Circolare numero 276 del 21-12-1990

Misure di sicurezza informatica e disciplina degli accessi

La circolare detta indicazioni operative in materia di sicurezza informatica e riservatezza dei dati, nell’ambito di un percorso di progressivo rafforzamento delle procedure di controllo. L’obiettivo dichiarato è quello di preparare la generalizzazione delle nuove metodologie di sicurezza, anche in vista della sostituzione dei sistemi IBM 8100 con IBM AS400 e della piena operatività dei sistemi OLIVETTI LSX 3000.

Contesto tecnologico e obiettivo organizzativo

L’intervento si inserisce nel completamento della modernizzazione dei sistemi informativi, sia nell’area della riscossione contributi sia in quella delle prestazioni. La circolare evidenzia che il sistema di sicurezza dovrà poggiare sul coinvolgimento di tutto il personale, dirigenti e utenti degli strumenti informatici, così da rendere effettiva la protezione delle informazioni e delle procedure.

Sensibilizzazione del personale e responsabilità individuale

Nell’attesa delle ulteriori iniziative in materia di procedure di sicurezza, si richiede di intensificare l’opera di sensibilizzazione del personale. L’attenzione deve essere rivolta al modo di affrontare i temi della sicurezza e della riservatezza dei dati, ribadendo che ogni abuso nell’utilizzo delle procedure informatiche comporta una responsabilità individuale e personale.

Disciplina degli accessi alle aree di elaborazione dati

Ai dirigenti delle unità funzionali è richiesto di regolamentare con rigore l’accesso alle aree in cui sono ubicate le unità di elaborazione dati, a livello centrale, regionale e di sede. L’accesso deve essere consentito solo agli operatori del settore e, in via eccezionale, ad altro personale che risulti formalmente autorizzato.

Assegnazione e gestione delle password nelle Sedi autonome di produzione

Per le Sedi autonome di produzione, dove viene segnalato il problema della limitazione degli identificativi utente attribuibili, la circolare stabilisce criteri puntuali per la distribuzione delle parole chiave:

• gli operatori di controllo dei sistemi devono mantenere il segreto sulle password assegnate agli utenti di reparto e non possono modificarle senza preventiva autorizzazione della Direzione;
• nella definizione del profilo utente e dei relativi codici di accesso, non deve essere consentito ad alcuno, salvo i soli operatori di controllo per le funzioni loro riservate, di utilizzare i comandi di sistema che gestiscono le parole chiave, come VISUAL e DEF;
• le password devono essere assegnate, di norma, ad personam, quando le procedure lo consentano, oppure a gruppi di persone che operano nello stesso settore, soprattutto per programmi di particolare delicatezza;
• se un componente del gruppo viene assegnato ad altro settore di lavoro, occorre procedere alla riassegnazione della o delle password;
• l’assegnazione delle password deve essere formalizzata e contenere un richiamo espresso alla responsabilità personale in caso di violazione della riservatezza o di uso improprio delle procedure.

Responsabilizzazione degli utenti e tracciamento delle credenziali

Considerata la limitatezza attuale degli identificativi specifici per singolo programma, gli utenti titolari di identificativi che consentono l’accesso a programmi non di loro competenza devono essere espressamente responsabilizzati a non accedere a procedure estranee al proprio ambito di lavoro. Inoltre, deve essere mantenuto un elenco degli identificativi e delle parole chiave assegnate, con indicazione del relativo titolare o del gruppo di titolari; tale elenco deve essere custodito in cassaforte e aggiornato con tutte le variazioni successive.

Controllo degli output cartacei

La circolare richiama infine l’attenzione sulla necessità di effettuare controlli sistematici e accurati su tutti gli output cartacei delle lavorazioni, ogni volta che le procedure prevedano l’emissione di specifici tabulati di controllo.