Upload
edda-vecchio
View
218
Download
0
Embed Size (px)
Citation preview
IBM Global Services
La gestione dei dati in Sanità tra diritti di sicurezza e necessità di efficienza Mariangela FagnaniRoma – 5 Dicembre 2005
2 © Copyright IBM Corporation 2005
IBM Global Services
Agenda
Legge 196/03 e misure di sicurezza
Sicurezza e privacy: approccio e metodologia
Le principali soluzioni IBM
Consulenza per gli adempimenti alla legge 196/03
Controllo accessi e sistema di autorizzazione
Soluzioni di Business Continuity
Certificazione del Sistema di Gestione della Sicurezza vs BS7799
Conformita’ alla norma HIPAA (Health Insurance Portability
and Accountability Act)
IBM Data Governance Council
3 © Copyright IBM Corporation 2005
IBM Global Services
Agenda
Legge 196/03 e misure di sicurezza
4 © Copyright IBM Corporation 2005
IBM Global Services
Uno sguardo allo schema di sintesi della legge 196/03 : Codice in materia di protezione dei dati personali
D.lgs 196/’03 richiederichiede
Titolare
Responsabili
Incaricati
Organizzazione
Adempimenti Formali
InformativaConsensoNotificaAutorizzazione del GaranteDPSS
Adempimenti Strutturali
Inventario e selezione banche datiAnalisi dei RischiContromisure di sicurezzaContinuità del BusinessFormazioneProcedure di risposta
versoverso
perper
PERSONA FISICA O GIURIDICAcui si riferiscono i dati e le informazioni
(dipendenti, clienti, fornitori, abbonati.....) Interessato
per evitareper evitare
Sanzioni Penali
SanzioniAmministrative
5 © Copyright IBM Corporation 2005
IBM Global Services
Il legislatore pone la sicurezza come condizione fondamentale al trattamento di dati personali
La Legge rende primaria la necessità di realizzare alcune misure di Sicurezza atte a custodire e proteggere i dati personali e le altre informazioni di valore per l'azienda
La Legge rende primaria la necessità di realizzare alcune misure di Sicurezza atte a custodire e proteggere i dati personali e le altre informazioni di valore per l'azienda
Privacy
SicurezzaProtezione
dei dati personali
Fiducia dell’utente nel servizio Non si può' gestire la Non si può' gestire la
privacy...privacy...... senza una solida ... senza una solida
sicurezza!!sicurezza!!
6 © Copyright IBM Corporation 2005
IBM Global Services
Le misure di sicurezza previste dalla legge: misure idonee e misure minime
Sono l’insieme delle misure tecniche, informatiche, organizzative, logistiche e procedurali che configurano il livello di protezione necessario a ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta
Sono l’insieme delle misure tecniche, informatiche, organizzative, logistiche e procedurali che configurano il livello di protezione necessario a ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta
Cosa sono?
Le misure di sicurezza devono essere: preventive obbligatorie correlate al mezzo utilizzato crescenti
Le misure di sicurezza devono essere: preventive obbligatorie correlate al mezzo utilizzato crescenti
Che caratteristiche devono avere?
Idonee (è l’obiettivo di sicurezza della legge)Tutte le misure di sicurezza necessarie a minimizzare i rischi in funzione delle caratteristiche organizzative e tecniche dell’azienda nonché dell’evoluzione tecnologica
Minime (è il livello minimo delle misure idonee)devono essere adottate indipendentemente dalle caratteristiche dell’azienda. Hanno le seguenti caratteristiche:
• Rappresentano il livello “minimale” e non sono sufficienti a rappresentare l’obiettivo voluto dalla legge (“Misure Idonee”)
• Elenco pre-definito e identificate nel “disciplinare tecnico” incluso nel codice Privacy (all. B)
Idonee (è l’obiettivo di sicurezza della legge)Tutte le misure di sicurezza necessarie a minimizzare i rischi in funzione delle caratteristiche organizzative e tecniche dell’azienda nonché dell’evoluzione tecnologica
Minime (è il livello minimo delle misure idonee)devono essere adottate indipendentemente dalle caratteristiche dell’azienda. Hanno le seguenti caratteristiche:
• Rappresentano il livello “minimale” e non sono sufficienti a rappresentare l’obiettivo voluto dalla legge (“Misure Idonee”)
• Elenco pre-definito e identificate nel “disciplinare tecnico” incluso nel codice Privacy (all. B)
Quali possono essere?
