Documenti di Didattica
Documenti di Professioni
Documenti di Cultura
Documento Programmatico Sulla Sicurezza
Documento Programmatico Sulla Sicurezza
DOCUMENTO PROGRAMMATICO
SULLA SICUREZZA
dati personali sensibili e giudiziari
trattati con strumenti elettronici (server)
siti presso il CED di Regione del Veneto - Giunta Regionale.
Anno 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 2/41
INDICE D.P.S.
Premessa............................................................................................................................................................ 3
Elenco dei trattamenti di dati personali (regola 19.1)........................................................................................ 4
Definizione.................................................................................................................................................... 4
Contenuti....................................................................................................................................................... 4
Distribuzione dei compiti e delle responsabilità (regola 19.2) .......................................................................... 5
Definizione.................................................................................................................................................... 5
Contenuti....................................................................................................................................................... 5
Definizioni dei “Ruoli di Legge" e abbinamento con i "Ruoli Aziendali" ............................................... 5
Struttura Organizzativa per l’ambito privacy e sicurezza......................................................................... 6
Analisi dei rischi che incombono sui dati (regola 19.3) .................................................................................... 9
Definizione.................................................................................................................................................... 9
Contenuti....................................................................................................................................................... 9
Tabella 1). Analisi generale dei rischi per i server. .................................................................................. 9
Misure in essere e da adottare (regola 19.4).................................................................................................... 11
Definizione.................................................................................................................................................. 11
Contenuti..................................................................................................................................................... 11
Sicurezza Fisica (Locali CED) ............................................................................................................... 11
Sicurezza Server ( CED)......................................................................................................................... 12
Sicurezza Network (rete) ........................................................................................................................ 13
Regole comportamentali ......................................................................................................................... 17
Tabella 2). Le misure di sicurezza adottate o da adottare....................................................................... 18
Criteri e modalità di ripristino della disponibilità dei dati (regola 19.5) ......................................................... 21
Definizione.................................................................................................................................................. 21
Contenuti..................................................................................................................................................... 21
Politica di backup.................................................................................................................................... 21
Pianificazione degli interventi formativi previsti (regola 19.6)....................................................................... 22
Definizione.................................................................................................................................................. 22
Contenuti..................................................................................................................................................... 22
Trattamenti affidati all’esterno (regola 19.7) .................................................................................................. 23
Definizione.................................................................................................................................................. 23
Contenuti..................................................................................................................................................... 23
Cifratura dei dati o separazione dei dati identificativi (regola 19.8) ............................................................... 24
Definizione.................................................................................................................................................. 24
Contenuti..................................................................................................................................................... 24
Tabella T1-2010: “Gestione Sistema Informativo Regionale Veneto” (GESIRV) ......................................... 25
Tabella T2-2010: “Applicazioni in hosting/housing”...................................................................................... 37
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 3/41
Premessa
I dati personali oggetto di trattamento sono custoditi e controllati, anche in relazione alle conoscenze
acquisite in base al progresso tecnico, alla natura dei dati e alle specifiche caratteristiche del trattamento, in
modo da ridurre al minimo, mediante l'adozione di idonee e preventive misure di sicurezza, i rischi di
distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non
consentito o non conforme alle finalità della raccolta (Art.31, D.Lgs. 196/2003).
Ai sensi dell’art.34 del D.Lgs. 196/2003, per il trattamento di dati personali effettuato con strumenti
elettronici è adottata, nei modi previsti dal disciplinare tecnico contenuto nell'allegato B) del D.Lgs.
196/2003, la “misura minima” costituita dal presente Documento Programmatico sulla Sicurezza (D.P.S.) –
anno 2010.
Il Titolare del Trattamento – Giunta Regionale provvede con il presente documento, all’elaborazione del
D.P.S. per i dati sensibili e giudiziari presenti sui Server regionali, siti presso il CED di Regione del Veneto –
Giunta Regionale, ai sensi della regola 19 dell’Allegato B) del D.Lgs. 196/2003.
Il CED di Regione del Veneto – Giunta Regionale è situato presso la Direzione Sistema Informatico,
Complesso VEGA, Palazzo Lybra, Via Pacinotti n. 4, 30175 - Venezia Marghera.
Di fatto l'oggetto di tale documento abbraccia anche trattamenti di dati personali diversi da quelli sensibili e
giudiziari, comunque ospitati in sistemi di elaborazione (server), ponendosi l'obiettivo di individuare i criteri
e le procedure per garantire un più elevato livello di protezione fisica e logica non limitato ai dati sensibili e
giudiziari, ma esteso ad un'area operativa più vasta.
Per quanto concerne eventuali trattamenti di dati sensibili e/o giudiziari, memorizzati su stazioni di lavoro o
server dislocati presso le diverse strutture regionali, afferenti all’area Giunta Regionale, e non ospitati presso
i server regionali del CED, i Responsabili del Trattamento (Segretari Regionali, Dirigenti di struttura e
Responsabili delle segreterie degli organi politici) sono incaricati di redigere un apposito “D.P.S.
integrativo”.
* * *
Il Servizio di gestione, manutenzione, supporto e sviluppo di applicazioni presenti sui Server regionali, siti
presso il CED di Regione del Veneto – Giunta Regionale, è stato affidato, a conclusione di gara d’appalto
DIR1/2008 indetta dalla Direzione Sistema Informatico, per il periodo 01.01.2010-31.12.2016, alle imprese
in RTI:
- Engineering Ingegneria Informatica S.p.A. (Impresa Mandataria),
- IBM Italia S.p.A. (mandante),
- Elsag Datamat S.p.A. (mandante).
Tale raggruppamento di imprese subentra e sostituisce a tutti gli effetti le imprese incaricate del medesimo
servizio negli anni precedenti ed indicate nei Documenti Programmatici sulla Sicurezza anteriori a quello
dell’anno in corso.
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 4/41
Definizione
19.1. l’elenco dei trattamenti di dati personali sensibili e giudiziari;
Contenuti.
Ai fini del presente D.P.S., per "trattamento di dati” si intende, qualunque operazione o complesso di
operazioni, effettuati con l'ausilio di strumenti elettronici, concernenti: la raccolta, la registrazione,
l'organizzazione, la conservazione, la consultazione, l'elaborazione, la modificazione, la selezione, l'estrazione,
il raffronto, l'utilizzo, l'interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la
distruzione di dati (art.4 del D.Lgs. 196/2003).
