In ogni ufficio con un server, un NAS o un gestionale c'è qualcuno che ha le "chiavi di casa": può creare utenti, cambiare permessi, aprire qualsiasi cartella. È l'amministratore di sistema, e il Garante per la protezione dei dati personali ha fissato fin dal 2008 alcune regole precise su come sceglierlo, designarlo e controllarlo. Molte piccole aziende e molti studi non le conoscono, oppure pensano che riguardino solo le grandi organizzazioni. In questa guida vediamo chi è davvero un amministratore di sistema, chi deve applicare il provvedimento, le sei misure richieste e, soprattutto, come tenere il registro degli accessi in un ufficio piccolo senza strumenti costosi.
Questa è un'informazione tecnica generale, non una consulenza legale. L'inquadramento del tuo caso va verificato con il consulente privacy o con il responsabile della protezione dei dati, se ne hai uno.
Le regole di riferimento
Il testo base è il provvedimento del Garante del 27 novembre 2008, "Misure e accorgimenti prescritti ai titolari dei trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di amministratore di sistema", pubblicato nella Gazzetta Ufficiale n. 300 del 24 dicembre 2008 e modificato il 25 giugno 2009, con risposte del Garante a domande frequenti (FAQ) utili per i casi concreti.
Con l'arrivo del GDPR il provvedimento non è sparito: il D.Lgs. 101/2018, che ha adeguato il Codice privacy al Regolamento europeo, stabilisce all'articolo 22, comma 4, che i provvedimenti del Garante continuano ad applicarsi in quanto compatibili con il Regolamento. A questo si aggiungono i principi del GDPR: misure di sicurezza adeguate al rischio (articolo 32) e la responsabilità del titolare di poter dimostrare ciò che ha fatto. Nella pratica, il provvedimento resta il riferimento più concreto su come gestire chi amministra i sistemi.
Chi è un amministratore di sistema
Nelle FAQ il Garante lo descrive come la figura professionale dedicata alla gestione e alla manutenzione di impianti di elaborazione con cui si trattano dati personali. Rientrano anche gli amministratori di database, di reti e apparati di sicurezza e di sistemi software complessi, come i gestionali, nella misura in cui permettono di intervenire sui dati personali. Ne è escluso, invece, chi interviene solo occasionalmente, per esempio per riparare un guasto.
In un ufficio di piccole dimensioni, di solito sono amministratori di sistema:
- il tecnico esterno che gestisce con regolarità server, NAS, firewall e utenze;
- il dipendente "esperto" che crea gli account dei colleghi, gestisce le cartelle condivise o i backup;
- il fornitore del gestionale che si collega da remoto per lavorare sul database;
- chi amministra il pannello della posta aziendale o dei servizi cloud.
Non lo sono, in genere, l'utente che usa il suo PC con un account normale e il tecnico chiamato una tantum per sostituire un componente rotto.
Chi deve applicare le regole
Il provvedimento si rivolge ai titolari che trattano dati personali con strumenti elettronici, pubblici e privati. Sono esclusi i trattamenti svolti solo a fini amministrativo-contabili che presentano rischi minori per le persone: le FAQ citano come esempi la gestione del parco auto, l'acquisto di materiali di consumo e la manutenzione degli immobili, purché non coinvolgano dati sensibili, giudiziari o di traffico telefonico e telematico.
È un'esclusione stretta. Uno studio medico o dentistico tratta dati sanitari; un commercialista o un consulente del lavoro custodisce buste paga, dichiarazioni e documenti di identità; un'azienda con un server conserva dati di dipendenti e clienti ben oltre la semplice contabilità. In tutti questi casi è prudente considerarsi dentro il perimetro e applicare le misure.
Le sei misure richieste
1. Scegliere persone affidabili
Il ruolo va affidato dopo aver valutato esperienza, capacità e affidabilità della persona, che deve dare garanzie di rispetto delle norme, anche sotto il profilo della sicurezza.
2. Designazione individuale e scritta
Ogni amministratore va designato per nome, indicando gli ambiti in cui può operare. Non serve l'elenco di ogni singolo computer: secondo le FAQ basta indicare le aree, per esempio "server e cartelle di rete", "gestionale e relativo database", "firewall e connessione".