Comuni Giudiz. Sensib. Sanit. Genetici
7 © Copyright IBM Corporation 2005
IBM Global Services
Sicurezza e privacy: approccio e metodologia
Agenda
8 © Copyright IBM Corporation 2005
IBM Global Services
La corretta applicazione e gestione delle misure di sicurezza richiede il raggiungimento di specifici requisiti
La sicurezza delle informazioni permette di governare e proteggere il valore e i requisiti dei dati
La sicurezza delle informazioni permette di governare e proteggere il valore e i requisiti dei dati
Dato Proteggere, custodire, gestire il dato in funzione del valore assegnato
Riservatezza
Prevenire modifiche / alterazioni del contenuto / valore del dato
Integrità
Garantire il servizio informatico e la disponibilità dei dati a fronte di possibili interruzioni
Continuità
Rendere accessibile il datosolo a chi ne ha necessitàper svolgere il proprio lavoro
Disponibilità
Gestire in modo controllato le attività attraverso i sistemi informatici
Governo
Ricostruire chi ha fatto cosa per garantire accuratezza e completezza dei dati
Verificabilità
9 © Copyright IBM Corporation 2005
IBM Global Services
Rischio:- legale- di business- contrattuale
La sicurezza dei dati personali riguarda le risorse da proteggere, le responsabilità da definire e si realizza attraverso il bilanciamento di interventi orientati al contenimento dei maggiori rischi...
Dato personale/sensibileSoftware di baseApplicazioni informatiche Hardware ReteArchivi...
Rischio
Risorse
ResponsabilitàMisure di SicurezzaProteggereGestireUsareAcquisire/Alienare
Organizzative, normative e tecniche di- Protezione- Controllo- Verifica
10 © Copyright IBM Corporation 2005
IBM Global Services
Sicurezza nei trattamenti informatici
tipologia di trattamento e sua finalità individuazione transazioni e output distribuzione e destinatari eliminazione duplicati
PC e Workstation necessità operative delle banche dati
salvate protezione fisica protezione logica output e supporti removibili
Continuità del servizio gestione degli archivi operazioni di back-up ripristino attività informatiche gestione degli incidenti
Sicurezza logica identificazione e autenticazione software di autenticazione Sistema di autorizzazione Crittografia dei dati accessi remoti accessi al web antivirus
Sicurezza della Rete hardware e software connessioni interne connessioni esterneSicurezza Fisica
installazioni, reti, aree riservate supporti magnetici uffici perimetri
Per realizzare le misure di sicurezza dei dati personali è necessario verificarne lo stato attuale, il conseguente livello di rischio e individuare le adeguate contromisure
Sviluppo e manutenzione applicazioni
test e sviluppo utilizzo di dati
appositi/mascheramento dati conversione degli archivi rilascio in produzione
Verifica e controllo requisiti di audit log informatici registrazione degli accessi monitoring
territorio
Azienda SanitariaAzienda SanitariaPubblica Amm.ne LocalePubblica Amm.ne Locale
Pazienti Pazienti
FornitoriFornitori
DipendentiDipendentiPubblicoPubblico
Aziende collegateAziende collegate
ASLASL
Forze di PoliziaForze di Polizia
Operatori sanitariOperatori sanitari
PARCPARC
OspedaliOspedali
VolontariVolontari
11 © Copyright IBM Corporation 2005
IBM Global Services
Il programma di sicurezza si affronta adottando una metodologia per fasi, capace di comprendere e gestire gli asset rilevanti per il servizio fornito e per la sua tutela
