IBM Global Services
La gestione dei dati in Sanità
tra diritti di sicurezza e necessità di efficienza
Mariangela Fagnani
Roma – 5 Dicembre 2005
IBM Global Services
Agenda

Legge 196/03 e misure di sicurezza

Sicurezza e privacy: approccio e metodologia

Le principali soluzioni IBM

Consulenza per gli adempimenti alla legge 196/03

Controllo accessi e sistema di autorizzazione

Soluzioni di Business Continuity

Certificazione del Sistema di Gestione della Sicurezza vs BS7799

Conformita’ alla norma HIPAA (Health Insurance Portability
and Accountability Act)

1
IBM Data Governance Council
© Copyright IBM Corporation 2005
IBM Global Services
Agenda

2
Legge 196/03 e misure di sicurezza
© Copyright IBM Corporation 2005
IBM Global Services
Uno sguardo allo schema di sintesi della legge 196/03 : Codice in materia di
protezione dei dati personali
D.lgs
196/’03
Titolare
richiede
Organizzazione
Responsabili
Incaricati
per
Adempimenti Formali
Informativa
Consenso
Notifica
Autorizzazione del Garante
DPSS
Adempimenti Strutturali
Inventario e selezione banche
dati
Analisi dei Rischi
Contromisure di sicurezza
Continuità del Business
Formazione
Procedure di risposta
per evitare
verso
PERSONA FISICA O GIURIDICA
cui si riferiscono i dati e le informazioni
(dipendenti, clienti, fornitori, abbonati.....)
3
Interessato
© Copyright IBM Corporation 2005
Sanzioni
Penali
Sanzioni
Amministrative
IBM Global Services
Il legislatore pone la sicurezza come condizione fondamentale al
trattamento di dati personali
La Legge rende primaria la necessità di realizzare alcune misure di Sicurezza atte a
custodire e proteggere i dati personali e le altre informazioni di valore per l'azienda
Fiducia dell’utente
nel servizio
Protezione
dei dati
personali
4
Privacy
Non si può' gestire la
privacy...
... senza una solida
sicurezza!!
Sicurezza
© Copyright IBM Corporation 2005
IBM Global Services
Le misure di sicurezza previste dalla legge: misure idonee e misure
minime
Cosa sono?

Sono l’insieme delle misure tecniche, informatiche, organizzative, logistiche e procedurali che
configurano il livello di protezione necessario a ridurre al minimo i rischi di distruzione o perdita,
anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non
conforme alle finalità della raccolta
Quali possono essere?
Che caratteristiche devono avere?





Le misure di sicurezza devono essere:
preventive
obbligatorie
correlate al mezzo utilizzato
crescenti


Comuni
5
Giudiz.
Sensib.
Sanit.
Genetici
Idonee (è l’obiettivo di sicurezza della legge)
Tutte le misure di sicurezza necessarie a
minimizzare i rischi in funzione delle
caratteristiche
organizzative
e
tecniche
dell’azienda nonché dell’evoluzione tecnologica
Minime (è il livello minimo delle misure idonee)
devono essere adottate indipendentemente dalle
caratteristiche dell’azienda. Hanno le seguenti
caratteristiche:
•
Rappresentano il livello “minimale” e non
sono sufficienti a rappresentare l’obiettivo
voluto dalla legge (“Misure Idonee”)
•
Elenco pre-definito e identificate nel
“disciplinare tecnico” incluso nel codice
Privacy (all. B)
© Copyright IBM Corporation 2005
IBM Global Services
Agenda

