Registrazione degli accessi degli amministratori di sistema e come soddisfarla

Il controllo

Il provvedimento fissa esso stesso il minimo di conservazione: «un congruo periodo, non inferiore a sei mesi». AuditRails conserva un anno per impostazione predefinita, quindi oltre il minimo. Due precisazioni utili: il provvedimento riguarda gli accessi logici e non chiede in alcun modo di registrare l'attività interattiva, cioè i comandi impartiti o le transazioni effettuate; e impone al titolare una verifica dell'operato degli amministratori di sistema «con cadenza almeno annuale», per la quale il registro è il presupposto.

Cosa chiede un auditor

Un'ispezione del Garante richiede un record inalterabile degli accessi effettuati da un amministratore di sistema, non una policy che dichiari che l'operato degli amministratori viene verificato. Verrà chiesta la voce di registro relativa a un determinato intervento, e la prova che non sia stata alterata.

Requisito di conservazione

AuditRails conserva i log amm_sistema per un minimo di 1 anno per impostazione predefinita, oltre il minimo di sei mesi fissato dal provvedimento. La conservazione si estende automaticamente se è attivo anche un framework con un requisito più lungo.

Cosa registra AuditRails

Gli eventi di operazione amministrativa registrano il tipo di operazione, il sistema interessato e il valore precedente, così che una singola azione privilegiata sia ricostruibile dal solo registro.

import { AuditRails } from '@auditrails/node';

const audit = new AuditRails({ apiKey: 'at_live_...' });

await audit.log({
  action: 'admin.operation',
  actor_id: '...', // required
  resource: '...', // required
  metadata: {
    operation_type: '...', // required
    before: '...', // required
    after: '...', // required
    details: '...', // optional
    system: '...', // optional
    previous_value: '...', // optional
    privilege_scope: '...', // optional
  }
});

Cosa si consegna all'auditor

Il pacchetto di evidenze generato per la finestra di audit è un archivio che contiene un report riassuntivo in PDF, il registro completo degli eventi in NDJSON e un manifest con i checksum SHA-256 di entrambi i file, oltre alla prova della catena di hash. È materiale consegnabile direttamente a un'ispezione del Garante, non una dichiarazione di policy da accettare sulla parola.

Errori comuni su questo controllo

• Registrare che un amministratore ha effettuato una modifica, ma non quale fosse il valore precedente. Il provvedimento richiede «la descrizione dell'evento» che ha generato la registrazione, e una voce priva del valore precedente non risponde alla domanda su che cosa sia stato effettivamente modificato.
• Conservazione inferiore ai sei mesi che il provvedimento fissa come «congruo periodo» minimo.
• Nessuna distinzione tra gli ambiti di privilegio: accesso ai dati, modifiche di configurazione, gestione delle utenze. Sono categorie diverse e vanno riconoscibili nel registro.
• Log modificabili dagli stessi amministratori di sistema che il provvedimento intende rendere responsabili. Il requisito di inalterabilità esiste proprio per escludere questa possibilità.
• Nessun actor_id stabile che identifichi il singolo amministratore che ha eseguito una determinata operazione, quando la responsabilità individuale è la finalità centrale del provvedimento.

Domande frequenti

Questa pagina descrive obblighi normativi a fini informativi e non costituisce consulenza legale. Il perimetro di applicazione alla vostra organizzazione va verificato con i vostri consulenti.