Comprensione dell’ Ecosistema Sanitario
Individuazione delle scoperture di sicurezza e gap vs la legge(organizzative e tecnologiche)
Prioritizzazione degli interventi
Individuazione e disegno delle contromisure adeguate
Implementazione delle soluzioni e dei prodotti
Gestione del rischio (Certificazione di Sicurezza delle informazioni BS7799 –ISO/IEC 27001:2005)
Assets Security
Assets Security
12 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
Consulenza per gli adempimenti alla legge 196/03
Controllo accessi e sistema di autorizzazione
Soluzioni di Business Continuity
Certificazione del Sistema di Gestione della Sicurezza vs BS7799
Conformita’ alla norma HIPAA (Health Insurance Portability
and Accountability Act)
Agenda
13 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBMConsulenza per gli adempimenti alla legge 196/03
Adeguamento Privacy (196/03)
Adeguamento Privacy (196/03)
Attività di supporto necessario alla realizzazione degli adempimenti formali della Legge 196/03, delle Misure Minime di Sicurezza ed alla stesura del Documento Programmatico sulla Sicurezza
Adempimenti formali
(lettere di incarico, istruzioni,
informativa, consenso,
notificazione, ..)
Adempimenti formali
(lettere di incarico, istruzioni,
informativa, consenso,
notificazione, ..)
3
Memoranda per i ruoli di
legge individuati
Memoranda per i ruoli di
legge individuati
4
Inventario banche datiInventario
banche dati
1
Ris
ulta
ti
AssessmentAssessment Inventario
banche dati
Inventario
banche dati
Adempimenti
formali
Adempimenti
sostanziali
Banche dati
sensibili
Banche dati
personali
Analisi
dei rischi
Analisi
dei rischi
Trattamento
automatizzato
Trattamento
“manuale”
Individuazione delle misure di sicurezza
Individuazione delle misure di sicurezza
Organizzative
Normative
Tecnologiche
Formazione e sensibilizzazione del
personale
Formazione e sensibilizzazione del
personale
Responsabili
del trattamento
Amministratori
di sistema
Incaricati
Redazione del DPSRedazione del DPS
Attività previste
Evidenza delle aree di
vulnerabilità e rischi
correlati.
Evidenza delle aree di
vulnerabilità e rischi
correlati.
2
Misure di sicurezza minime o
idonee
Misure di sicurezza minime o
idonee
5
DPSDPS
8Flussi
proceduraliFlussi
procedurali
6
Package di formazionePackage di formazione
7
14 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBMControllo accessi e sistema di autorizzazione
• Definizione di processi, procedure e tecnologie per la gestione della “Identità digitale”, intesa come rappresentazione di un utente e dei relativi diritti di autenticazione ed autorizzazione all’interno dell’organizzazione sanitaria, in funzione della criticita’ dei dati.• Identity Management
creazione, propagazione e gestione cemtralizzata delle informazioni che descrivono un utente.
• Access Management creazione, propagazione e gestione delle informazioni che
servono per definire i diritti di autenticazione e autorizzazione dell’utente in relazione a risorse, servizi e dati.
• Strong Authentication adozione di strumenti per il riconoscimento degli utenti
(token, smart card, impronta digitale, ....)
• Single SignOn Propagazione e sincronizzazione delle credenziali di
accesso alla rete, sistemi, applicazioni
• Produttività e qualità del servizio• ottimizzare processo di gestione “account”• servizi per l’utente (Passw.Mgmt., SSO,..)
