La protezione del patrimonio informativo aziendale, che s'inserisce nell'ambito più generale delle esigenze di tutela complessiva dell’Agenzia, si articola nelle seguenti componenti:

• Protezione delle persone;
• Protezione delle informazioni.
• Protezione dei beni materiali e immateriali;

Per ARCEA il patrimonio informativo è un bene aziendale che assume un rilevante valore strategico; è fondamentale garantire la sicurezza delle informazioni al fine di assicurare:

• La protezione dei dati personali ed rispetto delle leggi in materia della privacy
• La tutela e la continuità del business;
• La salvaguardia dell'immagine aziendale;
• La tutela del know-how acquisito;
• La salvaguardia dei diritti degli stakeholder (dipendenti, utenti, fornitori, istituti di credito, istituti finanziari ecc.)

ARCEA, nell'ambito della sicurezza delle informazioni e della protezione dei dati personali, intende assicurare che le protezioni previste ed attuate siano graduate in funzione dell'importanza/criticità delle informazioni protette al fine di ottimizzarne l'aspetto economico di gestione e la velocità/flessibilità di accesso e di scambio di dati e notizie.

In particolare, ARCEA intende garantire che le informazioni siano create, conservate e diffuse secondo requisiti adatti alla loro natura facendo in modo che siano sempre rispettate:

• La riservatezza, ovvero la garanzia che l'informazione sia accessibile solo alle persone autorizzate;
• L’integrità, ovvero la garanzia che l'informazione sia protetta da alterazioni indebite;
• La disponibilità, ovvero la garanzia che l'informazione sia fruibile dalle persone autorizzate.

Le informazioni, qui di seguito definite, sono trattate da ARCEA in funzione della loro natura e degli obiettivi di sicurezza che si intende raggiungere:

• Informazioni di natura aziendale: sono tutte le informazioni di esclusiva proprietà di ARCEA o di suo legittimo utilizzo, riferite direttamente e/o indirettamente alla natura ed alle attività della Agenzia (dati, notizie, trattati, elaborati, ecc.). Per tali informazioni l'obiettivo è quello garantirne la riservatezza, l'integrità e la disponibilità in funzione dell'importanza/criticità che l'informazione stessa riveste;
• Informazioni di natura personale: sono tutti i dati personali e/o particolari relativi ai dipendenti, agli utenti, ai fornitori nonché a tutte le persone fisiche e giuridiche con cui la Agenzia viene a contatto. Per tali informazioni l'obiettivo è quello di tutelare la privacy degli interessati anche attraverso l'adempimento degli obblighi previsti dal Regolamento per la Protezione dei Dati Personali (GDPR) e, nelle parti che con confligono con la normativa comunitaria e che non sono abrogate dal legislatore italiano, dalla legge n. 196/2003.

L’ARCEA, ai sensi della normativa comunitaria, adegua il proprio sistema di sicurezza delle informazioni allo standard ISO 27002.

Creato: 05 Giugno 2018 Visite: 3531

Estratto dei Requisiti in materia di sicurezza delle informazioni e protezione dei dati Personali cui gli "Enti delegati", nominato quali Responsabili del Trattamento ai sensi dell’art. 28 del GDPR, devono far riferimento durante lo svolgimento delle attività oggetto di convenzione con Arcea.

1. Dati trattati

I dati trattati dall'Ente delegato in nome e per conto dell'Agenzia, quali ad esempio quelli relativi alle domande di aiuto/pagamento, i dati per costituire ed aggiornare il fascicolo aziendale ovvero i documenti presentati dal produttore nell'ambito dei compiti assegnati all'Ente, devono essere trattati nel rispetto della normative vigente in tema di sicurezza e privacy e nel rispetto delle prescrizioni emanate da ARCEA.

Ai suddetti dati è stato assegnato un livello di classificazione MEDIO (ad eccezione di eventuali dati giudiziari a cui è attributo un livello di classificazione alto) ovvero:

• dati che, se divulgati, possono comportare responsabilità di tipo amministrativo o danneggiare terze parti (riservatezza);
• dati che, se alterati o diffusi con valori diversi da quelli reali, possono comportare disguidi o errori nello svolgimento di pratiche amministrative/istituzionali (integrità);
• dati che, in caso di indisponibilità prolungata, possono comportare ripercussioni significative nello svolgimento dei procedimenti amministrativi/istituzionali di Arcea (disponibilità);
• dati personali relativi al Codice in materia di protezione dei dati personali (Dlgs. 196/03) di tipo identificativo e comune (riservatezza e integrità).

I documenti cartacei che contengono i suddetti dati, inclusi quelli giudiziari, sono classificati come “Confidenziali”.

