1. Dichiarazione della politica
Lo scopo di questa politica è quello di fornire un quadro di sicurezza che assicuri la protezione delle informazioni dell’Università da accessi non autorizzati, perdite o danni, sostenendo al contempo le esigenze di apertura e condivisione delle informazioni della nostra cultura accademica. Le informazioni universitarie possono essere verbali, digitali e/o cartacee, controllate individualmente o condivise, indipendenti o in rete, utilizzate per l’amministrazione, la ricerca, l’insegnamento o altri scopi. Le norme e le procedure relative a questa politica di sicurezza delle informazioni saranno sviluppate e pubblicate separatamente.
Il mancato rispetto di questa politica può essere soggetto ad azioni disciplinari e alle potenziali sanzioni descritte nella sezione 1.1.7 di Diritti, Regole, Responsabilità.
2. Chi è interessato da questa politica
La politica di sicurezza delle informazioni si applica a tutti i docenti e al personale dell’Università, nonché agli studenti che agiscono per conto dell’Università di Princeton attraverso il servizio in organismi universitari come task force, consigli e comitati (ad esempio, il Comitato Facoltà-Studenti sulla Disciplina). Questa politica si applica anche a tutti gli altri individui ed entità a cui è concesso l’uso delle informazioni dell’Università, compresi, ma non solo, appaltatori, dipendenti temporanei e volontari.
3. Definizioni
Autorizzazione – la funzione di stabilire i livelli di privilegio di un individuo per accedere e/o gestire le informazioni.
Disponibilità – garantire che le informazioni siano pronte e adatte all’uso.
Confidenzialità – assicurare che le informazioni siano tenute in stretta privacy.
Integrità – assicurare l’accuratezza, la completezza e la coerenza delle informazioni.
Accesso non autorizzato – consultare, rivedere, copiare, modificare, cancellare, analizzare o gestire le informazioni senza la dovuta autorizzazione e la legittima necessità aziendale.
Informazioni dell’Università – informazioni che l’Università di Princeton raccoglie, possiede o a cui ha accesso, indipendentemente dalla loro fonte. Ciò include informazioni contenute in documenti cartacei o altri media, comunicate su reti vocali o di dati, o scambiate in conversazione.
4. Politica
L’Università di Princeton protegge adeguatamente le sue informazioni da accessi non autorizzati, perdite o danni, sostenendo al contempo le esigenze di apertura e condivisione delle informazioni della nostra cultura accademica.
A. Livelli di classificazione
Tutte le informazioni dell’Università sono classificate in uno dei quattro livelli basati sulla loro sensibilità e sui rischi associati alla divulgazione. Il livello di classificazione determina le protezioni di sicurezza che devono essere utilizzate per le informazioni.
Quando si combinano le informazioni, il livello di classificazione delle informazioni risultanti deve essere rivalutato indipendentemente dalla classificazione delle informazioni di origine per gestire i rischi.
I requisiti aggiuntivi per la protezione delle informazioni in ogni livello di classificazione sono identificati nelle Princeton Information Protection Standards and Procedures.
I livelli di classificazione sono:
1. Restricted
Le seguenti informazioni universitarie sono classificate come Restricted:
- Numero di previdenza sociale
- Numero di conto corrente bancario
- Numero della patente di guida
- Numero della carta d’identità
- Numero della carta di credito
- Informazioni sanitarie protette (come definito da HIPAA)
Le leggi statali e federali richiedono che l’accesso non autorizzato a certe informazioni riservate sia segnalato all’agenzia o alle agenzie appropriate. Tutte le segnalazioni di questa natura a parti esterne devono essere fatte da o in consultazione con l’Office of the General Counsel (vedi: Office of General Counsel/Privacy/Information Technology).
