Il decreto 196/2003 del Codice in materia di protezione dei dati personali ha posto a carico dei soggetti pubblici, che effettuano trattamento dei dati, l'onere di adottare misure per rendere sempre più garantite e riservate le informazioni di natura personale e sensibile in loro possesso.
In virtù della nuova normativa, pertanto, l'Istituto, quale soggetto pubblico che tratta dati personali, sensibili e giudiziari ha provveduto ad introdurre ulteriori misure di sicurezza: informatiche, organizzative, logistiche e procedurali atte a configurare più elevati livelli di protezione così come previsti agli articoli 31-35 del Codice.
Le misure di sicurezza richieste dal Codice e adottate dall'Istituto, come descritte dal Documento Programmatico sulla Sicurezza (DPS), sono articolate in due gruppi:
misure "minime", la cui mancata adozione comporta sanzioni penali per chiunque, pur essendovi tenuto, ometta di adottarle;
misure più ampie o "idonee", decise in autonomia dal titolare in relazione alle specificità della propria attività e che, se non adottate, in caso di danno concorreranno all'individuazione delle responsabilità e del conseguente risarcimento economico.

Qualsiasi sistema di sicurezza tende a diminuire l'effetto più o meno rilevante di un attacco informatico e a ridurre il rischio di intrusione da parte di soggetti non autorizzati ma non può azzerare completamente la possibilità di un attacco informatico.
Avendo aderito al contratto quadro SPC1 (Sistema pubblico di connettività - Cnipa), l'Istituto ha provveduto a dotarsi di tutti i servizi in esso previsti a tutela dei requisiti di sicurezza ed integrità della propria rete. Abbiamo previsto l'adozione di quelle che riteniamo essere le opportune contromisure rispetto ad un potenziale attacco informatico.
Utilizziamo quindi servizi di sicurezza perimetrale come Firewall Management, Network address traslation, Antivirus e Content Filtering, Network Intrusion Detection system, Event log monitoring e test vulnerability.
Le principali attività effettuate dal servizio di Intrusion Detection e Real Time monitoring sono:
Analisi e Rilevazione degli eventi di sicurezza sul traffico dati che transita per il core della rete;
Real Time Monitoring degli eventi di sicurezza attraverso un attività di correlazione anche tra fonti dati non eterogenee;
Report delle attività anomale rilevate su base richiesta attraverso opportuni strumenti messi a disposizione presso le infrastrutture dell'Istituto;
Vulnerability Assessment ripetuto interno alla rete su base richiesta per misurare lo stato di sicurezza dei sistemi server interni alla rete.

Il nostro sistema informatico è inoltre segmentato per aree applicative in modo da confinare gli effetti derivanti da eventuali attacchi, pertanto, in caso di intrusione esterna, l'impatto che ne deriva è estremamente limitato.
Inoltre l'utilizzo di diversi sistemi di sicurezza derivanti da più vendors su una stessa area applicativa fa aumentare notevolmente il grado di affidabilità dei nostri sistemi.

Tra il 5% e il 10%.