La figura dell’Amministratore di Sistema è diventata sempre più centrale nella gestione della sicurezza informatica delle organizzazioni pubbliche e private. Questo professionista, dotato di privilegi estesi sui sistemi informatici, ha il potere di accedere, modificare, monitorare e perfino cancellare informazioni sensibili, e rappresenta quindi un potenziale punto di vulnerabilità se non correttamente gestito.
Troppo spesso, tuttavia, i compiti di amministrazione vengono svolti in modo informale o distribuiti tra più soggetti, senza una chiara attribuzione delle responsabilità o un’adeguata tracciabilità delle attività.
Questa mancanza di controllo può tradursi in violazioni della privacy, incidenti di sicurezza e, in casi estremi, veri e propri reati informatici.
Obblighi normativi e impatti organizzativi
Dal punto di vista normativo, il provvedimento del Garante del 27/11/2008 per la protezione dei dati personali sugli amministratori di sistema impone obblighi precisi:
- identificazione formale dei soggetti con funzioni di amministrazione;
- verifica periodica delle attività svolte;
- registrazione degli accessi e controllo da parte dei titolari o responsabili del trattamento.
Tali adempimenti, spesso percepiti come meri vincoli burocratici, rappresentano in realtà strumenti fondamentali per la prevenzione di abusi e per garantire accountability all’interno delle organizzazioni.
L’implementazione di tali misure richiede una revisione dei processi interni, un’adeguata formazione del personale e, soprattutto, una governance solida dei sistemi informativi. Non si tratta solo di conformità, ma di protezione concreta del patrimonio informativo.
L’importanza di presidiare le credenziali privilegiate
Presidiare correttamente le credenziali privilegiate è oggi una priorità strategica per ogni organizzazione.
Questo tema è trasversale a diversi ambiti normativi: il GDPR impone misure di sicurezza adeguate e considera gli amministratori di sistema come soggetti critici per il trattamento dei dati; la ISO/IEC 27001, nello specifico l’Annex A, include controlli per la gestione degli accessi privilegiati; la normativa 231 evidenzia la rilevanza di prevenire reati informatici, che possono coinvolgere proprio gli account con accesso elevato; infine, le recenti direttive NIS2 e DORA rafforzano ulteriormente l’obbligo di garantire la sicurezza delle infrastrutture digitali, richiedendo un controllo stringente sugli utenti privilegiati.
In quest’ottica, la gestione delle identità, la segregazione dei compiti, l’adozione di strumenti di monitoraggio e la rotazione periodica delle password non sono più scelte opzionali, ma prerequisiti fondamentali per la resilienza organizzativa e la conformità normativa.
