Sicurezza e protezione dei dati in DynDevice LMS

Documento tecnico sulla protezione dei dati per la piattaforma DynDevice LMS

1. Premessa
2. Sistemi di gestione e conformità alla normativa vigente in tema di protezione dei dati personali
3. Infrastruttura e misure di protezione dati per i Datacenter
3.1. Infrastruttura di rete dei servizi in cloud
3.2. Sicurezza fisica e ambientale
3.3. Sicurezza e misure logiche
4. Infrastruttura e misure di protezione dati in Mega Italia Media
4.1. Sicurezza Fisica ed ambientale
4.2. Sicurezza e misure logiche
5. Business Continuity

1. Premessa

Il presente documento:

• descrive le misure tecniche ed organizzative attuate da Mega Italia Media S.p.A. nell’ambito della erogazione dei servizi mediante la piattaforma DynDevice LMS, per garantire la protezione dei dati dei propri Clienti, e di garantire la conformità al REG. UE n. 2016/679 (Regolamento generale sulla protezione dei dati personali o GDPR) ed al D.lgs. 196/03 Codice Privacy;

• rappresenta un Accordo sul Livello del Servizio ("SLA" o "Accordo") tra Mega Italia Media S.p.A. e il Cliente (nel seguito anche denominate congiuntamente “Parti”) per l’erogazione dei servizi della Piattaforma e-Learning DynDevice LMS previsti dal rapporto contrattuale in corso tra le Parti (per brevità detto anche il "Contratto").

2. Sistemi di gestione e conformità alla normativa vigente in tema di protezione dei dati personali

Mega Italia Media dispone di un Sistema Qualità certificato secondo la norma ISO 9001, e di un Sistema di Gestione della Sicurezza delle Informazioni SGSI certificato secondo la norma ISO 27001. Il Sistema di Gestione Integrato ISO 9001-ISO 27001 costituisce parte integrante del Modello organizzativo 231 adottato dalla Società.

Mega Italia Media ha adottato una Politica per la sicurezza delle informazioni definita, approvata, pubblicata e comunicata ai dipendenti interni e ai soggetti esterni.

Mega Italia Media ha nominato un Responsabile per la protezione dei dati (RPD), ai sensi dell’art. 37 del Reg. UE n. 2016/679 (GDPR), ed in qualità di Responsabile o Contitolare del Trattamento sottoscrive con i committenti degli Accordi sulla protezione dei dati ai sensi dell’art. 28 del Reg. UE n. 2016/679 (GDPR).

3. Infrastruttura e misure di protezione dati per i Datacenter

Il cloud provider utilizzato da Mega Italia Media per l’erogazione del servizio, tra le prime 10 Hosting Company a livello mondiale per affidabilità e qualità del servizio (audit Netcraft), garantisce, mediante un proprio Service Level Agreement, una continuità di servizio del 99.90% attraverso livelli specifici di supporto tecnico che mettono al sicuro i risultati ai massimi livelli: fino al 99,99% di garanzia con penale e skill tecnici dedicati.

È dotato di quattro datacenter di proprietà. Su tutte le sedi sono attive infrastrutture cloud tutte dotate per default di backup off-site (su sede opposta all'allocazione del server), ridondanza N+1 con IP Failover, no overbooking, risorse garantire, storage area network enterprise.

Inoltre, è:

• In possesso di certificazione di processo secondo ISO9001
• In possesso di certificazione di compatibilità ambientale ISO14001
• In possesso di certificazione per l’erogazione di servizi ISO20000
• In possesso di certificazione di sicurezza dei dati ISO27001
• In possesso di verifica della compliance a ISO27017
• In possesso di verifica della compliance a ISO27018
• In possesso di certificazione per la business continuity ISO22301
• In possesso di certificazione SAP in Cloud and Infrastructure Operations
• In possesso di certificazione CSA STAR Level 1
• Registrar Accreditato presso il ccTLD Italiano e presso Eurid per il TLD .EU
• LIR – Local Internet Registry per IPv4 e IPv6 accreditata presso RIPE NCC
• Microsoft Partner con autorizzazione SPLA e personale MCP
• CSP di tipo A qualificato da AgID per erogare servizi IaaS alla PA
• Aderente al Climate Neutral Data Centre PACT
• Conforme al regime 2 del principio DNSH

