Come documentare l'uso dei proxy per la compliance: modelli e politiche di sicurezza

Se la vostra azienda gestisce dati personali dei clienti, accetta pagamenti o è soggetta a audit di sicurezza, la documentazione dell'uso dei server proxy diventa un requisito obbligatorio. La mancanza di una documentazione adeguata può portare a multe fino a 20 milioni di euro ai sensi del GDPR o alla perdita della certificazione PCI DSS.

In questa guida esamineremo come documentare correttamente l'uso dei proxy per soddisfare i requisiti dei regolatori, quali politiche è necessario creare e come mantenere i registri di accesso. Riceverete modelli di documenti pronti e checklist per l'implementazione.

Perché la documentazione dei proxy è critica per la compliance

I server proxy diventano spesso una "zona cieca" nella documentazione della sicurezza aziendale. Le aziende descrivono attentamente i processi di gestione dei database, ma dimenticano di documentare come i loro dipendenti o sistemi accedono a risorse esterne tramite proxy.

Il problema diventa critico in diverse situazioni:

• Audit di sicurezza informatica: Gli auditor ISO 27001 o SOC 2 richiedono conferma che tutti i canali di accesso ai dati siano documentati e controllati. I proxy sono un canale di accesso.
• Investigazione di incidenti: In caso di violazione dei dati o sospetti di frode, è necessario dimostrare chi, quando e perché ha utilizzato il proxy per accedere a determinate risorse.
• Verifica GDPR: Se trattate dati di cittadini dell'UE tramite proxy in altri paesi, dovete documentare la legalità del trasferimento transfrontaliero dei dati.
• Certificazione PCI DSS: Per le aziende che accettano pagamenti con carte, tutti i punti di accesso ai dati delle carte devono essere documentati, compresi i server proxy.

Un esempio reale: nel 2022, un'azienda fintech europea ha ricevuto un avviso dall'autorità di regolamentazione per la mancanza di documentazione su come il loro sistema di monitoraggio dei rischi utilizza i proxy per verificare le transazioni. La multa è stata evitata solo dopo la creazione urgente di un pacchetto completo di documenti e registri retrospettivi per 12 mesi.

Quali requisiti normativi riguardano i proxy

Diversi standard normativi pongono requisiti specifici per la documentazione dell'uso dei server proxy. Ecco i principali con cui le aziende devono confrontarsi:

GDPR (Regolamento generale sulla protezione dei dati)

Se utilizzate proxy per trattare dati personali di cittadini dell'UE, dovete documentare:

• Obiettivi dell'uso dei proxy (articolo 5.1.b — limitazione della finalità)
• Posizione geografica dei server proxy (articolo 44 — trasferimento transfrontaliero dei dati)
• Misure di sicurezza per proteggere i dati durante il trasferimento tramite proxy (articolo 32)
• Contratti con il fornitore di proxy come responsabile del trattamento (articolo 28)
• Registri di accesso per garantire la responsabilità (articolo 5.2)

Un esempio pratico: se il vostro dipartimento marketing utilizza proxy residenziali per analizzare i concorrenti in diversi paesi dell'UE, e raccoglie dati sui prezzi o sull'assortimento (che possono indirettamente contenere dati personali), avete bisogno di una politica di utilizzo dei proxy conforme al GDPR.

PCI DSS (Standard di sicurezza dei dati dell'industria delle carte di pagamento)

Per le aziende che trattano pagamenti, i requisiti PCI DSS versione 4.0 includono:

• Requisito 1.2.1: Documentazione di tutte le connessioni autorizzate tra l'ambiente dei dati delle carte e le reti esterne (i proxy sono una di queste connessioni)
• Requisito 10.2: Registrazione di tutte le azioni degli utenti con diritti di amministratore, compresa la gestione dei proxy
• Requisito 12.3: Politica di utilizzo delle tecnologie, compresi i server proxy

ISO 27001 (Sistema di gestione della sicurezza delle informazioni)

Lo standard richiede la documentazione nel contesto del controllo A.13.1.1 (gestione degli elementi di sicurezza di rete):

• Inventario di tutti i server proxy e delle loro configurazioni
• Procedure di gestione dell'accesso ai proxy
• Monitoraggio dell'uso e rilevamento delle anomalie
• Revisione regolare delle politiche (almeno annualmente)

152-FZ "Sui dati personali" (Russia)

La legislazione russa richiede di documentare:

