Il prossimo dicembre entrerà in vigore una direttiva del Garante della Privacy che detta una serie di indicazioni in merito alla figura dell’amministratore di sistema, dei suoi compiti e delle sue responsabilità necessari per garantire la sicurezza delle banche dati e la corretta gestione delle reti.
Il provvedimento richiede l’adozione di sistemi per la registrazione degli accessi (log) alla rete, ai sistemi di elaborazione e agli archivi elettronici. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell’evento e devono essere conservate per un periodo di almeno 6 mesi.
A fronte dell’appuntamento del prossimo dicembre, Juniper Networks ha affidato a Gfk Eurisko il compito di effettuare una ricerca presso i responsabili IT di 100 medie e grandi aziende italiane per verificare il livello di conoscenza della predetta direttiva del Garante della Privacy.
Dall’indagine è emerso che gli IT manager italiani si ritengono piuttosto informati sull’argomento. Infatti, il 91% degli intervistati ha dichiarato di conoscere la direttiva e il 97% di avere in previsione un provvedimento inerente la registrazione degli accessi.
Il 66% ha affermato di aver già nominato gli amministratori di sistema e il 67% di aver già preso le opportune misure in materia di registrazione degli accessi. Grazie alla gestione centralizzata, il 63% degli intervistati ha sostenuto che potrà rispondere più prontamente alle richieste normative; per il 61% il controllo degli accessi e degli eventi che si verificano all’interno della rete aziendale contribuirà a una maggiore sicurezza; mentre per il 46% la gestione centralizzata del log aiuterà a prevenire problemi legati alla tutela della privacy.
L’80% degli intervistati ritiene difficile conservare e correlare i log generati da più sistemi tecnologici e, tra questi, il 43% considera l’operazione problematica. Gli IT manager sono inoltre preoccupati per i costi e i tempi di implementazione delle soluzioni necessarie. Il 58% ha dichiarato infatti di essere preoccupato per gli alti investimenti richiesti dalle soluzioni esistenti, mentre il 54% ritiene problematici i tempi lunghi necessari per la loro implementazione.
La registrazione del log desta ancora qualche dubbio e solo il 22% sta già valutando le possibili soluzioni offerte dal mercato. Il 30% vorrebbe capire ancora meglio la direttiva prima di intraprendere un’azione e il 22% preferisce aspettare il momento in cui sarà effettivamente operativa la disposizione.
La difficoltà di garantire l’integrità e l’inalterabilità dei log è sentita dal 47% dei responsabili IT intervistati, mentre il 46% interpreta come un ostacolo per almeno 6 mesi la complessità della conservazione delle registrazioni degli accessi.
Per quanto riguarda le caratteristiche che dovrebbe avere tale soluzione, il 70% del campione ritiene che la raccolta e registrazione degli accessi centralizzate siano utile per la reportistica e il 67% che la capacità di tenere traccia delle attività sulla rete e di correlarle agli eventi sia importante per garantire la conformità.
Gli IT manager intervistati hanno anche chiaramente indicato quali caratteristiche ritengono più importanti nella soluzione da loro scelta per rispondere alla direttiva del Garante: il 46% pone al primo posto la possibilità di rilevare attività di rete che deviano dalla normalità e di correlarle con gli eventi di sicurezza; per il 25% l’aspetto preminente è la facoltà di centralizzare la raccolta delle registrazioni d’accesso (log) e normalizzarle, per facilitare la consultazione e la reportistica; l’11%, infine, considera predominante la capacità di correlare i log con gli eventi che li hanno generati e di gestire tali eventi.