La condivisione di informazioni riservate all’interno dell’Università può essere consentita se necessaria per soddisfare le legittime esigenze aziendali dell’Università. Ad eccezione di quanto altrimenti richiesto dalla legge (o ai fini della condivisione tra enti preposti all’applicazione della legge), nessuna informazione riservata può essere divulgata a parti esterne all’Università, compresi gli appaltatori, senza il previo accordo scritto del destinatario proposto (i) di adottare misure appropriate per salvaguardare la riservatezza delle informazioni riservate; (ii) a non divulgare le informazioni riservate ad altre parti per qualsiasi scopo senza il previo consenso scritto dell’Università o un ordine del tribunale o un mandato di comparizione valido; e (iii) a notificare in anticipo all’Università qualsiasi divulgazione ai sensi di un ordine del tribunale o di un mandato di comparizione, a meno che l’ordine o il mandato non proibisca esplicitamente tale notifica. Inoltre, il destinatario proposto deve rispettare i requisiti di questa politica. Qualsiasi condivisione di informazioni riservate all’interno dell’Università deve essere conforme alle politiche dell’Università, compresi i diritti, le regole e le responsabilità e la politica di utilizzo accettabile per la tecnologia informatica e le risorse digitali dell’Università di Princeton.
2. Riservato
Le informazioni dell’Università sono classificate come riservate se non rientrano nella classificazione riservata, ma non sono destinate ad essere condivise liberamente all’interno o all’esterno dell’Università a causa della loro natura sensibile e/o degli obblighi contrattuali o legali. Esempi di informazioni riservate includono tutte le informazioni non riservate contenute nei file del personale, nei registri delle indagini di cattiva condotta e delle forze dell’ordine, nei dati finanziari interni, nei registri dei donatori e nei registri dell’istruzione (come definito dal FERPA).
La condivisione di informazioni riservate può essere consentita se necessaria per soddisfare le legittime esigenze aziendali dell’Università. A meno che la divulgazione non sia richiesta dalla legge (o ai fini della condivisione tra enti preposti all’applicazione della legge), quando si divulgano informazioni riservate a parti esterne all’Università, il destinatario proposto deve accettare (i) di adottare misure appropriate per salvaguardare la riservatezza delle informazioni: (ii) di non divulgare le informazioni a qualsiasi altra parte per qualsiasi scopo senza il previo consenso scritto dell’Università o un ordine del tribunale o una citazione valida; e (iii) di notificare l’Università in anticipo di qualsiasi divulgazione ai sensi di un ordine del tribunale o una citazione a meno che l’ordine o la citazione vietino esplicitamente tale notifica. Inoltre, il destinatario proposto deve rispettare i requisiti di questa politica. Qualsiasi condivisione di informazioni riservate all’interno dell’Università deve essere conforme alle politiche dell’Università, compresi i diritti, le regole e le responsabilità e la politica di utilizzo accettabile per la tecnologia informatica e le risorse digitali dell’Università di Princeton.
3. Unrestricted Within Princeton (UWP)
Le informazioni dell’Università sono classificate come Unrestricted Within Princeton (UWP) se non rientrano nelle classificazioni Restricted e Confidential, ma non sono destinate ad essere liberamente condivise all’esterno dell’Università. Un esempio è il Faculty Facebook.
La presunzione è che le informazioni UWP rimarranno all’interno dell’Università di Princeton. Tuttavia, queste informazioni possono essere condivise al di fuori di Princeton se necessario per soddisfare le legittime esigenze di business dell’Università, e il destinatario proposto accetta di non ridiscutere le informazioni senza il consenso dell’Università.
4. Pubblicamente disponibili
Le informazioni dell’Università sono classificate come pubblicamente disponibili se sono destinate ad essere rese disponibili a chiunque all’interno e all’esterno dell’Università di Princeton.
B. Protezione, trattamento e classificazione delle informazioni
- In base alla sua classificazione, le informazioni universitarie devono essere adeguatamente protette da accessi non autorizzati, perdite e danni. I requisiti di sicurezza specifici per ogni classificazione possono essere trovati nelle Princeton Information Protection Standards and Procedures.