Intendendo per:
a) "dati sensibili": i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose,
filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od
organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a
rivelare lo stato di salute e la vita sessuale;
b) “dati giudiziari”: i dati personali idonei a rivelare provvedimenti di cui all'articolo 3, comma 1,
lettere da a) a o) e da r) a u), del D.P.R. 14 novembre 2002, n. 313, in materia di casellario
giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi
pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura
penale.
Per ciascun trattamento sono riportate le informazioni essenziali relative alla natura dei trattamenti, alla
categoria dei dati, alla struttura regionale responsabile della gestione del trattamento, alle strutture che
concorrono al trattamento, al modello di comunicazione (collegamento in rete).
Gli elenchi dei trattamenti, contenuti nelle tabelle T1-2010 “Gestione Sistema Informativo Regionale
Veneto” (GESIRV) e T2-2010 “Applicazioni in hosting/housing” riportate in fondo al presente documento,
sono il risultato dell’ultima attività di assessment condotta nei primi mesi del 2010.
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 5/41
Definizione
19.2. la distribuzione dei compiti e delle responsabilità nell’ambito delle strutture preposte al trattamento dei
dati;
Contenuti
La regola 19.2 dell’Allegato B) del D.Lgs.196/2003 prevede che l'elaborazione del Documento
Programmatico sulla Sicurezza avvenga sulla base della distribuzione dei compiti e delle responsabilità
nell'ambito delle strutture preposte al trattamento dei dati personali.
L’Amministrazione Regionale per poter sovrintendere con maggiore efficacia alle attività di coordinamento
e controllo degli adempimenti in materia di Privacy e Sicurezza, ha inteso dotarsi di un'organizzazione più
articolata rispetto ai ruoli previsti dalla normativa.
Di seguito si indicano i ruoli e le competenze assegnate all'interno della Regione del Veneto – Giunta
Regionale, per ognuna delle figure previste dalla vigente normativa:
Titolare: persona fisica o giuridica o altro organismo cui competono le decisioni in ordine alle finalità e
modalità del trattamento dei dati personali, compreso il profilo della sicurezza.
In attuazione della Circolare Regionale n.5 del 8 maggio 1997, approvata con DGR n. 1620 del 1997, la
Giunta Regionale è stata individuata Titolare dei trattamenti effettuati dalle strutture facenti capo alla stessa
Giunta.
Responsabile del trattamento: persona fisica o giuridica preposta dal titolare al trattamento dei dati personali.
I Responsabili dei Trattamenti sono stati identificati con i Responsabili delle Strutture così come di seguito
definiti e con i soggetti pubblici e/o privati esterni all’Amministrazione Regionale (Responsabili esterni), che
svolgono trattamenti in nome e per conto della stessa.
I compiti affidati al Responsabile del Trattamento sono specificati analiticamente per iscritto nel documento
denominato: “Compiti del Responsabile del Trattamento”, diffuso in ambito regionale in occasione
dell’ultima designazione dei Responsabili del trattamento. Tale designazione è avvenuta con D.G.R. n. 540
del 11.03.2008, a seguito della DGR n. 4566 del 28 dicembre 2007 << Organizzazione amministrativa delle
strutture afferenti alla Giunta regionale. Conferma dei criteri per il conferimento delle strutture e proroga
degli incarichi di Dirigente Regionale. Legge regionale 10 gennaio 1997 n. 1>> e della DGR n. 4567 del 28
dicembre 2007 << Legge regionale 10 gennaio 1997 n. 1, artt. 21 e 22. Affidamento incarichi di Dirigente
Regionale>>, che hanno parzialmente rivisto l’assetto organizzativo dell’Amministrazione.
Incaricato: persona fisica identificata tramite apposita nomina del Responsabile del trattamento che esegue le
operazioni di trattamento.
La nomina degli incaricati del trattamento rientra tra le competenze dei predetti Responsabili del trattamento.
Tutto il personale della Regione del Veneto che tratta dati personali, in funzione delle mansioni attribuite,
deve essere nominato Incaricato del trattamento, con un aggiornamento periodico dell’ambito del trattamento
medesimo.
Addetti alla custodia delle parole chiave: persone incaricata della custodia delle parole chiave o di accedere
alle informazioni ad esse relative. Compito da assegnare a personale da individuare all'interno di ciascuna
struttura in funzione della posizione e dei requisiti di affidabilità posseduti.
La nomina dei custodi delle password rientra tra le competenze dei Responsabili del trattamento.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 6/41
Amministratori di sistema: soggetti cui è conferito il compito di sovrintendere alle risorse del sistema
operativo e/o di gestione dei data base e di consentirne l’utilizzazione.
Sono individuati nei Dirigenti Regionali in capo ai quali è configurabile la gestione e la responsabilità di un
sistema informatico ovvero nei soggetti esterni incaricati della gestione del sistema informatico.
Per quanto riguarda il “Servizio di gestione, manutenzione, supporto e sviluppo delle applicazioni costituenti
il sistema informativo della Regione del Veneto-Centro Sviluppo Servizi Territoriali mediante servizi di call
center ed help desk” (GESIRV), gara DIR1/2008, si è proceduto - con DDR n. 113 del 28.09.2009 del
Dirigente della Direzione Sistema Informatico - alla designazione di Responsabile esterno del trattamento
delle imprese in RTI:
- Engineering Ingegneria Informatica S.p.A. (Impresa Mandataria),
- IBM Italia S.p.A. (mandante),
- Elsag Datamat S.p.A. (mandante).
Tale RTI ha ricevuto dal Dirigente della Direzione Sistema Informatico una nota contenente istruzioni e
criteri circa gli Amministratori di Sistema (provvedimento del Garante Privacy del 27.11.2008, modificato in
data 25.06.09, G.U. n. 149 del 30.06.2009). Ha quindi trasmesso all’Amministrazione regionale i Curricula
Vitae degli Amministratori di Sistema (AdS) proposti e, con il benestare dell’Amministrazione Regionale
sugli stessi, ha designato formalmente i soggetti predetti quali AdS, inserendo nell’atto di nomina l’ambito di
gestione del sistema informatico di propria competenza.
L’elenco degli Amministratori di Sistema, se necessario, verrà aggiornato con la stessa procedura ed è
conservato presso la segreteria della Direzione Sistema Informatico, insieme al Curriculum di ogni singolo
amministratore ed alle lettere di designazione.
Per quanto concerne l’eventuale parte residua delle apparecchiature, non rientranti nel servizio di gestione
del C.S.S.T (GESIRV), sopracitato (es: apparecchiatura acquistata e gestita del tutto autonomamente dalle
strutture regionali), la responsabilità delle funzioni di “amministratore di sistema” è ricoperta dal
Responsabile del trattamento della struttura cui fanno capo le suddette apparecchiature.
