DPSS
DOCUMENTO PROGRAMMATICO SULLA
SICUREZZA DEI DATI PERSONALI
DELL’ASL DELLA PROVINCIA DI COMO
Strutture aziendali
responsabil i
Referenti
Novembre 2014 Rev.7 Affari Generali, Legali e
Istituzionali - Responsabile f.f.
Alessandra Mariconti.
Sistemi Informatici Aziendali -
Responsabile ing. Luigi
Moscatelli
dr.ssa Piera Manfreda
dr. Davide Cappelletti
S O M M A R I O
PARTE PRIMA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .4
INTRODUZIONE ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
PREMESSA ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
FINALITA’ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
PARTE SECONDA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .7
ELENCO DEI TRATTAMENTI DI DATI SENSIBILI .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
1.MAPPATURA DEI TRATTAMENTI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
PARTE TERZA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .9
DISTRIBUZIONE DEI COMPITI E DELLE RESPONSABILITA’ . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
1.SOGGETTI ATTIVI DEL TRATTAMENTO DATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
AMMINISTRATORE DI SI STEMA ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
PARTE QUARTA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
ANALISI DEI RISCHI CHE INCOMBONO SUI DATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12
PARTE QUINTA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
MISURE DI SICUREZZA ADOTTATE E DA ADOTTARE PER GARANTIRE L’ INTEGRITA’
DEI DATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
1.MISURE DI SICUREZZA PER L’ACCESSO AI DATI CON STRUMENTI ELETTRONICI .
... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
PARTE SESTA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
CRITERI E MODALITA’ DI RIPRISTINO DELLA DISPONIBILITA’ DEI DATI ... . . . . . . . . . . . . 22
PARTE SETT IMA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
INTERVENTI FORMATIVI ED INFORMATIVI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 24
PARTE OTTAVA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
CRITERI E GARANZIE DI ADOZIONE DELLE MISURE MINIME DI SICUREZZA IN
CASO DI TRATTAMENTI DI DATI AFFIDATI ALL 'ESTERNO ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
1.TRATTAMENTI AFFIDATI ALL’ESTERNO (OUTSOURCING) .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
PARTE NONA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
CRITERI DA ADOTTARE PER LA CIFRATURA DEI DATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 32
PARTE DECIMA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 33
TRATTAMENTO DEI DATI SENZA L’AUSILIO DI S TRUMENTI ELETTRONICI .... . . . . . . . . . . 33
2.ULTERIORI MISURE D I SICUREZZA ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34
PARTE UNDICESIMA .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
PROGETTO CARTA REGIONALE DEI SERVIZI – . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
SISTEMA INFORMATIVO SOCIO-SANITARIO (CRS-SISS) ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 35
1.TRATTAMENTI DI T I TOL ARITÀ DELL’ASL DI COMO; MISURE DI SICUREZZA
ADOTTATE DALL’ASL IN CONFORMITÀ AI REQUIS ITI DI LEGGE E AI RE QUISITI
DELLA REGIONE LOMBARDIA; “CONTRIBUTO” DE I RESPONSABILI DESIGNATI ... 35
2.TRATTAMENTI DI PROPRIA TI TOLARITÀ EFFETTUATI PER FINALITÀ
AMMINISTRATIVE E PER FINALITÀ DI CURA ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
3.MISURE DI SICUREZZA ADOTTATE IN AMBITO CRS-SISS IN CONFORMITÀ AI
REQUISITI DI LEGGE E LE INDICAZIONI REGIONALI . .. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
4.GEOLOCALIZZAZIONE ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
5.TRATTAMENTI DATI FSE..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
6.FORMAZIONE SPECIFICA DEGLI OPERATORI CRS-SISS .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 42
7.GESTIONE DELLE CARTE CRS-SISS PER GLI OPERATORI .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
8.GESTIONE DELLE CARTE .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 44
8.OBBLIGHI DELL’OPERATORE PDR ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
9.OBBLIGHI DEL TITOLARE ..... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
10.CONTROLLO DEI PROFILI AUTORIZZATIVI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
11.NOMINA DELLE AZIENDE INFORMATICHE RESPONSABILI DEL TRATTAMENTO 48
12.CONTRIBUTI DEI RESPONSABILI DESIGNATI ... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
13.AMMINISTRATORI DI SISTEMA DITTE DESIGNATE .... . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 54
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 4/55
PPAARRTTEE PPRR IIMMAA
IINNTTRROODDUUZZIIOONNEE
PREMESSA
I l Decreto Legislativo 30 giugno 2003, n. 196/2003 sancisce i l dir i tto di
chiunque al la protezione dei dati che lo r iguardano.
Avendo sempre presente che la protezione dei dati personali assurge
a dir i tto fondamentale del la persona e si integra col più generale
dir itto al la r iservatezza, l’Azienda ha valutato opportuno adottare i l
presente documento - i l cui obbligo di tenuta è stato abrogato ai
sensi del l’art. 45 del Decreto Legge n. 5 del 9.2.2012 - anche al f ine di
dare evidenza delle misure di s icurezza adottate a tutela dei dati
personali e in particolare di quel l i sanitari .
Nello svolgimento del l’attiv ità ist i tuzionale, sempre più legata al la
tecnologia informatica, l’ASL del la Provincia di Como gestisce , infatti ,
considerevol i volumi di informazioni, molte del le qual i, se associate
all ' identif icativo del l’ interessato, assumono la connotazione di "dati
sensibi l i .
Per le Aziende Sanitarie del la Lombardia la gestione dei dati r iveste
una particolare importanza, essendo le stesse chiamate a svolgere un
ruolo fondamentale nel Sistema Informativo Socio Sanitario Regionale
(SISS), progetto di straordinaria valenza innovativa .
I l SISS è costituito da un insieme di s istemi informatici e architetture
informative in evoluzione secondo una precisa strategia in chiave e -
health, ovvero con impiego sempre più diffuso e pervasivo del le
tecnologie info-telematiche per l ' innovazione del l 'organizzazione e
del le attiv ità.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 5/55
Elemento fondante di tale strategia è la piattaforma CRS, real iz zata
da Regione Lombardia, su cui s i stanno svi luppando da diversi anni i
nuovi servizi sanitari e su cui sono state integrate diverse del le
componenti preesistenti .
La piattaforma supporta la gestione del Fascicolo Sanitario Elettronico
(FSE) e i l trattamento dei dati sanitari iv i contenuti , attraverso l’uti l izzo
della Carta Regionale dei Servizi per i l cittadino (CRS) e del la Carta
Operatore SISS per gl i attori del s istema socio -sanitario abi l i tati ad
accedervi tramite postazioni informatiche, nel l’ambi to individuato dal
ruolo applicativo r ivestito.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 6/55
FINALITA’
I l presente Documento, s i propone di del ineare i l quadro del le misure
di s icurezza organizzative, f is iche e logiche già adottate o da
implementare, al f ine di r idurre al minimo i r ischi di dist ruzione o
perdita anche accidentale dei dati , di accesso non autorizzato e di
trattamento non consentito o non conforme al le f inal ità del la raccolta
dei dati .
L’ASL del la Provincia di Como - T itolare - persegue l ’obiettivo del
continuo migl ioramento del le azioni di r iduzione del r ischio e si
prefigge di tenere sempre vigile l’attenzione dei Responsabil i e degli
Incaricati sul la necessità del r ispetto dei dir i tt i fondamental i e del la
r iservatezza degli interessati .
Peraltro la pol it ica di protezione dei dati s’ inserisce pienamente nel
più ampio progetto del s istema di qual ità aziendale, in coerenza con i
principi e valori enunciati anche nel Codice Etico aziendale.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 7/55
PPAARRTTEE SSEECCOONNDDAA
EELLEENNCCOO DDEEII TTRRAATTTTAAMMEENNTTII DDII DDAATTII SSEENNSSIIBBIILL II
1. MAPPATURA DEI TRATTAMENTI
L’ASL del la Provincia di Como, con la col laborazione di tutti i
Responsabil i del Trattamento, provvede al la periodica r icognizione
annuale dei dati sensibi l i trattati dal l’Azienda .
I diversi trattamenti di dati sensibi l i individuati ineriscono a svariate
attiv ità, fra cui:
− la gestione del personale dipendente;
− le attiv ità sanitarie e amministrative di prevenzione, assistenza
sanitaria di base e assistenza socio-sanitaria, medicina del lavoro,
assistenza farmaceutica;
− i programmi di diagnosi precoce.
Per la consultazione del l’elenco dettagl iato dei trattamenti s i r invia
al la sezione “Al legati” (allegato 1) .
Per i l trattamento dei dati i Responsabil i osservano le seguenti
regole:
1) le aree di trattamento ed i relativ i archivi sono da considerarsi a
tutti gl i effetti ad accesso ristretto in quanto sono definit i
periodicamente gl i ambiti di intervento degli Incaricati . Gl i
archivi di deposito sono accessibil i solo attraverso procedure di
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 8/55
registrazione di accesso, oppure per i l tramite di un operatore
che ha in custodia le chiavi di accesso ai local i di archivio.
2) Sono control lati mediante telecamere, provviste di apposita
segnaletica, i local i dei Servizi terr i tor ial i per le
Tossicodipendenze (Ser.T) nel le seguenti sedi:
v ia Santa Brigida – Como;
via Cadorna - Como;
via Cesare Battist i , 28 - Mariano Comense;
via Nazario Sauro - Appiano Genti le;
v ia dei Cipressi , ang. via Diaz – Menaggio;
3) I dati sensibi l i sono, di norma, archiviati in fascicoli
separatamente dai dati comuni.
4) Tutti i dati trattati senza l’ausi l io di strumenti elettronici sono
custoditi in armadi con chiusura ermetica ed in local i chiusi a
chiave.
5) Gli incaricati accedono al le banche-dati mediante sistema di
autorizzazione e di assegnazione di credenzial i . I salvataggi sono
effettuati sul server centrale o su server esterno con periodicità
quotidiana.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 9/55
PPAARRTTEE TTEERRZZAA
DDIISSTTRRIIBBUUZZIIOONNEE DDEEII CCOOMMPPIITT II EE DDEELLLLEE RREESSPPOONNSSAABBIILL II TTAA ’’
1. SOGGETTI ATTIVI DEL TRATTAMENTO DATI
Nella realtà aziendale come quel la del l’ASL del la Provincia di Como,
che si connota come Azienda di grandi dimensioni, con una
popolazione di poco meno di 600.000 abitanti distr ibuita su un
terr itor io di circa 1.290 kmq., i l T i tolare - individuato nel l’Ente
rappresentato dal Direttore Generale pro-tempore - ha fatto r icorso
al s istema del le deleghe del le funzioni da Titolare a Responsabile,
pur nel la consapevolezza del le responsabil i tà che la legge pone in
carico al Titolare medesimo.
L’assetto organizzativo aziendale è strutturato in Dipartimenti,
Distretti , Servizi , Unità Operative e Uni tà di Staff, individuati dal Piano
di Organizzazione Aziendale 2012-2014 quali strutture complesse e
semplici.
I Responsabil i del Trattamento sono individuati nei Dir igenti
Responsabil i che r icoprono l ivel l i apical i , i qual i per capacità ed
aff idabil i tà offrono adeguate garanzie per i l r ispetto del le vigenti
disposizioni in materia di trattamento, iv i compreso i l profi lo relativo
al la s icurezza.
I l T i tolare del trattamento individua con proprio provvedimento i
Responsabil i del trattamento dei dati ed aff ida loro, nel l’ambito del le
attiv ità di competenza del la struttura cui sono preposti , i l compito di
porre in essere ogni misura tesa a r idurre al minimo i r ischi di
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 10/55
distruzione dei dati , di accesso non autorizzato o trattamento non
consentito, previe adeguate istruzioni fornite con ogni mezzo r itenuto
più idoneo.
I l T i tolare, tuttavia, esercita i l potere attr ibuitogl i dal le disposizioni in
materia tramite verifiche periodiche, vigi lando sulla puntuale
osservanza del prof i lo relativo al la s icurezza e del le proprie istruzioni.
I Responsabil i del trattamento nominano per iscritto, fra i propri
col laboratori/operatori , gl i Incaricati del trattamento dati ,
precisando i compiti e l’ambito di trattamento consentito. Lo
schema del l’atto di nomina del l’ Incaricato è contenuto nel
“Regolamento in materia di protezione dei dati personali ai sensi del
Codice di cui al Decreto Legislativo n. 196 del 30 giugno 2003 ”
approvato con del iberazione del Direttore Generale n. 573 del
23.12.2004.
Essi adottano ogni iniziativa uti le a far conoscere agl i Incaricati
stessi i l presente documento.
Un esemplare del l’atto di nomina è custodito nel l’Uff icio di
segreteria di ogni Struttura.
Gl i Incaricati operano sotto la diretta autorità del Responsabile,
attenendosi al le istruzioni impartite.
Al momento del la presa di servizio, ovvero di trasferimento di sede di
lavoro, o in occasione del l’ introduzione di nuovi s ignif icativ i
strumenti , r i levanti r ispetto al trattamento di dati personali , essi
r icevono dal Tutor un’adeguata formazione tecnico–giuridica.
Per l’ individuazione puntuale dei Responsabil i del trattamento, in
relazione ai diversi trattamenti di dati sensibi l i si r invia al prospetto di
cui al l’al legato 1.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 11/55
AMMINISTRATORE DI SISTEMA
L’Amministratore dei Sistemi e dell ’Infrastruttura di Rete, per le
del icate funzioni che implicano l’effettiva capacità di accedere a
tutti i dati che transitano sul la rete aziendale, è stato individuato
nel la persona del Responsabile della Struttura Aziendale Sistemi
Informatici Aziendal i . Tale nomina è stata formalizzata con
provvedimento del 23.6.2006 n. 309.
Le funzioni attr ibuite al Dir igente Responsabile del management
del la s icurezza sono le seguenti:
collabora nel la definizione ed aggiornamento del la pol it ica di
s icurezza dei s i stemi informatici , con particolare r iguardo al le
misure da adottare per la s icurezza dei servizi nel l’ambito del CRS -
SISS;
sovrintende alle r isorse dei s istemi operativ i (hardware e software)
e del le infrastrutture del la rete aziendale, consentendone
l ’uti l izzazione;
assicura la custodia del le componenti r iservate del le credenzial i
di autenticazione;
assicura altresì la real izzazione di copie di s icurezza dei server
aziendali (operazioni di backup e applicazione di tecnologie di
protezione “RAID” );
effettua i l monitoraggio e l’auditing del le misure tecniche di
s icurezza.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 12/55
PPAARRTTEE QQUUAARRTTAA
AANNAALLIISSII DDEEII RRIISSCCHHII CCHHEE IINNCCOOMMBBOONNOO SSUUII DDAATTII
La presente sezione i l lustra i r isultati del l’attiv ità di analis i e gestione
del r ischio informatico relativo al trattamento dei dati sensibi l i ,
effettuate dall’Azienda.
L’analis i del r ischio s i avvale del supporto del la metodologia CRAMM
(CCTA Risk Analys is and Management Method), di cui vengono
descritte di seguito le l inee guida.
Descrizione della metodologia
Si definisce “r ischio” la possibi l i tà che un evento dannoso si verif ichi,
l imitando in qualche modo i l funzionamento del s istema informatico,
oppure modif icando o carpendo le informazioni da esso gestite.
Scopo di tale analis i è identif icare le cause più probabil i d i r ischio,
valutare accuratamente i l grado di esposizione ad esse e
determinare quali misure di s icurezza, quante e in che modo
debbano essere real izzate.
A tal f ine si rende necessario stimare tutte le possibi l i minacce ed
eseguire un’analis i del l’ impatto del r ischio sul s istema informatico
attraverso la valutazione del l’entità del le perdite derivanti dal
verificarsi di ciascun evento dannoso col legabile al le minacce
stesse.
I l numero di elementi di r ischio, per cui devono essere attuate
adeguate misure di s icurezza, dipende dal grado di esposizione al
r ischio che si è disposti a tol lerare.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 13/55
Si può identif icare così una sogl ia che suddivida i r ischi accettabi l i ,
per i qual i non è conveniente real izzare alcuna misura di s icurezza, e
quel l i non tol lerabil i , per i qual i invece è necessario determinare un
certo numero di misure di s icurezza, che dovranno essere
implementate secondo un piano ben definito.
Le caratterist iche più s ignif icative del la metodologia CRAMM sono le
seguenti:
standard: aderenza ai principi standard di s icurezza europei
(BSI , I TSEC, …);
consistenza: s istemi s imi l i con profi l i di r ischio s imi l i presentano
soluzioni di s icurezza simi l i ;
f lessibi l i tà: rapidi percorsi di revis ione del l’anal is i e r i levazioni
più dettagl iate;
r igore: minacce e vulnerabi l i tà ben identif icate, r ischi
totalmente valutati e uso di misure r i levanti ;
auditabi l i ty: possibi l i tà di verif ica del la corretta applicazione
del metodo e del l’ identif icazione del le misure di s icurezza
opportune.
CRAMM oltre ad essere la metodologia adottata dal la maggior parte
dei dipartimenti governativi del Regno Unito e degli enti governativ i
austral iani, in Ital ia è la metodologia di analisi del rischio consigliata
dal CNIPA (Centro Nazionale per l’Informatica nel la Pubblica
Amministrazione).
L’approccio prevede di:
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 14/55
individuare e valorizzare i l patr imonio informativo r ispetto a
r iservatezza, indisponibi l i tà, modif ica non autorizzata e perdita,
con parametri r i fer it i ai requis it i pr ivacy;
valutare l’ impatto sul la s icurezza dei dati a fronte del verif icarsi
del le minacce e del le vulnerabi l i tà al le qual i sono
potenzialmente esposte le r isorse del s istema informativo
aziendale, attr ibuendo ad ogni minaccia e vulnerabi l i tà valori
di t ipo quantitativo associati a valori numerici;
stimare l’esposizione del r ischio del patr imonio informativo
aziendale in funzione del la combinazione tra minaccia e
vulnerabi l i tà da una parte e, dal l’altra, del l’ impatto che i l
verificarsi del l’evento dannoso provocherebbe sul la risorsa in
questione. La valutazione è ef fettuata attraverso una scala di
valori da 1 a 7 uti l izzando la matrice di r ischio descritta nel la
tabel la che segue.
Dal la Matrice di r ischio s i evince, ad esempio, che ad una r isorsa
avente un valore uguale a 4 (Valore Asset, nel la prima colonna) con
un l ivello Medio di vulnerabi l i tà ed Alto del la minaccia, sarà
attr ibuita una misura di r ischio pari a 4.
E’ da sottol ineare che le misure di r ischio sono calcolate in
automatico da CRAMM, in funzione del valore della r isorsa, del l ivello
del la minaccia e del la vulnerabi l i tà. Valori elevati della misura di
r ischio (5,6,7) indicano che è necessario adottare adeguate misure
di s icurezza al f ine di contrastare le minacce che insistono sul la
generica r isorsa.
In particolare, i valori del le risorse, del le minacce e del le
vulnerabi l i tà sono assegnati da CRAMM nel modo sotto descritto:
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 15/55
i l valore del la r isorsa /dati , hardware, software), indicativo
dell’entità del danno derivante da una perdita di integrità,
r iservatezza o disponibi l i tà del la r isorsa stessa, può variare in un
range che va da 1 a 10;
i l l ivel lo del la minaccia, indicativo del la probabil i tà di
accadimento di un evento dannoso può assumere i seguenti
valori : - Molto basso – Basso - Medio – Alto - Molto alto;
i l l ivello del la vulnerabi l i tà, che rappresenta i l grado di
esposizione di una r isorsa ad una certa minaccia, può assumere
i seguenti valori : - Basso – Medio - Alto.