• Amministrazione• controllata e delegabile• consolidamento delle credenziali dell’utente all’interno di un unico repository centralizzato (LDAP)
• Sicurezza•Politiche di sicurezza rafforzate
• Costi• Amministrazione della sicurezza• Audit e controllo• Help desk
• Time to market• Risposta dinamica al businessLinee guida per lo sviluppo di nuove applicazioni
15 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBMControllo accessi e sistema di autorizzazione basati sul ruolo dell’utente
Organizzazione logicadell’Azienda
Organizzazionefisica sistemi IT
Politiche di controllo accessi / abilitazioni a servizi
22
11
W2K ADW2K AD
Politiche Servizi Target Sistemi fisici
NT PDC
RACFRACF
Policy 1Policy 1
W2K ADW2K AD
RACFRACF
Policy 2Policy 2
W2K ADW2K AD
RACFRACF
ExchangeExchange
Exchange 1Exchange 1
P2P2
P1P1
( Attachements )0,N --- 0,N 0,N --- 0,N 1 --- 1
XProcesso di validazione
PxPx Priorità x
PersoneFisiche(utenti)
Ruoli/Mansioni
RoleRole 11RoleRole 11
RACFRACF
ExchangeExchange
Exchange 1Exchange 1
RoleRole 22RoleRole 22
RoleRole 33RoleRole 33
Scelta ServizioScelta Servizio
NomUnitàRuoloEmailAliases…
NomeUtilizzatoreDescrizioneRuolo dinamico :•Regola
NomeDescrizione•priorità•membership•attachements
NomeServizio•Tipo
(manuale/automatico)•Gestione degli attributi• Workflow
(Processi di validazione)
Exchange
Exchange
L’accesso ai sistemi e ai dati e’ stabilito sulla base del ruolo/mansione dell’utente e della tipologia dei dati
16 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBMControllo accessi e sistema di autorizzazione: strong authentication
Portale/LDAP
RACFActiveDirectory
Exchange
HR
Data feed
DB2
LDAPLDAP AuditAudit
Super Admin
Admin Applicativo
Admin HR
Target Admin
Gestione Centralizzata
Data Reconc.
XML over SSL
Utente
17 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBMSoluzione di Disaster Recovery
Tier 0: No backupsTier 1: Backups off-site
Tier 2: Backups off-site + Hot Site
Tier 3: Electronic Vaulting in Remote Library
Tier 4: Batch/Online DB shadowing and journaling
Tier 5: SW two-phase commit
Tier 6: Near zero data loss with remote disk mirroring
Tier 7: Near zero or zero data loss with remote disk mirroring and highly automated recovery
WeeksDaysHoursMinutes RTO
$
Recovery
Rapid Recovery
Continuity
Centro Primario Centro Alternativo
Off-Site Storage
Scenariodi disastro
Off-Site and Hot Site
18 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBMSoluzione di Business Continuity
Tier 0: No backupsTier 1: Backups off-site
Tier 2: Backups off-site + Hot Site
Tier 3: Electronic Vaulting in Remote Library
Tier 4: Batch/Online DB shadowing and journaling
Tier 5: SW two-phase commit
Tier 6: Near zero data loss with remote disk mirroring
Tier 7: Near zero or zero data loss with remote disk mirroring and highly automated recovery
WeeksDaysHoursMinutes RTO
$
Recovery
Rapid Recovery
Continuity
Centro Alternativo
Scenariodi disastro
Continuity
DUPLICAZIONE ON-LINE DATIFIBRA OTTICA (km)
Centro Primario
19 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBMI centri di Business Continuity & Disaster Recovery di IBM
BCRS Center – Settimo Milanese (Milan)
Servizi offerti
Progettazione, realizzazione e gestione dei servizi e delle soluzioni di Disaster Recovery, High Availability e Business Continuity
Servizi offerti
Progettazione, realizzazione e gestione dei servizi e delle soluzioni di Disaster Recovery, High Availability e Business Continuity
Centro di Disaster Recovery : primo in Italia per dimensioni, capacità ed eterogeneità di apparati, livelli di continuità garantiti e servizi forniti
Centro di Disaster Recovery : primo in Italia per dimensioni, capacità ed eterogeneità di apparati, livelli di continuità garantiti e servizi forniti
BCRS – DR Centers
• 140 centri worldwide• 71 in Europa• 2 in Italia
BCRS Center – Worlwide
20 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM Certificazione del sistema di gestione della sicurezza vs BS7799 - ISO/IEC 27001-2005
BS7799 parte IBS7799 parte I
“should”
BS7799 parte IBS7799 parte I
“should”
Elenca le “best practice” suggerite per implementare un programma per la sicurezza delle informazioni
BS 7799 parte BS 7799 parte IIII
“shall”
BS 7799 parte BS 7799 parte IIII
“shall”
Elenca i processi ed i controlli per implementare e certificare un sistema di gestione della sicurezza delle informazioni
Obiettivo BS7799:
ottimizzazione rapporto costi/benefici delle misure di sicurezza.
