Vai al contenuto

Mappatura dei servizi informatici e degli amministratori di sistema

La mappatura dei servizi informatici della Scuola raccoglie le informazioni relative a server, siti web, database e altri servizi informatici collegati a fondi o progetti.

La mappatura serve a supportare gli adempimenti previsti dalle normative e dalle linee guida vigenti in materia di trattamento dei dati personali e sicurezza informatica.

I titolari di fondi o i responsabili di progetto devono indicare le informazioni richieste per i servizi informatici di propria competenza tramite il Form dedicato. Le informazioni devono essere successivamente convalidate con cadenza semestrale.

Per ogni servizio informatico devono essere indicati URL, hostname o indirizzo IP, tipologia del servizio, descrizione sintetica del servizio erogato, responsabile interno, amministratore di sistema, eventuali altri contatti tecnici e tipologia dei dati trattati.

La normativa non consente di mantenere siti web, server, database o altri servizi informatici privi di un amministratore di sistema. I servizi informatici che risultano privi di amministratore di sistema non possono più essere disponibili.

Amministratori di sistema

Gli amministratori di sistema possono essere interni alla Scuola, se appartenenti al personale contrattualizzato SNS, oppure esterni, se tecnici di fornitori di servizi esterni.

L’amministratore di sistema provvede alla gestione, manutenzione e aggiornamento dei sistemi di elaborazione di propria competenza, con l’obiettivo di garantirne funzionalità e sicurezza nel rispetto delle normative vigenti.

Le attività dell’amministratore di sistema comprendono, tra le altre, la realizzazione di copie di sicurezza, le operazioni di backup e recovery dei dati, la custodia delle credenziali, la gestione dei sistemi di autenticazione e la gestione dei sistemi di autorizzazione.

La nomina ad amministratore di sistema, salvo diversa disposizione contrattuale, dura un anno. Ogni modifica successiva deve essere comunicata dal responsabile interno del servizio.

Gli amministratori di sistema sono proposti dal titolare dei fondi o dal responsabile di progetto e sono nominati dal Titolare del trattamento della Scuola, cioè dal Direttore.

Se l’amministratore di sistema è interno, la designazione avviene sulla base delle indicazioni fornite dal titolare dei fondi o dal responsabile di progetto, previa valutazione dell’esperienza, della capacità e dell’affidabilità del soggetto individuato.

Se l’amministratore di sistema è esterno, la nomina avviene nell’ambito del contratto di affidamento. Se il sistema coinvolge dati personali, deve essere nominato anche il soggetto che eroga il servizio come responsabile del trattamento ai sensi dell’articolo 28 del GDPR.

Per ogni eventuale necessità devono essere conservati direttamente e specificamente gli estremi identificativi delle persone fisiche individuate come amministratori di sistema.

Formazione, aggiornamento e verifiche

Ai soggetti interni alla Scuola individuati attraverso la mappatura come amministratori di sistema viene proposto un percorso di informazione e aggiornamento.

Con cadenza annuale sono previste attività di audit interno e verifica delle misure organizzative, tecniche e di sicurezza relative ai trattamenti dei dati personali.

Riferimenti normativi

• Regolamento UE 2016/679 del Parlamento europeo e del Consiglio del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali e alla libera circolazione di tali dati.
• Decreto legislativo 30 giugno 2003, n. 196, e successive integrazioni e modificazioni, “Codice in materia di protezione dei dati personali”.
• Linee guida del Garante Privacy su posta elettronica e Internet, deliberazione n. 13 del 1 marzo 2007, pubblicata in Gazzetta Ufficiale n. 58 del 10 marzo 2007.
• Provvedimento del Garante Privacy del 27 novembre 2008 e successive modificazioni, relativo alle misure e agli accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema.
• Circolare AGID n. 2 del 18 aprile 2017, relativa alle misure minime di sicurezza ICT per le pubbliche amministrazioni.
• GARR Acceptable Use Policy.
• GARR Procedura di gestione incidenti.