Operativamente, i l calcolo dei l ivell i del le minacce e del le
vulnerabi l i tà, relative alle r isorse associate ai trattamenti individuati
Minaccia MB MB MB B B B M M M A A A MA MA MA
Vulnerabi l i tà B M A B M A B M A B M A B M A
Valore Asset
1 1 1 1 1 1 1 1 1 2 1 2 2 2 2 3
2 1 1 2 1 2 2 2 2 3 2 3 3 3 3 4
3 1 2 2 2 2 3 2 3 3 3 3 4 3 4 4
4 2 2 3 2 3 3 3 3 4 3 4 4 4 4 5
5 2 3 3 3 3 4 3 4 4 4 4 5 4 5 5
6 3 3 4 3 4 4 4 4 5 4 5 5 5 5 6
7 3 4 4 4 4 5 4 5 5 5 5 6 5 6 6
8 4 4 5 4 5 5 5 5 6 5 6 6 6 6 7
9 4 5 5 5 5 6 5 6 6 6 6 7 7 7 7
10 5 5 6 5 6 6 6 6 6 6 7 7 7 7 7
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 16/55
durante la fase di r i levazione del lo scenari o, è eseguito a fronte dei
r isultati di un questionario al l’uopo predisposto, ove sono state
considerate le minacce r iportate nel la tabel la acclusa (allegato 2).
A seguito del l’anal is i dei r ischi che incombono sui dati personali
oggetti di trattamento, è stata presa in considerazione la gravità
dell’ impatto sul la r iservatezza, integr ità e disponibi l i tà dei dati dei
vari eventi dannosi esaminati. In base al la valutazione data, sono
state stabi l i te le idonee misure preventive da porre in essere per
contrastare anzitutto i r ischi maggiori per la sicurezza dei dati
trattati .
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 17/55
PPAARRTTEE QQUUIINNTTAA
MMIISSUURREE DDII SSIICCUURREEZZZZAA AADDOOTTTTAATTEE EE DDAA AADDOOTTTTAARREE PPEERR
GGAARRAANNTTIIRREE LL ’’ IINNTTEEGGRRIITTAA ’’ DDEEII DDAATTII
1. MISURE DI SICUREZZA PER L’ACCESSO AI DATI CON STRUMENTI
ELETTRONICI.
L’Azienda adotta, ne l quadro del le regole general i sopra descritte,
un complesso di misure tecniche, informatiche, organizzative,
logistiche e procedural i di s icurezza volte ad assicurare un l ivel lo
minimo di protezione dei dati personali .
Tal i provvedimenti sono diversif icati a seconda che i dati s iano
trattati con o senza l’ausi l io di strumenti elettronici.
L’accesso ai dati trattati con l’ausi l io di strumenti elettronici è
disciplinato dal le seguenti misure e correlate modalità come di
seguito indicate e salvo quanto disposto dal l’art. 180, comma 2, del
D.Lgs. n. 196/2003, qui r ichiamato:
− autenticazione informatica;
− adozione di procedure di gestione del le credenzial i di
autenticazione;
− uti l izzazione di un sistema di autorizzazione;
− aggiornamento periodico del l ' individuazione del l 'ambito del
trattamento consentito ai s ingol i incaricati e addetti al la
gestione o al la manutenzione degli strumenti elettronici;
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 18/55
− protezione degli strumenti elettronici e dei dati r ispetto a
trattamenti i l lecit i di dati , ad accessi non consentit i e a
determinati programmi informatici;
− adozione di procedure per la custodia di copie di s icurezza e
per i l r ipr ist ino del la disponibi l i tà dei dati e dei s istemi;
− adozione di tecniche di cifratura o di codici identif icativ i per
determinati trattamenti di dati idonei a r ivelare lo stato di salute
o la vita sessuale effettuati da organismi sanitari .
Gl i Incaricati devono essere dotati di credenzial i di autenticazione
che consentano i l superamento di una procedura di autenticazione
relativa a uno specif ico t rattamento o a un insieme di trattamenti.
Ad ogni Incaricato sono assegnate o associate individualmente una
o più credenzial i per l 'autenticazione.
Esse consistono in un codice per l ' identif icazione del l ' Incaricato
associato ad una parola chiave r iservata conosciuta solamente dal
medesimo oppure in un disposit ivo di autenticazione in possesso e ad
uso esclusivo dell ' incaricato, eventualmente associato a d un codice
identif icativo o ad una parola chiave, oppure in una caratterist ica
biometrica del l ' Incaricato, eventualmente associata ad un codice
identif icativo o ad una parola chiave.
Con le istruzioni impartite agl i Incaricati è prescritto di adottare le
necessarie cautele per assicurare la segretezza del la componente
r iservata del la credenziale.
Credenziale e password devono essere custodite secondo
procedure definite ed essere reperibil i da parte del Responsabile, in
caso di emergenza.
La parola chiave, quando è prevista dal s istema di autenticazione, è
composta da almeno otto caratter i oppure, nel caso in cui lo
strumento elettronico non lo permetta, da un numero di caratteri
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 19/55
pari al massimo consentito; essa non contiene r i fer imenti
agevolmente r iconducibi l i al l ' incaricato ed è modif icata da
quest'ult imo al primo uti l izzo e, successivamente, almeno ogni sei
mesi. In caso di trattamento di dati sensibi l i e di dati giudiziari la
parola chiave è modif icata almeno ogni tre mesi.
I l codice per l ' identif icazione, laddove uti l izzato, non può essere
assegnato ad altr i Incaricati , neppure in tempi diversi . Le cred enziali
di autenticazione non uti l izzate da almeno sei mesi sono disattivate,
salvo quel le preventivamente autorizzate per sol i scopi di gestione
tecnica.
Le credenzial i sono disattivate anche in caso di perdita del la qualità
che consente al l ' incaricato l 'accesso ai dati personali .
Sono impartite istruzioni agl i Incaricati per non lasciare incustodito e
accessibi le lo strumento elettronico durante una sessione di
trattamento.
Quando l 'accesso ai dati e agl i strumenti elettronici è consentito
esclusivamente mediante uso del la componente r i servata della
credenziale per l 'autenticazione, sono impartite idonee e preventive
disposizioni scritte, volte a individuare chiaramente le modalità con
le qual i i l T i tolare può assicurare la disponibi l i tà di dati o strument i
elettronici in caso di prolungata assenza o impedimento
del l ' Incaricato che renda indispensabile e indifferibi le intervenire per
esclusive necessità di operativ ità e di s icurezza del s istema.
In tal caso la custodia del le copie del le credenzial i è organi zzata
garantendo la relativa segretezza e individuando preventivamente
per iscritto i soggetti incaricati del la loro custodia, i qual i devono
informare tempestivamente l ' Incaricato del l ' intervento effettuato.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 20/55
Le disposizioni sul s istema di autenticazione di cui ai precedenti punti
e quel le sul s istema di autorizzazione non si applicano ai trattamenti
dei dati personali destinati al la diffusione.
Quando per gl i Incaricati sono individuati profi l i di autorizzazione di
ambito diverso è ut i l izzato un sistema di autorizzazione.
I profi l i di autorizzazione, per ciascun incaricato o per classi
omogenee di incaricati , sono individuati e configurati anteriormente
al l ' iniz io del trattamento, in modo da l imitare l 'accesso ai sol i dati
necessari per effettuare le operazioni di trattamento.
Periodicamente, e comunque almeno annualmente, è verificata la
sussistenza del le condizioni per la conservazione dei profi l i di
autorizzazione nel l 'ambito del l 'aggiornamento periodico
del l ' individuazione del l 'ambito del trattamento consentito ai s ingol i
incaricati e addetti al la gestione o al la manutenzione degli strumenti
elettronici.
La l ista degli incaricati può essere redatta anche per classi
omogenee di incar ico e dei relativ i profi l i di autorizzazione.
I dati personali sono protetti contro i l r ischio di intrusione e
del l 'azione di programmi di cui al l 'art. 615 -quinquies del Codice
Penale mediante l 'attivazione di idonei strumenti elettronici
aggiornati con cadenza almeno semestrale.
Gl i aggiornamenti periodici dei programmi per elaboratore volti a
prevenire la vulnerabi l i tà di strumenti elettronici e a correggerne
difetti sono effettuati almeno annualmente. In caso di trattamento di
dati sensibi l i o giudiziari l 'aggiornamento è almeno semestrale.
Sono state impart ite, con circolare interna prot. n. 97267 del
18.4.2004, istruzioni operative volte al potenziamento del la sicurezza
informatica, r i fer ite al le modalità di cambio del le password.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 21/55
L’Azienda ha ulteriormente specif icato le modalità di gestione del le
password nel Regolamen to sul l’uti l izzo dei computer e del la rete
informatica aziendale, che discipl ina pure le modalità di uti l izzo dei
servizi di navigazione su internet e di posta elettronica.
Tale regolamento, approvato con deliberazione n. 463 del 17.9.2009,
è stato pubblicato sul s ito web aziendale (area r iservata al
personale).
A fronte dei r ischi che impattano sui trattamenti dei dati personali
precedentemente descritt i sono state individuate le opportune
misure di s icurezza, vale a dire gl i specifici interventi di n atura
tecnica o organizzativa posti in essere per prevenire, contrastare o
r idurre gl i effetti relativ i ad una specif ica minaccia.
Nel le tabel le seguenti vengono r iassunte le misure minime di
s icurezza previste dal l’Al legato B del D.Lgs. n. 196/2003, che
interessano tutti i trattamenti di dati sensibi l i r i levati .
Nel la colonna minacce contrastate si è fatto r i fer imento al la
numerazione del le minacce di cui al l’al legato 2.
Le misure intraprese (allegato 3) , oltre a quel le di cui all’Al legato B al
D.Lgs. n.196/2003 sono quel le indicate dal la metodologia CRAMM
che costituiscono parte integrante del l’anal is i dei Rischi.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 22/55
PPAARRTTEE SSEESSTTAA
CCRRIITTEERRII EE MMOODDAALLIITTAA ’’ DDII RRIIPPRRIISSTT IINNOO DDEELLLLAA DDIISSPPOONNIIBBIILL II TTAA ’’
DDEEII DDAATTII
In questa sezione sono descritt i i criter i e le procedure ado ttate per i l
salvataggio e i l r ipr ist ino dei dati in caso di danneggiamento
(volontario o involontario), inaff idabi l i tà o indisponibi l i tà del la base
di dati in cui essi sono organizzati , meglio dettagl iati nel la tabel la
seguente.