11. Compliance
1. Security Policy
2. Organization of Information Security
3. Asset management
9. Information Security Incident Management10. Business Continuity Management
4. Human Resources security
5. Physical and environmental Security
6. Communication and Operations management
7. Access Control
8. Information System Acquisition, Development and Maint.
21 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM Conformita’ alla norma HIPAA
Assicurare la Confidenzialità, l’Integrità e la Disponibilità dei dati sanitari
A
Includere tutti gli aspetti della Security
B
Implementazione customizzata in relazione alla dimensione e complessità dell’organizzazione
C
Soluzioni non imposte ma adattabili ai progressi tecnologici
D
Obiettivi Security Guidelines
Regole generali
Sicurezza amministrativa
Sicurezza fisica
Sicurezza Tecnologica
Requisiti organizzativi
Politiche, procedure, documenti
L’HIPAA definisce le regole e le linee guida che un Organismo sanitario pubblico o privato deve adottare per la protezione dei PHI (Protected Health Information: qualsiasi informazione individuale relativa allo stato di salute, condizione, trattamento, che
rivelino l’identità dell’individuo o rappresentino una base importante per risalire all’identità dello stesso )
22 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM Conformita’ alla norma HIPAA: l’offerta di consulenza di IBM
L’approccio IBM consente l’integrazione
degli adempimenti previsti dalle Leggi nazionali
e internazionali sulla Privacy con l’HIPAA
23 © Copyright IBM Corporation 2005
IBM Global Services
Case history
Istituto Clinico in Lombardia
Obiettivi
Conformita’ alla legge 196/03 per le Cliniche del Gruppo .
Soluzione
Servizi di consulenza, alla Holding e alle Cliniche del Gruppo, per:•Adempimenti formali (notifica, nomine, etc)• Inventario banche dati•Analisi dei rischi•DPS•Formazione •Proposte di progetti di miglioramento del livello di sìcurezza
Obiettivi
Conformita’ alla legge 196/03 per le Cliniche del Gruppo .
Soluzione
Servizi di consulenza, alla Holding e alle Cliniche del Gruppo, per:•Adempimenti formali (notifica, nomine, etc)• Inventario banche dati•Analisi dei rischi•DPS•Formazione •Proposte di progetti di miglioramento del livello di sìcurezza
24 © Copyright IBM Corporation 2005
IBM Global Services
Tivoli Security Compliance Manager permette di
Controllare sistemi ed applicazioni per evidenziare possibili vulnerabilità (qualità della password)
Verificare la presenza di patch di sicurezza e livelli di software appropriati
Integrato con Cisco Trust Agent, Cisco ACS, Tivoli Configuration Manager per effettuare la remediation dei pc.