3. Elenco aggiornato
Nomi e funzioni degli amministratori vanno riportati in un documento interno, da tenere aggiornato e disponibile in caso di controllo. Se il loro lavoro tocca anche indirettamente dati dei dipendenti, l'identità degli amministratori deve essere conoscibile dal personale, per esempio tramite l'informativa o una comunicazione interna.
4. Fornitori esterni: i nomi delle persone
Quando l'amministrazione è affidata a un'azienda esterna, il titolare deve conservare gli estremi identificativi delle persone fisiche che svolgono il ruolo, non solo la ragione sociale del fornitore. Il rapporto con l'azienda esterna va inoltre regolato come responsabile del trattamento (articolo 28 del GDPR): ne parliamo nella guida al contratto di assistenza informatica.
5. Verifica almeno annuale
Almeno una volta all'anno il titolare, o chi per lui, verifica che l'operato degli amministratori rispetti le misure organizzative, tecniche e di sicurezza previste. Conviene metterlo per iscritto: una pagina con data, cosa è stato controllato e cosa va corretto.
6. Registrazione degli accessi
È la misura più tecnica: vanno registrati gli accessi degli amministratori ai sistemi. La vediamo nel dettaglio qui sotto.
Il registro degli accessi in pratica
Il provvedimento chiede di registrare gli accessi logici degli amministratori, cioè le autenticazioni ai sistemi, ai computer e ai database. Le registrazioni devono avere tre caratteristiche: completezza, inalterabilità e possibilità di verificarne l'integrità. Ognuna deve riportare il momento esatto e la descrizione dell'evento, e va conservata per un periodo non inferiore a sei mesi.
Tre chiarimenti delle FAQ evitano molti equivoci:
- Non serve registrare ciò che l'amministratore fa una volta entrato: comandi e operazioni non sono richiesti. Si registrano gli accessi.
- Contano anche i tentativi: l'evento si registra quando l'amministratore accede o tenta di accedere.
- Non servono per forza prodotti costosi: nei casi semplici possono bastare le funzioni già presenti nei sistemi operativi più diffusi, purché l'integrità dei dati sia garantita; fra le soluzioni citate c'è anche l'esportazione periodica su supporti non riscrivibili.
Come si fa in un ufficio piccolo
- Un'utenza amministrativa per persona. Con un account "admin" condiviso il registro non dice chi è entrato: il primo passo è dare a ogni amministratore la sua utenza nominativa, distinta da quella che usa per lavorare.
- Attivare la registrazione degli accessi su server, NAS, firewall e, dove serve, sui PC e sul database del gestionale.
- Portare i registri fuori dal sistema controllato. Un registro che resta solo sul server può essere modificato proprio da chi ha i privilegi di amministratore. Le registrazioni vanno raccolte in un punto separato, accessibile in sola scrittura, oppure protetto con copie non modificabili.
- Stabilire la conservazione: almeno sei mesi, con cancellazione automatica oltre il periodo deciso.
- Guardarli davvero, almeno in occasione della verifica annuale e ogni volta che c'è un sospetto: un registro mai letto serve a poco.
Un esempio: studio con sei postazioni
Immagina uno studio di consulenza del lavoro con sei PC, un server con il gestionale paghe, un NAS per i backup e un tecnico esterno. Gli amministratori sono tre: i due tecnici del fornitore informatico che seguono lo studio e la persona della software house che si collega al database due volte l'anno per gli aggiornamenti. Lo studio prepara tre lettere di designazione con gli ambiti, un elenco di una pagina e l'atto con cui le due aziende esterne sono nominate responsabili del trattamento, con i nomi dei tecnici. Sul piano tecnico: ogni amministratore ha la sua utenza, l'account amministratore generico è disattivato, gli accessi a server e NAS confluiscono in una cartella protetta da copie non modificabili e conservate per dodici mesi, l'accesso remoto della software house è attivo solo quando serve. Ogni anno, a gennaio, il titolare e il tecnico controllano insieme registri ed elenco e firmano una pagina di verifica.
Gli errori più frequenti
- Password di amministratore condivisa fra più persone, che rende inutile il registro.