- Il trattamento delle informazioni universitarie provenienti da qualsiasi fonte diversa dall’Università di Princeton può richiedere il rispetto sia di questa politica che dei requisiti dell’individuo o dell’entità che ha creato, fornito o controlla le informazioni. Se avete dubbi sulla vostra capacità di conformarvi, consultate l’alto dirigente interessato e l’Ufficio del General Counsel.
- Quando ritenuto opportuno, il livello di classificazione può essere aumentato o possono essere imposti ulteriori requisiti di sicurezza oltre a quanto richiesto dalla politica di sicurezza delle informazioni e dagli standard e procedure di protezione delle informazioni di Princeton.
- Se ricevete informazioni non classificate controllate (CUI) o le create, contattate l’Information Security Office (ISO) per essere sicuri che i controlli di sicurezza appropriati siano applicati ai dati. Se non siete sicuri che si tratti di CUI, contattate l’Office for Research Project Administration o l’ISO.
5. Responsabilità
Tutti i docenti dell’Università di Princeton, il personale, gli studenti (quando agiscono per conto dell’Università attraverso il servizio negli organi dell’Università), e altri a cui è concesso l’uso delle informazioni dell’Università sono tenuti a:
- Comprendere i livelli di classificazione delle informazioni definiti nella politica di sicurezza delle informazioni.
- A seconda dei casi, classifichino le informazioni di cui sono responsabili di conseguenza.
- Accedano alle informazioni solo se necessario per soddisfare legittime esigenze aziendali.
- Non divulghino, copino, rilascino, vendano, prestino, alterino o distruggano alcuna informazione universitaria senza un valido scopo aziendale e/o autorizzazione.
- Proteggere la riservatezza, l’integrità e la disponibilità delle informazioni universitarie in modo coerente con il livello e il tipo di classificazione delle informazioni.
- Gestire le informazioni in conformità con le Princeton Information Protection Standards and Procedures e qualsiasi altro standard o politica universitaria applicabile.
- Salvaguardare qualsiasi chiave fisica, carta d’identità, account di computer o di rete che consente di accedere alle informazioni dell’Università.
- Eliminare i supporti contenenti informazioni dell’Università di Princeton in modo coerente con il livello di classificazione delle informazioni, il tipo, e qualsiasi requisito di conservazione dell’Università applicabile. Questo include le informazioni contenute in qualsiasi documento cartaceo (come un memo o un rapporto) o in qualsiasi supporto di memorizzazione elettronico, magnetico o ottico (come una chiavetta di memoria, CD, hard disk, nastro magnetico o disco).
- Contattare l’Office of the General Counsel prima di divulgare informazioni generate da tale ufficio o prima di rispondere a qualsiasi contenzioso o mandato di comparizione delle forze dell’ordine, ordini del tribunale e altre richieste di informazioni da parte di privati e agenzie governative.
- Contattare l’ufficio universitario appropriato prima di rispondere a richieste di informazioni da parte di agenzie di regolamentazione, ispettori, esaminatori e/o revisori.
6. Politiche, procedure, standard e modelli di Princeton correlati
Diritti, regole, Responsabilità
Politica di utilizzo accettabile per la tecnologia informatica e le risorse digitali dell’Università di Princeton
Politica di elaborazione delle carte di credito per le sedi commerciali dell’Università
Politica sui controlli delle esportazioni
Linee guida per la sicurezza dei dati di ricerca Linee guida
Politica per la prevenzione del furto di identità
Procedura per la risposta a una possibile esposizione di dati sensibili dell’università
Standard e procedure per la protezione delle informazioni di Princeton
Modello di accordo di riservatezza delle informazioni
7. Revisione della politica
Come minimo, la politica di sicurezza delle informazioni sarà rivista ogni 12 mesi.
8. Registro degli aggiornamenti
21 maggio 2004 – Politica emessa.
5 novembre 2015 – Approvata dall’ECC.
31 agosto 2017 – Aggiornata.
6 gennaio 2020 – Aggiunto linguaggio CUI.
7 febbraio 2020 – Aggiunta sezione B.4. sulle informazioni non classificate controllate.