Di seguito sono definite le funzioni specifiche espletate in ambito “Privacy & Security” dalle Strutture
Regionali ed è schematizzato l’assetto organizzativo di cui si è dotata l’Amministrazione Regionale:
REFERENTI DI
STRUTTURA
RESPONSABILI DEL
TRATTAMENTO
RESPONSABILI DIRIGENTI E
ESTERNI SEGRETARI REGIONALI
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 7/41
Segreteria Generale della Programmazione: svolge attività di coordinamento generale e formulazione delle
direttive necessarie ai fini dell'attuazione del D.Lgs. 196/2003 all'interno dell'Amministrazione, come già
disposto con circolare regionale n.8/2000 approvata con D.G.R. 917/2000.
Segreterie Regionali: sovrintendono all'attività svolta in materia di privacy nella rispettiva area di
competenza, come da indicazioni dettate con circolare regionale n.8/2000 approvata con D.G.R. 917/2000.
Ufficio Sicurezza Informatica (Responsabile della Sicurezza): fornisce consulenza e attività tecnico-operativa
per l'esecuzione delle politiche di sicurezza collaborando attivamente con il Comitato per la Sicurezza
Informatica e Telematica.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 8/41
Referenti Privacy di struttura: nominati dai Responsabili del trattamento, collaborano con questi e si
relazionano con l'Ufficio Privacy.
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 9/41
Definizione
19.3. l’analisi dei rischi che incombono sui dati;
Contenuti
Sono stati individuati i principali eventi potenzialmente dannosi (minacce) che gravano sui Server per la
sicurezza dei dati con valutazione della gravità rispetto ai rischi relativi alla disponibilità, confidenzialità ed
integrità.
Evento: contiene l’elenco delle minacce che comportano rischi per la sicurezza dei dati personali sensibili e
giudiziari.
Gravità dell’evento (alta, media, bassa): valutazione della gravità delle conseguenze (legate alla perdita di
disponibilità, confidenzialità e integrità), anche in relazione alla probabilità stimata dell’evento.
carenza di consapevolezza,
disattenzione o incuria X X X
Comportamenti
degli operatori
comportamenti sleali o fraudolenti
X X X
errore materiale
X X X
Utilizzo a rotazione della postazione
di lavoro non regolamentato
X X X
Eventi relativi azione di virus informatici o di codici
agli strumenti malefici X X X
malfunzionamento, indisponibilità o
degrado degli strumenti X X X
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 10/41
intercettazione di informazioni in
rete X X X
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 11/41
Definizione
19.4. le misure da adottare per garantire l’integrità e la disponibilità dei dati, nonché la protezione delle aree
e dei locali, rilevanti ai fini della loro custodia e accessibilità;
Contenuti
In questa sezione sono riportate, in forma sintetica, le misure in essere e da adottare a contrasto dei rischi
individuati dall’analisi dei rischi effettuata sul contesto attuale (“AS IS”). Durante il Progetto di
Convergenza1 verrà eseguita un’ulteriore analisi dei rischi sul nuovo perimetro che si verrà a creare (“TO
BE”).
Per misura ai sensi della regola 19.4 si intende lo specifico intervento tecnico od organizzativo, posto in
essere per prevenire, contrastare e/o ridurre gli effetti relativi ad una specifica minaccia, comprese le attività
di verifica e controllo nel tempo, essenziali per assicurarne l’efficacia.
Si sottolinea che i trattamenti sono effettuati con server ospitati in aree garantite da livelli di protezione
adeguati al grado di sicurezza richiesto dal trattamento.
Il CED di Regione del Veneto – Giunta Regionale è situato presso la Direzione Sistema Informatico, con
sede in Venezia Marghera, Complesso VEGA, Palazzo Lybra, Via Pacinotti n. 4.
Alimentazione elettrica: I “rack”che ospitano i server hanno il doppio collegamento alle linee preferenziali
dell’impianto di alimentazione elettrica e sono dotati di UPS (uninterruptible power supply) e di un gruppo
di continuità alimentato con combustibile.
I quadri elettrici, dotati di chiusura a chiave, sono accessibili solo dal personale autorizzato.
Impianto di condizionamento: i locali dei CED contenenti i sistemi di elaborazione sono dotati di impianti di
condizionamento in grado di mantenere la temperatura e l’umidità ambientale entro i parametri ottimali di
funzionamento delle apparecchiature.
Tali impianti sono soggetti a regolare manutenzione e sottoposti a verifiche periodiche.
Controllo accessi “fisici”: l’accesso fisico ai locali è consentito alle sole persone appositamente autorizzate
ed in possesso del badge magnetico abilitato all’apertura delle porte dei locali CED.
I server di importanza critica sono ospitati in armadi (cabinet), muniti di chiusura a chiave e dotati di
alimentazione e collegamenti in rete.
Un sistema di videosorveglianza, con telecamere a circuito chiuso, il cui Responsabile è il Dirigente
regionale della Direzione Demanio Patrimonio e Sedi, garantisce la registrazione dei movimenti delle
persone negli spazi comuni del CED.
1
Nell’ambito del nuovo “Servizio di gestione, manutenzione, supporto e sviluppo delle applicazioni costituenti il
sistema informativo della Regione del Veneto-Centro Sviluppo Servizi Territoriali mediante servizi di call center ed
help desk” (GESIRV), gara DIR1/2008, è previsto un periodo di passaggio dal “AS IS” al “TO BE” nel quale si darà
esecuzione al processo di “Convergenza” della situazione attuale (contesto tecnologico architetturale in essere) dei
servizi così come prodotti dal modello “AS IS” in quella necessaria e propedeutica alla determinazione del modello
“TO BE”.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 12/41
Sistema antincendio e antintrusione: i locali CED sono dotati di rilevatori di fumo e sensori antintrusione. Gli
estintori sono dislocati all’interno e nelle vicinanze dei locali CED.
Tali sistemi sono soggetti a verifiche e test periodici.
Cablaggio e montaggio: i cavi di collegamento alla rete sono organizzati in armadi, dotati di chiusura a
chiave ed appositamente etichettati. I collegamenti fisici effettuati solo dal personale autorizzato, sono
riportati e siglati in un registro appositamente predisposto a livello di armadio e contenuto all’interno
dell’armadio medesimo.
I Server ospitati presso il CED della Regione Veneto/Giunta Regionale sono classificati secondo due
macrocategorie: piattaforma Microsoft Windows (prevalente) e piattaforma “X”-nix. (Unix e Linux).