Cisco Self-Defending NetworkIdentifies, prevents and adapts to threatsLimits damage from viruses and worms
Delivers new system-level threat defense & identity management capabilities
+
Proposta per la conformita’ dei pc che si connettono alla rete alle policy di sicurezza dell’istituto clinico
Case history
25 © Copyright IBM Corporation 2005
IBM Global Services
IBM Data Governance Council
Agenda
26 © Copyright IBM Corporation 2005
IBM Global Services
IBM Data Governance Council
• Il 30 Giugno 2005 l’IBM ha costituito il “Data Governance Council”
• A questo Council partecipano altri software partners e gruppi di utenti (principalmente dal mondo bancario e governativo) ad oggi circa 40
• Il Council ha un approccio datacentrico, focalizzato sull’interazione tra dati e processi di business
• Dal punto di vista del business l’ottica è quello di ottimizzare i processi, con gli aspetti di sicurezza, privacy e compliance
• Dal punto di vista tecnico lo scopo è quello di legare il data modelling, le definizioni dei metadati e le attività per la gestione del ciclo di vita degli stessi
• Il Council ha lo scopo di produrre soluzioni che risolvano i problemi evidenziati, mediante l’utilizzo degli strumenti disponibli.
27 © Copyright IBM Corporation 2005
IBM Global Services
La necessità di un approcio datacentrico L’esperienza della Data Governance di IBM
Il modello di sicurezza dei datiL’esperienza quotidiana mostra come sia difficile per la direzione aziendale comprendere i modelli di sicurezza:
– La terminologia relativa alla sicurezza non è di uso comune (es. non-repudiation, message digest, provisioning)
– Le funzioni di sicurezza non sono spesso ben comprese e confuse dai non esperti (eg, authentication vs authorization vs access control)
– Il management percepisce i modelli di sicurezza come complessi
E’ necessario che i modelli di sicurezza diventino meno tecnici e più orientati ai processi di business, quindi comprensibili dal management.
28 © Copyright IBM Corporation 2005
IBM Global Services
Un modello di sicurezza centrato sul controllo dei dati
I modelli di sicurezza esistenti, basati sulla tecnologia devono essere ripensati un’ottica Datacentrica
La protezione dei dati e il controllo del loro uso diventa indispensabile per la compliance con le varie normative (SOX, HIPAA, Legge Privacy, etc.) e per avere processi efficienti
29 © Copyright IBM Corporation 2005
IBM Global Services
Data-Centric Security Model
DATA
Standards Polic
y
Reg
ulat
ory
Strategy
Usa
ge
Type
Retention
Ow
ner
Orig
in
Protection
Risk
Sales
Human Resources
Legal
Product D
esign Mar
ketin
g
LOBs
Corporate & Regulatory Guidelines
Intrusio
n Preve
ntion
Physical
Authentication
Confid
entia
lity
Firewalls
VP
Ns
Authorization
Hardened OS
Ant
i-viru
s
Integrity
Netw
ork Authentication
Security Z
ones
Application Layer& Perimeter Security
Infrastructure
Data Classification
Data Owner & Custodian
IBM Global Services
Grazie per l’attenzioneGrazie per l’attenzione
31 © Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM Certificazione del sistema di gestione della sicurezza vs BS7799 - ISO/IEC 27001-2005
Definizione delle Politiche Definizione dell’Ambito Inventario Asset Classificazione Asset Risk Assessment Risk Management Selezione Controlli Allineamento e integrazione col Sistema
Qualità SOA Redazione documentazione ISMS
Definizione delle Politiche Definizione dell’Ambito Inventario Asset Classificazione Asset Risk Assessment Risk Management Selezione Controlli Allineamento e integrazione col Sistema
Qualità SOA Redazione documentazione ISMS
AuditperiodiciAuditperiodici
CertificatoCertificatoCertificatoCertificato
Audit inizialePre-valutazione
Pre-valutazione
Realizzazione
Azienda
Realizzazione
Azienda Auditor(s)Auditor(s)
Creazione della consapevolezzaCreazione della consapevolezza
Mantenimento(chiusura NC)
Risk treatment Plan Organizzazione di Sicurezza Procedure Business Continuity Plan Implementazione tecnologica
Risk treatment Plan Organizzazione di Sicurezza Procedure Business Continuity Plan Implementazione tecnologica
AI,Fase 2
AI,Fase 2
Gruppo di AuditEsperti tecnici (ev.)
AI,Fase 1
AI,Fase 1
Riesamedella
documentazione
Mantenimento(chiusura NC)