDPR».
Solo che nel GDPR non c’è. La figura viene dal provvedimento del Garante del 27 novembre 2008, scritto in un’epoca in cui il regolamento europeo non esisteva e la normativa italiana funzionava per misure minime uguali per tutti. Da allora è cambiato quasi tutto. La domanda che vale la pena farsi non è se il provvedimento sia ancora in vigore — lo è — ma come si legge oggi, accanto a una norma costruita su un principio opposto.
Chi è amministratore di sistema, e chi no
È chi gestisce e mantiene i sistemi informatici con cui si trattano dati personali: system administrator in senso stretto, ma anche amministratori di rete e di database. Secondo il Garante ci rientra anche chi amministra un software complesso, per esempio un ERP aziendale.
Non ci rientra chi mette le mani sui sistemi ogni tanto, chiamato per un guasto. Il tecnico che interviene su segnalazione, risolve e se ne va non è un amministratore di sistema. Chi invece ha un contratto di gestione continuativa, credenziali amministrative e la possibilità di entrare quando vuole — un managed service provider — lo è a tutti gli effetti.
E qui c’è il punto che fa cadere metà delle nomine che girano: amministratore di sistema può essere solo una persona fisica. Mai una società. Se ricevi una nomina intestata alla tua S.r.l., è sbagliata e puoi rifiutarla.
Cosa deve dire la lettera di incarico
Essere nominati non obbliga a fare tutto quello che un amministratore di sistema di solito fa. Funziona al contrario: chi già fa quelle attività va nominato, e la lettera deve dire quali sono.
Il provvedimento chiede un’elencazione precisa degli ambiti operativi consentiti, non una formula generica. Quindi: se il contratto di servizi non prevede la gestione dei backup, la nomina non può assegnartela. Se ti occupi del server di posta ma non di quello del gestionale, deve essere scritto. Una lettera che dice «tutte le attività di amministrazione dei sistemi» non protegge nessuno dei due: non te, che ti prendi responsabilità che non hai, e non il cliente, che non ha delimitato niente.
I quattro adempimenti del titolare
Il provvedimento del 2008 mette in capo a chi si avvale di amministratori di sistema quattro obblighi. Sono questi, e nella pratica il quarto se lo dimentica quasi sempre qualcuno.
Designazione formale
Ogni amministratore va individuato e nominato per iscritto, con le operazioni consentite e le istruzioni da seguire. L’organizzazione tiene un elenco con nome, cognome e funzioni, da mostrare al Garante in caso di controllo, e deve poter dimostrare di aver consegnato le lettere. La scelta deve cadere su persone con capacità ed esperienza adeguate: non è un dettaglio formale, è la ragione per cui esiste la nomina.
Registrazione dei log di accesso
Gli access log degli amministratori vanno registrati e conservati almeno sei mesi. Devono contenere il riferimento temporale e la descrizione dell’evento: accesso, disconnessione, tentativi falliti, utenza e dispositivo. Non serve invece che registrino cosa è stato fatto sui dati — cancellazioni, modifiche, download.
Verifica delle attività
Almeno una volta l’anno il titolare deve verificare «la rispondenza dell’operato degli amministratori di sistema alle misure organizzative, tecniche e di sicurezza». Nelle FAQ il Garante precisa che la verifica riguarda anche i log, e che dovrebbe servire a cogliere anomalie negli orari, nella frequenza e nella durata degli accessi.
Comunicazione ai dipendenti
Quando gli amministratori possono accedere, anche solo per caso, ai dati dei lavoratori, i lavoratori vanno informati: della possibilità e dell’identità di chi può vedere i loro dati. Si fa nell’informativa al personale, e costa una riga. È l’adempimento che manca più spesso.
Dove il provvedimento non regge
Due prescrizioni su quattro, applicate alla lettera, non producono l’effetto per cui sono state scritte. Vale la pena dirlo, perché è da lì che nasce il lavoro inutile.
I log li può cancellare chi dovrebbero sorvegliare. Windows, macOS e Linux registrano gli accessi da soli, ma un amministratore esperto li rimuove in un attimo. Il Garante suggerisce l’esportazione periodica su supporti non riscrivibili: solo che chi vuole coprire le proprie tracce lo fa subito, prima che l’esportazione avvenga. L’unica misura che funziona davvero è il log server centralizzato, che però il provvedimento chiede soltanto per i casi complessi.
Sei mesi di conservazione e una verifica all’anno non stanno insieme. Fatti i conti, metà dei log non viene guardata da nessuno prima di sparire. E c’è un problema di indipendenza: la verifica non può farla l’amministratore su sé stesso. In un’azienda piccola che ha dato l’informatica in outsourcing, applicare la regola alla lettera significherebbe assumere una seconda società per controllare i log della prima.
Come si fa una nomina in outsourcing, fatta bene
Se l’informatica è affidata a un fornitore, la catena corretta è questa, e non passa da una lettera intestata alla società.
- La società che gestisce l’informatica si nomina responsabile del trattamento, con un accordo ex art. 28 GDPR.
- L’accordo obbliga il fornitore a tenere l’elenco delle persone fisiche con privilegi amministrativi sui sistemi del cliente.
- Il contratto di servizi o l’accordo stesso obbliga il fornitore a registrare i log, conservarli almeno sei mesi, garantirne completezza e inalterabilità e consegnarli al cliente su richiesta.
- Il cliente, che resta titolare, verifica almeno una volta l’anno l’operato del fornitore.
E quando non serve
Il Garante ha escluso l’applicabilità delle prescrizioni per i trattamenti effettuati con finalità amministrative e contabili correnti, soprattutto in piccole imprese, studi professionali e imprese artigiane. Il confine però è meno netto di quanto sembri: le finalità contabili sono definite, quelle amministrative molto meno — dentro i dati che una struttura sanitaria tratta «per amministrazione» ci possono stare dati sulla salute dei pazienti.
Conviene ragionare diversamente, ed è quello che il GDPR chiede: non per finalità, ma per rischio. Chi tratta dati ad alto rischio si dota di una gestione centralizzata dei log, che registri non solo gli accessi ma le attività sui dati. Chi tratta l’anagrafica dei clienti e le fatture si chiede se esportare gli access log del sistema operativo su un supporto non riscrivibile aumenti davvero la sicurezza. Se la risposta è no, non lo si fa solo perché nel 2008 era scritto così.
Il principio del provvedimento resta giusto: chi ha le chiavi di tutto merita più attenzione degli altri. Ma imporre misure che non servono non è conformità — è togliere tempo, budget ed energie agli adempimenti che invece contano.
Ti è arrivata una nomina ad amministratore di sistema e non sai se accettarla così com’è? Oppure devi nominarli tu e vuoi farlo in modo che regga? Prenota una call di trenta minuti.