I server della piattaforma “Windows”, per la quasi totalità, operano con sistema operativo Microsoft 2003 e,
per una minima parte, con sistema operativo Windows 2000.
Le funzionalità dei server su piattaforma Windows sono: domain controller (primario e secondario), web
server, application server, file server e DB server.
La piattaforma “X”-nix è costituita da elaboratori con sistema operativo UNIX e da elaboratori con sistema
operativo Linux, con funzionalità di web server, application server, file server e DB server.
Hard Disk RAID: in caso di guasto sugli hard disk, l’affidabilità è assicurata dall’adozione di dischi multipli
in configurazione RAID (Redundant Array of Inexpensive Disks) in configurazione RAID 0, RAID 1 e
RAID 5.
Condivisione dei dischi logici: i server sono configurati in modo da condividere i dischi logici solo per la
parte strettamente necessaria.
Monitoraggio: i server sono dotati di opportuni sensori software (agent), basati su protocollo SNMP (Simple
Network Management Protocol), che comunicando con un gestore centralizzato (Master), basato sulla suite
di prodotti Openview, consentono il costante monitoraggio da parte degli incaricati della manutenzione degli
eventuali guasti, anomalie, allarmi nonché il mantenimento dei prefissati livelli di servizio.
E’ stata installata, inoltre, una versione della suite di prodotti Openview che consente, tra le altre funzioni, un
miglior monitoraggio dei livelli servizio raggiunti.
Durante il Progetto di Convergenza2 la suite di prodotti Openview verrà sostituita/integrata
progressivamente con la suite di prodotti “Tivoli” come da Offerta Tecnica (gara DIR 1/2008).
2
Cfr. nota 1.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 13/41
Aggiornamento del software installato: il personale addetto provvede all’aggiornamento periodico del
software di sistema dei server mediante l’installazione di: nuove release, service pack, patch, suggerite dal
produttore, nonché le hotfix di sicurezza per eliminare le vulnerabilità individuate e/o note.
Controllo dei servizi accessibili da remoto: sui server sono attivi i servizi di rete strettamente necessari. Il
personale addetto provvede alla regolare verifica dei servizi accessibili via rete (servizi in ascolto su porte
prestabilite), procedendo alla disabilitazione dei servizi non strettamente necessari.
Manutenzione dei server: la manutenzione viene effettuata dagli addetti in possesso dei soli privilegi di
amministratore, per la parte di competenza.
Attivazione dei Log: sui server sono abilitati i Log per la registrazione degli eventi potenzialmente critici
sotto il profilo della sicurezza, quali ad esempio: fallimenti in fase di log-in, cambio dei privilegi, accesso ai
file di sistema, etc…
Con riferimento al provvedimento del Garante Privacy “Misure e accorgimenti prescritti ai titolari dei
trattamenti effettuati con strumenti elettronici relativamente alle attribuzioni delle funzioni di
amministratore di sistema - 27 novembre 2008” (modificato in data 25.06.09), l’RTI, designato Responsabile
esterno del trattamento (v. sopra, regola 19.2, Amministratori di Sistema), implementa dei meccanismi di
“access log” in conformità ai requisiti previsti dal Garante Privacy nel citato provvedimento.
Analisi centralizzata dei Log: i Log prodotti dai dispositivi VPN Contrator, IDS e Firewall sono analizzati su
un sistema centralizzato basato sul prodotto Netforensics.
La protezione della rete aziendale della Regione Veneto si basa sulle seguenti principali componenti:
Sistema di firewalling;
Segregazione delle reti (Virtual Local Area Network VLAN);
Proxy;
Reti demilitarizzate (DMZ);
Sistema di rilevazione intrusioni;
VPN (Virtual Private Network);
Sistema antivirus;
Sistema di Identity ed Access Management;
Controllo accessi;
Postazioni di lavoro.
Sistema di firewalling
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 14/41
Sfruttando le funzionalità degli apparati di rete (switch) sono state realizzate delle reti virtuali locali (VLAN)
che consentono di raggruppare e confinare il traffico dei dispositivi che fisicamente condividono lo stesso
mezzo trasmissivo, virtualmente come se fossero appartenenti a reti distinte e separate.
In particolare nella rete Intranet sono state realizzate più reti VLAN tra le quali una destinata al solo
monitoraggio dei server ed una destinata a conglobare le postazioni di lavoro (PDL) dell’utenza.
Proxy
L’accesso delle PDL alla rete INTERNET non avviene direttamente, ma attraverso un server Proxy basato su
Microsoft ISA e solo ad autenticazione avvenuta.
L’introduzione della componente proxy oltre a semplificare la gestione ed aumentare il controllo dell’utenza,
in quanto censita nel directory server della rete Intranet (basato attualmente su Microsoft Active Directory),
eleva il grado di protezione delle PDL nei confronti del “malware” legato al traffico HTTP.
Le reti DMZ
La realizzazione di reti DMZ (DeMilitarized Zone) è un mezzo mediante il quale si realizza la separazione
logica, organizzativa e fisica della rete Regionale. I servizi offerti e pubblicamente accessibili sono ospitati
su server collegati a reti logicamente e fisicamente separati dalla rete interna (Intranet).
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 15/41
Sono state realizzate più reti DMZ sulle quali sono fisicamente ospitati host che necessitano livelli di
protezione differenziati in funzione dei servizi da essi erogati, attuando in tal modo una segregazione della
rete.
Oltre alla segregazione della rete Intranet raggiunta mediante l’implementazione delle VLAN, è stata
ottenuta un’ulteriore forma di segregazione della rete attraverso la realizzazione delle reti DMZ che si pone
l’obiettivo di contenere gli effetti di un eventuale incidente di sicurezza ad un’area (sottorete) il più possibile
limitata, evitando il diffondersi degli effetti su servizi e/o sistemi critici.
Lo schema di riferimento è il seguente:
Per i servizi accessibili dalla rete Internet la soluzione architetturale adottata prevede l’aggregazione di
server con funzioni analoghe (Web Server, Application Server e Data Base Server) in sottoreti omogenee dal
punto di vista della sicurezza secondo lo schema di seguito riportato
La soluzione architetturale implementata, consente un controllo accurato del traffico che attraversa i
dispositivi di rete che eseguono funzioni di firewalling, quali ad esempio router (packet filtering), proxy e
firewall.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 16/41
In caso di incidente di sicurezza intervenendo opportunamente sulle regole che governano il traffico (Access
Control List) caricate a bordo dei dispositivi sopra citati, si può contrastare il coinvolgimento dell’intera
infrastruttura di rete isolando per il tempo necessario le aree che richiedono interventi di bonifica.
