Studio Professionale
…..

Documento Programmatico sulla Sicurezza

Indice

•	finalità del documento

•	inventario dei beni dello studio professionale

•	elenco dei trattamenti di dati personali gestiti nello  studio professionale

•	distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati

•	analisi sintetica dei rischi che incombono sui dati

•	misure di sicurezza adottate

•	modalità aggiornamento del documento

•	Allegati:
-allegato 1 piantine delle sedi e layout rete informatica dello studio
-allegato 2 schede cespiti hardware in dotazione allo studio
-allegato 3 schede cespiti software in dotazione allo studio
-Regolamento di utilizzo degli strumenti elettronici 
-istruzioni gestione password
-lettera nomina responsabile del trattamento
-lettera nomina incaricati al trattamento

Finalità del documento
Lo studio professionale ………………………………………………………………..…….. tratta dati personali, a volte anche sensibili.
Il presente Documento Programmatico sulla Sicurezza è redatto , ai sensi degli articoli 33 e seguenti del Dlgs 196/2003 e secondo le previsioni dell’Allegato B  a tale decreto , per definire e descrivere le politiche di sicurezza adottate dallo studio professionale in materia di trattamento di dati personali ed i criteri organizzativi seguiti per la loro attuazione e per fornire idonee informazioni a riguardo anche a parti terze.
Inventario dei beni dello studio professionale da proteggere
Le informazioni fornite di seguito sono valutate utile supporto per fornire informazioni idonee a valutare la politica di sicurezza perseguita dallo studio professionale.
Lo studio ………………………………………………………………………….ha attualmente sede principale a ……………………………………….via ………………………………………………………..…… primo piano e sede secondaria a ……………………………………………..……………in via …………………………………….…… quarto piano.
Lo studio è composto dai soci dr ……………………………….…………e dr ………………………………..
Alla data di redazione del presente documento lavorano e collaborano nello studio n. ….persone di cui n ….dipendenti n…. collaboratori.
Lo studio è dotato del sistema informatico descritto schematicamente nelle piantine di cui all’allegato 1  e composto dal seguente hardware catalogato analiticamente nell’allegato 2
e del seguente software catalogato analiticamente nell’allegato 3.
La sede di ……………………..è collegata ad internet tramite Adsl; la sede di ………………è collegata tramite fibra ottica.
Il trattamento dei dati avviene sia attraverso strumenti elettronici sia attraverso strumenti diversi.

Elenco dei trattamenti di dati personali gestiti nello studio professionale
Sono stati individuati i seguenti trattamenti riepilogati in tabella:
Categoria Dati 
soggetti a trattamento e soggetti 
a cui si riferiscono
(ai sensi dell’art. 4 D.Lgs 196/2003 c. 1 lettera a)	Finalità 
del trattamento	Modalità 
di trattamento	Luogo di custodia
dei dati	
Archivi dati contabili riferiti a clienti fornitori della clientela dello studio DP	Tenuta della contabilità e gestione adempimenti fiscali e civili correlati	Il trattamento è svolto mediante software ad hoc di gestione della contabilità	I dati sono custoditi sulle seguenti macchine hardware (come indicate nella piantina di cui all’allegato 1):
………
I libri obbligatori per legge e le pezze di appoggio cartacei sono tenute nella stanza archivio	
Archivi clienti e fornitori dello studio DP	Gestione dei rapporti con tali controparti	Gli archivi sono sia in formato elettronico che cartaceo	I dati sono custoditi su tutte le macchine hardware inventariate;
le copie cartacee sono tenute nell’armadio b della stanza del personale di segreteria	
Archivi dati personali dipendenti, varie tipologie collaboratori, soci dello studio DP e DS	Gestione ordinaria attività dello studio e dei rapporti con tali controparti	Gli archivi sono sia in formato elettronico che cartaceo	I dati sono custoditi sulla seguente macchina hardware………
le copie cartacee sono tenute nell’armadio a della stanza del personale di segreteria;
i dati necessari per l’elaborazione paghe e contributi sono tenuti presso il consulente del lavoro sig…….in via…….a 	
Archivi dichiarazioni, altri dati fiscali e contributivi DP e DS	Gestione degli adempimenti fiscali obbligatori dei clienti	Il trattamento è svolto mediante software ad hoc di gestione delle dichiarazioni ; per ogni cliente è creato anche un fascicolo cartaceo in cui inserire la documentazione di pertinenza fornita o prodotta	I dati sono custoditi sulla seguente macchina hardware:
………..
le copie cartacee sono tenute nell’armadio C della stanza del personale di segreteria;	
archivi dati bilancio e dati correlati (ad esempio elenco soci) DP	Gestione adempimenti civilistici inerenti il bilancio di società clienti 	Il trattamento è svolto mediante software ad hoc
Gli archivi sono sia in formato elettronico che cartaceo	I dati sono custoditi sulle seguenti macchine hardware:
le copie cartacee sono tenute nell’armadio D della stanza del personale di segreteria	
LEGENDA tipologia dati : DP = Dati personali; DS = Dati sensibili
Distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei dati
il Sig. ………………………………... … è stato nominato in data……………………. RESPONSABILE DEL TRATTAMENTO a tutti gli effetti legali, secondo i criteri, le modalità e le istruzioni di seguito specificate nel documento di nomina allegato e in questo documento programmatico sulla sicurezza.
Si è valutato che il Sig. ……..……………………………………….... sia in possesso dei requisiti di esperienza, capacità ed affidabilità richiesti dal comma 2 dell’ art. 29 del Dlgs 196/2003.

