GDPR - Scenario normativo e architettura delle soluzioni implementate

Ambito normativa di riferimento

Nel corso del maggio 2016 l'Unione Europea ha emanato la nuova normativa sulla Privacy 2016/679, definita come GDPR (General Data Protection Regulation), che ha introdotto numerose novità in merito alla gestione dei dati personali delle Persone Fisiche. La normativa si applica a tutti gli stati Membri dell'unione.

I vincoli introdotti, comportano una sostanziale modifica nella gestione dei dati personali anche nelle applicazioni software. Questo fattore, unitamente alle pesanti sanzioni previste in caso di non adempimento agli obblighi di legge, richiede quindi di porre particolare attenzione ai nuovi vincoli introdotti.

Le procedure sviluppate da SLware sono quindi state modificate per poter garantire l'adeguamento ai nuovi vincoli imposti, sia nelle componenti base definite in fase di sviluppo e progettazione (Privacy by Design), sia per quanto compete le impostazioni di default delle procedure di gestione che, come suggerisce il nome, devono garantire il livello massimo di sicurezza indicato dalla normativa. Durante lo sviluppo delle procedure di adeguamento alla nuova normativa, pur rispettando a pieno i vincoli e le indicazioni in essa contenuti, è stata comunque posta particolare attenzione a che l'operatività delle procedure stesse venisse influenzata e "appesantita" il meno possibile dai nuovi vincoli imposti, per garantire al contempo il rispetto della normativa e un utilizzo rapido ed efficiente delle procedure stesse.

Impatto sulle procedure software

I principali impatti della normativa sulle procedure software possono essere riassunti come segue:

• Controllo sull'accesso e la modifica dei dati personali delle anagrafiche clienti e fornitori contenute nel DB.
• Riconoscimento sicuro delle persone fisiche che accedono ai dati (operatori).
• Sicurezza nel meccanismo di salvataggio delle credenziali di accesso alla procedura.
• Tracciamento delle operazioni significative svolte sui dati e sulla configurazione delle procedure.

I requisiti indicati sono stati implementati tramite un insieme di meccanismi che sono stati introdotti e resi disponibili:

• Procedure di login obbligatorie per poter accedere alle procedure.
• Utilizzo di meccanismi di autenticazione forte.
• Mantenimento delle password in modalità sicura (hash).
• Tracciamento log applicativi di tutti gli eventi significativi.
• Protezione dei dati di log raccolti (cifratura e controllo accesso).
• Trasferimento dei dati di log in cloud.
• Realizzazione interfacce di controllo dei log per i Titolari / Responsabili / Incaricati / DPO, ove nominati (nel seguito del documento indicati semplicemente con il termine "Responsabili").

Architettura della soluzione e step di attivazione

L'architettura generale dei nuovi componenti introdotti viene illustrata nel seguente schema, con particolare riferimento alla gestione dei log:

Ai dati applicativi contenuti nel database specifico delle applicazioni (db app.) viene affiancato un nuovo DB locate, dedicato, (SLOM) nei quali le applicazioni salvano, in modalità protetta, i log di sicurezza.

Pur garantendo i requisiti del GDPR; i log contenuti nel DB SLOM, vanno trasferiti, per garantire una maggior sicurezza su cloud. Il servizio che si occupa di questo compito è quello identificato come SLOMsvc nello schema. Il servizio SLOMsvc richiederà la presenza di connettività verso Internet, anche solo saltuaria. Appena trasferiti, i log potranno essere cancellati dal db SLOM (fisicamente o logicamente). Una volta trasferiti su cloud, i log potranno essere acceduti dai Responsabili tramite apposite interfacce di accesso, che si affiancheranno quindi a quelle locali rese disponibili nativamente dalle applicazioni per l'accesso locale.

L'implementazione dello schema precedente è stato separato in due step distinti, per garantire una migliore tempestività nella disponibilità delle procedure:

• Step 1: memorizzazione locale dei log su DB SLOM. 
• Step 2: invio dei dati in cloud tramite il servizio SLOMsvc

Le funzionalità dello step 1 sono già state rilasciate e sono quindi già ora installabili in contesti di produzione.

Le funzionalità dello step 2 sono ora in fase di test operativo in una versione interna, non pubblicamente accessibile al pubblico, e verranno rilasciate nella versione definitiva non appena completati i test e rilasciata l'infrastruttura WEB definitiva di produzione.

Va peraltro sottolineato che le funzionalità implementate nella step 1 risultano già complete di tutte le funzionalità imposte dalla normativa, e quindi garantiscono fin da subito l'aderenza ai requisiti imposti dalla legge. La disponibilità delle nuove componenti indicate nella seconda fase garantiranno una ancora migliore protezione dei dati, oltre a fornire degli strumenti evoluti (webapp) che consentiranno agli utenti autorizzati di accedere ai dati in modalità 24/7, in qualunque luogo e con qualunque dispositivo (PC / tablet / smartphone) in grado di accedere a Internet.

Applicazioni SLware coinvolte