L’obiettivo è dunque quel lo di prevenire eventual i danni agl i archivi
informatici ove i dati sono custoditi e di organizzare le procedure
atte al r ipr ist ino, nel minor tempo possibi le, dei sistemi di trattamento
degli stessi . Infatti la regola 19.5 del l’Al legato B del D.Lgs. n.
196/2003 prevede “ la descrizione dei criter i e del le modalità per i l
r ipr ist ino del la disponibi l i tà dei dati in seguito a distruzione o
danneggiamento”, e di qui “l’adozione di idonee misure per
garantire i l r ipr ist ino del l 'accesso ai dati in caso di dann eggiamento
degli stessi o degli strumenti elettronici, in tempi certi compatibi l i con
i dir i tt i degl i interessati e non superiori a sette giorni”.
Per queste ragioni è importante pianif icare non solo le procedure di
salvataggio (backup), ma anche quel le per i l r ipr ist ino dei dati ; è
infatti non auspicabile accorgersi che la copia di salvataggio r isulta
incompleta o inuti l izzabi le solo quando si verif ichino circostanze di
inaff idabil i tà, danneggiamento o indisponibi l i tà del la base di dati .
Nel citato “Regolamento sul l’uti l izzo dei computer e del la rete
informatica aziendale”, sono sintetizzati i cr iter i e le procedure per i l
r ipr ist ino dei dati , nonché la pianif icazione del le prove di r ipr ist ino.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 23/55
MISURA ADOTTATA MINACCE
CONTRASTATE
MISURA DA
ADOTTARE
Hard-Disk ridondanti sui server
9
Esecuzione Periodica di backup di dati
9, 10, 13
Installazione gruppo di continuità (UPS) e gruppo
elettrogeno nella sala server
11
Impianto di raffrescamento e condizionamento
12
Contratto di assistenza/manutenzione (ordinaria
e straordinaria) per il SW / HW
9, 13
“Regolamento sull’utilizzo dei computer e della
rete informatica aziendale”
14,17
Cassaforte/Armadio ignifugo per la custodia
delle cassette di backup
10
Sistema anti-incendio Sala Server
11, 12
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 24/55
PPAARRTTEE SSEETT TT IIMMAA
IINNTTEERRVVEENNTTII FFOORRMMAATTIIVVII EEDD IINNFFOORRMMAATTIIVVII
L’ASL del la Provincia di Como nel corso degli ult imi anni ha promosso
interventi formativi che hanno coinvolto Responsabil i e incaricati del
Trattamento, per renderl i edotti dei r i schi che incombono sui dati ,
del le misure disponibi l i per prevenire eventi dannosi, dei profi l i del la
disciplina sul la protezione dei dati personali più r i levanti in rapporto
al le relative attiv ità, del le responsabil i tà che ne derivano e del le
modalità per aggiornarsi sul le misure minime adottate dal l’Azienda.
Interventi formativi attuati
I l T i tolare s’ impegna a garantire agl i Incaricati , al momento
dell’ ingresso in Azienda e nel l’ambito del la “Procedura gestionale di
orientamento del personale al le responsabil i tà, al l’organizzazione
aziendale e ai propri incarichi specifici” la formazione sia sul le norme
general i in mater ia di privacy, s ia sugl i aspetti pecul iari dei
trattamenti effettuati .
I l Tutor, che aff iancherà i l neoassunto, i l dipendente destinato a
nuove mansioni oppure ad attiv ità che implicano l’ introduzione di
nuovi strumenti e programmi informatici, dovrà prevedere nel
programma di att iv ità di orientamento al le responsabil ità iniziative
tese ad informare e documentare l’Incaricato sul le dispo s iz ioni
normative e sui s istemi di s icurezza in materia di protezione dei dati
personali .
Interventi formativi anno 2012
L’Azienda ha attivato nel corso del l’anno una giornata di formazione
residenziale per i neoassunti al f ine di fornire le competenze e g l i
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 25/55
strumenti necessari per r icoprire i l ruolo di Incaricato al trattamento
dei dati personali in ottemperanza al le disposizioni introdotte dal
Codice Unico del la Privacy.
È stato altresì organizzato un incontro formativo con gl i operatori PDR
(Punti di Registrazione) distrettual i , designati per l’attivazione del le
carte operatore SISS (azzurre), in cui sono state spiegate le nuove
modalità di emissione/consegna del le stesse.
Interventi formativi anno 2013
Al f ine di sensibi l izzare ulteriormente gl i operat ori PDR al r ispetto del le
procedure secondo le disposizioni del manuale “Ruol i e
responsabil i tà dell’addetto PDR”, nel corso del l’anno verrà
organizzato un incontro formativo ad hoc.
Interventi formativi anno 2014
Durante i l corso del l’anno sono stati effe ttuati da parte di docenti di
Lombardia Informatica con interventi del Referente aziendale CRS -
SISS la formazione ai PDR (Punti di Registrazione) in vista
dell’attivazione del nuovo sistema di gestione del le carte SISS
“Provis ioning 8”. In tale occasione è stato consegnato ad ogni PDR
un modulo che r ichiama i principal i adempimenti e modalità
operative da adottare.
Processo informativo
Per quanto concerne i l processo informativo, i l T i tolare, attraverso la
U.O.C. Affari General i , Legali e Ist i tuzional i , ag giorna costantemente
i Responsabil i in ordine ai provvedimenti assunti dal Garante per la
Privacy, in particolare quell i r iguardanti i trattamenti sanitari , fra i
qual i s i citano:
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 26/55
provvedimento Garante per la Protezione dei dati del 21.3.2007
“Certif icazioni per i l r iconoscimento del l’ invalidità civi le”;
Linee Guida Garante per la Protezione dei dati per i trattamenti
di dati personali nel l’ambito del le sperimentazioni cl iniche di
medicinal i” – 24/7/2008 (G.U. n. 190 del 14 agosto 2008) ;
Linee Guida Garante per la Protezione dei dati personali in
materia di trattamento di dati personali di lavoratori per f inal ità
di gestione del rapporto di lavoro in ambito pubblico –
14/6/2007” (G.U. 13 lugl io 2007, n. 161) ;
con circolare interna del 9.3.2009, anche al la luce del le
raccomandazioni pervenute dal la Direzione Generale Sanità i l
3.3.2009, è stata r ichiamata l’attenzione dei Responsabil i del
Trattamento per sensibi l izzare gli Incaricati del trattamento in
merito al l’osservanza del le norme in materia di r iserva tezza e
segretezza del le informazioni , con particolare r iguardo al la
protezione dei dati sensibi l i , dei dati diversi da quell i sensibi l i ,
del le informazione di natura commerciale e contabil i ed in
genere di tutte le informazioni che costituiscono patr i monio
aziendale non di pubblico dominio;
Linee Guida Garante per la Protezione dei dati in tema di
Fascicolo sanitario elettronico e di dossier sanitario ( G.U. n. 178
del 3 agosto 2009 ).
Linee guida in materia di trattamento di dati personali
contenuti anche in atti e documenti amministrativ i , effettuato
da soggetti pubblici per f inalità di pubblicazione e diffusione
sul web - 2 marzo 2011(Gazzetta Uff iciale n. 64 del 19 marzo
2011);
Linee guida in tema di trattamento di dati per lo svolgimento di
indagini di customer satisfaction in ambito sanitario - 5 maggio
2011 (G.U. n. 120 del 25 maggio 2011) ;
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 27/55
“Raccomandazioni e Proposte sul l’uti l izzo del Cloud
Computing nel la Pubblica Amministrazione” del iberato i l
9.5.2012 da DigitPa e vademecum del Garante per la
Protezione dei dati con cui vengono offerte alcune indicazioni
valide per tutti gl i utenti , in particolare imprese e
amministrazioni pubbliche.
L’ASL del la Provincia di Como, in adempimento al la norma del l’art.
80 del D.Lgs. n. 196/2003, ha reso ai propri utenti l ’ informativa
generale integrandola con apposit i cartel l i , aff iss i nei propri presidi
ed ambulatori .
Le informazioni r iportate attengono al le f inal ità e modalità del
trattamento dei dati personali , ai dir i tt i del l’ interessato ed ai
contenuti del lo specif ico Regolamento Regionale n. 3 del 24
Dicembre 2012, sul trattamento dei dati sensibi l i e giudiziari r i fer it i ad
attiv ità di r i levante interesse pubblico che non r ichiedono i l consenso
degli interessati , fra cui quel le amministrative.
Al f ine di rendere più espl icita la comprensione dei dir i tt i degl i
interessati , sono stati diffusi nei vari presidi aziendali opuscoli
i l lustrativi predisposti dal l’Uff icio Stampa del Garante su “La
protezione dei dati personali - dal la parte del paziente”.
Affinché i l dir i tto al la protezione dei dati personali ed i l dir i tto al la
r iservatezza siano sempre i l punto di r i fer imento cui tutti gl i operatori ,
di ogni qualif ica e grado, s i debbono ispirare nel trattare i dati e le
informazioni i l T i tolare ha predisposto un “decalogo” che r ichiama le
principali regole di buona condotta da applicare nel l’espletamento
delle attiv ità ist i tuzional i .
L’Azienda ha approvato con del iberazione n. 632 del 15.12.2011 i l
“Codice di buona condotta per i l t rattamento dei dati pers onali
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 28/55
nell’ambito del registro tumori del la provincia di Como” del proprio
Registro Tumori (RT-Como), previsto nel l’ambito dei Registr i Tumori
della Lombardia (RTL).
I l Registro Tumori , configurandosi come strumento di raccolta
sistematica e r igorosa di dati sanitari, può consentire la valutazione
non solo del la patologia neoplastica, ma anche di altre pat ologie
sul le quali potrebbero essere svi luppate indagini, nei l imiti e nel
r ispetto del le norme in materia di r iservatezza e protezione dei dati
personali e sensibi l i .
