DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 14 aprile 2021, n. 81

|8) affidamento di forniture di beni, | | |sistemi e servizi di information and | | |communication technology (ICT), anche | | |mediante definizione di caratteristiche e |2.1.4 ID.AM-6, | |requisiti di carattere generale, di |limitatamente al punto | |standard e di eventuali limiti |8 |

| +-----------------------+

| |2.5.1 ID.SC-1 |

| +-----------------------+

| |2.5.2 ID.SC-2 |

| +-----------------------+

| |2.5.3 ID.SC-3 |

| +-----------------------+

| |2.5.4 ID.SC-4 |

+-------------------------------------------+-----------------------+

APPENDICE n. 2 - CATEGORIE (Tabella recante la ripartizione delle misure di sicurezza nelle categorie di cui all'art. 8, comma 1, lettere a) e b))

Misure del presente allegato Categorie di cui all'art. 8

2.1.1 ID.AM-1 A

2.1.2 ID.AM-2 B

2.1.3 ID.AM-3 A

2.1.4 ID.AM-6 A

2.2.1 ID.GV-1 A

2.2.2 ID.GV-4 A

2.3.1 ID.RA-1 A

2.3.2 ID.RA-5 A

2.3.3 ID.RA-6 B

2.4.1 ID.RM-2 A

2.5.1 ID.SC-1 A

2.5.2 ID.SC-2 B

2.5.3 ID.SC-3 B

2.5.4 ID.SC-4 A

3.1.1 PR.AC-1 B

3.1.2 PR.AC-2 B

3.1.3 PR.AC-3 B

3.1.4 PR.AC-4 B

3.1.5 PR.AC-5 B

3.1.6 PR.AC-7 B

3.2.1 PR.AT-1 A

3.2.2 PR.AT-2 A

3.3.1 PR.DS-1 B

3.3.2 PR.DS-3 A

3.3.3 PR.DS-5 B

3.3.4 PR.DS-6 B

3.3.5 PR.DS-7 B

3.4.1 PR.IP-1 B

3.4.2 PR.IP-3 B

3.4.3 PR.IP-4 B

3.4.4 PR.IP-9 A

3.4.5 PR.IP-12 A

3.5.1 PR.MA-1 B

3.5.2 PR.MA-2 B

3.6.1 PR.PT-1 B

3.6.2 PR.PT-4 B

3.6.3 PR.PT-5 B

4.1.1 DE.AE-3 B

4.2.1 DE.CM-1 B

4.2.2 DE.CM-4 B

4.2.3 DE.CM-7 B

4.2.4 DE.CM-8 B

4.3.1 DE.DP-1 A

5.1.1 RS.RP-1 A

5.2.1 RS.CO-1 A

5.3.1 RS.AN-5 A

5.4.1 RS.MI-2 A

5.4.2 RS.MI-3 B

6.1.1 RC.RP-1 A

6.2.1 RC.IM-2 A

6.3.1 RC.CO-3 A

Allegato C

Allegato C (articolo 9) Misure minime di sicurezza per la tutela delle informazioni 1. Trattamenti con l'ausilio di strumenti elettronici a) Identificazione degli utenti e gestione delle identita' digitali; b) determinazione dei privilegi di accesso alle risorse da associare agli utenti e agli addetti o incaricati alla gestione o alla manutenzione; c) implementazione di un sistema di autenticazione e autorizzazione degli utenti secondo i privilegi individuati al punto precedente; d) protezione contro il software malevolo mediante l'impiego di software antimalware aggiornato e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti illeciti di dati, ad accessi non consentiti e a determinati programmi informatici; f) procedure di sicurezza per l'importazione e l'esportazione dei dati sui sistemi impiegati; g) procedure per la gestione della configurazione dei sistemi impiegati; h) procedure per la dismissione dei dispositivi di memorizzazione utilizzati sui sistemi impiegati; i) adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilita' dei dati e dei sistemi; l) adozione di tecniche di cifratura. 2. Misure di sicurezza fisica e documentale a) L'accesso alle informazioni e' consentito sulla base del principio della necessita' di conoscere (need to know); b) deve essere individuata la figura di un responsabile incaricato della gestione delle informazioni, preferibilmente gia' in possesso di abilitazione di sicurezza ai sensi dell'articolo 42 della legge 3 agosto 2007, n. 124; c) la documentazione deve essere custodita in un locale idoneo, appositamente individuato, che presenti un perimetro chiaramente delimitato e sia dotato di misure di protezione minime tali da consentire l'accesso alle sole persone autorizzate, ovvero in armadi di sicurezza con procedura di tracciamento delle chiavi in uso; d) la documentazione deve essere registrata su appositi registri di protocollo; e) la consultazione dei documenti deve avvenire sulla base del principio della necessita' di conoscere (need to know) e deve essere tracciata su apposito registro; f) la riproduzione dei documenti puo' avvenire solo previa autorizzazione del responsabile della gestione delle informazioni e deve essere registrata su apposito registro; g) la documentazione deve essere spedita tramite corrieri.