• Modello di minacce alla sicurezza dei dati personali (proxy come mezzo di protezione o potenziale minaccia)
• Specifiche tecniche per la creazione o modernizzazione del sistema informativo (se il proxy ne è parte)
• Atti di classificazione e categorizzazione dei sistemi informativi

Modello di politica per l'uso dei server proxy

La politica di utilizzo dei proxy è un documento di base che definisce le regole, le responsabilità e le procedure. Ecco la struttura della politica, adattata ai requisiti di compliance:

1. Disposizioni generali

Obiettivo della politica: Definire le regole per l'uso dei server proxy per garantire la sicurezza, la riservatezza e la conformità ai requisiti normativi durante l'accesso a risorse esterne e il trattamento dei dati.

Ambito di applicazione: La politica si applica a tutti i dipendenti, appaltatori e sistemi automatizzati dell'azienda che utilizzano server proxy per accedere a risorse internet o trattare dati.

2. Obiettivi autorizzati per l'uso dei proxy

I server proxy possono essere utilizzati solo per i seguenti obiettivi aziendali:

• Monitoraggio dei concorrenti: Raccolta di informazioni pubblicamente disponibili sui prezzi, sull'assortimento e sulle attività di marketing dei concorrenti per analisi di mercato (dipartimenti: marketing, prodotto).
• Test dei servizi web: Verifica della disponibilità e correttezza del funzionamento delle proprie risorse web da diverse regioni geografiche (dipartimenti: sviluppo, QA).
• Verifica delle campagne pubblicitarie: Verifica della visualizzazione della pubblicità in diverse regioni e su diversi dispositivi (dipartimento: marketing).
• Protezione da DDoS: Mascheramento degli indirizzi IP dei sistemi aziendali durante l'accesso a API esterne (dipartimento: IT).
• Garanzia di anonimato: Protezione dei dati personali dei dipendenti durante la conduzione di ricerche o il lavoro con informazioni sensibili (dipartimento: sicurezza, compliance).

3. Tipi di proxy e loro applicazione

4. Procedura per ottenere accesso ai proxy

Qualsiasi dipendente che necessita di accesso ai server proxy deve seguire la seguente procedura:

1. Invio della richiesta: Compilazione del modulo di richiesta di accesso indicando la motivazione aziendale, il tipo di proxy e la durata dell'uso.
2. Approvazione del supervisore: Approvazione da parte del supervisore diretto del dipartimento.
3. Verifica della compliance: Valutazione della richiesta da parte del dipartimento di sicurezza informatica o compliance per conformità alla politica.
4. Assegnazione delle credenziali: Il dipartimento IT fornisce accesso con credenziali uniche per ogni utente.
5. Formazione: Il dipendente partecipa a un breve briefing sull'uso sicuro dei proxy (può essere in forma di video o documento).

Tempo di elaborazione della richiesta: Non oltre 3 giorni lavorativi dalla data di invio.

5. Responsabilità e ruoli

• Direttore della sicurezza informatica (CISO): Approvazione della politica, controllo della conformità, coordinamento degli audit.
• Dipartimento IT: Implementazione tecnica, assegnazione degli accessi, monitoraggio dell'infrastruttura dei proxy.
• Compliance officer: Verifica della conformità dell'uso dei proxy ai requisiti normativi, gestione della documentazione.
• Responsabili dei dipartimenti: Approvazione delle richieste dai propri dipendenti, controllo dell'uso mirato.
• Utenti finali: Rispetto della politica, segnalazione immediata di eventuali incidenti o attività sospette.

Registri di accesso e monitoraggio: cosa registrare

La tenuta dei registri (log) dell'uso dei proxy non è solo una necessità tecnica, ma un requisito obbligatorio per la maggior parte degli standard di compliance. I log consentono di tracciare chi, quando e per quali scopi ha utilizzato il proxy, oltre a identificare anomalie o accessi non autorizzati.

Campi obbligatori del registro di accesso

Ogni registrazione nel log deve contenere i seguenti dati:

Automazione della raccolta dei log

La maggior parte dei fornitori di proxy fornisce API per ottenere statistiche sull'uso. Integra questi dati nel tuo sistema SIEM (Security Information and Event Management) o in un archivio centralizzato di log.