3.1. Infrastruttura di rete dei servizi in cloud
Il cloud provider è LIR Local Internet Registry accreditato presso il RIPE-NCC con allocazioni IPv4 e IPv6. Dispone di una propria backbone proprietaria che collega attraverso un anello interamente in fibra ottica i propri Datacenter.
Ogni sede di datacenter è dotata di infrastruttura completamente ridondata a livello di border router e di core switch consentendo la tolleranza ai guasti dei componenti e la manutenzione online senza fermo dei dispositivi core della rete.
I Datacenter sono TIER III. Per tutti i centri sono garantite le condizioni climatiche secondo raccomandazioni ASHRAE 2008. Per tutti i datacenter sono disponibili sistemi di controllo accessi, rilevamento intrusioni, videosorveglianza conformi: CEI EN 50131 allarmi antifurto - CEI EN 50132 tvcc - CEI EN 50133 controllo accessi - CEI EN 50134 allarmi sociali - CEI EN 50136 trasmissione di allarmi - EN 50137 sistemi integrati di allarme - EN50118 centrali di ricezione/telesorveglianza

3.2. Sicurezza fisica e ambientale
I principali elementi caratterizzanti la sicurezza fisica dei sono i seguenti:

Accesso ai locali
L'accesso ai Data Center è riservato esclusivamente ai dipendenti della società ed a personale terzo opportunamente autorizzato ed è condizionato all'accesso alla sede del Cloud Provider possibile a mezzo protetto da Badge/Secret di riconoscimento. L'accesso dei Data Center è ulteriormente subordinato ad autorizzazione a doppio fattore, badge e riconoscimento biometrico. Tutti gli accessi sono sottoposti a registrazione su sistema informatico, eventuali terzi che accedono unicamente accompagnati da personale interno vengono registrati previo accertamento dell'identità e verifica della motivazione/autorizzazione all'accesso. Ogni autorizzazione concessa è valida per un solo periodo di accesso.

Sorveglianza dei locali
E' assicurata la sorveglianza dei locali 365/7/24 con personale proprio e/o esterno autorizzato e con sistemi di monitoraggio remoto. Esiste una videosorveglianza perimetrale esterna ed interna a mezzo telecamere con registrazione e ritenzione a norma di legge con rilevazione dei movimenti in aree critiche e conseguente attivazione di circuito di allarme. La videosorveglianza con registrazione e ritenzione è presente anche all'interno dei locali operativi e tecnici dei DC.; nei siti è presente la sorveglianza armata.

Rilevamento intrusioni
È presente un sistema di rilevazione delle intrusioni a monitoraggio degli accessi sui varchi e di tipo volumetrico per tutti i locali della sede e del Datacenter con segnalazione locale ti tipo ottico/acustico locale e remota a mezzo radio allarme verso istituto di vigilanza. Tutti i varchi critici sono allarmanti e a rilevazione di stato, le informazioni sono archiviate e non modificabili. Il sito di Frosinone è protetto anche da perimetrale esterno attraverso barriere a microonde coordinato con il sistema di controllo degli accessi e di videosorveglianza.

Eventi accidentali e catastrofici
I datacenter sono protetti da sistemi di rilevazione dei fumi e del fuoco e di estinzione incendi, Sistemi di Rilevazione di allagamento attraverso opportuni sensori installati nel sottopavimento; i datacenter sono tutti situati al di sopra del piano campagna, molto oltre i livelli di piena storici e comunque esiste un sistema di percolazione a protezione di eventuali perdite di acqua degli impianti di refrigerazione che è l'unica possibile causa di allagamento.

Continuità dell'alimentazione
Il Sistema di alimentazione è completamente ridondante su doppia linea a norme EIE-CE per ogni fila di armadi con prese e spine di sicurezza antistrappo e antifuoco. Ogni armadio contenente le apparecchiature riceve l'alimentazione da due diverse linee provenienti da UPS ridondati. Il datacenter 4) dispone di un design elettrico full TIER-IV con doppio UPS e doppio STS sulle linee di alimentazione delle utenze (rack) con percorsi elettrici doppi, separati e compartimentati. I siti sono dotati di gruppi elettrogeni ad avvio automatico a lunga autonomia di almeno 24h a pieno carico) con possibilità di rifornimento rapido a piano strada.