6
Sicurezza e privacy: approccio e metodologia
© Copyright IBM Corporation 2005
IBM Global Services
La corretta applicazione e gestione delle misure di sicurezza richiede il
raggiungimento di specifici requisiti
La sicurezza delle informazioni permette di governare e proteggere il valore e i requisiti
dei dati
Integrità
Disponibilità
Prevenire modifiche /
alterazioni del contenuto /
valore del dato
Rendere accessibile il dato
solo a chi ne ha necessità
per svolgere il proprio lavoro
Riservatezza
Governo
Gestire in modo controllato le
attività attraverso i sistemi
informatici
7
Dato
Proteggere, custodire, gestire
il dato in funzione del valore
assegnato
Verificabilità
Continuità
Ricostruire chi ha fatto cosa
per garantire accuratezza e
completezza dei dati
Garantire il servizio
informatico e la disponibilità
dei dati a fronte di possibili
interruzioni
© Copyright IBM Corporation 2005
IBM Global Services
La sicurezza dei dati personali riguarda le risorse da proteggere, le
responsabilità da definire e si realizza attraverso il bilanciamento di
interventi orientati al contenimento dei maggiori rischi...
Risorse
Rischio:
- legale
- di business
- contrattuale
Dato personale/sensibile
Software di base
Applicazioni informatiche
Hardware
Rete
Archivi
...
Rischio
Misure di Sicurezza
Organizzative, normative e tecniche di
- Protezione
- Controllo
- Verifica
8
Responsabilità
Proteggere
Gestire
Usare
Acquisire/Alienare
© Copyright IBM Corporation 2005
IBM Global Services
Per realizzare le misure di sicurezza dei dati personali è necessario
verificarne lo stato attuale, il conseguente livello di rischio e individuare
le adeguate contromisure
Sicurezza della Rete


Sicurezza Fisica










Volontari
Dipendenti

Pubblico
Forze di Polizia
Sanitaria

ASL


Operatori sanitari
Verifica e controllo


requisiti di audit
log informatici
registrazione degli accessi
monitoring

gestione degli archivi
operazioni di back-up
ripristino attività informatiche
gestione degli incidenti
Sicurezza nei trattamenti
informatici
Ospedali


identificazione e autenticazione
software di autenticazione
Sistema di autorizzazione
Crittografia dei dati
accessi remoti
accessi al web
antivirus
Continuità del servizio
Aziende collegate
Fornitori

9

PARC
Sviluppo e manutenzione
applicazioni



necessità operative delle banche dati
salvate
Azienda
protezione fisica
Pubblica Amm.ne Locale
protezione logica
output e supporti removibili
test e sviluppo
utilizzo di dati
appositi/mascheramento dati
conversione degli archivi
rilascio in produzione

territorio
Pazienti



installazioni, reti, aree riservate
supporti magnetici
uffici
perimetri
PC e Workstation

Sicurezza logica
hardware e software
connessioni interne
connessioni esterne



tipologia di trattamento e sua finalità
individuazione transazioni e output
distribuzione e destinatari
eliminazione duplicati
© Copyright IBM Corporation 2005
IBM Global Services
Il programma di sicurezza si affronta adottando una metodologia per fasi,
capace di comprendere e gestire gli asset rilevanti per il servizio fornito e
per la sua tutela
 Comprensione dell’
Ecosistema Sanitario
 Individuazione delle
scoperture di sicurezza e
gap vs la legge(organizzative e
tecnologiche)
Assets
Security
 Prioritizzazione degli
interventi
 Individuazione e disegno
delle contromisure
adeguate
 Implementazione delle
soluzioni e dei prodotti
 Gestione del rischio
(Certificazione di Sicurezza delle
informazioni BS7799 –ISO/IEC
27001:2005)
10
© Copyright IBM Corporation 2005
IBM Global Services
Agenda