2. Misure di sicurezza per proteggere i dati su supporto informatico

I dati trattati con strumenti informatici, dato il suddetto livello di classificazione massimo attribuito in sede di classificazione delle informazioni pari a MEDIO, devono essere protetti con le seguenti misure di sicurezza minime:

• le informazioni devono essere protette da accessi non autorizzati;
• devono essere applicate le misure previste dal "Disciplinare tecnico in materia di misure minime di sicurezza “allegato B” del D.lgs. 196/03;
• devono essere applicate le misure previste dal Garante della Privacy con il Provvedimento "Rifiuti di apparecchiature elettriche ed elettroniche (Raae) e misure di sicurezza dei dati personali - 13 ottobre 2008" sulla corretta dismissione degli apparati elettronici contenenti dati personali.

3. Misure di sicurezza per proteggere i dati su supporto cartaceo

I documenti cartacei, dato il livello di classificazione più stringente loro assegnato pari a CONFIDENZIALE, devono rispettare le seguenti misure di sicurezza minime.

• devono essere conservati in appositi armadi o cassettiere protetti;
• in assenza di una specifica autorizzazione di ARCEA, possono essere trasmessi o riprodotti, su specifica richiesta formale, esclusivamente alle autorità di polizia e/o all'autorità giudiziaria. In tutti gli altri casi è vietata la trasmissione o la riproduzione a soggetti diversi dal titolare del fascicolo;
• la loro distruzione deve avvenire per sminuzzamento tramite appositi strumenti.

Il personale autorizzato ad accedere a tali documenti deve osservare nella gestione della documentazione cartacea le seguenti norme comportamentali:

• I documenti cartacei presenti presso i locali degli uffici devono essere conservati in maniera che ad essi non accedano persone prive di autorizzazione.
• Qualora il personale abbandoni temporaneamente la postazione di lavoro deve preoccuparsi di non lasciare incustodito e visibile, a chi non è autorizzato, alcun documento cartaceo, che non sia classificato pubblico, e deve attivare le opportune precauzioni a tutela della riservatezza dei documenti.
• Al termine della giornata lavorativa la documentazione deve essere riposta nei luoghi di conservazione previsti in base alla classificazione di sicurezza assegnata (armadi e cassetti con o senza serratura, cassaforte, ecc).
• La documentazione cartacea non deve essere riprodotta o divulgata per fini diversi da quelli per cui è stata prodotta.
• Il personale in possesso di documentazione cartacea deve rispettare la riservatezza ed il segreto d’ufficio, secondo le norme previste dal Contratto Collettivo Nazionale applicabile e dal D. Lgs. 196/2003.
• La documentazione cartacea spedita via posta, interna o esterna, deve essere chiusa in un involucro. L’involucro deve riportare l’indirizzo del mittente e del destinatario e non deve permettere l’accesso visivo alle informazioni in esso contenute.
• I documenti cartacei prodotti classificati come “diffusione limitata” devono essere conservati in armadi o in cassetti e non tenuti sulle scrivanie delle singole persone, nel rispetto della politica della scrivania pulita.
• I documenti cartacei prodotti classificati come “confidenziali” devono essere conservati in armadi protetti, cioè tenuti chiusi a chiave, conservata dall’utilizzatore della documentazione o dal suo responsabile.
• In assenza di una specifica autorizzazione di ARCEA, i documenti classificati come “confidenziali” possono essere trasmessi o riprodotti, su specifica richiesta formale, esclusivamente alle autorità di polizia e/o all'autorità giudiziaria. In tutti gli altri casi è vietata la trasmissione o la riproduzione a soggetti diversi dal titolare del fascicolo.
• Per ulteriori dettagli si rimanda all’allegata procedura di Classificazione delle Informazioni, la cui ultima versione è stata approvata dall’ARCEA con Decreto num.

4. Misure di sicurezza per proteggere i dati su supporto digitale

Gestione formale delle utenze per l’accesso al SIAN

È necessario definire ed adottare un processo di gestione formale per l’assegnazione di informazioni segrete di autenticazione (codice utente, password, PIN, ecc.).

L’Ente Delegato deve individuare e nominare con atto formale il “Responsabile delle utenze” quale soggetto responsabile dell’assegnazione delle utenze per l’accesso al sistema SIAN ai funzionari incaricati dello svolgimento delle attività delegate all’Ente delegato.

L’attribuzione delle utenze su sistema SIAN deve essere effettuata nel rispetto del principio della separazione delle funzioni e in ottemperanza alle norme previste in merito a tale principio dai regolamenti UE n. 1306/2013 e n. 1305/2012 e dai rispettivi regolamenti delegati e di esecuzione e s.m.i.

Il processo deve includere almeno i seguenti requisiti di sicurezza:

• Gli utenti devono essere tenuti a firmare una dichiarazione che li impegni a mantenere riservate le informazioni segrete di autenticazione.
• Le informazioni segrete di autenticazione consegnate agli utenti devono avere validità temporanea e devono essere cambiate al primo utilizzo.
• Deve essere verificata l’identità di un utente prima di fornire, rimpiazzare o sostituire nuove informazioni segrete di autenticazione.
• Le informazioni segrete di autenticazione temporanee devono essere consegnate agli utenti in modo sicuro.
• Gli utenti devono confermare la ricezione delle informazioni segrete di autenticazione.
• Le informazioni segrete di autenticazione di default dei produttori devono, se possibile, essere modificate a seguito dell’installazione di sistemi o software.