Condizionamento dei locali
Il sistema di condizionamento provvede alla filtrazione dell’aria, alla ventilazione interna ed al raffreddamento garantendo quindi la giusta temperatura ed il sufficiente ricambio d’aria. L’impianto di condizionamento è ridondato secondo un'architettura completamente protetta di tipo 2N+1 estesa ai gruppi refrigeranti ad acqua, ai condensatori esterni e alle unità di trattamento aria (UTA) presenti nel datacenter. Il sistema non protetto (con una avaria in corso) presenta un sovradimensionamento del 20% rispetto alla capacità massima dell'area di datacenter servita. In caso di avaria totale è stato previsto un sistema di lavaggio dell'aria tramite immissione/espulsione dell'aria esterna (freecooling) ad azionamento manuale. I parametri di esercizio sono costantemente misurati in passi da 5 minuti con allarmi locali e remoti (teleallarmi su istituto di vigilanza) al superamento di valori critici. L’impianto garantisce il mantenimento dei parametri secondo la raccomandazione ASRHAE 2008 classe A degradando al più ad A1 in caso di avaria.

Infrastruttura fisica di rete
L'infrastruttura di rete all'interno del datacenter è a tre livelli, completamente ridondata negli apparati coinvolti e nei collegamenti fino al rack di utilizzo. I livelli di backbone e di aggregazione sono allocati in un'apposita area del datacenter e opportunamente protetti, il livello di distribuzione è locale alla singola fila di rack. Entrambi i collegamenti facenti parte della coppia in ridondanza sono sempre attivi e monitorati nel funzionamento. Per i datacenter tutti i percorsi rame e fibra dell'infrastruttura di rete del bundle di ridondanza sono su percorsi fisici separati e compartimentati.

3.3. Sicurezza e misure logiche

1. Ogni incaricato è dotato di password e username univoci e personali costituenti le sue credenziali di autenticazione.

2. Le password sono cambiate almeno ogni tre mesi (per i dati sensibili/giudiziari e quelli ritenuti riservati dalla società, unitariamente definiti come “dati particolari”) con le procedure di cui alla legge. I dati personali “comuni” sono cambiate almeno ogni sei mesi.

3. I codici identificativi personali sono disattivati in caso di non utilizzo per più di sei mesi.

4. Ai dati particolari hanno accesso solo ed esclusivamente gli incaricati grazie ad un sistema di verifica che gli permette di accedere alle parti degli elaboratori in cui sono conservati i dati particolari.

5. I sistemi sono dotati dei seguenti software e delle componenti hardware riportate nella tabella qui di seguito, come sistemi di protezione:

a. Gli antivirus sono aggiornati con le nuove impronte virali ogni giorno.
b. Il firewall viene verificato periodicamente nella sua efficienza dagli amministratori di sistema che ne tengono traccia in apposito verbale.
c. Ai sistemi vengono applicate le c.d. “patch” non appena le medesime sono disponibili e sufficientemente testate. Ai programmi acquisiti licenza le patch vengono applicate dai fornitori come da specifici contratti.
d. Tutti i sistemi sono verificati dagli amministratori di sistema con cadenza trimestrale.

6. La logica con cui sono stati scelti i sistemi di protezione è all'insegna della indipendenza dal vendor per le operazioni di aggiornamento/manutenzione e la disponibilità, per ogni componente di aggiornamento e patch nel minor tempo possibile.

7. L'azienda adotta le procedure di esecuzione back up specifiche per ogni famiglia di servizi; le prestazioni minime di backup sono di seguito riportate:

a. Viene effettuato un backup giornaliero di tutti i dati presenti nei vari archivi, il backup viene effettuato a memoria 2 per gli archivi non strategici o comunque facilmente ricostruibili, a memoria 7 per gli altri. I dati di backup vengono conservati sia su un pool di dischi fissi sia su nastri rimovibili.
b. I dati relativi a servizio di tipo “Cloud Server” e “Cloud Infrastructure” relativamente alla parte di gestione degli account, spazio web e dati contenuti negli eventuali database a richiesta di servizio da parte del cliente, a backup con le seguenti prestazioni “minime”: backup settimanale di tutti i dati presenti, il backup viene effettuato a memoria 2 salvo specifica più restrittiva concordata con il cliente.
c. La procedura di backup viene avviata automaticamente attraverso il sistema centralizzato di gestione; lo stesso sistema centralizzato provvede all'audit sull'esecuzione e la correttezza dei cicli di backup.
d. I backup sono realizzati in diversità geografica rispetto allo storage di esercizio; se il servizio è erogato attraverso uno specifico Data Center ed i dati sono ivi memorizzati, il target di backup viene indirizzato verso un diverso Data Center in modo da avere la massima resilienza del servizio di backup stesso verso disastri di rilevante entità.

8. I supporti di memorizzazione removibili contenenti dati particolari se non utilizzati sono distrutti o resi inutilizzati attraverso questi sistemi:

a. Gli unici dispositivi di memorizzazione in uso sono i dischi non removibili ed i nastri removibili del sistema di backup, la loro distruzione alla fine dell'utilizzo specifico e/o del ciclo di vita avviene tramite formattazione non invertibile.
b. Qualora non siano recuperabili i dati, i supporti possono essere riutilizzati. I dati non sono recuperabili grazie ai seguenti sistemi: formattazione non invertibile.

Le procedure di ripristino prevedono il recupero dei dati in un'opportuna area di spool non coincidente con l'area di produzione. I dati recuperati vengono poi sottoposti a validazione tramite ispezione manuale o automatica e quindi reimmessi negli archivi di produzione.
L'eventuale interruzione di servizio non collegata con la perdita di dati ma derivante da problemi di connessione e/o da malfunzionamento dei dispositivi hardware (server, terminali, router) viene trattata in maniera autonoma dalla gestione/conservazione degli archivi.
Per le procedure di Backup, verifica, Disaster Recovery, ci si avvale dello specifico software cheassicura l'esecuzione dei backup in base alle politiche stabilite, verifica inoltre il contenuto delle copie di sicurezza e la loro congruità con gli archivi da proteggere, si occupa inoltre dell'assesment delle procedure di Disaster Recovery per i dati oggetto del backup. tutti i supporti di backup sono crittografati utilizzando una crittografia a 256 bit o superiore. Su specifica procedura del cliente vengono effettuate copie su supporti removibili (dischi o nastri) e conservati in apposita cassaforte ignifuga.

4. Infrastruttura e misure di protezione dati in Mega Italia Media

4.1. Sicurezza Fisica ed ambientale
Presso la sede di Mega Italia Media sono presenti due sale tecniche in cui vi sono esclusivamente apparati di rete e connettività. I principali elementi caratterizzanti la sicurezza fisica di Mega Italia Media sono:

Accesso ai locali
L'accesso a Mega Italia Media è riservato esclusivamente ai dipendenti della società ed a personale terzo opportunamente autorizzato, l'accesso alla sede è possibile per mezzo di Badge di riconoscimento. L'accesso alle sale tecniche è ulteriormente subordinato ad autorizzazione a mezzo Badge in possesso del solo personale autorizzato alle specifiche attività.
Tutti gli accessi sono sottoposti a registrazione, eventuali terzi che accedono unicamente accompagnati da personale interno. Vengono registrati previo accertamento dell'identità e verifica della motivazione o autorizzazione all'accesso.

Sorveglianza dei locali
È assicurata la videosorveglianza perimetrale esterna a mezzo telecamere con registrazione e ritenzione a norma di legge.

Rilevamento intrusioni
È presente un sistema di rilevazione delle intrusioni a monitoraggio degli accessi sui varchi e di tipo volumetrico per tutti i locali della sede con segnalazione locale ti tipo ottico/acustico locale e remota a mezzo radio allarme verso istituto di vigilanza.

Eventi accidentali e catastrofici
La sede è protetta da un sistema di rilevazione dei fumi e del fuoco. Estinzione incendi tramite estintori a CO2. La sede è situata al piano superiore annullando i rischi di allagamento.

Continuità dell'alimentazione
Il sistema di alimentazione è supportato da UPS. In luogo dell'alimentazione da rete pubblica è configurato un sistema di allacciamento per collegamento di un sistema di generazione di emergenza.