Le principali soluzioni IBM

Consulenza per gli adempimenti alla legge 196/03

Controllo accessi e sistema di autorizzazione

Soluzioni di Business Continuity

Certificazione del Sistema di Gestione della Sicurezza vs BS7799

Conformita’ alla norma HIPAA (Health Insurance Portability
and Accountability Act)
11
© Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
Consulenza per gli adempimenti alla legge 196/03
Adeguamento
Privacy (196/03)
Attività di supporto necessario alla realizzazione degli adempimenti formali della
Legge 196/03, delle Misure Minime di Sicurezza ed alla stesura del
Documento Programmatico sulla Sicurezza
Attività previste
Assessment
Inventario
banche dati
Analisi
Individuazione
dei rischi
delle misure di
sicurezza
Formazione e
sensibilizzazione
del personale
Adempimenti
Banche dati
Trattamento
Organizzative
Responsabili
formali
sensibili
automatizzato
Normative
del trattamento
Adempimenti
Banche dati
Trattamento
Tecnologiche
Amministratori
sostanziali
personali
“manuale”
Redazione del DPS
di sistema
Incaricati
Risultati
1
Inventario
banche dati
12
2
Evidenza delle
aree di
vulnerabilità e
rischi
correlati.
3
Adempimenti
formali
(lettere di incarico,
istruzioni,
informativa,
consenso,
notificazione, ..)
4
5
Memoranda
per i ruoli di
legge
individuati
6
Misure di
sicurezza
minime o
idonee
7
Flussi
procedurali
8
DPS
Package di
formazione
© Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
Controllo accessi e sistema di autorizzazione
• Produttività e qualità del servizio
• ottimizzare processo di gestione
“account”
• servizi per l’utente (Passw.Mgmt.,
SSO,..)
• Amministrazione
• controllata e delegabile
• consolidamento delle credenziali
dell’utente all’interno di un unico
repository centralizzato (LDAP)
• Sicurezza
•Politiche di sicurezza rafforzate
• Definizione di processi, procedure e tecnologie per la gestione
della “Identità digitale”, intesa come rappresentazione di un
utente e dei relativi diritti di autenticazione ed autorizzazione
all’interno dell’organizzazione sanitaria, in funzione della
criticita’ dei dati.
• Identity Management
creazione, propagazione e gestione cemtralizzata delle
informazioni che descrivono un utente.
• Access Management
creazione, propagazione e gestione delle informazioni che
servono per definire i diritti di autenticazione e autorizzazione
dell’utente in relazione a risorse, servizi e dati.
• Strong Authentication
adozione di strumenti per il riconoscimento degli utenti (token,
smart card, impronta digitale, ....)
• Costi
• Amministrazione della sicurezza
• Audit e controllo
• Help desk
• Time to market
• Risposta dinamica al business
Linee guida per lo sviluppo di nuove
applicazioni
13
• Single SignOn
Propagazione e sincronizzazione
delle credenziali di
accesso alla rete, sistemi, applicazioni
© Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
Controllo accessi e sistema di autorizzazione basati sul ruolo dell’utente
L’accesso ai sistemi e ai dati e’ stabilito sulla base del ruolo/mansione dell’utente e della tipologia dei dati
14
© Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
Controllo accessi e sistema di autorizzazione: strong authentication
Utente
Admin HR
Super Admin
Gestione Centralizzata
Data feed
HR
LDAP
Audit
Admin Applicativo
XML over SSL
Data Reconc.
Exchange
Active
Directory
RACF
Portale/
LDAP
Target Admin
15
© Copyright IBM Corporation 2005
DB2
IBM Global Services
Le principali soluzioni IBM
Soluzione di Disaster Recovery
$
Tier 7: Near zero or zero data loss with remote disk
mirroring and highly automated recovery
Continuity
Off-Site and
Scenario Hot Site
Tier 6: Near zero data loss with remote disk mirroring
di disastro
Tier 5: SW two-phase commit
Off-Site
Storage
Tier 4: Batch/Online DB shadowing
and journaling
Centro Alternativo
Rapid
Centro Primario
Tier 3: Electronic Vaulting in Remote Library
Recovery
Tier 2: Backups off-site + Hot Site
Tier 1: Backups off-site
Recovery
Tier 0: No backups
Minutes
16
Hours
Days
RTO
Weeks
© Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
Soluzione di Business Continuity
Continuity
$
Scenario
Tier 7: Near zero or zerodidata
loss with remote disk
disastro
mirroring and highly automated recovery
