Nelle organizzazioni che gestiscono infrastrutture, server, reti, backup, identità digitali e strumenti di sicurezza, la figura dell'amministratore di sistema non è un dettaglio organizzativo: è una funzione da definire in modo formale, con responsabilità, limiti e controlli chiari.
Perché il ruolo è necessario
La gestione informatica richiede persone abilitate a intervenire sui sistemi con privilegi elevati. Senza una nomina o una designazione esplicita, aumenta il rischio di accessi non tracciati, configurazioni non documentate e difficoltà nel dimostrare chi ha fatto cosa e quando.
Riferimenti normativi utili
- Provvedimento del Garante per la protezione dei dati personali del 27 novembre 2008, relativo alle attribuzioni delle funzioni di amministratore di sistema.
- Provvedimento del Garante del 25 giugno 2009, con ulteriori indicazioni su designazione, verifica e registrazione delle attività degli amministratori di sistema.
- Regolamento (UE) 2016/679, in particolare l’articolo 32 sulla sicurezza del trattamento e l’accountability del titolare.
- Decreto legislativo 30 giugno 2003, n. 196, come modificato dal decreto legislativo 10 agosto 2018, n. 101, con richiamo anche all’articolo 2-quaterdecies sulla designazione di soggetti autorizzati.
Misure pratiche da adottare
- elenco nominativo degli amministratori autorizzati;
- compiti assegnati per sistema, ambiente e servizio;
- registrazione e conservazione dei log di accesso e amministrazione;
- verifiche periodiche degli accessi privilegiati;
- separazione tra attività operative, manutenzione e controllo.
In pratica, la figura dell’amministratore di sistema va trattata come una componente della governance IT e della protezione dei dati, non come una semplice etichetta tecnica.