Connettività
La connettività è ridondata con due reti provenienti da punti cardinali opposti. La connessione principale in fibra ottica e la connessione di backup prevedono lo switch automatico tra le connessioni in caso di indisponibilità.

4.2. Sicurezza e misure logiche
Organizzazione interna e Sicurezza delle risorse umane
1. Tutte le responsabilità per la sicurezza delle informazioni sono chiaramente definite dal SGSI ISO 27001.
2. È adottato un regolamento informatico applicabile a tutti i collaboratori.
3. Tutti i dipendenti sono regolarmente formati sui temi della sicurezza informatica e protezione dei dati.
4. Sono individuati i sostituti per tutte le funzioni.
5. Le attività degli amministratori sono conformi al provvedimento del Garante del 27/11/2008 (G.U. n. 300 del 24 dicembre 2008).
6. È definita una procedura per l’impiego Dispositivi Mobili aziendali che vengono assegnati individualmente al personale.
7. Sono effettuate verifiche sul profilo di tutti i candidati all'impiego, dei collaboratori, conformemente alla legislazione e ai regolamenti pertinenti, nonché dei principi etici.
8. È adottata una apposita procedura per le attività in smart working.
9. È adottato un sistema disciplinare atto a sanzionare violazioni delle procedure.
10. I dipendenti e collaboratori sottoscrivono specifico accordo di riservatezza.
11. Tutti i dipendenti, i collaboratori devono restituire ogni bene dell’organizzazione in loro possesso al termine del loro contratto o accordo d’impiego.
12. È stato nominato un RPD ai sensi dell’art. 37 del GDPR.

Gestione degli asset
1. Gli asset aziendali utilizzati per il trattamento di informazioni sono registrati e sottoposti a gestione e controllo in conformità alla procedura.
2. È inibito su tutti i terminali l’utilizzo dei supporti di memorizzazione removibili.
3. I supporti che contengono informazioni sono protetti da accessi non autorizzati, utilizzi impropri o manomissioni durante il trasporto all’esterno del perimetro fisico dell’organizzazione.

Controllo degli accessi
1. Ogni utente di dominio di Mega Italia Media è dotato di password e username univoci e personali costituenti le sue credenziali di autenticazione, disabilitate non appena il rapporto di lavoro viene interrotto.
2. Le password degli utenti di dominio sono cambiate almeno ogni tre mesi, i criteri di complessità e di aggiornamento seguono una password policy stabilita dal regolamento informatico.
3. L’Autenticazione a più fattori è applicata per l’accesso alla posta elettronica.

Crittografia
1. Tutte le password sono crittografate con gli standard SHA2-256.
2. La crittografia è presente su tutte le partizioni disco dei server.
3. Tutte le comunicazioni client/server sono in SSH/https.

Sicurezza delle attività operative
1. È adottata una procedura per la gestione del Cambiamento.
2. È attivo un servizio di monitoraggio SIEM gestito dal sub-responsabile dei servizi in cloud.
3. Gli antivirus sono aggiornati giornalmente con le nuove impronte virali.
4. Il firewall viene verificato periodicamente nella sua efficienza dagli amministratori di sistema.
5. Ai sistemi vengono applicate le c.d. “patch” non appena le medesime sono disponibili e sufficientemente testate. Ai programmi acquisiti licenza le patch vengono applicate dai fornitori come da specifici contratti.
6. Viene effettuato un backup giornaliero di tutti i dati presenti nei vari archivi, il backup viene effettuato a memoria 2 per gli archivi non strategici o comunque facilmente ricostruibili, a memoria 7 per gli altri. I dati di backup vengono conservati sia su un pool di dischi fissi sia su nastri rimovibili. I backup sono realizzati in diversità geografica rispetto allo storage di esercizio; se il servizio è erogato attraverso uno specifico Data Center ed i dati sono ivi memorizzati, il target di backup viene indirizzato verso un diverso Data Center in modo da avere la massima resilienza del servizio di backup stesso verso disastri di rilevanti dimensioni.
7. La registrazione di log degli eventi, dell’attività degli utenti, delle eccezioni ed eventi relativi alla sicurezza delle informazioni, è effettuata mantenuta e riesaminata periodicamente.
8. È adottata una procedura per controllare l’installazione di software sui sistemi di produzione.
9. Viene effettuato annualmente un penetration test.