Continuity
DUPLICAZIONE
ON-LINE
Tier 6: Near zero data loss
with remote
diskDATI
mirroring
FIBRA OTTICA (km)
Centro Primario
Centro Alternativo
Tier 5: SW two-phase commit
Tier 4: Batch/Online DB shadowing and journaling
Tier 3: Electronic Vaulting in Remote Library
Rapid
Recovery
Tier 2: Backups off-site + Hot Site
Tier 1: Backups off-site
Recovery
Tier 0: No backups
Minutes
17
Hours
Days
RTO
Weeks
© Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
I centri di Business Continuity & Disaster Recovery di IBM
BCRS Center – Worlwide
BCRS – DR Centers
• 140 centri worldwide
• 71 in Europa
• 2 in Italia
BCRS Center – Settimo Milanese (Milan)
Servizi offerti
Progettazione, realizzazione e
gestione dei servizi e delle soluzioni
di Disaster Recovery, High
Availability e Business Continuity
Centro di Disaster Recovery : primo in Italia
per dimensioni, capacità ed eterogeneità di
apparati, livelli di continuità garantiti e servizi
forniti
18
© Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
Certificazione del sistema di gestione della sicurezza vs BS7799 ISO/IEC 27001-2005
Obiettivo BS7799:
ottimizzazione rapporto costi/benefici delle misure di
sicurezza.
1. Security Policy
BS7799 parte I
“should”
Elenca le “best practice” suggerite
per implementare un programma per
la sicurezza delle informazioni
2. Organization of Information Security
3. Asset management
4. Human Resources security
5. Physical and environmental Security
6. Communication and Operations management
BS 7799 parte
II
“shall”
19
7. Access Control
Elenca i processi ed i controlli per
implementare e certificare un sistema
di gestione della sicurezza delle
informazioni
8. Information System Acquisition, Development and Maint.
9. Information Security Incident Management
10. Business Continuity Management
11. Compliance
© Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
Conformita’ alla norma HIPAA
L’HIPAA definisce le regole e le linee guida che un Organismo sanitario pubblico o privato deve adottare per la protezione dei
PHI (Protected Health Information: qualsiasi informazione individuale relativa allo stato di salute, condizione, trattamento, che
rivelino l’identità dell’individuo o rappresentino una base importante per risalire all’identità dello stesso )
Obiettivi
A
B
C
D
20
Assicurare la
Confidenzialità, l’Integrità
e la Disponibilità dei dati
sanitari
Includere tutti gli aspetti
della Security
Security Guidelines
Regole generali
Sicurezza amministrativa
Sicurezza fisica
Implementazione customizzata
in relazione alla dimensione e
complessità dell’organizzazione
Sicurezza Tecnologica
Soluzioni non imposte ma
adattabili ai progressi
tecnologici
Politiche, procedure,
documenti
Requisiti
organizzativi
© Copyright IBM Corporation 2005
IBM Global Services
Le principali soluzioni IBM
Conformita’ alla norma HIPAA: l’offerta di consulenza di IBM
L’approccio IBM consente l’integrazione
degli adempimenti previsti dalle Leggi nazionali
e internazionali sulla Privacy con l’HIPAA
21
© Copyright IBM Corporation 2005
IBM Global Services
Case history
Istituto Clinico in Lombardia
Obiettivi
Conformita’ alla legge 196/03 per le Cliniche del Gruppo .
Soluzione
Servizi di consulenza, alla Holding e alle Cliniche del Gruppo, per:
•Adempimenti formali (notifica, nomine, etc)
•Inventario banche dati
•Analisi dei rischi
•DPS
•Formazione
•Proposte di progetti di miglioramento del livello di sìcurezza
22
© Copyright IBM Corporation 2005
IBM Global Services
Case history
Proposta per la conformita’ dei pc che si connettono alla rete alle policy di
sicurezza dell’istituto clinico
Tivoli Security Compliance Manager
permette di
 Controllare sistemi ed applicazioni
per evidenziare possibili
vulnerabilità (qualità della
password)
 Verificare la presenza di patch di
sicurezza e livelli di software
appropriati
+
Cisco Self-Defending Network
Identifies, prevents and adapts to threats
Limits damage from viruses and worms
Delivers new system-level threat
defense & identity management capabilities
 Integrato con Cisco Trust Agent,
Cisco ACS, Tivoli Configuration
Manager per effettuare la
remediation dei pc.
23
© Copyright IBM Corporation 2005
IBM Global Services
Agenda

