Analisi delle procedure di gestione delle credenziali di accesso
e dei profili autorizzativi




Al fine di garantire la riservatezza e l'integrità delle informazioni, è necessario che tutte le persone che hanno accesso agli strumenti di elaborazione, agli applicativi, ai dati e alle informazioni, siano preventivamente autenticate ed autorizzate.

Scopo del sistema di autenticazione è verificare l'identità dell'utente: solo gli utenti abilitati possono avere accesso agli strumenti e al trattamento dei dati. Il sistema di autenticazione risponde ad una duplice esigenza:

  • effettuare una verifica di identità di un incaricato, indispensabile per tenere sotto controllo l'accesso ai dati e alle risorse presenti nel sistema informativo
  • identificare con certezza gli utenti, così da poterli pienamente ritenere responsabili delle loro azioni

Gli utenti devono quindi disporre di credenziali di autenticazione, grazie alle quali dimostrare la propria identità, siano esse indirette (username, password, smartcard...) o dirette (ad esempio sistemi biometrici).
Un sistema di autorizzazione consente di assegnare agli utenti precisi ruoli e profili che concedano o meno la possibilità di effettuare le singole operazioni

Il sistema di autenticazione consente di identificare chi compie determinate operazioni,
Il sistema di autorizzazione consente di capire che cosa può fare l'incaricato


Un soggetto, pur avendo accesso ad un elaboratore, potrebbe non aver diritto di accedere a specifiche informazioni o a compiere certe operazioni

La presenza di un sistema di autenticazione e di autorizzazione implica che vi sia un processo organizzativo e autorizzativo mediante il quale siano gestite le credenziali di accesso e l'assegnazione degli opportuni profili adeguati al ruolo ricoperto e alle mansioni cui la persona è preposta.

Il D. Lgs. 196, conosciuto "Codice della privacy", prevede esplicitamente che le credenziali di accesso siano opportunamente gestite, ad esempio verificando che il nome utente o il codice identificativo non sia riutilizzato da persone diverse in tempi diversi, che le credenziali non utilizzate per almeno sei mesi siano disattivate, che sia garantita la segretezza della password.
Inoltre prevede che siano redatte in forma scritta delle istruzioni "volte a individuare chiaramente le modalità con le quali il titolare può assicurare la disponibilità di dati o strumenti elettronici in caso di prolungata assenza o impedimento dell'incaricato che renda indispensabile e indifferibile intervenire per esclusive necessità di operatività e di sicurezza del sistema".

Scopo dell'attività di analisi: verificare come sono gestite l'assegnazione, la modifica, la verifica e la revoca delle credenziali di accesso a dati e sistemi. Sarà inoltre analizzato il processo mediante cui vengono autorizzate le nuove utenze o le modifiche ai profili utente precedentemente assegnati. Inoltre si valuterà il processo di revisione periodica delle utenze e dei profili autorizzativi in essere nonchè la tempestività delle richieste di rimozione delle utenze non più in uso.

Output: documento di sintesi della situazione in essere con evidenza delle eventuali azioni migliorative al fine dell'adeguamento alle best practice del settore.