I l documento si prefigge quindi di fornire ulterior i garanzie aff inché i
dati e le informazioni trattati nel l’ambito del Registro Tumori del la
Provincia di Como siano tutelati nel pieno r ispetto del le disposizioni
di legge e dei principi e valori cui s i ispira i l Codice Etico
Comportamentale aziendale.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 29/55
PPAARRTTEE OOTTTTAAVVAA
CCRRIITTEERRII EE GGAARRAANNZZIIEE DDII AADDOOZZIIOONNEE DDEELLLLEE MMIISSUURREE MMIINNIIMMEE
DDII SSIICCUURREEZZZZAA IINN CCAASSOO DDII TTRRAATTTTAAMMEENNTTII DDII DDAATTII AAFFFFIIDDAATTII
AALLLL ''EESSTTEERRNNOO
1. TRATTAMENTI AFFIDATI ALL’ESTERNO (OUTSOURCING)
In base a determinate esigenze aziendali , l ’Azienda ha deciso di
affidare i l trattamento dei dati in tutto o in parte a soggetti terzi in
modalità outsourcing.
In tale ipotesi i l T i tolare provvede a nominare, per iscritto al
momento del la sottoscrizione del contratto, tal i soggetti qual i
Responsabil i del trattamento dei dati ai sensi e per gli effetti del la
vigente normativa. Conseguentemente, ai suddetti Responsabil i del
trattamento in modalità outsourcing dovranno ascriversi gl i obblighi
ed oneri previst i dal Legislatore circa i l trattamento dei dati nonché
la legitt imazione passiva nel l’ ipotesi di v iolazione del le predette
disposizioni.
In particolare, i l soggetto cui le attiv ità sono aff idate dichiara:
di essere consapevole che i dati che tratterà nel l’es pletamento
dell’ incarico r icevuto sono dati personali e, come tal i , sono
soggetti al l’applicazione del Codice Privacy;
di ottemperare agl i obblighi previst i dal citato Codice;
di adottare le istruzioni specif iche eventualmente r icevute per i l
trattamento dei dati personali o di integrarle nel le procedure già
in essere;
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 30/55
di impegnarsi – ove r itenuto necessario – a relazionare al Titolare
sul le misure di sicurezza adottate, al lertando tempestivamente
l ’Azienda in caso di s ituazioni anomale o di emergenza;
di r iconoscere i l dir i tto del l’ASL del la Provincia di Como a
verificare periodicamente l’applicazione del le norme di s icurezza
adottate;
in relazione a particolari categorie di dati , al termine del
trattamento effettuato, ad inviare al l’Azienda una descrizione
scritta del lo stesso, che ne attesti la conformità al le disposizioni
contenute nel Discipl inare Tecnico in materia di misure minime di
s icurezza – Al legato B del D.Lgs. 196/2003 e al la vigente
normativa.
Nel la seguente tabella sono sintetizzati i cr ite r i e gl i impegni assunti
dalle parti esterne al l’organizzazione per l’adozione del le misure di
s icurezza, aff inché venga garantito un adeguato trattamento.
I trattamenti di dati aff idati a soggetti esterni sono indicati
nell’allegato 4 .
Presso le strutture di r i fer imento sono conservati gl i atti di nomina
dell’ASL del la Provincia di Como quale responsabile esterno
MISURA ADOTTATA MINACCE
CONTRASTATE MISURA DA ADOTTARE
Individuazione e nomina dei Responsabili Esterni
del trattamento di dati personali e definizione
dei criteri cui devono attenersi le società cui è
affidato il trattamento per garantire la sicurezza
dei dati.
3, 4, 5
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 31/55
relativamente al trattamento dei dati degl i assist i t i r iguardanti lo
stato di salute.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 32/55
PPAARRTTEE NNOONNAA
CCRRIITTEERRII DDAA AADDOOTTTTAARREE PPEERR LLAA CCIIFFRRAATTUURRAA DDEEII DDAATTII
I l T i tolare ha provveduto, attraverso i l Responsabile del Trattamento,
ad imparti re istruzioni operative (circolare n. 55 del 7.3.2006) per
l ’ invio di dati sensibi l i e/o personali con sistemi di posta elettronica,
prevedendo – ove opportuno – tecniche di cifratura dei f i les o la
disgiunzione dei dati che consentono l’ identif icazione diretta degli
interessati .
MISURE ADOTTATE MINACCE
CONTRASTATE
MISURE DA ADOTTARE
Le applicazioni che trattano dati
sensibili relativi allo stato di salute
possiedono (quelle centralizzate), o
prevedono (quelle locali) meccanismi
tali da rendere i dati stessi non
direttamente riconducibili
all'interessato a cui si riferiscono
(separazione tra dati sanitari e dati
anagrafici).
1, 2, 3
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 33/55
PPAARRTTEE DDEECCIIMMAA
TTRRAATTTTAAMMEENNTTOO DDEEII DDAATTII SSEENNZZAA LL ’’AAUUSSIILL IIOO DDII SSTTRRUUMMEENNTTII
EELLEETTTTRROONNIICCII
L'accesso agl i archivi correnti e statici contenenti dati sensibi l i è
consentito ai sol i Incaricati autorizzati al relativo trattamento.
L’accesso agl i archivi statici avviene mediante ide ntif icazione del
personale (Responsabil i o Incaricati) che accede ai local i interessati .
Sono impartite istruzioni organizzative e tecniche per la custodia e
l 'uso dei supporti r imovibil i su cui sono memorizzati i dati al f ine di
evitare accessi non autorizzati e trattamenti non consentit i .
I supporti r imovibi l i contenenti dati sensibi l i se non ut i l izzati sono
distrutti o resi inuti l izzabi l i , ovvero possono essere r iuti l izzati da altr i
incaricati , non autorizzati al trattamento degli stessi dati , se le
informazioni precedentemente in essi contenute non sono intel l igibi l i
e tecnicamente in alcun modo r icostruibi l i .
L’Azienda ha diverse sedi sul terr i tor io provinciale che si
interfacciano fra loro attraverso canali di comunicazione quali la
trasmissione telematica o la consegna brevi manu di documenti
contenenti dati personali .
A tale r iguardo, al lo scopo di assicurare i l migl ior l ivel lo di protezione
dei dati , evitando gl i accessi a persone non autorizzate, è stata
redatta una procedura specif ica per la raccolta f inal izzata al
trasporto e la consegna dei dati personali , che prevede misure
minime di s icurezza al le qual i tutti i Responsabil i ed Incaricati
debbono attenersi .
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 34/55
Tale procedura è stata resa nota con circolare del 4.4.2006 prot. n.
95.
L’ASL del la Provincia di Como ha approvato, con del iberazione n.
573 del 23.12.2004, uno specif ico regolamento che discipl ina
all’ interno del l’Azienda la tutela del la r iservatezza del le persone
f is iche e giuridiche, assicurando che i l trattamento dei dati personali
- in special modo di quel l i sensibi l i - s ia coerente con i l r ispetto dei
dir i tt i e del le l ibertà fondamental i , s ia inoltre improntato al principio
della necessarietà del trattamento ed al l’ individuazione di
accorgimenti volt i ad aumentare i l l ivel lo di s i curezza nel la gestione
dei dati .
2. ULTERIORI MISURE DI SICUREZZA
Al lo scopo di assicurare i l r ispetto dei dir i tt i degl i Interessati , le
del iberazioni e le determinazioni che contengono dati sensibi l i o
giudiziari non devono consentire l’ identif icazione dei soggetti cui tal i
dati s i r i fer iscono.
Con circolare del l’8.3.2006 prot. n. 58 sono state emanate
disposizioni per l’adozione di opportuni accorgimenti.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 35/55
PPAARRTTEE UUNNDDIICCEESS IIMMAA
PPRROOGGEETTTTOO CCAARRTTAA RREEGGIIOONNAALLEE DDEEII SSEERRVVIIZZ II ––
SS IISSTTEEMMAA IINNFFOORRMMAATTIIVVOO SSOOCCIIOO--SSAANNIITTAARRIIOO ((CCRRSS--SSIISSSS))
1. Trattamenti di Titolarità dell’ASL di Como; misure di sicurezza
adottate dall’ASL in conformità ai requisiti di legge e ai
requisiti della Regione Lombardia; “contributo” dei
Responsabili designati
La del iberazione del la Giunta Regionale n. 010031 del 7.08.2009 ha
definito gl i obiettiv i strategici e gl i indir izzi general i per la
continuazione del Sistema Informativo Socio -Sanitario (di seguito
indicato come SISS) confermando a Lombardia Informatica la
responsabil i tà del lo svi luppo e del la gest ione del SISS .
La Regione Lombardia ha inoltre definito con DGR n. 10512 del
09.11.2009 i l Piano di dettagl io per l ’evoluzione del SISS negl i anni
2010-2012 e la convenzione tr i laterale (RL, LISPA, ASL/AO), già
sottoscritta dal l’ASL del la Provincia di Como, f inal izzata a regolare i
rapporti ed i reciproci impegni nel l’ambito del SISS tra i diversi attori
sanitari lombardi.
Per gl i anni 2013 e 2014 la fonte normativa è costituita dal la circolare
attuativa del le Regole per l’anno 2013 di cui al la DGR n. 4334 del
26.10.2012 “Determinazioni in ordine al la gestione del Servizio Socio-
Sanitario regionale per l 'esercizio 2013” e la DGR n. 1185 del
20.12.2013 “Determinazioni in Ordine al la Gestione del
Servizio Socio Sanitario Regionale per l 'esercizio 2014”
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 36/55
2. Trattamenti di propria t itolarità effettuati per f inalità
amministrative e per f inal ità di cura
I trattamenti di dati personali relativi al Progetto CRS -SISS,
come precisato nel la nota del la Direzione Generale Sanità
dell’11.03.2010 prot . H1.2010.9630, continueranno ad essere svolti
secondo le previs ioni di cui ai provvedimenti del la Giunta Regionale
n. 5198 del 2.8.2007 “Progetto Carta Regionale dei Servizi - Si stema
Informativo Socio Sanitario (CRS-SISS): individuazione dei Responsabi l i
dei trattamenti dei dati personali . Disposizioni per le aziende
sanitarie pubbliche e schema di convenzione con le aziende socio
sanitarie private accreditate a contratto”, e n. 4928 del 28.2.2013,
che individuano l ’ASL del la Provincia di Como quale Titolare del
trattamento dei dati nel contesto del citato progetto.