24
IBM Data Governance Council
© Copyright IBM Corporation 2005
IBM Global Services
IBM Data Governance Council
•
•
•
•
•
•
25
Il 30 Giugno 2005 l’IBM ha costituito il “Data Governance Council”
A questo Council partecipano altri software partners e gruppi di utenti (principalmente dal
mondo bancario e governativo) ad oggi circa 40
Il Council ha un approccio datacentrico, focalizzato sull’interazione tra dati e processi di
business
Dal punto di vista del business l’ottica è quello di ottimizzare i processi, con gli aspetti di
sicurezza, privacy e compliance
Dal punto di vista tecnico lo scopo è quello di legare il data modelling, le definizioni dei
metadati e le attività per la gestione del ciclo di vita degli stessi
Il Council ha lo scopo di produrre soluzioni che risolvano i problemi evidenziati, mediante
l’utilizzo degli strumenti disponibli.
© Copyright IBM Corporation 2005
IBM Global Services
La necessità di un approcio datacentrico
L’esperienza della Data Governance di IBM
Il modello di sicurezza dei dati
L’esperienza quotidiana mostra come sia difficile per la direzione aziendale comprendere i modelli di
sicurezza:
– La terminologia relativa alla sicurezza non è di uso comune (es. non-repudiation, message
digest, provisioning)
– Le funzioni di sicurezza non sono spesso ben comprese e confuse dai non esperti (eg,
authentication vs authorization vs access control)
– Il management percepisce i modelli di sicurezza come complessi
E’ necessario che i modelli di sicurezza diventino meno tecnici e più orientati ai processi di business,
quindi comprensibili dal management.
26
© Copyright IBM Corporation 2005
IBM Global Services
Un modello di sicurezza centrato sul controllo dei dati
I modelli di sicurezza esistenti,
basati sulla tecnologia devono
essere ripensati un’ottica
Datacentrica
La protezione dei dati e il controllo
del loro uso diventa indispensabile
per la compliance con le varie
normative (SOX, HIPAA, Legge
Privacy, etc.) e per avere processi
efficienti
27
© Copyright IBM Corporation 2005
IBM Global Services
Data-Centric Security
Model
Data
Classification
Type
Corporate & Regulatory
Guidelines
Strategy
Anti-virus
LOBs
DATA
Human Resources
Data Owner &
Custodian
28
Application Layer
& Perimeter Security
Infrastructure
Retention
© Copyright IBM Corporation 2005
IBM Global Services
Grazie per l’attenzione
IBM Global Services
Le principali soluzioni IBM
Certificazione del sistema di gestione della sicurezza vs BS7799 ISO/IEC 27001-2005
Certificato










Definizione delle Politiche
Definizione dell’Ambito
Inventario Asset
Classificazione Asset
Risk Assessment
Risk Management
Selezione Controlli
Allineamento e integrazione col Sistema
Qualità
SOA
Redazione documentazione ISMS
Creazione
Creazionedella
dellaconsapevolezza
consapevolezza
Prevalutazione
Realizzazione
Azienda
30
Risk treatment Plan
Organizzazione di Sicurezza
Procedure
Business Continuity Plan
Implementazione tecnologica
Audit
Mantenimento periodici
(chiusura NC)
Auditor(s)
Mantenimento
(chiusura NC)
Riesame
della
documentazione





Audit iniziale
AI,
Fase 1
Gruppo di Audit
Esperti tecnici (ev.)
© Copyright IBM Corporation 2005
AI,
Fase 2