- Elenco fermo a anni fa, con tecnici che non lavorano più per lo studio e nuovi fornitori mai aggiunti.
- Registri solo sul server, cancellabili da chi dovrebbe essere controllato.
- Accessi remoti permanenti dimenticati, per esempio quello del fornitore del gestionale, sempre attivo e mai registrato.
- Confondere i due documenti: la nomina a responsabile riguarda l'azienda fornitrice; la designazione di amministratore di sistema riguarda le singole persone. Servono entrambe.
- Nessuna traccia della verifica annuale, anche quando i controlli sono stati fatti.
Il collegamento con NIS2 e con i clienti
Gestione delle utenze privilegiate e registrazione degli accessi sono anche fra i temi delle misure di sicurezza richieste ai soggetti NIS e, a cascata, ai loro fornitori. Se un cliente ti manda un questionario sulla sicurezza, domande come "chi ha accesso amministrativo ai vostri sistemi?" e "conservate i registri degli accessi?" sono quasi certe. Per capire se la normativa ti tocca direttamente leggi NIS2: a chi si applica; le altre misure di base sono nella guida sulla sicurezza informatica per piccole aziende.
Dove ti aiutiamo
Le designazioni e i documenti privacy restano del titolare e del suo consulente; a noi spetta la parte tecnica, quella che rende le regole vere. Per aziende, studi ed enti fino a circa 100 km da Lodi Vecchio, e da remoto in tutto il Nord e il Centro Italia, creiamo le utenze amministrative nominative, disattiviamo gli account condivisi, attiviamo la raccolta dei registri di accesso in un punto protetto con la conservazione decisa, regoliamo gli accessi remoti dei fornitori e prepariamo il materiale tecnico per la verifica annuale. Quando seguiamo i tuoi sistemi con privilegi di amministratore, ti indichiamo per nome i tecnici da inserire nell'elenco: ogni cliente ha comunque un tecnico di riferimento. Il lavoro costa 43 € + IVA all'ora, da remoto come in sede, più l'uscita in base ai chilometri per gli interventi da te. Puoi scriverci o chiamare il 0371 464 186; tutti i servizi sono nella pagina Informatica e assistenza.
Domande frequenti
Il tecnico che chiamo solo quando si rompe qualcosa è un amministratore di sistema?
Secondo le FAQ del Garante, chi interviene in modo occasionale, per esempio per riparare un guasto, non rientra nella figura. Diverso è il caso del tecnico che gestisce con regolarità utenze, server e backup, anche se non è in ufficio ogni giorno: lì il ruolo c'è e vanno applicate le misure.
Bisogna registrare tutto quello che fa l'amministratore?
No. Il provvedimento chiede di registrare gli accessi, compresi i tentativi, con data, ora e descrizione dell'evento. Le FAQ chiariscono che non è richiesta la registrazione dell'attività svolta dopo l'accesso, come i comandi impartiti. Nulla vieta di registrare di più per esigenze di sicurezza, valutando però il rispetto della privacy di chi lavora.
Per quanto tempo vanno conservati i registri degli accessi?
Per un periodo non inferiore a sei mesi. Molte organizzazioni scelgono un periodo più lungo, per esempio dodici mesi, così da coprire anche gli incidenti scoperti in ritardo; la durata va decisa e motivata dal titolare, con il consulente privacy, e applicata in modo automatico.
Nomina a responsabile del trattamento e designazione di amministratore di sistema sono la stessa cosa?
No. La nomina a responsabile, prevista dall'articolo 28 del GDPR, regola il rapporto con l'azienda fornitrice. La designazione di amministratore di sistema riguarda le singole persone che hanno privilegi elevati. Se ti affidi a un fornitore esterno servono tutte e due, più l'elenco con i nomi dei tecnici.
I dipendenti devono sapere chi è l'amministratore di sistema?
Sì, quando l'attività degli amministratori riguarda anche indirettamente dati del personale, come succede quasi sempre con server, posta e gestionale. Il Garante chiede che la loro identità sia conoscibile all'interno dell'organizzazione, per esempio tramite l'informativa ai dipendenti o una comunicazione interna.