Gestione delle credenziali Clausole campione

Gestione delle credenziali. La password assegnata dagli Amministratori di sistema, come precedentemente affermato, dovrà essere cambiata dal dipendente al primo utilizzo. Le credenziali di autenticazione non utilizzate da almeno sei mesi verranno disattivate, salvo quelle preventivamente autorizzate per soli scopi di gestione tecnica. Le credenziali sono disattivate anche in caso di perdita della qualità che consente al soggetto autorizzato l'accesso ai dati personali. Qualora la parola chiave dovesse essere sostituita, per decorso del termine sopra previsto e/o in quanto abbia perduto la propria riservatezza, si procederà in tal senso d’intesa con gli Amministratori di sistema designati. Si fa esplicito divieto di utilizzare strumenti di password manager, ad eccezione di quelli autorizzati dagli Amministratori di sistema 5 SEZIONE V – POSTA ELETTRONICA

Gestione delle credenziali. Le credenziali consentono all’utente di accedere ai dati e pertanto è necessario che la loro assegnazione segua procedure codificate e condivise. Tali procedure possono essere diverse in funzione sia del valore dei dati da trattare che dei sistemi coinvolti. In generale, le richieste delle credenziali di autenticazione devono essere fatte dai responsabili funzionali o referenti regionali di progetto. In ogni caso, deve essere tenuta traccia della richiesta che ha generato la creazione di una credenziale di autenticazione sul sistema. Le modalità con cui sono formulate le richieste variano in funzione della criticità dei dati o dei sistemi (per esempio e- mail, lettera protocollata, determinazione). Ogni credenziale di autenticazione deve riferirsi ad un singolo utente. Non è consentito l’utilizzo di credenziali condivise. Fanno eccezione a questa regola le credenziali amministrative di accesso ai sistemi (es. root, administrator), che devono comunque essere assegnate ad un numero limitato di autorizzati e devono essere utilizzate solo nel caso di interventi particolari sui sistemi. Ove possibile, bisogna privilegiare sempre l’utilizzo di credenziali nominative anche nel caso di operazione di amministrazione dei sistemi. La gestione delle credenziali deve seguire le procedure documentate per i vari sistemi di autenticazione. La policy di scadenza delle credenziali non utilizzate è normalmente di 180 giorni. Fa eccezione a questa regola il dominio applicativo esterno per la peculiarità di alcune applicazioni che sono utilizzate dagli utenti con periodicità annuale: in questo caso le credenziali non utilizzate sono disabilitate dopo un anno. Le policy di gestione delle password devono essere allineate sui diversi sistemi e comunque conformi ai dettami delle norme in materia di protezione dei dati personali. Le credenziali amministrative non nominative di gestione dei sistemi non sono vincolate alle stesse regole delle credenziali nominative, non scadono dopo un periodo di inutilizzo, non vengonobloccate dopo un certo numero di tentativi errati, non hanno la password che scade e non ne viene richiesta la modifica al primo accesso. Perciò gli amministratori dei sistemi sono tenuti ad adottare politiche manuali di modifica delle password dei loro sistemi e a monitorare gli eventuali tentativi di accesso non autorizzato. Le credenziali amministrative non nominative create al solo scopo di avviare servizi sui server non devono poter effettuare l’accesso interattiv...