Nel corso del maggio 2016 l'Unione Europea ha emanato la nuova normativa sulla Privacy 2016/679, definita come GDPR (General Data Protection Regulation), che ha introdotto numerose novità in merito alla gestione dei dati personali delle Persone Fisiche. La normativa si applica a tutti gli stati Membri dell'unione.
I vincoli introdotti, comportano una sostanziale modifica nella gestione dei dati personali anche nelle applicazioni software. Questo fattore, unitamente alle pesanti sanzioni previste in caso di non adempimento agli obblighi di legge, richiede quindi di porre particolare attenzione ai nuovi vincoli introdotti.
Le procedure sviluppate da SLware sono quindi state modificate per poter garantire l'adeguamento ai nuovi vincoli imposti, sia nelle componenti base definite in fase di sviluppo e progettazione (Privacy by Design), sia per quanto compete le impostazioni di default delle procedure di gestione che, come suggerisce il nome, devono garantire il livello massimo di sicurezza indicato dalla normativa. Durante lo sviluppo delle procedure di adeguamento alla nuova normativa, pur rispettando a pieno i vincoli e le indicazioni in essa contenuti, è stata comunque posta particolare attenzione a che l'operatività delle procedure stesse venisse influenzata e "appesantita" il meno possibile dai nuovi vincoli imposti, per garantire al contempo il rispetto della normativa e un utilizzo rapido ed efficiente delle procedure stesse.
I principali impatti della normativa sulle procedure software possono essere riassunti come segue:
I requisiti indicati sono stati implementati tramite un insieme di meccanismi che sono stati introdotti e resi disponibili:
L'architettura generale dei nuovi componenti introdotti viene illustrata nel seguente schema, con particolare riferimento alla gestione dei log:
Ai dati applicativi contenuti nel database specifico delle applicazioni (db app.) viene affiancato un nuovo DB locate, dedicato, (SLOM) nei quali le applicazioni salvano, in modalità protetta, i log di sicurezza.
Pur garantendo i requisiti del GDPR; i log contenuti nel DB SLOM, vanno trasferiti, per garantire una maggior sicurezza su cloud. Il servizio che si occupa di questo compito è quello identificato come SLOMsvc nello schema. Il servizio SLOMsvc richiederà la presenza di connettività verso Internet, anche solo saltuaria. Appena trasferiti, i log potranno essere cancellati dal db SLOM (fisicamente o logicamente). Una volta trasferiti su cloud, i log potranno essere acceduti dai Responsabili tramite apposite interfacce di accesso, che si affiancheranno quindi a quelle locali rese disponibili nativamente dalle applicazioni per l'accesso locale.
L'implementazione dello schema precedente è stato separato in due step distinti, per garantire una migliore tempestività nella disponibilità delle procedure:
Le funzionalità dello step 1 sono già state rilasciate e sono quindi già ora installabili in contesti di produzione.
Le funzionalità dello step 2 sono ora in fase di test operativo in una versione interna, non pubblicamente accessibile al pubblico, e verranno rilasciate nella versione definitiva non appena completati i test e rilasciata l'infrastruttura WEB definitiva di produzione.
Va peraltro sottolineato che le funzionalità implementate nella step 1 risultano già complete di tutte le funzionalità imposte dalla normativa, e quindi garantiscono fin da subito l'aderenza ai requisiti imposti dalla legge. La disponibilità delle nuove componenti indicate nella seconda fase garantiranno una ancora migliore protezione dei dati, oltre a fornire degli strumenti evoluti (webapp) che consentiranno agli utenti autorizzati di accedere ai dati in modalità 24/7, in qualunque luogo e con qualunque dispositivo (PC / tablet / smartphone) in grado di accedere a Internet.
Le modalità di attivazione risultano simili in tutte le applicazioni, con qualche piccola differenza marginale che verrà descritta nel seguito della documentazione.
Dettaglio funzionalità introdotte:
Estensione anagrafica utenti / operatori con nuovi campi per identificare la Persona fisica: nome, cognome, email.
Richiesta automatica Login all’avvio.
Gestione password forti.
Gestione scadenza password.
Richiesta cambio password al prossimo accesso.
Procedura di recupero password.
Memorizzazione password come hash.
Wizard di attivazione GDPR.
Salvataggio Log su tabelle temporanee con contenuti offuscati.
Eventi tracciati:
L'attivazione delle nuove funzionalità richiede la presenza di un nuovo modulo commerciale ("GDPR"). Nel caso delle applicazioni XLite (BancoLite, StudioLite, AziendaLite), viene richiesta anche l'attivazione del modulo PRO.
Le funzionalità del nuovo modulo risulta, come da indicazioni della normativa, attivo per default; la eventuale disattivazione dello stesso può avvenire, a responsabilità del titolare della procedura, operando con il Wizard messo a disposizione. Si assume comunque che l'utente finale che decida di procedere con la disattivazione delle funzionalità GDPR, sia in grado di garantire tramite strumenti alternativi la rispondenza ai requisiti della normativa. Va peraltro ricordato che gli eventi di eventi stessi di attivazione / disattivazione sono comunque tracciati nei DB locali.
L'attivazione delle funzionalità di adeguamento alla normativa GDPR richiede: