- Responsabili
-
Peli Giancarlo
- Data inizio
- 01/01/14
- Durata (mesi)
- 12
Descrizione
Il Codice della Privacy impone di adottare una serie di misure tecniche, informatiche, organizzative, logistiche e procedurali, tendenti a realizzare un livello di sicurezza proporzionato ai rischi previsti per il tipo di attività che in concreto viene esercitata. Sono obbligati al rispetto delle suddette regole, quindi, tutti coloro che trattano dati personali.
Alla sicurezza dei dati e dei sistemi, il Codice dedica ampio spazio ed una dettagliata normativa completata dall’allegato B (“Disciplinare tecnico in materia di misure minime di sicurezza”). Per quanto riguarda queste misure, la disciplina è suddivisa in base al fatto che il trattamento venga effettuato con strumenti elettronici oppure senza l’ausilio degli stessi.
Nella prima ipotesi è prevista l’adozione di un sistema di autenticazione informatica che consenta solo agli incaricati di poter procedere al trattamento dei dati custoditi nel sistema informatico, creando eventualmente diversi profili di autorizzazione per i casi in cui l’incaricato sia autorizzato a svolgere solo determinate operazioni.
Dal 2005 si è quindi inteso una combinazione di processi e tecnologie che hanno dettato le basi per uno stretto controllo di gestione sulle utenze che possono accedere al sistema informativo, dal momento in cui sono legittimate al momento in cui non lo sono più (per cessazioni, per scadenze di contratto, per momentanee variazioni…).
A questo scopo, le funzionalità richieste si denotato con il termine di “Identity Management”; le seguenti caratteristiche sono considerate essenziali:
- Profile management: possibilità di definire le politiche di autorizzazione/sicurezza per gruppi di utenti in funzione del ruolo (docenti, tecnici amministrativi, studenti, eccetera);
- Work flow: permette di gestire i processi di cambiamento/integrazione dei profili utente;
- Provisioning: distribuzione nel sistema informativo delle autorizzazioni agli accessi a seconda del profilo;
- Delegate administration: delega parziale o totale della gestione dei profili verso strutture decentrate (Facoltà, Dipartimenti, Centri, Direzioni, Organi di Staffeccetera);
- Password management e Synchronization: gestione automatizzata delle politiche per le password e sincronizzazione delle stesse nelle risorse del sistema informativo.
Il modulo di “Identity Management”, che per la nostra Università ha il nome di Gestione di Identità di Ateneo (GIA) rappresenta le fondamenta del complesso sistema di gestione delle identità e dei profili. Infatti, molti sono i livelli che si possono sviluppare oltre alle procedure di Identità Management. In letteratura esistono almeno altre due successive (e più ampie, generali e sofisticate) procedure di gestione (non implementate in Ateneo):
- Sistema di “Access Management”: l’insieme delle componenti hardware, dei relativi sistemi operativi, delle licenze software applicative, delle licenze per gli applicativi e dei servizi che garantiscono il Controllo e l'Autorizzazione centralizzati degli Accessi alle Risorse Informatiche (Access Management);
- Sistema “Single Sign On”, l’insieme delle componenti hardware, dei relativi sistemi operativi, delle licenze software applicative, delle licenze per gli applicativi e dei servizi che garantiscono l'Autenticazione unica degli Accessi alle Risorse Informatiche (Single Sign On)
Evoluzione prevista
GIA è in costante evoluzione, sia per l’integrazione di nuove risorse da sincronizzare (al momento sono circa una dozzina) con password e utenze, sia per la naturale evoluzione dei workflow.
Nel corso del 2014 inoltre sarà necessario un profondo studio per analizzare la migrazione ad altre tecnologie (al momento è Oracle - SUN Identity Manager) poiché il prodotto è in fase di progressiva dismissione da parte di Oracle-SUN.