Sicurezza delle comunicazioni
1. Le reti sono gestite e controllate per proteggere le informazioni.
2. È presente segregazione logica delle reti.
3. Lo scambio di informazioni interne ed esterne è protetto.

Gestione degli incidenti relativi alla sicurezza delle informazioni
1. Nell’ambito del BCP è individuato un Crisis Team (Struttura decisionale) e un Gruppo di Intervento (Struttura operativa).
2. Viene effettuata un’analisi del tipo di violazione dei dati.
3. È predisposto un Team per la valutazione della violazione, il quale decide, se necessario, la notifica al Garante della Privacy.
4. Gli incidenti vengono registrati su apposito DB.

Sviluppo e gestione di DynDevice LMS

Sviluppo
1. Lo sviluppo di nuove versioni di DynDevice LMS, le integrazioni e fix della versione in produzione nell’intero ciclo di vita di sviluppo sono effettuati esclusivamente nell’ambiente di sviluppo.
2. Prima del rilascio in produzione vengono eseguiti test OWASP relativi allo sviluppo software.
3. Vengono attuate metodologie di sviluppo Agile.
4. Il DB utilizzato è MySQL
5. Viene garantita la separazione tra gli ambienti di sviluppo e di produzione.
6. L’accesso al codice sorgente di DynDevice LMS è limitato.
7. Vengono utilizzati repository come Git per le nuove versioni.
8. La distribuzione delle nuove release o delle modifiche viene effettuata utilizzando Docker.
9. Tutti i nuovi progetti vengono revisionati.

Produzione
1. Le nuove release o implementazioni passati i giorni di test prestabiliti vengono divulgate su tutti i server in produzione.
2. Il piano di rilascio delle piattaforme DynDevice LMS e il passaggio delle responsabilità e/o competenze da MIM al Cliente prevedono diverse attività, ruoli e responsabilità del trasferimento, tempi di transizione, modalità di passaggio delle competenze e delle responsabilità e formazione agli utenti ecc.

Controlli
1. Viene controllato che lo spazio occupato in tutte le partizioni non sia più del 90%.
2. Viene scaricato il backup dei DB da tutti i server e salvato su apposito disco predisposto.
3. Viene eseguire un test di ripristino di un file casuale dei backup salvati su apposito disco
4. Viene eseguito un test di ripristino su tutti i server del backup del database della settimana precedente.
5. Vengono verificati gli aggiornamenti di Windows
6. Mensilmente viene Riattivata la chiave d’accesso “come root” per le macchine coinvolte modificando opportunamente il file

Crittografia
1. i dati in DD possono essere criptati su richiesta del cliente, è previsto per i clienti che attivano il servizio un cambio password annuale della chiave con cui viene cifrato l'hard disk.

Controllo degli accessi in DynDevice LMS
1. Le password policy degli utenti di DynDevice LMS sono configurabili dall’amministratore della piattaforma per complessità e ripetizione.
2. La disattivazione dei codici identificativi personali degli utenti di DynDevice LMS è configurabile dall’amministratore della piattaforma.
4. Il carico di picco effettivo è di 20k connessioni simultanee. La capacità è completamente scalabile.
5. È inibito l’accesso multiplo all’interfaccia di admin.
6. Login capability è configurabile dagli amministratori.

Conservazione attestati
1. Gli attestati dei corsi conseguiti dagli utenti DynDevice LMS sono conservati anche in apposito servizio di conservazione sostitutiva.

5. Business Continuity
La Business Continuity è un processo atto a individuare le potenziali minacce alle quali è esposta una data organizzazione e a definire i processi necessari per assicurare la resilienza della struttura a seguito del verificarsi delle condizioni avverse, per porre al sicuro l’operatività, la capacità produttiva, gli interessi e l’immagine dell’azienda.
Lo scopo del piano della Business Continuity è di definire in maniera precisa come verranno ripristinati le infrastrutture IT ed i servizi entro le dead line in caso di disastro o incidente.
Mega Italia Media e il cloud provider dispongono di propri piano di Business Continuity. Il piano di Business Continuity di Mega Italia Media viene regolarmente aggiornato e verificato con test periodici. Tale piano definisce per ciascun processo RTO e RPO atti a garantire i SLA contrattuali.