Strumenti consigliati per la raccolta e l'analisi dei log:

• ELK Stack (Elasticsearch, Logstash, Kibana): Soluzione gratuita per piccole e medie imprese, consente di visualizzare l'uso dei proxy in tempo reale.
• Splunk: Piattaforma commerciale con potenti capacità di correlazione degli eventi e rilevamento delle anomalie.
• Graylog: Alternativa open source a Splunk con un'interfaccia semplice.
• Azure Monitor / AWS CloudWatch: Soluzioni cloud per aziende che utilizzano le rispettive piattaforme.

Impostazione di avvisi

Gli avvisi automatici aiutano a identificare violazioni della politica o attività sospette:

• Volume di dati insolito: Se un dipendente ha trasferito oltre 1 GB tramite proxy in una sessione (può indicare il download di database).
• Accesso in orari non lavorativi: Utilizzo del proxy durante le ore notturne o nei fine settimana senza previa approvazione.
• Cambio di geolocalizzazione: Un utente utilizza proxy da 5+ paesi diversi in un breve periodo.
• Accesso a risorse vietate: Tentativo di connessione a domini nella blacklist dell'azienda.
• Molteplici tentativi non riusciti: Più di 10 tentativi di autenticazione non riusciti in un'ora (possibile compromissione delle credenziali).

Documentazione della protezione dei dati personali tramite proxy

Se i vostri sistemi trattano dati personali tramite proxy (ad esempio, per la verifica degli utenti, il controllo delle transazioni fraudolente o la raccolta di analisi), è necessario documentare le misure di protezione di questi dati.

Valutazione d'impatto sul trattamento dei dati (DPIA) per i proxy

Il GDPR richiede la conduzione di una valutazione d'impatto sul trattamento dei dati (DPIA) per le operazioni di trattamento che possono presentare un alto rischio per i diritti e le libertà delle persone fisiche. L'uso di proxy può rientrare in questo requisito se:

• Trattate dati personali sensibili (salute, finanze, biometria)
• Utilizzate proxy in paesi con un livello di protezione dei dati insufficiente (non UE)
• Trattate dati su larga scala (più di 10.000 soggetti di dati)

Struttura della DPIA per l'uso dei proxy:

1. Descrizione del trattamento: Quali dati vengono trasferiti tramite proxy, per quali scopi, quali categorie di soggetti di dati sono coinvolte.
2. Necessità e proporzionalità: Giustificazione del perché l'uso dei proxy è necessario e non ci sono alternative meno rischiose.
3. Rischi per i soggetti di dati: Cosa potrebbe andare storto (violazione dei dati, accesso non autorizzato, perdita di controllo sui dati).
4. Misure di mitigazione dei rischi: Crittografia, limitazione dell'accesso, contratti con il fornitore di proxy, audit regolari.
5. Consultazione con il DPO: Se avete un Responsabile della protezione dei dati, la sua opinione deve essere documentata.

Contratto con il fornitore di proxy come responsabile del trattamento dei dati

Se il fornitore di proxy ha la possibilità tecnica di accedere ai dati personali che transitano attraverso i suoi server, diventa giuridicamente un "responsabile del trattamento dei dati" secondo la terminologia del GDPR.

Nel contratto con il fornitore devono essere specificati:

• Oggetto e durata del trattamento: Quali dati vengono trattati, per quanto tempo.
• Obblighi del responsabile: Garantire la sicurezza, la riservatezza, assistenza nell'attuazione dei diritti dei soggetti di dati.
• Sottoprocessori: Può il fornitore coinvolgere terze parti, è richiesto il vostro consenso.
• Trasferimento transfrontaliero: In quali paesi si trovano i server proxy, quali meccanismi di protezione vengono applicati (Standard Contractual Clauses, Adequacy Decision).
• Notifica di incidenti: Obbligo del fornitore di informare immediatamente su qualsiasi violazione della sicurezza dei dati.
• Audit e ispezioni: Vostro diritto di verificare la conformità del fornitore alle condizioni del contratto.

Crittografia dei dati durante il trasferimento tramite proxy

Documentate quali metodi di crittografia vengono applicati:

• Proxy HTTPS: Tutto il traffico tra il vostro sistema e il server proxy è crittografato tramite TLS 1.2 o superiore.
• SOCKS5 con tunnel SSH: Livello aggiuntivo di crittografia per dati particolarmente sensibili.
• Crittografia end-to-end: I dati sono crittografati dal lato del mittente e decrittografati solo dal lato del destinatario, il proxy vede solo il traffico crittografato.

Nella documentazione indicate le versioni dei protocolli e gli algoritmi di crittografia (ad esempio: "TLS 1.3 con AES-256-GCM").