Funzionalità

• Raccogliere le informazioni sui servizi informatici collegati a fondi o progetti della Scuola.
• Associare a ogni servizio un responsabile interno e un amministratore di sistema.
• Indicare la tipologia del servizio, come sito web di progetto, server di calcolo, server web, database o altro servizio informatico.
• Indicare la tipologia dei dati trattati dal servizio, distinguendo tra dati personali e dati non personali.
• Convalidare periodicamente le informazioni raccolte tramite il Form dedicato.
• Supportare gli adempimenti relativi a sicurezza informatica, trattamento dei dati personali e gestione degli amministratori di sistema.

Prerequisiti

• Essere titolare di fondi o responsabile di progetto per uno o più server, siti web, database o servizi informatici.
• Disporre dell’URL, dell’hostname o dell’indirizzo IP del servizio informatico da censire.
• Conoscere la tipologia del servizio e predisporre una descrizione sintetica del servizio erogato.
• Conoscere il responsabile interno del servizio, con contratto con la Scuola in corso di validità.
• Conoscere l’amministratore di sistema, i relativi recapiti e gli eventuali altri contatti tecnici.
• Conoscere la tipologia dei dati trattati dal servizio e specificare se si tratta di dati personali o non personali.

Realizzato per

Docenti e personale di ricerca, Personale tecnico amministrativo e bibliotecario

Per iniziare

1. Accedere al Form dedicato alla mappatura dei servizi informatici della Scuola.
2. Indicare l’URL, l’hostname o l’indirizzo IP del servizio informatico.
3. Selezionare la tipologia di servizio tra sito web di progetto, server di calcolo, server web, database o altra tipologia.
4. Inserire una descrizione sintetica del servizio erogato.
5. Indicare l’indirizzo email del responsabile interno del servizio, che deve avere un contratto con la Scuola in corso di validità.
6. Indicare l’indirizzo email e i recapiti dell’amministratore di sistema.
7. Indicare eventuali altri contatti tecnici.
8. Specificare la tipologia dei dati trattati, distinguendo tra dati personali e dati non personali.
9. Se i dati trattati sono personali, specificare la tipologia dei dati personali trattati.
10. Verificare con attenzione i dati inseriti, perché le risposte comunicate tramite il Form sono processate da un sistema automatico.
11. Convalidare le informazioni con cadenza semestrale, secondo le indicazioni della Scuola.
12. Per correggere una risposta già inviata, cercare la email del sistema con mittente “Google Forms” e oggetto “SNS: IT services mapping”.
13. Aprire la email ricevuta al termine della compilazione del questionario.
14. Selezionare il pulsante “Edit Responses”.
15. Correggere o aggiornare le risposte già inviate.

Durante la compilazione devono essere rispettate le seguenti indicazioni:

• La dicitura “amministratore di sistema” si riferisce a sistemisti amministratori di server o macchine virtuali, webmaster gestori di siti web e database administrator.
• Se l’amministratore di sistema è interno alla Scuola, deve essere una persona fisica.
• Il campo “System Administrator eMail” non può corrispondere a un indirizzo email di gruppo.
• Per agevolare eventuali interventi in urgenza, viene inviata una email all’amministratore di sistema e a tutti gli eventuali altri contatti tecnici indicati.
• Nel campo “IT service URL/IP” non devono essere indicati numeri di porta.
• Nel campo “IT service URL/IP” non devono essere indicati insieme URL e indirizzo IP.
• L’indirizzo IP deve essere riportato solo se non esistono una URL o un hostname.
• Nei campi “IT service URL/IP” e “URL Alias” non deve essere indicato il protocollo, come “http://” o “https://”.
• Se i dati trattati non sono personali, deve essere selezionata la casella “NON-Personal data” nel campo “Processed data”.
• Se la casella “NON-Personal data” non viene selezionata, i dati trattati saranno considerati personali.
• Non devono essere segnalati servizi attestati su domini esterni alla Scuola, anche se l’utente è amministratore di sistema o webmaster di tali servizi.
• Non devono essere inseriti eventuali software acquistati e utilizzati sul proprio computer personale, perché non rientrano tra i servizi oggetto della mappatura.

FAQ