EXTRANET INTERNET
NIDS
HIDS HIDS
DMZ
INTRANET
HIDS
Server
di
Gestione
Una rete VPN è un mezzo per trasportare il traffico in modo sicuro su una rete insicura.
Le reti VPN sono utilizzate per garantire i requisiti di riservatezza ed integrità dei dati nel trasporto,
realizzando un tunnel virtuale protetto tra mittente e destinatario, mediante tecniche di cifratura dei dati.
L’impiego prevalente dei collegamenti VPN riguarda l’accesso alla rete aziendale della Regione Veneto da
parte di fornitori di servizi esterni, da utenti interni a cui è concesso l’accesso al sistema informativo quando
non sono collegati direttamente alla rete Intranet (utenti mobili e telelavoratori).
Le VPN sono realizzate a livello di network (layer 3) utilizzando il protocollo IPSEC.
I dispositivi della rete regionale che consentono la realizzazione dei collegamenti VPN (end point) sono
apparati ridondati in configurazione di alta affidabilità, ubicati sulla Extranet regionale, configurati e
monitorati esclusivamente da personale addetto.
Inoltre i dispositivi di rete deputati alla realizzazione dei tunnel VPN/IPSEC sono configurati in modo da
consentire il bilanciamento del traffico dell’utenza tra i vari nodi garantendo così livelli di servizi e di
disponibilità adeguati.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 17/41
Sistema antivirus
La rete regionale è dotata di un sistema antivirus che protegge preventivamente la rete Intranet dagli effetti di
un contagio da virus.
La soluzione adottata, nell’ottica dell’alta disponibilità ed affidabilità richiesta (con particolare riferimento al
servizio di posta elettronica), si basa sulla suite di prodotti “Symantec”, con soluzione in alta affidabilità
anche sul sito di “Disaster Recovery”.
Tale suite prevede anche la componente “antispamming” che preserva le caselle di posta regionale dalla
ricezione di messaggi di posta non sollecitati (spamming).
Sono state adottate soluzioni idonee a consentire che le postazioni di lavoro della rete Intranet, dotate del
software antivirus, siano aggiornate all’ultima versione disponibile della lista dei virus riconosciuti.
Regole comportamentali
ActiveDirectory e Norme Comportamentali per gli Utenti: la DGR n.584 del 5 marzo 2004 ha previsto
l’estensione del sistema centralizzato di gestione degli accessi (ActiveDirectory) alla totalità degli
Utenti/Dipendenti regionali. La DGR, di cui sopra, ha stabilito che tutti gli Utenti/Dipendenti regionali
devono essere censiti all’interno del sistema centralizzato di gestione degli accessi (ActiveDirectory), al fine
dell’utilizzo delle applicazioni e dei servizi interni dell’Amministrazione Regionale.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 18/41
La DGR n. 584/2004 ha disposto l’applicazione da parte di tutti gli Utenti di quanto previsto nel documento
“Sicurezza Informatica - Norme Comportamentali per gli Utenti”, approvato con la medesima DGR.
La Giunta Regionale, inoltre, in applicazione di quanto prescritto dal Garante per la protezione dei dati
personali con provvedimento di data 01.03.2007 ("Lavoro: linee guida del Garante per Posta Elettronica e
Internet") riguardante l'onere da parte dei datori di lavoro di specificare le modalità di utilizzo della posta
elettronica e della rete internet da parte dei lavoratori, ha approvato con DGR n. 863 del 31.03.2009, un
Disciplinare concernente l'utilizzo da parte dei propri dipendenti della posta elettronica, della rete internet e,
in aggiunta a quanto previsto dal citato provvedimento del Garante, anche dei telefoni e fax. L'ambito di
applicazione del citato documento è esteso, oltre ai dipendenti, anche ai dirigenti, a qualsiasi titolo inseriti
nell'organizzazione regionale, senza distinzione di ruolo e/o livello, nonché ai collaboratori
dell'Amministrazione, a prescindere dal rapporto contrattuale intrattenuto con la stessa.
L'Amministrazione Regionale, in base a quanto prescritto dal citato art. 4 dello statuto dei lavoratori, ha
elaborato il suddetto Disciplinare, definendo un testo condiviso sia con le organizzazioni sindacali del
Comparto che della Dirigenza.
Attraverso l’adozione delle norme comportamentali di cui sopra, la Regione del Veneto intende perseguire i
seguenti obiettivi:
- responsabilizzare gli utenti sulla necessità di utilizzare in modo "sicuro" le risorse informatiche
dell’Amministrazione Regionale;
- minimizzare i rischi relativi alla sicurezza informatica;
- preservare la confidenzialità/integrità dei dati e la continuità dei servizi erogati;
- garantire la conformità dell’accesso/utilizzo della rete regionale rispetto alle leggi e normative
vigenti.
Minaccia Contrastata: è indicata la minaccia individuata nell’analisi dei rischi che motiva l’adozione della
misura prevista.
Misure da adottare e/o rinforzare: indica tra le misure proposte per contrastare le minacce, quelle che si
prevede di adeguare o intensificare in un piano di implementazione della sicurezza.
Si ricorda che le misure in oggetto riguardano i server con cui si effettuano trattamenti di dati sensibili e
giudiziari, che sono situati nel CED presso la Direzione Sistema Informatico.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 19/41
Comportamenti sleali o a) Politica di reclutamento ed a); b); c); d); e); a); b); d); e); g); h).
fraudolenti assegnazione compiti al g); h).
personale incaricato dei
trattamenti;
b) sistema di autenticazione;
c) autenticazione su più livelli;
d) procedure blocco /
sospensione credenziali;
e) logging attività
f) controllo accessi simultanei;
g) istruzioni operative al
personale incaricato;
h) formazione
Errore materiale a) istruzioni operative al a); b); c). a); b), c).
personale incaricato;
b) formazione;
c) politiche di backup e
recovery;
Utilizzo a rotazione della a) politica di utilizzo delle a); b); c). a); b); c).
postazione di lavoro non postazioni di lavoro;
regolamentato b) istruzioni operative al
personale incaricato;
c) formazione;
Azione di virus informatici o di a) Sistema antivirus e di a); b); c); d); e). a); e).
codici malefici rilevazione codice malevolo;
b) politica di utilizzo supporti
informatici amovibili;
c) politica di installazione
software autorizzato;
d) politica di aggiornamento del
software;
e) help desk.