L’Azienda, relativamente ai trattamenti per f inalità amministrative
(f inal ità ist i tuzional i amministrative di pianif icazione e monitoraggio
del la spesa sanitaria e del la appropriatezza e qualità del l’assistenza
di r icerca epidemiologica e statist ica), è titolare dei trattamenti di
registrazione, organizzazione, conservazione, consultazione,
elaborazione, selezione, estrazione, interconnessione, raffronto,
uti l izzo e comunicazione relativ i a prescrizioni, prenotazioni,
erogazioni, eventi sanitari , esenzioni, f lussi di rendicontazione e
anagrafica.
L’Azienda, relativamente ai trattamenti per f inal ità di cura
(f inal ità ist i tuzional i di prevenzione, diagnosi, cura e assistenza),
è titolare dei trattamenti di registrazione, conservazione,
elaborazione, selezione, estrazione, interconnessione, raffronto e
comunicazione relativ i al la gestione del le basi dati inerenti l ’uti l izzo
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 37/55
del Fascicolo Sanitario Elettronico (FSE) e del consenso al
trattamento FSE.
Le tipologie di dati personali che sono trattati attraverso i l Progetto
SISS sono le seguenti:
Tipologia di dati Finalità
Dati personali comuni
(es. i dati anagrafici e amministrativi del Cittadino)
amministrative
Dati sensibili idonei a rivelare lo stato di salute
(es. prescrizioni, prenotazioni di prestazioni
ambulatoriali, esenzioni alla spesa sanitaria, eventi sanitari,
ecc…)
amministrative
Dati sensibili, dati sanitari dell’interessato inclusi nel Fascicolo
Sanitario Elettronico (FSE) del Cittadino.
cura
La titolarità dei trattamenti, nel l’ambito del progetto SISS in relazione
al le vigenti disposizioni per la protezione dei dati personali , è
attr ibuita come segue:
a) per i trattamenti aventi f inal ità amministrative, che non sono
trattati attraverso i l Fascicolo Sanitario Elettronico, sono TITOLARI :
Regione Lombardia;
Azienda Sanitaria Locale;
Azienda Ospedaliera;
Enti Erogatori Pr ivati accreditati ed RSA
b) per i trattamenti aventi f inal ità di cura, trattati attraverso i l
Fascicolo Sanitario Elettronico) sono TITOLARI :
Azienda Sanitaria Locale;
Azienda Ospedaliera;
Enti Erogatori Pr ivati accreditati e RSA.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 38/55
I l trattamento del Fascicolo Sanitario Elettronico può essere
effettuato solo a condizione che l’ interessato abbia prestato i l
consenso.
I trattamenti dati effettuati attraverso i l s istema CRS -SISS, cui possono
accedere solo gl i operatori dotati di carta SISS “operatore” e
specif ico ruolo utente sono r iportati ne l la tabel la di seguito indicata.
Oggetto del t rattamento Soggett i
coinvolt i F inal i tà
Tipologia del le
operazioni
Identificazione cittadino e della classe di
esenzione
ASL
Amministrative Consultazione
Registrazione
Identificazione cittadino Erogatori Pubblici
Privati
Accreditati(E.E.P.A)
Cura Consultazione
Identificazione cittadino e identificazione
classe di esenzione
MMG/PDF
Farmacie
Cura Consultazione
Gestione Flussi DIT
(debito informativo territoriale)
ASL Amministrative Consultazione
Registrazione
Conservazione
Elaborazione
Acquisizione Consenso FSE ASL
MMG/PDF
Farmacie
Spazio Regione
Comuni
Cura Consultazione
Acquisizione
Registrazione
Fascicolo Elettronico del Cittadino (FSE)
ASL Cura Comunicazione
MMG/PDF
Farmacia
Cura Consultazione
E.E.P.A. Cura Registrazione
Pubblicazione
Consultazione
Prescrizioni farmaceutiche, ambulatoriali
e di ricovero
MMG/PDF
Cura Consultazione
Registrazione
Prescrizioni farmaceutiche Farmacie Cura Consultazione
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 39/55
Prenotazione prestazioni ambulatoriali MMG/PDF
Farmacie
Cura
Amministrative
Consultazione
Registrazione
Erogazione PIN/PUK ASL
Spazio Regione
Comuni
Amministrative Comunicazione
Registrazione Dati Vaccinali
ASL Cura Consultazione
Registrazione
Gestione Certificazioni di malattia
MMG Cura Consultazione
Trasmissione
Gestione Malattie Infettive
ASL Cura Consultazione
Registrazione
3. Misure di sicurezza adottate in ambito CRS-SISS in conformità ai
requisit i di legge e le indicazioni regionali.
L’ interconnessione del sistema informatico aziendale con i l SISS
avviene tramite:
- la postazione di lavoro, cos iddetta PDL SISS, che viene gestita
su indicazioni ASL dal provider aziendale (Servizio di Fleet
Management) che provvede al l’ instal lazione/aggiornamento;
- la porta applicativa, che viene gestita direttamente dal Centro
di Gestione Integrata (CGI).
I programmi del progetto SISS vengono monitorati dal CGI stesso e
garantiscono che i dati sanitari :
- s iano trasmessi in rete protetti da adeguati algoritmi di
cifratura;
- s iano memorizzati cifrati o disaggregati dai dati personali in
modo che la loro compromissione non permetta di r icondurre i l
dato sanitario al la specif ica persona.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 40/55
In conformità ai requis it i r ichiesti da Regione Lombardia, le misure di
s icurezza general i applicate sono descritte nel la sezione quinta del
presente documento.
I l Progetto SISS, inoltre, fa leva su un sistema di “strong
authentication” degl i operatori per mezzo di certi f icati digital i
memorizzati su carte dotate di microprocessore.
L’ASL ha real izzato la gestione degli aspetti operativ i per l’ impiego di
questa tecnologia in base ai requis it i di s icurezza r ichiesti .
A queste si aggiungono le misure specif iche qui di seguito indicate:
f i rewall NOKIA che opera in regime di alta aff idabil i tà (cluster
f is ico), interponendosi sul canale di connettiv ità f is ica del SISS ;
impianto f i rewall CISCO per elevare ulteriormente le misure di
s icurezza interposto sul medesimo canale f is ico, anch’esso
operante in regime di alta aff idabil i tà (cluster f is ico), quale
ulteriore strumento di protezione tra server-farm aziendale e
server-farm CRS-SISS;
protezioni specif iche per l’ interconnessione con i l SISS: al
personale del Provider regionale è r ichiesto preannunciare
telefonicamente ogni intervento da effettuare presso l’ASL
della Provincia di Como. Le operazioni svolte dal personale del
Service-Provider sono eseguite sotto la supervis ione di
personale ASL. Gl i apparati di interconnessione al SISS (router di
accesso al la Extranet) sono situati presso i l CED aziendale,
in Via Carso, 88 a Como, in local i protetti , i l cui accesso è
consentito esclusivamente a l personale del l’Azienda
autorizzato mediante uti l izzo di badge elettronico. Le misure di
s icurezza adottate per questi locali sono descritte nel la parte
“quinta” del presente documento. Si precisa inoltre .
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 41/55
Per quanto concerne l’anal is i e la gestione de l r ischio
informatico del la componente di interconnessione al SISS è
compresa nel l’anal is i e gestione del r ischio a l ivello
complessivo aziendale.
4. Geolocalizzazione
Allo scopo di migl iorare l’uti l izzo dei servizi SISS è stata messa a
disposizione dei Medici di Medicina Generale/Pediatr i di Famigl ia
una connect card che oltre a costitui re uno strumento per col legarsi
in mobil i tà, in caso di necessità, è la soluzione di backup pensata
per garantire la continuità del servizio SISS in caso di un ’eventuale
indisponibi l i tà della l inea ADSL fornita dal Network Provider. Pertanto,
poiché l ’uti l izzo del la Internet key r ichiede, in base a specif iche
disposizioni di Legge (in tema di “geolocalizzazione”), la prestazione
di uno specif ico consenso dei medici al trattamento dei dati
(anagrafici, relativ i al traff ico telematico, iv i compresi i dati relativi
all’ubicazione diversi dai dati relativ i al traff ico telematico), è stata
inviata apposita comunicazione con al legato i l modulo “informativa
e consenso al trattamento dati relativ i ai servizi di connettiv ità in
ambito SISS.
5. Trattamenti dati FSE
I medici ospedalier i , attraverso la Piattaforma CRS-SISS, trattano i
dati sanitari per f inal ità di cura con i l Fascicolo Sanitario
Elettronico (FSE) solo ove l ’ interessato abbia espresso i l proprio
consenso che viene s imultaneamente registrato dal l’operato re nel
SISS mediante la CRS del l’utente, previa specif ica informativa (i l cui
modello è consultabi le sul s ito internet www.crs.lombardia.it) .
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 42/55
6. Formazione specif ica degli operatori CRS-SISS
Gli operatori SISS r icevono istruzioni precise sugl i ambiti del
trattamento consentit i e sul le misure di s icurezza da osservare per
garantire la protezione dei dati , unitamente ad una periodica
formazione specif ica.
L’attiv ità formativa effettuata ha r iguardato i seguenti temi:
ANNO 2013
- corsi di formazione r ivolt i agl i operatori dei distretti socio-sanitari
per la diffusione del s istema GASS (Gestione Accesso Semplif icato
ai Servizi) , s istema che, in un’ottica di diffusione dei servizi sanitari
on-l ine, consente di consultare i l referto direttamente da casa
tramite un sistema di password e solo dopo aver espresso i l
consenso al trattamento dati personali .