Preparazione della documentazione per l'audit

Quando arriva il momento di un audit esterno o interno, è necessario fornire rapidamente un pacchetto completo di documenti che confermino la compliance all'uso dei proxy. Ecco cosa deve essere pronto in anticipo:

Pacchetto di documenti per l'audit

1. Politica di utilizzo dei server proxy (versione attuale con firma della persona approvante)
   • Storia delle modifiche della politica
   • Documenti di presa visione dei dipendenti (firmati o conferme elettroniche)
2. Inventario dei server proxy
   • Elenco di tutti i proxy utilizzati (indirizzi IP, posizioni geografiche, tipi)
   • Informazioni sui fornitori (nomi delle aziende, contatti, dettagli dei contratti)
   • Data di inizio utilizzo di ciascun proxy
3. Registri di accesso
   • Log degli ultimi 12 mesi (o periodo richiesto dal vostro standard)
   • Report sulle anomalie rilevate e le misure adottate
   • Statistiche di utilizzo per dipartimenti
4. Contratti con i fornitori
   • Contratto principale per la fornitura di servizi proxy
   • Data Processing Agreement (DPA) per la compliance al GDPR
   • Standard Contractual Clauses (SCC), se i proxy sono situati al di fuori dell'UE
   • SLA (Service Level Agreement) con garanzie di disponibilità e sicurezza
5. DPIA (Valutazione d'impatto sulla protezione dei dati) — se applicabile
6. Procedure di gestione dell'accesso
   • Modulo di richiesta di accesso ai proxy
   • Esempi di richieste approvate e rifiutate
   • Procedura di revoca dell'accesso in caso di cessazione del dipendente
7. Incidenti e loro investigazione
   • Registro degli incidenti relativi ai proxy (se presenti)
   • Report sulle investigazioni
   • Azioni correttive
8. Formazione e consapevolezza
   • Materiali di formazione per l'uso sicuro dei proxy
   • Registrazioni della partecipazione alla formazione da parte dei dipendenti

Domande tipiche degli auditor

Preparatevi a rispondere alle seguenti domande (con prove):

• "Come controllate che i proxy siano utilizzati solo per scopi autorizzati?" — Mostrate i log e la procedura di monitoraggio.
• "Come garantite che i dati personali non vengano trasmessi al fornitore di proxy?" — Mostrate il DPA, la politica di crittografia, la conferma no-log.
• "Con quale frequenza riesaminate l'elenco dei dipendenti con accesso ai proxy?" — Mostrate la procedura di riesame trimestrale.
• "Cosa succede se il fornitore di proxy smette di funzionare o viene compromesso?" — Mostrate il piano di continuità aziendale (BCP) e l'elenco dei fornitori alternativi.
• "Come garantite la conformità durante il trasferimento transfrontaliero dei dati?" — Mostrate le SCC e l'analisi dei paesi in cui si trovano i proxy.

Automazione della preparazione all'audit

Create una "cartella per l'audit" (fisica o elettronica) con le versioni attuali di tutti i documenti. Nominate una persona responsabile per il suo aggiornamento (di solito il compliance officer o il CISO).

Utilizzate piattaforme GRC (Governance, Risk, Compliance) per l'automazione:

• OneTrust: Gestione delle politiche, promemoria automatici per la revisione dei documenti.
• ServiceNow GRC: Integrazione con i processi IT, raccolta automatica delle prove di compliance.
• Vanta / Drata: Automazione della compliance per SOC 2, ISO 27001 con monitoraggio continuo.

Tempi di conservazione dei documenti e dei log

Diversi standard e legislazioni stabiliscono tempi minimi di conservazione della documentazione e dei registri. La non conformità a questi termini può comportare multe o l'impossibilità di dimostrare la compliance in caso di indagine.

Procedura di eliminazione sicura

Al termine del periodo di conservazione, i documenti e i log devono essere eliminati in modo sicuro, per minimizzare il rischio di fuga di dati obsoleti:

• Documenti elettronici: Utilizzare metodi di eliminazione sicura (non semplicemente "Elimina", ma sovrascrittura dei dati almeno 3 volte).
• Documenti cartacei: Distruzione tramite shredding con livello di riservatezza P-4 o superiore (secondo DIN 66399).
• Backup: Non dimenticate di eliminare i dati da tutti i backup, non solo dall'archivio principale.
• Documentazione dell'eliminazione: Tenere registri delle eliminazioni effettuate.