I signori:
nome e cognome	Codice fiscale	

		

Sono stati nominati INCARICATI DEL TRATTAMENTO 

In questo ruolo e nei limiti delle mansioni a Lei affidate, tali soggetti potranno eseguire le operazioni di trattamento riguardanti le sopraddette banche dati, attenendosi alle istruzioni impartite dal titolare o dal responsabile del trattamento.
Nel singolo documento di nomina allegato, sono evidenziate le operazioni riguardanti il trattamento di dati personali di propria competenza e le banche dati a cui il singolo incaricato può accedere.
Analisi sintetica dei rischi che incombono sui dati:
Ad un livello generale sono state individuate le seguenti principali minacce alla sicurezza dei dati gestiti dallo studio professionale suddivise in tre macrocategorie:

Calamità naturali	Minacce intenzionali	Minacce involontarie	
Terremoto 
Incendio
Fulmine
inondazione	Accessi non autorizzati
Virus informatici
Furto di dati e di attrezzature hardware	Black out elettrico
Malfunzionamenti nel software
Malfunzionamenti hardware
Errori umani nell’utilizzo del sistema informatico dello studio	

In riferimento alla sicurezza dei dati personali gestiti lo studio professionale si pone i seguenti obbiettivi:

Obiettivo:	Cosa significa:
	
riservatezza	I DATI DEVONO ESSERE ACCESSIBILI SOLO ALLE PERSONE AUTORIZZATE	
integrità	I DATI  DEVONO ESSERE PROTETTI DA MODIFICAZIONI E DANNEGGIAMENTI	
disponibilità	I DATI  DEVONO ESSERE ACCESSIBILI ALLE PERSONE AUTORIZZATE 	

Attraverso l’implementazione di una serie di misure di sicurezza, esposte in dettaglio nei successivi paragrafi, si vuole ridurre le vulnerabilità  del sistema informativo dello studio professionale, raggiungendo un livello di rischio valutato accettabile. 
In sintesi :
Tutelare l’obiettivo:	significa:
	
riservatezza	Ridurre il rischio che persone non autorizzate possano accedere alle informazioni
	
integrità	Ridurre il rischio che le informazioni siano non volutamente modificate o cancellate 
	
disponibilità	Ridurre il rischio di non poter accedere anche se autorizzati alle informazioni

Misure di sicurezza adottate:
Protezione delle aree e dei locali  rilevanti ai fini della loro custodia e accessibilità:
Gli ingressi alle due sedi dello studio sono protetti da porte blindate ; le finestre delle due sedi sono protette da tapparelle di metallo ; la sede di …………..è dotata anche di un sistema di allarme anti intrusione.
L’accesso fisico alle stanze contenti documenti trattanti dati personali è permesso solo agli incaricati del trattamento. 
Gli armadi in cui sono detenuti documenti cartacei inerenti dati personali sono dotati di serratura  a chiave.
Il responsabile del trattamento  si occupa della gestione delle chiavi in oggetto.

Gestione strumenti elettronici:
Back up dati
Al fine di garantire non solo la integrità, ma anche la pronta disponibilità dei dati lo studio si è dotato di strumenti e procedure di back up.
E’ stato scelto un masterizzatore dvd come strumento di backup principale dello studio professionale.
Si è valutata la capienza del dvd più che sufficiente per la mole di dati attualmente gestita dallo studio stesso.
Tutti i dati personali gestiti con strumenti elettronici nello studio professionale vengono inclusi nella procedura di backup.
La frequenza con cui vengono effettuate le copie di sicurezza su dvd è settimanale, solitamente il venerdì mattina.