Tecniche di sabotaggio a) Sistema di firewalling; a); b); c); d); e). a); b); c); d); e); f);
b) sistema di rilevazione g).
intrusioni (IDS);
c) sistema antivirus e di
rilevazione codice malevolo;
d) logging attività;
e) segregazione rete;
f) attivazione percorsi
alternativi;
g) Incident Response Team
(IRT).
Malfunzionamento, a) Dispositivi in alta affidabilità; a); b); c); d). c); d).
indisponibilità o degrado degli b) politica di controlli periodici
strumenti preventivi;
c) istruzioni operative al
personale incaricato;
d) formazione.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 20/41
Accessi esterni non autorizzati a) Sistema di autenticazione; a); b); c); d); e); d); f); g); h); i).
b) autenticazione su più livelli; f); g); h); i).
c) politica di utilizzo password;
d) controllo accessi simultanei;
e) procedure blocco /
sospensione credenziali;
f) profilazione diritti di accesso;
g) logging attività;
h) istruzioni operative al
personale incaricato;
i) formazione.
Intercettazione di informazioni in a) Impiegare protocolli sicuri a); b); c). c).
rete (SSL, SSH, HTTPS);
b) realizzare tunnel sicuri
(VPN/IPSEC);
c) cifratura dei dati.
Accessi non autorizzati a a) politica di accesso alle aree a); b); c). a); c).
locali/reparti ad accesso ristretto riservate;
b) controllo accessi fisici
mediante badge magnetico o
smart card;
c) installazione sistema
videosorveglianza.
asportazione e sottrazione di a) controllo accessi fisici a); b); c); b); c).
strumenti contenenti dati mediante badge magnetico o
smart card;
b) installazione sistema
videosorveglianza;
c) politica di backup e recovery.
Guasto ai sistemi complementari a) Impianto di alimentazione con a); b); c); d).
(impianto elettrico) linee preferenziali;
b) sistema UPS;
c) politica di controlli periodici
preventivi;
d) interventi eseguiti da
personale autorizzato.
Errori umani nella gestione della a) Politica di reclutamento ed c); d). a); b); c).
sicurezza fisica assegnazione compiti al
personale incaricato dei
trattamenti;
b) istruzioni operative al
personale incaricato;
c) formazione;
d) politica di backup e recovery.
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 21/41
Definizione
19.5. la descrizione dei criteri e delle modalità per il ripristino della disponibilità dei dati in seguito a
distruzione o danneggiamento di cui al successivo punto 23;
(23. Sono adottate idonee misure per garantire il ripristino dell’accesso ai dati in caso di danneggiamento
degli stessi o degli strumenti elettronici, in tempi certi compatibili con i diritti degli interessati e non
superiori a sette giorni. )
Contenuti
In questa sezione sono descritti i criteri e le procedure adottati per il salvataggio dei dati e per il loro
ripristino in caso di danneggiamento o di inaffidabilità della base dati.
Politica di backup
La politica di salvataggio adottata dalla Regione Veneto consiste nell’effettuare le seguenti tipologie di
backup:
1. backup integrale (full backup): salvataggio di tutti i dati, file di sistema e software presenti sul
sistema;
2. backup incrementale (incremental backup): salvataggio di tutti i file che sono stati modificati dopo
l’ultimo backup;
I supporti contenenti una copia di questi file di backup sono conservati in locali adeguatamente protetti
presso un sito diverso dal CED dove vengono effettuati i backup.
Le operazioni di salvataggio sono effettuate da personale, addetto ed identificato, (v. sopra, regola 19.2,
Amministratori di Sistema) previa nomina individuale per effettuare i BackUp, secondo la schedulazione
prestabilita.
E’ stato attivato, inoltre, un sistema di Business Continuity, adeguato alle esigenze dell’Amministrazione
regionale.
La “location” per il sistema di Disaster Recovery è stata individuata presso il CED dell’Università degli
Studi di Padova, in quanto dotata dei collegamenti-dati e delle infrastrutture idonee alla realizzazione del
sistema medesimo.
A seguito di adeguata valutazione, è stato definito un primo elenco di applicazioni, ritenute “mission
critical”, che saranno progressivamente oggetto del servizio di Disaster Recovery.
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 22/41
Definizione
19.6. la previsione di interventi formativi degli incaricati del trattamento, per renderli edotti dei rischi che
incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili della disciplina sulla
protezione dei dati personali più rilevanti in rapporto alle relative attività, delle responsabilità che ne
derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare.
La formazione è programmata già al momento dell’ingresso in servizio, nonché in occasione di cambiamenti
di mansioni, o di introduzione di nuovi significativi strumenti, rilevanti rispetto al trattamento di dati
personali.
Nota
Le attività descritte e pianificate in questa sezione si rivolgono a tutto il personale regionale che riveste il ruolo di
incaricato del trattamento e non solo al personale tecnico che svolge le proprie mansioni all’interno del CED.
Contenuti
In apposite pagine-web del sito Intranet Regionale sono state pubblicate le circolari emanate e la
documentazione prodotta dalle strutture compenti in materia di Privacy e Sicurezza informatica dando
comunicazione, visibilità ed assistenza al personale dell’Amministrazione sulle iniziative intraprese con
particolare riferimento alle linee guida in tema di sicurezza informatica ed alle Norme Comportamentali per
gli Utenti”, approvate con DGR n.584 del 05/03/2004.
Le azioni formative, a favore del personale regionale, sono di competenza della Direzione Risorse Umane.
Con D.G.R 1898 del 29.06.2009 è stata contemplata la realizzazione di un intervento formativo in materia di
riservatezza dei dati personali.
Con Decreto n. 130 del 15/03/2010 a firma del Dirigente della Direzione Risorse Umane, è stato approvato il
Piano formativo per l’anno 2010 contenente la programmazione delle attività formative.
Nel programma annuale è stato inserito, nella sezione “formazione obbligatoria”, un intervento formativo in
materia di Privacy (D.lgs. 196/2003).
Il corso verrà sviluppato in collaborazione con la Direzione Sistema Informatico sia per quanto riguarda il
programma di dettaglio che per quanto concerne la piattaforma e-learning da utilizzare per la
somministrazione dei contenuti ai partecipanti.
L’intervento formativo si svolgerà secondo le seguenti direttrici:
− Obiettivi: questo corso è stato progettato allo scopo di trasferire agli incaricati del trattamento dei dati
personali l'informazione e la formazione stabilita dalla normativa vigente in materia di sicurezza dei dati
personali. Il percorso formativo sarà rivolto agli incaricati del trattamento dati personali, per renderli
edotti dei rischi che incombono sui dati, delle misure disponibili per prevenire eventi dannosi, dei profili
della disciplina sulla protezione dei dati personali più rilevanti in rapporto alle relative attività, delle
responsabilità che ne derivano e delle modalità per aggiornarsi sulle misure minime adottate dal titolare.