- trasmissione dei f lussi informativi ai Medici attraverso uti l izzo del la
Bacheca (marzo 2013);
- formazione a distanza per i Medici con la col laborazione di
Lombardia Informatica.
ANNO 2014
- corso di formazione effettuato i l 25.06.2014 per gl i operatori degl i
Enti Erogatori Pr ivati Accreditati per la diffusione del s istema GASS
(Gestione Accesso Semplif icato ai Servizi) ;
- corsi di formazione agl i operatori PDR (Punti di Registrazione)
distrettual i effettuati l ’11.7.2014 ed i l 02.9.2014 tenuti da Lombardia
Informatica e dal Referente aziendale CRS-SISS in previs ione del la
messa in esercizio del nuovo sistema di gestione del le carte SISS
“Provis ioning 8”. In tale occasione è stato consegnato ad ogni
PDR un modulo che r ichiama i principal i adempimenti e modalità
operative da adottare;
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 43/55
- corso di formazione a distanza reso disponibi le da Lombardia
Informatica anche per nell’anno 2014 per i MMG e PDF;
- eventi formativi per l’uti l izzo del servizio di prenotazione vis ite ed
esami a favore degli operatori di Farmacie, effettuati i l 24 e
28.10.2014.
7. Gestione delle Carte CRS-SISS per gli operatori
La carta SISS consente agl i uti l izzatori di autenticarsi al SISS in
modalità “strong” e di apporre la f i rma digitale ai documenti .
Entrambe le funzional ità, che identif icano con certezza l’utente, s i
basano sul le proprietà del la crittografia a chiave asimmetrica
(pubblica/privata) che è real izzata mediante l’uti l izzo di certif icati
digital i r i lasciati da una Certif ication Authority su Carta a
Microprocessore.
Presupposto fondamentale è i l possesso sia del la carta SISS, s ia del
PIN UTENTE per l’autenticazione e del PIN FIRMA che permette di
apporre la f i rma digitale ad un documento.
Ovviamente s i è provveduto, nel r ispetto del le indicazioni regional i , a
fornire a tutt i gl i uti l izzatori del le Carte le opportune istruzioni per la
corretta modalità di impiego.
In particolare:
IDENTI FICAZIONE E AU TORIZZAZIONE DEGLI OPER ATORI
Le procedure adottate per l’ identif icazione degli operatori e le
relative autorizzazioni sono conformi al le previs ioni sul le misure
di s icurezza definite dal la DGR n. 5198 del 2.8.2007, la cui
corretta applicazione è stata accertata dal la società
Lombardia Informatica S.p.A., anche attraverso le periodiche
ispezioni .
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 44/55
Ogni operatore, al l ’atto del l’attivazione e del r i t i ro del la carta,
sottoscrive uno specif ico contratto per la fornitura del servizio
di certi f icazione digitale.
Gl i operatori possono entrare in pos sesso del la smart card di
accesso al s istema e del relativo PIN solo tramite adesione
specif ica al progetto. La smart-card può essere attivata solo
dal Punto di Registrazione (PdR) certi f icato da Lombardia
Informatica S.p.a.
L’accesso al s istema è quindi consentito solo se s i possiede la
smart card attiva con relativo PIN, oppure, l imitatamente agl i
operatori di Scelta e Revoca, con specif ico account
applicativo (utente e password).
8. Gestione delle carte
Le carte sono gesti te secondo le procedure previste dal la già citata
DGR n. 5198/2007.
In particolare sono impartite agl i operatori disposizioni scritte circa la
corretta conservazione e sul loro loro uti l izzo. Al r iguardo è stata
definita e condiv isa con gl i operatori PDR una specif ica procedura
per la r ichiesta di emissione carte di seguito s intetizzata.
1. Arrivo a smistamento carte SISS
- Le carte “vergini” sono inviate da Lombardia Informatica
al referente SISS/responsabile PDR e consegnate, con le
dovute precauzioni, al PDR distrettuale, i l quale fi rma per
accettazione una lettera di accompagnamento ; ai f ini
del la tracciabi l i tà i l lotto viene registrato in un f i le ;
- le carte vengono conservate in luogo sicuro.
2. Richiesta carte SISS
- Le r ichieste sono inoltrate via mail al referente SISS ad
un indir izzo di posta elettronica prestabi l i to ;
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 45/55
- è stato individuato un processo specif ico in relazione al la
t ipologia di aderente r ichiedente.
3. Emissione della carta e archiviazione
- La r ichiesta è esaminata, archiviata ed inoltrata al PDR
distrettuale di r i fer imento;
- i l PDR distrettuale prende in carico la r ichiesta, contatta
l ’aderente, concorda un appuntamento e consegna la
carta;
- la documentazione prodotta viene conservata per un
periodo di 20 anni in apposite casseforti fornite dal
progetto presso le sedi distre ttual i e se i l quantitativo è in
eccesso viene conservato centralmente in armadi
ignifughi bl indati.
8. Obblighi dell’operatore PDR
I PDR operano seguendo le istruzioni r iportate nel documento “LISPA-
CA-PRC#07 - Ruoli e Responsabil i tà dei PdR” , di seguito indicate:
a) attenersi scrupolosamente al le procedure al legate al la Lettera
di delega fornita da Lombardia Informatica, per quanto
r iguarda le funzioni di registrazione degli Utenti Titolari ,
personalizzazione del disposit ivo sicuro di f i rma, revoca,
sospensione e r iattivazione dei Certi f icati Digital i ;
b) registrare i dati del r ichiedente , previa verif ica del la sua
identità e dei relativ i certi f icati ;
c) comunicare al la Certif ication Authority i dati acquisit i durante
la registrazione tramite la funzione di Regis trazione Operatore
del Cl ient PdR;
d) Informare i l r ichiedente sugl i obblighi assunti in merito al la
protezione del la segretezza del le chiavi private, al trattamento
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 46/55
dei dati personali ed al r ispetto del le disposi izoni contenute nel
Manuale Operativo;
e) verificare e trasmettere al la Certi f ication Authority le r ichieste
di revoca, sospensione o annul lamento del la sospensione,
uti l izzando le corr ispondenti funzioni del Cl ient PdR;
f) archiviare le r ichieste di registrazione, revoca, sospensione e
annul lamento sospensione e la documentazione accessoria;
g) non r it i rare e non conservare codici personali degl i utenti
Titolari (user- id, password e codice di sospensione/emergenza)
o codici di uti l izzo (PIN Utente, PIN Firma, PUK) di carte r isultate
difettose in fase di emissione e non consegnate oppure r it i rate
perché revocate.
h) r ispettare le misure minime di s icurezza nel trattamento dei dati
personali nel r ispetto del le istruzioni operative e del la
formazione r icevuta dal la struttura di appartenenza;
i) r ispettare le misure di s icurezza consigl iate dal Certif icatore
Lombardia Informatica.
9. Obblighi del Titolare
I t i tolari del le carte sono informati dai PDR aziendali circa i l r ispetto
del le seguenti regole da osservare nell’uti l izzo del la carta SISS:
1. uti l izzare personalmente i l disposit ivo di f i rma;
2. conservare e custodire con la massima di l igenza la smart card, al
f ine di garantire l’ integrità e la r iservatezza del le chiavi private in
essa contenute;
3. conservare con la massima di l igenza la userid, la password e i l
codice di sospensione r icevuti durante la fase di registrazione per
evitare la conoscenza di questi da parte di altr i soggetti ;
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 47/55
4. conservare le informazioni di abi l i tazione al l’uso del la smart card
(PIN e PUK) in luogo diverso dal la smart card stessa;
5. cambiare i PIN provvisori del la propria smart card;
6. comunicare informazioni esatte e verit iere r ispetto ai propri dati
personali nel l’ambito del le inizial i procedure di registrazione al
servizio di certi f icazione;
7. informare i l Certi f icatore (recandosi presso i l Punto di
Registrazione di r i fer imento) di ogni variazione del le informazioni
fornite durante la procedura di identif icazione e registrazione;
8. informare i l Certi f icatore (recandosi presso i l Punto di
Registrazione di r i fer imento) in caso di cessazione del servizio per
cui sono stati r ichiesti i certi f icati digital i ;
9. r ichiedere tempestivamente al PdR di r i fer imento la revoca dei
certi f icati al verif icarsi delle condizioni previste dal Manuale
Operativo;
10. Richiedere tempestivamente al PdR di r i fer imento o al numero
verde del Certi f icatore la sospensione dei certi f icati nei casi di
furto, smarr imento o sospetta compromissione del la propria smart
card e con le modalità previste dal Manuale Operativo ;
11. Uti l izzare le chiavi private personali ed i l corr ispondente
certi f icato nel pieno r ispetto del le funzioni previste dal la sua
tipologia e secondo le modalità indicate nel Manuale Operativo.
10. Controllo dei profi l i autorizzativi
Con r i fer imento al D.Lgs. n. 196/03 (Codice in materia di protezione
dei dati personali) , l ’ASL ha provveduto ad effettuare un control lo
dei profi l i associati agl i operatori SISS al f ine di verificare la
correttezza e la sussistenza del le condizioni di conservazione di tal i
profi l i autorizzativ i .
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 48/55
11. Nomina delle Aziende Informatiche Responsabili del
trattamento
I l citato D.Lgs n. 196/2003 prevede che i l T i tolare del trattamento
possa individuare uno o più Responsabil i del trattamento (mediante
suddivisione di compiti).
Al f ine di formalizzare gl i adempimenti previst i dal Codice per la
designazione dei Responsabil i esterni al trattamento dati, per quanto
attiene ai trattamenti posti in essere con i l SISS, dal 2013 viene
uti l izzato un servizio di designazione on-l ine che assicura la gestione
dematerial izzata dei documenti e l’ invio al Responsabile, a
Lombardia Informatica e al la Regione. E’ r ichiesta inoltre
l’apposizione sul documento informatico del la f i rma digitale del
legale rappresentante del Titolare .
Le aziende che sono state designate come Responsabil i sono le
seguenti:
Lombardia Informatica S.p.A.