I dati personali trattati sono gestiti sui seguenti strumenti elettronici ………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………………

E’ stato inoltre implementato un disco comune condiviso in cui tramite il seguente software………………………………………..….. viene svolto giornalmente a fine giornata e automaticamente un backup incrementale di tutti i dati contenuti nei vari strumenti elettronici. 
Il signor …………………………………….………………….collaboratore dello studio e’ stato incaricato a gestire le copie di sicurezza e le procedure di backup ed è stato edotto dal responsabile del trattamento in riferimento alle procedure da seguire.
In caso di assenza del signor ……………………il responsabile del trattamento si occuperà  di persona della procedura di backup.
I supporti di back up vengono titolati e la loro custodia etichettata.
Ogni volta viene effettuata dal responsabile del trattamento una verifica della leggibilità ed integrità del supporto di back up.
Le copie di back up non sono conservate nello stesso luogo fisico ove si trovano gli strumenti elettronici con cui si gestiscono i dati personali ma vengono depositate dal responsabile del trattamento in una cassetta di sicurezza nella banca…………….  
Il tempo massimo per la conservazione delle copie di back up è stato stabilito in 2 mesi.
I supporti da eliminare vengono resi inutilizzabili dal signor………………………………………………
Il tempo necessario per recuperare i dati  delle copie di sicurezza, a fronte di una generica  emergenza, viene stimato in poche ore dal verificarsi del possibile accadimento negativo, comunque ampiamente sotto il limite dei  sette giorni previsti dal punto 23 dell’allegato B del D.Lgs. 196/2003 in ipotesi di trattamento di dati sensibili.
Antivirus
Lo studio professionale si è dotata del seguente software antivirus…………………….che è stato installato su tutti gli strumenti elettronici in dotazione allo studio.
L’aggiornamento del prodotto antivirus istallato è continuo e fatto automaticamente tramite una funzionalità a disposizione nel prodotto stesso.
L’antivirus in oggetto controlla in automatico ogni file scaricato dalla rete o dalla posta elettronica o letto da supporti esterni quali floppy disk  e cd rom.
Il personale è stato adeguatamente informato sui comportamenti corretti da tenere per evitare di introdurre virus informatici nello studio professionale come evidenziato nel regolamento allegato
Il signor ……………….stata incaricato di seguire il corretto aggiornamento del software antivirus e di eseguire una volta alla settimana un controllo approfondito con il seguente ulteriore antivirus ………………..di tutti i file  presenti nel sistema dello studio.
Aggiornamento sistema operativo e dei software utilizzati correntemente nello studio professionale:

Il signor ……………….collaboratore dello studio è stata incaricato di seguire il corretto e frequente aggiornamento del sistema operativo e dei seguenti altri software …………………………………………………………………..utilizzati correntemente nello studio professionale.
Gruppo di continuità
Lo studio professionale si è dotato del seguente gruppo di continuità ………………………………….per prevenire le conseguenze dei blackout elettrici o dei picchi di sovra o sotto tensione elettrica
Il gruppo di continuità in oggetto è in grado di filtrare l’alimentazione elettrica da eventuali impurità .
Firewall e sistemi di anti intrusione
Lo studio professionale si è dotato del seguente sistema firewall……………………………………. 
Il firewall è stato configurato dalla società………………………………..……………specializzata in sicurezza informatica che ha fornito anche direttive e indicazioni in merito alla sua manutenzione periodica di cui è stato incaricato il signor …………………………………..…………. collaboratore dello studio.
Lo studio professionale si è dotato del seguente software ……………………………………..………………… svolgente funzione di sistema di anti intrusione.
Gestione supporti rimovibili contenenti dati sensibili
Nel regolamento operativo allegato sono state fornite istruzioni organizzative e tecniche ad hoc per la custodia e l’uso di supporti rimovibili contenenti dati sensibili e giudiziari (floppy disk, chiavette hard disk, cd riscrivibili ecc.)
Gestione manutenzione strumenti elettronici:
La manutenzione degli strumenti elettronici sia a livello hardware sia a livello software viene a volte affidata alla ditta………………………………………………………………….…………..
In ogni caso non sono stati resi possibili interventi di manutenzione a livello software effettuati via rete a distanza.
In collaborazione con l’avvocato ……………………………………………………………e’ stata predisposta una clausola ad hoc che disciplina a livello contrattuale le modalità di gestione dei rapporti con i fornitori del servizio di manutenzione in relazione alla tutela dei dati personali.
Sistema di identificazione e autenticazione
Lo studio professionale ha attivato ed è correntemente funzionante un sistema d’autenticazione per ognuno degli incaricati che trattano dati personali.
E’ stato attribuito un codice identificativo (username, user ID)  strettamente personale per l'utilizzazione degli strumenti elettronici(di solito personal computer) del sistema informatico studio professionale.
I codici identificativi sono frequentemente aggiornati, inserendo quelli dei nuovi incaricati e cancellando quelli degli incaricati non più autorizzati.
Il sistema di autenticazione prevede l’utilizzo di parole chiave (password) sia a livello di sistema operativo sia a livello di singola applicazione.
Il responsabile del trattamento è incaricato della gestione delle password nello studio
Viene segnalato agli incaricati che la lunghezza della password da utilizzare non deve essere  inferiore  ad otto caratteri, salvo limitazioni tecniche nei software in uso.
Si sollecita l’incaricato che riceve una password a modificarla al primo utilizzo.
L’incaricato deve segnalare al responsabile del trattamento la sua password in uso che l’annota su un registro cartaceo conservato nella cassetta di sicurezza della banca……………..
Viene segnalato ad ogni incaricato la necessità di cambiare la password almeno ogni 6 mesi.
Nell’ipotesi di trattamento di dati sensibili  viene segnalato ad ogni incaricato la necessità di cambiare la password almeno ogni 3 mesi
E' prevista una scadenza nella validità di ogni password  utilizzata in studio professionale
Sono vietate in studio credenziali di autenticazione (username e password) condivise fra più persone in studio professionale.
Le credenziali di autenticazione non utilizzate da almeno sei mesi vengono disattivate. 
Le credenziali di autenticazione vengono immediatamente revocate in caso di provvedimenti disciplinari o quando si presentano situazioni che possono compromettere la sicurezza.
Sono state consegnate istruzioni scritte agli incaricati in merito alle modalità di gestione e di custodia delle password.
In caso di prolungata assenza dell’incaricato, il responsabile del trattamento è autorizzato ad rivelare la password in uso per assicurare la disponibilità dei dati e degli strumenti elettronici.
La visualizzazione della password sullo schermo dei personal computer e' impedita da tutti i software in uso.
Il sistema di identificazione ed autenticazione è operativo anche sui computer portatili e  sui palmari che possono gestire e contenere dati personali .	
Business continuità plan e disaster recovery plan
In conseguenza della limitata dimensione e della bassa complessità della struttura dello studio professionale non si valuta necessario procedere all’elaborazione formale di tali documenti.
Si valuta che le misure di sicurezza attualmente implementate e gestite, esplicitate in questo documento, siano sufficienti per poter ripristinare l’attività dello studio in tempi brevi e a costi contenuti al verificarsi di emergenze o di eventi negativi.  
Trattamenti di dati personali affidati all’esterno della struttura dello studio
i dati necessari per l’elaborazione paghe e contributi sono tenuti presso il consulente del lavoro sig…….in via…….a ……. che ha rilasciato in data …………………. una dichiarazione scritta in cui certifica che presso il suo studio sono state implementate e sono operative le misure di sicurezza minime richieste dal D. Lgs. 196/2003.
Nell’ipotesi vi fosse necessità di affidare trattamenti di dati personali all’esterno, per esempio ad altri colleghi professionisti, va richiesta a tali soggetti una dichiarazione scritta in cui viene certificata la conformità del loro sistema informativo alle previsioni della normativa sulla privacy .
Trattamenti senza l’ausilio di strumenti elettronici
Nella sezione “gestione documenti cartacei” del Regolamento di utilizzo degli strumenti elettronici allegato al presente documento, sono impartite agli incaricati istruzioni scritte, finalizzate al controllo ed alla custodia, per l’intero ciclo necessario allo svolgimento delle operazioni di trattamento, degli atti e dei documenti contenenti dati personali.
Le persone ammesse, a qualunque titolo, dopo l’orario di chiusura degli uffici, nei luoghi contenenti gli archivi contenenti dati sensibili o giudiziari sono identificate e registrate. 
Il responsabile del trattamento è  incaricato della gestione delle autorizzazioni nei luoghi contenenti archivi di dati sensibili.
Formazione
Lo studio professionale riconosce l’importanza della formazione dei suoi componenti riguardo le tematiche della sicurezza, come elemento significativo di riduzione dei rischi al proprio sistema informativo e s’impegna a promuovere momenti formativi , in particolare al momento dell’ingresso in servizio o al momento di cambiamenti di mansioni di tali soggetti o all’introduzione di nuovi strumenti elettronici che hanno impatto sul trattamento dei dati personali.
Tutti i componenti dello studio devono comunque partecipare una volta all’anno ad un corso di approfondimento e mantenimento delle conoscenze in materia di sicurezza informatica in aula o in modalità e-learning dalla durata di mezza giornata.
Modalità aggiornamento del documento programmatico per la sicurezza:
Il responsabile del trattamento è il soggetto preposto all’aggiornamento e alla custodia del documento programmatico per la sicurezza.
Il documento in oggetto non deve rimanere statico ma deve essere aggiornato ogni volta che vi siano cambiamenti significativi nello studio professionale impattanti sulle misure minime di sicurezza.
In ogni caso ogni anno entro il 31 marzo, il responsabile del trattamento dovrà procedere alla completa revisione del documento in oggetto.

Data………………….luogo………………………

Firma……………………………………………..