− Destinatari: personale a tempo indeterminato/determinato e neo assunti.
− Modalità di fruizione: e-learning.
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 23/41
Definizione
19.7. la descrizione dei criteri da adottare per garantire l’adozione delle misure minime di sicurezza in caso
di trattamenti di dati personali affidati, in conformità al codice, all’esterno della struttura del titolare;
Contenuti
La Circolare num. 8 del 24/03/2000 del Presidente della Giunta della Regione Veneto.
La circ. 8/2000 stabilisce che la funzione di Responsabile del trattamento non può essere delegata tranne che
- parzialmente – quando l'affidamento all'esterno di un determinato servizio comporta come prestazione
principale o accessoria un trattamento di dati (es. stampa, imbustamento e invio dei cedolini degli stipendi,
servizio di stampa, confezionamento e spedizione di una pubblicazione).
In questa ipotesi il Responsabile regionale del trattamento provvede a designare uno o più Responsabili
“esterni” per le operazioni affidate al soggetto esterno.
I relativi contratti di affidamento dei servizi che consistono in trattamento di dati personali stabiliscono le
modalità di gestione del trattamento e le misure di sicurezza da adottare e recano la formale designazione a
Responsabile della ditta erogatrice del servizio.
E’ compito dei Responsabili del trattamento vigilare e controllare che il responsabile esterno rispetti le
clausole contrattuali afferenti gli adempimenti previsti dalla normativa in tema di privacy e sicurezza
informatica
Il personale regionale ed il personale delle aziende esterne indicate, effettuano periodici incontri nel corso
dei quali sono evidenziate eventuali criticità riscontrate nella gestione dei sistemi informatici.
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 24/41
Definizione
19.8. per i dati personali idonei a rivelare lo stato di salute e la vita sessuale di cui al punto n. 24,
l’individuazione dei criteri da adottare per la cifratura o per la separazione di tali dati dagli altri dati personali
dell’interessato.
(24. Gli organismi sanitari e gli esercenti le professioni sanitarie effettuano il trattamento dei dati idonei a
rivelare lo stato di salute e la vita sessuale contenuti in elenchi, registri o banche di dati con le modalità
di cui all’articolo 22, comma 6, del codice, anche al fine di consentire il trattamento disgiunto dei
medesimi dati dagli altri dati personali che permettono di identificare direttamente gli interessati. I dati
relativi all’identità genetica sono trattati esclusivamente all’interno di locali protetti accessibili ai soli
incaricati dei trattamenti ed ai soggetti specificatamente autorizzati ad accedervi; il trasporto dei dati
all’esterno dei locali riservati al loro trattamento deve avvenire in contenitori muniti di serratura o
dispositivi equipollenti; il trasferimento dei dati in formato elettronico è cifrato. )
Contenuti.
La cifratura o la separazione fra dati identificativi e dati personali, nonché i criteri e le modalità con le quali
viene assicurata la sicurezza di tali trattamenti sono a carico dei responsabili del trattamento dei dati per i
quali sono necessarie tali misure di protezione.
La Direzione Sistema Informatico, presso cui ha sede il CED, fornisce supporto tecnico e consulenza (previa
eventuale richiesta) e non entra nel merito dei contenuti delle banche dati ospitate - in hosting/housing - sui
server del CED medesimo.
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 25/41
041 Prosedit - Consultazione Web X Pubblicazione in Internet dei dati gestiti dalla 040 Segr. Cultura
ARCOWEB - Archivio
054 X ARCOWEB - Archivio Organizzato WEB Dir. Affari Generali
Organizzato WEB
Dir. Produzioni
Gestione pratiche di richiesta di carburante agevolato Agroalimentari /
Uma - Ufficio Motorizzazione prima del trasferimento di competenze ad AVEPA; tutte le Dir. Del Settore
060 X
agricola dopo il passaggio è utilizzata per la sola consultazione Primario, Avepa,
storica delle pratiche precedentemente inserite. professionisti, Province,
imprese agricole,
Dir. Produzioni
Gestione pratiche di richiesta di carburante agevolato Agroalimentari /
Uma - Ufficio Motorizzazione prima del trasferimento di competenze ad AVEPA; tutte le Dir. Del Settore
060W X
agricola dopo il passaggio è utilizzata per la sola consultazione Primario, Avepa,
storica delle pratiche precedentemente inserite. professionisti, Province,
imprese agricole,
Dir. Piani e Programmi
Gestione di contributi, di mutui e di prestiti per
Settore Primario / tutte le
071 IRA Web X l'agricoltura di Regione Veneto, compreso il PSR
dir. del settore primario,
2000/2007.
AVEPA
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 26/41
D.S.I. /
Applicazione per la gestione della presentazione delle
AVEPA, Settore Primario,
073 Presentazione PSR 2007-2013 X domande del PSR (Piano di Sviluppo Rurale) 2007-
Singole Imprese,
2013
Organizzazioni di categoria
Visualizza i dati relativi a O.d.G. le DGR, compreso il Segr. Giunta - dir. Attivita'
Consultazione Atti - Seg. di
105 X X testo (scansionato). Istituzionali /
Giunta - con Atti Delibere
Accesso su autorizzazione della Segreteria di Giunta. direzioni regionali
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 27/41
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 28/41
620 Personale S.I. Fascicolo X X X Gestione del fascicolo dei dipendenti D.R.U.
Si compone 3 moduli:
- modulo client/server per la gestione del parco
macchine da parte delle strutture competenti Dir Affari Gelerali /
710 Parco automezzi X X
- modulo client/server per l'autorimessa regionale; direzioni regionali
- modulo web per la prenotazione delle auto da parte di
tutte le strutture.
VRU - Valutazione Risorse Applicazione web per la valutazione dei dirigenti e del
730 X D.R.U.
Umane personale regionale.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 29/41
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 30/41
> Smart Card X autorizzazione richieste smart card - EE.LL. obiett. 2 D.S.I. - eGov
> Censimento 2005 - RESEAU X Réseau della Società dell'Informazione EE.LL. del Veneto
Rilevazione pro Notificazione al Rilevazione trattamenti ex art.37 D.Lgs. 196/2003 per
> X D.S.I.
Garante Privacy 2004 Notificazione 2004
Sistema Informativo di Governo: contiene banche dati
Dir. Statistica /
A01 SiGOVE X statistiche ufficiali ed un sistema di business
direzioni regionali
intelligence per l'analisi degli stessi.
