Datacenter e Privacy Protection Data Breach

Amministratore di Sistema e GDPR, come limitare i data breach

L'Amministratore di Sistema ha il compito di proteggere i dati memorizzati e i sistemi presenti della rete aziendale, così da limitare, identificare e magari prevenire possibili data breach.

L’Amministratore di Sistema (AdS o in inglese System Administrator) è una figura fondamentale in qualsiasi azienda e ha delle responsabilità ben precise in tema Privacy e GDPR.

L’Amministratore di Sistema ha il compito di mantenere monitorata la rete aziendale e i sistemi, controllare l’accesso ai dati personali per prevenire accessi non autorizzati e potenziali data-breach, definire policy e permessi a livello di dominio e workgroup, installare, configurare e gestire software, hardware e dispositivi che garantiscono la sicurezza come il firewall.

Amministratore di Sistema e GDPR: cosa cambia

Il GDPR ha rimodellato la legge sulla Privacy basando tutto sulla protezione dei dati personali. Questo concetto è estremamente importante in quanto l’Amministratore di Sistema deve garantire che i dati memorizzati nei sistemi siano protetti, accessibili ai soli utenti che hanno diritto di trattarli e monitorati nel loro ciclo di vita (collezione, gestione, eliminazione).

Inoltre l’Amministratore di Sistema deve avere ben chiara la natura e la locazione dei dati acquisiti, questo perché secondo il GDPR, l’utente ha il diritto di sapere i propri dati immagazzinati da un’azienda e conseguentemente può avvalersi del diritto di cancellazione degli stessi.

Come limitare i data breach

I pilastri principali della sicurezza informatica si possono identificare in Confidenzialità, Integrità e Disponibilità: i concetti possono essere applicati ai sistemi, ai servizi e naturalmente ai dati.

Uno dei più importanti capitoli del Regolamento UE 2016/679 è senza dubbio la gestione dei Data Breach, pertanto l’Amministratore di Sistema ha la necessità di proteggere i propri sistemi e i dati memorizzati, impresa non sempre infallibile e sempre più ardua.

Esistono delle best-practice che possono però venire in aiuto per limitare i danni, come per esempio la registrazione dei log: in molti casi utilizzando queste tattiche con alcuni software di machine learning (ne esistono anche per la GDPR), è possibile anche individuare o prevenire gli attacchi atti a rubare piuttosto che distruggere i dati presenti nei sistemi informativi.

I più grandi data breach del 21esimo secolo
I più grandi data breach del 21esimo secolo

I file di log e le operazioni di logging

  • Attivare su PC, device, Server e periferiche la gestione dei log
  • Acquistare o installare una soluzione di log concentrator per collezionare i log acquisiti in un solo punto, fruibili da una sola interfaccia e gestibili tramite filtri
  • Abilitare il logging dei login effettuati nei sistemi (registrazione degli accessi). Il processo di autenticazione è fondamentale per individuare comportamenti anomali (es. attacchi brute force) e deve essere esteso sui protocolli SSH, FTP, console, ecc.
  • Incrementare la verbosità dei file di log per poter contare di più dettagli possibili durante le indagini
  • Utilizzare soluzioni di logging avanzato per l’analisi l’accesso ai file, così da avere un monitoraggio più pervasivo degli eventi sospetti
  • Memorizzare i file di log su supporti remoti e distribuiti, limitando l’accesso in scrittura solo a un particolare utente

Backup

  • Schedulare politiche di backup solide
  • Acquistare hardware dedicato come NAS e librerie Vault (near-line e offline)
  • Strutturare una rete veloce così da migliorare le performance di banda passante, indispensabile anche per le operazioni di recovery
  • Crittografare i backup
  • Assicurarsi dell’integrità dei backup eseguendo in modo scadenzato i recovery

Firewall

  • Installare firewall di rete e tenere sempre il firmware aggiornato
  • Attivare dei filtri di rete e pubblicare su Internet solo i servizi strettamente necessari
  • Utilizzare di default la regola deny su servizi e porte. Il traffico deve essere di base interdetto
  • Eseguire degli audit trimestrali
  • Esistono diversi firewall gratuiti, per esempio le distro Linux hanno iptables

Patch dei software in uso

  • Mantenere sempre i software e i sistemi operativi aggiornati alla ultima versione
  • Prima di effettuare l’aggiornamento in produzione è bene effettuarlo nell’ambiente di stage
  • Utilizzare un software di automazione per il deploy degli aggiornamenti

Altre best-practice per migliorare la sicurezza dei sistemi e la data protection

  • Evitare di memorizzare dati personali e sensibili considerati poco attendibili o non utili allo scopo del business aziendale
  • Utilizzare password forti, autenticazione a due fattori (2 step authentication, tokening, SMS) e blocco degli account dopo diversi tentativi di accesso fallito
  • Fornire ad ogni Amministratore di Sistema il proprio account e ruolo, evitando credenziali generiche e condivise
  • Utilizzare protocolli di comunicazione sicuri

Lo sapevi che…

Nel nuovo regolamento europeo non c’è espressa enunciazione di questa figura, ma il ruolo è talmente pervasivo nei processi aziendali, che merita un’analisi accurata e una definizione di metodologie tecniche in grado di garantire la protezione dei dati e dei sistemi gestiti e controllati.

SUITE GDPR SENTINEL

  • ✓ Inventario e discovery della rete aziendale
  • ✓ Analisi delle vulnerabilità e delle anomalie
  • ✓ Registrazione dei log di sistema
  • ✓ Monitoraggio intelligente degli accessi
Questo articolo parla di:
Amministratore di Sistema e GDPR, come limitare i data breach
Titolo
Amministratore di Sistema e GDPR, come limitare i data breach
Descrizione
L'Amministratore di Sistema ha il compito di proteggere i dati memorizzati e i sistemi presenti della rete aziendale, così da limitare e identificare possibili data breach. Il GDPR non parla di Amministratore di Sistema ma la figura deve comunque garantire la data protection e la sicurezza della rete aziendale.
Autore
Publisher
InfoGDPR
Logo Publisher

Lascia un commento

Il tuo indirizzo email non sarà pubblicato. I campi obbligatori sono contrassegnati *