Per il dettaglio operativo si può fare riferimento alla procedura definita nel documento di AGEA “ZGA-X-K6-001 Procedura Gestione Utenze SIAN”.

5. Norme comportamentali per il personale a cui sono assegnate le utenze per l'accesso al SIAN.
6. Mantenere riservate le informazioni segrete di autenticazione, assicurandosi che non vengano divulgate a nessun'altra terza parte, incluso personale con autorità.
7. Evitare di tenere una registrazione (ad esempio su carta, documenti software o dispositivi portatili) delle informazioni segrete di autenticazione, a meno che questa possa essere memorizzata in modo sicuro.
8. Modificare le informazioni segrete di autenticazione ogni qualvolta vi sia un1indicazione della loro possibile compromissione.
9. Le password devono presentare le seguenti caratteristiche:
   1. lunghezza minima di 8 caratteri
   2. non basate su qualcosa che qualcun altro possa facilmente indovinare od ottenere utilizzando informazioni relative alla persona, per esempio nomi, numeri di telefono e date di nascita, ecc.;
   3. non vulnerabili ad attacchi a dizionario (es. non composte da parole incluse nei dizionari);
   4. prive di caratteri consecutivi identici;
   5. non formate da soli caratteri alfanumerici o numerici ma usando una combinazione di entrambi;
   6. formate anche da caratteri speciali (es. ( ] @ #);
   7. se temporanee, cambiate al primo log-on;
   8. quando vengono cambiate non siano uguali ad altre password precedentemente utilizzate.
10. Non condividere informazioni segrete di autenticazione di utenti individuali.
11. Assicurare un'adeguata protezione delle password quando sono memorizzate in procedure automatiche di log-on.
12. Non usare le stesse informazioni segrete di autenticazione per scopi aziendali e non.
13. Gestione degli incidenti

Nel caso si verificassero incidenti di sicurezza relativamente ai dati oggetto di trattamento da parte dell'Ente delegato (furto di identità, accesso non autorizzato al SIAN, furto di documenti, perdita di documenti, accesso non autorizzato a documenti, utenza non disabilitata se l'utente a cui è stata assegnata non è più autorizzato ad accedere al SIAN, etc.), l'Ente delegato deve immediatamente segnalare l'incidente al Responsabile sicurezza delle informazioni di Arcea (ing. Giuseppe Arcidiacono – Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo.).

7. Ulteriori Prescrizioni in materia di sicurezza delle informazioni

Considerato che l’ARCEA, ai sensi del’art. 3 punto ii e iii dell’allegato A del Reg. (UE) 907/2014 ha adottato la ISO – 27002 quale standard internazionale sul quale basare la sicurezza del proprio sistema informativo, L’Ente delegato si impegna a rispettare le ulteriori prescrizioni in materia di Sicurezza delle Informazioni che l’ARCEA provvederà a comunicare, per il tramite dei canali informativi correntemente utilizzati (ad esempio PEC, portale dedicato, email etc), al fine di fornire dettagli implementativi, declinati in una versione applicabile al contesto di riferimento e derivanti dalle attività di risk assessment condotte periodicamente dai Servizi dell’ARCEA, della predetta norma di sicurezza.

Creato: 05 Giugno 2018 Visite: 4233

Ai sensi dell'art. 28 del GDPR, ARCEA ha nominato alcuni Responsabili Esterni del Trattamento dei Dati Personali, cui sono stati assegnati i trattamenti indicati nella tabella seguente: 

A tutti i responsabili sono state fornite apposite istruzioni operative. 

Creato: 05 Giugno 2018 Visite: 3478

Arcea ha nominato e comunicato al Garante per la Protezione dei Dati personali, ai sensi dell’art. 37 del regolamento, un proprio Responsabile della Protezione dei Dati (RPD) nella persona dell’ Ing. Giuseppe Arcidiacono, i cui dati di contatto sono i seguenti:

* Telefono: 0961 750531

* PEC: Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. 

* Email: Questo indirizzo email è protetto dagli spambots. È necessario abilitare JavaScript per vederlo. 

Creato: 05 Giugno 2018 Visite: 3755

INFORMATIVA SUL TRATTAMENTO DEI DATI PERSONALI AI SENSI DELL’ART. 13 e 14 DEL Reg UE 679/2016

La presente informativa rappresenta un adempimento previsto dal Regolamento (UE) 2016/679, Regolamento Generale sulla Protezione dei Dati (d’ora in poi, RGPD), che, ai sensi degli art. 13 e 14, prevede l’obbligo di fornire ai soggetti interessati le informazioni necessarie ad assicurare un trattamento dei propri dati personali corretto e trasparente.

Di seguito, pertanto, si illustra sinteticamente come verranno utilizzati i dati dichiarati e quali sono i diritti riconosciuti all’interessato.

Creato: 05 Giugno 2018 Visite: 3773