Lombardia Gestione S.p.A.
Almaviva S.p.A.
Bit Media S.p.A.
Capgemini I tal ia S.p.A. Via
Hi Tech S.p.A.
Insiel Mercato S.p.A.
Lutech S.p.A.
Santer Reply S.p.A. con unico azionista
Sopra Group S.p.A.
Milano Telecom I talia S.p.A.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 49/55
Nel corso del 2014, a seguito del la variazione intervenuta nei
trattamenti, i l T i tolare dei dati ha effettuato una nuova designazione
del le sopraindicate aziende.
Nel corso del corrente anno è stata designata Santer Reply con
unico azionista e Lombardia Gestione S.p.A. come Respo nsabil i del
trattamento dati inerenti al "Servizio di gestione dei dati del la spesa
farmaceutica".
Si precisa inoltre che l’ASL di Como ha aderito al Servizio di Fleet
Management (Procedura bandita “Gara 4/2011/LI – Procedura
r istretta ai sensi del D.Lgs. n. 163/2006 per la selezione di operatori
per i servizi di Gestione del le Postazioni di Lavoro del le aziende
sanitarie pubbliche di Regione Lombardia”), che prevede la fornitura
in locazione operativa di prodotti per i l r innovamento tecnologico
del le apparecchiature informatiche e la gestione del le Postazioni di
Lavoro (PdL).
A seguito del l’adesione sono state designate nel 2013 come
responsabil i , tramite la nuova procedura on-l ine, anche le seguenti
società che costituiscono l’RTI (Raggruppamento Tempora neo di
imprese):
BT I TALIA s.p.a.,
Olis istem I tq Consult ing S.p.A.
VAR Group S.p.A.,
12. CONTRIBUTI DEI RESPONSABILI DESIGNATI
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 50/55
Per "contr ibuto" s ’ intende i l nome del documento ove sono descritt i e
precisati come sono stati real izzati gl i interventi operativ i necessari
per r ispondere ai requis it i di s icurezza indicati dal Titolare nel l 'atto di
designazione . E’ inoltre specif icata la col locazione (nel proprio
s istema documentale) del documento stessi . I contr ibuti prodotti da
tal i Aziende Informatiche, nominate Responsabil i del trattamento
dati da questa ASL (per l’anno 2014), sono i seguenti :
CONTRIBUTO DPS DA PARTE DI ALMAVIVA SPA
I l contr ibuto di Almaviva SpA, in quanto Responsabile del
trattamento dati inambito SISS ai sensi del la DGR n. 5198 del
02.08.2007 aggiornata dal la DGR n. 4928 del 28.02.2013, è contenuto
nel documento:
· SISS 1-PRIV-Contr ibuto_Almaviva-ver. 2 - Progetto SISS 1 -
Adempimenti di s icurezza per i trattamenti relativi al servizio "Gara
5/2012/LI – Procedura aperta ai sensi del D.Lgs .n.163/2006 per
l ’aff idamento dei servizi di svi luppo e manutenzione, assistenza,
supporto al l’anal is i dei processi/demand management e terr itor io
per la real izzazione dei modell i di e-health del la Regione Lombardia.
COD. SISS 1 – CIG 4186776CD7";
I l documento è archiviato presso la sede di Almaviva SpA, via dei
Missagl ia, 97 B/4 - 20142 Milano.
CONTRIBUTO DPS DA PARTE DI B ITMEDIA SPA
I l contr ibuto di Bitmedia SpA, in quanto Responsabile del trattamento
dati in ambito SISS, è contenuto nel documento:
· MOS - Manuale Operativo sul la Sicurezza dei dati
I l documento è archiviato presso la sede di Bitmedia SpA, Piazzale
Luigi Sturzo, 9 – 00144 Roma.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 51/55
CONTRIBUTO DPS DA PARTE DI CAPGEMINI ITALIA SPA
I l contr ibuto di Capgemini I tal ia SpA, in quanto Responsabile del
trattamento dati in ambito SISS, è conservato in originale dal la
funzione aziendale DQ&R (Del ivery Quality & Risk Department) nel
repository del le procedure aziendali (TeamForge) accedibi le tramite
la intranet aziendale.
La versione ult ima del documento è la 4.9. I l documento viene
aggiornato annualmente o al l’occorrenza.
I l documento è archiviato presso la sede di Capgemini I tal ia SpA, Via
di Torre Spaccata 140, 00173 Roma.
CONTRIBUTO DPS DA PARTE DI H ITECH S.P .A.
I l contr ibuto di Hitech SpA, in quanto Responsabile del trattamento
dati in ambito SISS, è contenuto nel documento:
· SISS 1-PRIV-Contr ibuto_HITECH-ver.1 - ADEMPIMENTI DI SICUREZZA PER
I TRATTAMENTI RELATIVI AL SERVIZIO “Gara 5/2012/LI – Procedura
aperta ai sensi del D.Lgs.n.163/2006 per l ’aff idamento dei servizi di
svi luppo e manutenzione, assistenza, supporto al l’anal is i dei
processi/demand management e terr itor io per la real izzazione dei
modell i di e-health del la Regione Lombardia. COD. SISS 1 – CIG
4186776CD7”
I l documento è archiviato presso la sede di HITECH SpA, Via
Campigl iano 51, 50012 Bagno a Ripol i (FI ).
CONTRIBUTO DPS DA PARTE DI INSIEL MERCATO S.P .A.
I l contr ibuto di Insiel Mercato SpA, in quanto Responsabile del
trattamento dati in ambito SISS, è contenuto nel documento:
· SISS 1-PRIV-CONTRIBUTO_AZIENDA RTI -IM - VER. 01 - PROGETTO SISS 1
- ADEMPIMENTI DI SICUREZZA PER I TRATTAMENTI RELATIVI AL SERVIZIO.
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 52/55
Adempimenti di s icurezza per i trattamenti relativ i al Servizio - “Gara
5/2012/LI – Procedura aperta ai sensi del D.Lgs.n.163/2006 per
l ’aff idamento dei servizi di svi luppo e manutenzione, assistenza,
supporto al l’anal is i dei processi/demand management e terr itor io
per la real izzazione dei modell i di e -health del la Regione
Lombardia. COD. SISS 1 – CIG 4186776CD7”;
I l documento è archiviato presso la sede di Insiel Mercato SpA,
Padriciano 99 – Area Science Park – Tr ieste.
CONTRIBUTO DPS DA PARTE DI LOMBARDIA GESTIONE SRL
I l contr ibuto di Lombardia Gestione sr l , in quanto Responsabile di
trattamento di dati in ambito SISS, è contenuto nel documento:
· DPS 2014 -Lombardia Gestione vs LI intitolato.doc - “Contributo al
Documento Programmatico sul la Sicurezza”, approvato i l 24 apri le
2014.
I l documento è archiviato presso la sede di Lombardia Gestione S.r . l ,
v ia don Minzoni , 24 - 20158 Milano.
CONTRIBUTO DPS DA PARTE DI LOMBARDIA INFORMATICA SPA
I l contr ibuto di Lombardia Informatica SpA, in quanto Responsabile
del trattamento di dati in ambito SISS è contenuto nel documento:
· LI -SG-DPS - Rev. 04 – Documento Programmatico su l la Sicurezza –
Edizione 2014 Capitolo “Adempimenti di s icurezza per i trattamenti
relativi al CRS-SISS di cui Lombardia Informatica è RESPONSABILE”.
I l documento è tenuto presso la sede di Lombardia Informatica SpA,
Via T. Taramell i , 26 - 20158 Milano.
CONTRIBUTO DPS DA PARTE DI LUTECH SPA
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 53/55
I l contr ibuto di Lutech SpA, in quanto Responsabile del trattamento
di dati in ambito SISS, è contenuto nel documento:
· Lutech SpA - DPS 2014 (v.09 del documento)
I l documento è archiviato presso l’Uff icio Legale d i Lutech SpA in
Cologno Monzese, via Mozart n. 47
CONTRIBUTO DPS DA PARTE DI SANTER REPLY SPA CON UNICO AZIONISTA
I l contr ibuto di Santer Reply SpA, in quanto Responsabile del
trattamento dati in ambito SISS, è contenuto nel documento:
· Documento Programmatico sul la Sicurezza (DPS) - Santer S.p.A. con
Unico Azionista Al l ' interno del l ' impianto documentale di Santer la sua
col locazione è sul la intranet aziendale (TamTamy).
CONTRIBUTO DPS DA PARTE DI SOPRA GROUP SPA
I l contr ibuto di Sopra Group SpA, in quanto Responsabile del
trattamento dati in ambito SISS, è conservato in originale presso la
sede legale del la stessa Società in Assago, strada 4, palazzo A,
numero 7.
La copia elettronica del documento è conservata nel la Repository
aziendale al l’ indir izzo:
\\Sopra\.scala_DOI.Milano.it\groups\segreteria\Qualità\2012\DPS
La versione aggiornata del documento è la 4.01.
ELENCO TRATTAMENTI
L’elenco dei trattamenti di dati personali di t i tolarità del l’ASL che
sono in carico al le ditte designate responsabil i nel l’ambito SISS, sono
indicati nel l’al legato “DPSS - 407-F-trattam-outsourcing” .
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 54/55
13. Amministratori di sistema ditte designate
I documenti contenenti l ’elenco degli es tremi identif icativi del le
persone f is iche che r ivestono i l ruolo di “Amministratori di s istema”
del le ditte designate responsabil i nel l’ambito SISS sono archiviate in
apposita cartel la in un server aziendale.
Como,
IL DIRETTORE GENERALE
dr. Roberto Bol l ina
ASL della Provincia di Como
Documento Programmatico Sulla Sicurezza (DPSS) Novembre 2014 pag. 55/55
ALLEGATI
I seguenti al legati sono parte integrante del documento:
1) elenco trattamenti dati sensibi l i e Responsabil i del trattamento;
2) elenco del le minacce che incombono sui dati ;
3) elenco del le misure a protezione dei dati adottate e da
adottare;
4) elenco trattamento dati aff idati al l’esterno (outsourcing).