Regole base per non incorrere in errori.
Potremmo girarci attorno in tutti i modi, ma alla fine sappiamo (o dovremmo sapere) che lo strumento fondamentale per tutelare la privacy e la riservatezza delle informazioni è la password. Custodire con cura la password è la regola base per evitare che l’accesso ai dati venga compromesso. È chiaro che il trattamento di dati personali con strumenti elettronici nell’ambito dell’Istituto è consentito esclusivamente agli incaricati dotati di credenziali di autenticazione che consentano il superamento di una procedura di autenticazione relativa a uno specifico trattamento o a un insieme di trattamenti.
Le credenziali di autenticazione consistono in un codice per l’identificazione dell’Incaricato (user-id o username o ‘nome utente’) fisso e parzialmente riservato (è noto al gestore del sistema, perché deve assegnarlo ed è visibile ai manutentori software), cui è associata una password segretissima variabile che abbia le seguenti caratteristiche:
* Originale;
* Composta da otto caratteri di cui almeno 1 sia un numero;
* Che non sia facilmente intuibile (evitando il proprio nome, il nome di congiunti, la data di nascita o riferimenti facilmente ricostruibili).
Ad ogni incaricato sono assegnate individualmente una o più credenziali per l’autenticazione. Ogni incaricato, infatti, deve adottare le necessarie cautele per assicurare la segretezza della componente riservata della credenziale (password segreta o parola chiave).
La parola chiave dev’essere modificata da ciascun incaricato almeno ogni tre mesi. Costituisce infrazione disciplinare gravissima scrivere una password o una user-id su fogli di carta o quaderni, tanto peggio se in vicinanza del computer. E’ vietato anche tenerla nel cassetto, benché chiuso a chiave. Le credenziali di autenticazione non utilizzate da almeno sei mesi vanno disattivate, salvo quelle preventivamente autorizzate per soli scopi di gestione tecnica. Le credenziali vanno disattivate anche in caso di perdita della qualità che consente all’incaricato l’accesso ai dati personali.
Gli incaricati non devono lasciare incustodito e accessibile lo strumento elettronico durante una sessione di trattamento. Non appena un incaricato modifica la parola chiave, deve scriverla in un foglio, chiuderla in busta chiusa, all’esterno indicare “parola chiave del sig. … per il computer … e la data”. La busta va data al “Custode delle
Password” o “Custode delle credenziali di autenticazione informatica”, individuato dal titolare del trattamento, che la riporrà in cassaforte o in altro armadio sicuro. Questa procedura è adottata per consentire al titolare di assicurare la disponibilità di dati o strumenti elettronici in caso di prolungata assenza o impedimento dell’Incaricato che renda indispensabile e indifferibile intervenire per esclusive necessità di operatività e di sicurezza del sistema. Oppure nel caso che l’incaricato “dimentichi” la password. In tal caso, è disposto che la custodia delle copie delle credenziali è organizzata garantendo la relativa segretezza e individuando preventivamente per iscritto i soggetti incaricati della loro custodia, i quali devono informare tempestivamente l’incaricato dell’intervento effettuato.
*fonte: gdprscuola.it