Applicazione web mediante la quale i concessionari
Dir. Ragioneria e tributi /
automobilistici possono richiedere l'esenzione dal
A03 Concessionari Web X concessionari
pagamento del bollo auto. Si integra con la X03 (Bollo
automobilistici
Auto Sogei).
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 31/41
Si compone di 2 moduli:
1) gestionale di piccole biblioteche interne alle strutture Dir. Beni culturali, D.S.I. /
Gestione Biblioteche di Struttura
A43 X regionali; Dir. Affari Legislativi; Dir.
BiblioWEB
2) gestione abbonamenti alle riviste da parte della Dir. Riforme istituzionali.
Cultura.
Direzione Informazione e
A45 Questionario X Questionario URP
Comunicazione
Nuovo portale turistico regionale www.veneto.to.
Rappresenta in Internet la vetrina ufficiale per la
A47 Portale Turistico Regionale X Direzione Turismo
promozione turistica e la valorizzazione del territorio
del Veneto.
Servizio di Newsletter invocabile attraverso il portale
A48 News Letter "Caccia" X U.P. Caccia e Pesca
internet regionale dedicato al settore Caccia
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 32/41
A50B Rilevazione Presenze X X X TIME per la rilevazione delle presenze. D.R.U. / direzioni regionali
Front end per dipendente per la visualizzazione degli Dir. Ris. Umane /
A50D Self-Service X X
orari, dei cedolini e delle spettanze. dipendenti
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 33/41
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 34/41
Dir. Pianificazione
B14 NewsLetter PARCHI X NewsLetter Dir. Parchi
Territoriale e Parchi
Dir. Pianificazione
B15 Giornale PARCHI X Giornale Telematico Dir. Parchi
Territoriale e Parchi
B22 GiornateDelloSpettacolo X Giornate dello Spettacolo - Raccolta Dati Dir. Cultura Segr. Reg. Cult.
B31 Congedi e ParTime X X Gestione richieste di Aspettativa, Congedi e ParTime. Direzione Risorse Umane
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 35/41
B40 GenioCivileWEB X Gestione commissioni tecniche Genii Civili regionali Genii Civili
http://assint.regione.veneto.it
http://adriaticvideo.regione.veneto.it/
http://owiproject.regione.veneto.it/
E25 ASSINT Community X ASSINT (community.assint.org) D.S.I.
Portale del Centro Regionale di Competenza (CRC)
del Veneto.
http://crc.regione.veneto.it/
Portale del Programma Regionale 2008 a sostegno
dell'Imprenditoria Femmimile. Dir. Industria /
E27 Imprenditoria Femminile X
CPV, Utenza Internet
Tutti i portali del gruppo e-democracy usano lo stesso
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 36/41
http://imprenditoriafemminile.regione.veneto.it/
Portale OverNetwork - Interconnessione tra D.S.I. /
E28 OverNetwork X
Amministrazioni tramite Rete OverNetwork. Amministazioni Locali
Servizi E-Learning / E-Democracy / E-Governament -
vari portali internet
E30 E-Learning X D.S.I.
http://elearning.regione.veneto.it
Portale internet per la promozione della formazione
nell'ambito della rete delle regioni per l'elearning.
E32 AssInt E-Learning X D.S.I.
http://elearning.assint.org
Progetto per la conoscenza delle esperienze di
integrazione ed utilizzo delle ICT nell’ambito della
formazione professionale.
http://vened.regione.veneto.it/
http://www.villevenete.net
S01 Portale RVE X Portale di Regione Veneto (www.regione.veneto.it) D.S.I.
Identity and Access Management.
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 37/41
Applicazione in
210 Dati Contabili Finanziari n.d. n.d. Dati Contabili Finanziari RVe - Direzione Bilancio
housing
Applicazione/Portale in
A21 Cicerone Banca Dati 2006 n.d. n.d. Banca Dati Cicerone 2006 RVe - Dir. Formazione
hosting/housing
Applicazione/Portale in
A81 CREV-GESVET n.d. n.d. CREV - GESVET Ist. Zooprofilattico, Esterni
hosting/housing
Applicazione/Portale in
A84 CREV-ASSO n.d. n.d. CREV - ASSO Ist. Zooprofilattico, Esterni
hosting/housing
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 38/41
Applicazione/Portale in
-- WEB Service Settore Primario n.d. n.d. Web Service. Ist. Zooprofilattico, Esterni
hosting/housing
Applicazione/Portale in
-- Servizi (FatDip) n.d. n.d. Servizi. Ist. Zooprofilattico, Esterni
hosting/housing
Applicazione/Portale in
-- AC WEB n.d. n.d. Web Service. Ist. Zooprofilattico, Esterni
hosting/housing
Portale in
-- Sito WEB n.d. n.d. Sito Web. Ist. Zooprofilattico, Esterni
hosting/housing
AROF
--- Applicazione in hosting n.d. n.d. Anagrafe regionale Obbligo Formativo Veneto Lavoro
(Veneto Lavoro)
SSO
--- Applicazione in hosting n.d. n.d. Singol Sign On Veneto Lavoro
(Veneto Lavoro)
AOL
--- Applicazione in hosting n.d. n.d. Adempimenti On Line Veneto Lavoro
(Veneto Lavoro)
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 39/41
Pegaso
--- Applicazione in hosting n.d. n.d. Gestionale di Back Office. Veneto Lavoro
(Veneto Lavoro)
SILL
--- Applicazione in hosting n.d. n.d. Sistema Informativo lavoro locale Veneto Lavoro
(Veneto Lavoro)
ESB Mule
--- Applicazione in hosting n.d. n.d. Mule ESB Veneto Lavoro
(Veneto Lavoro)
-- Back Up - Veneto Sviluppo Applicazione in hosting n.d. n.d. Server per Backup dell’ente Veneto Sviluppo
Applicazione/portale in
--- WebGis Agricoltura n.d. n.d. WebGis Agricoltura UP Cartografico
Housing
Applicazione/portale in
--- WebGis Cartografico n.d. n.d. WebGis Cartografico UP Cartografico
Housing
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 40/41
Assistenza Residenziale e
Assistenza Residenziale e Semiresidenziale Direzione Risorse Socio
RSA Semiresidenziale hosting/housing n.d. n.d.
Extraospedaliera Sanitarie
Extraospedaliera
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010
ALLEGATOA alla Dgr n. 1003 del 23 marzo 2010 pag. 41/41
* * *
Regione del Veneto / Giunta Regionale – Documento Programmatico sulla Sicurezza – 2010