Newsgroup: it.diritto
Titolo: Privacy: art. 10 allegato B disciplinare tecnico e password

Oilà, che bel guaio questa privacy.
è sorto questo dubbio, che ha fatto insorgere una diatriba sulle
password...
Ossia, il consulente mi consiglia che ogni utente scelga la sua
password, la scriva in un foglio e la archivi in busta chiusa, in
cassaforte. Nominare quindi, per iscritto, un responsabile per le
password. Nel caso in cui devo accedere al pc di quella persona, lo
chiamo e gli dico che apro la busta.
Il mio responsabile informatico, invece, sostiene che è meglio se
lascio ai miei utenti scegliere la loro password, non la chiedo e non
le faccio scrivere. Quando uno di loro sta a casa, avendo io l'account
di amministratore di sistema, posso eliminare la password dell'utente
e sceglierne una nuova, oppure modificare i diritti di accesso al file
o alla cartella che mi interessa.
Partiamo dall'inizio, e qui sotto riporto l'intero articolo 10
dell'allegato B
"Quando l'accesso ai dati e agli strumenti elettronici è consentito
esclusivamente mediante uso della componente riservata della
credenziale per l'autenticazione, sono impartite idonee e preventive
disposizioni scritte volte a individuare chiaramente le modalità con
le quali il titolare può assicurare la disponibilità di dati o
strumenti elettronici in caso di prolungata assenza o impedimento
dell'incaricato che renda indispensabile e indifferibile intervenire
per esclusive necessità di operatività e di sicurezza del sistema.
 In tal caso la custodia delle copie delle credenziali è organizzata
garantendo la relativa segretezza e individuando preventivamente per
iscritto i soggetti incaricati della loro custodia, i quali devono
informare tempestivamente l'incaricato dell'intervento effettuato. "
TESI 1 del consulente
La password deve avere le seguenti caratteristiche
a)   essere segreta     (mettendola in busta chiusa è segreta)
b)   devo avere una persona incaricata x iscritto 
c)  custodita         (custodisco qualcosa di tangibile, quindi la
password deve essere comunicata, in lettera, messa x iscritto)
d)     se devO intervenire sui documenti di un utente, lo devo
informare tempestivamente
TESI 2 del responsabile EDP
La password:
a) è segreta--> non viene comunicata a nessuno, e la conosce solo
l'utente
b) incarico l'amministratore di sistema quale possessore dell'account
administrator
c) la password è custodita nell'albero di active directory (o nella
struttura di rete del sistema operativo, in modo segreto xchè è
automaticamente cifrata)
d) quando devo intervenire sul sistema di un utente, azzero la sua
password. al suo ritorno, l'utente cambierà in autonomia la password
nuovamente.
Spero di essere stata chiara, io ci ho messo un bel pò per capirmi
;)....
Grazie e buon fine settimana
Samantha


ha ragione l'EDP manager.
A parte la stupidità del consulente, perche' e' ovvio capire che in caso di
1500 utenti e una frequenza supponiamo mensile di cambio password la sua
procedura sarebbe carta straccia pura.
C'è grossa confusione sul concetto di custodia delle chiavi.
A seconda del sistema di autenticazione, come correttamente detto dal tuo
EDP manager, è sufficiente predisporre un numero di server con il repository
(che è criptato) che mantengano replica delle credenziali.

 Samantha
Risposta: segui il consiglio del responsabile informatico.
Soddisfa al legge ed è molto + semplice da realizzare.
- Dario

 Soddisfa al legge ed č molto + semplice da realizzare.
verissimo
anche se ti vai a leggere le indicazione dell'ordine forense trovi scritto
che si dovrebbe utilizzare la busta chiusa :-)))

Grazie a tutti per i consigli, 
e buona giornata!
Samantha

Ciao,
in merito all'argomento in oggetto, ho trovato un articolo
interessante che appare su 
http://www.interlex.it/675/dps_pass.htm
Le copie delle "credenziali": basta disabilitare la password
(Messaggio firmato) - 10.06.04
 
Spett.le Redazione,
desidero apportare un mio piccolissimo contributo all'articolo
dell'avv. Neirotti, in quanto essendo riuscito a contattare
telefonicamente l'URP del Garante ponendo lo stesso quesito
argomentato nell'articolo "Il DPS e le copie delle "credenziali":
leggiamo bene le norme" ho ricevuto verbalmente il benestare ad
utilizzare una modalità informatica di gestione delle credenziali,
identica a quella già in essere presso il… Garante!, senza utilizzare
la modalità "pesante" in forma cartacea.
Praticamente il nostro Amministratore di rete fa "scadere" le password
degli incaricati secondo le cadenze previste dalla normativa ed ogni
incaricato provvede ad inserire la sua nuova password di almeno 8
caratteri. In caso di necessità aziendale e di assenza prolungata di
un interessato l'Amministratore di rete su autorizzazione del Titolare
o del sottoscritto provvedere a "disabilitare" (fa scadere) la
password di quell'incaricato e con una nuova password "entra" del PC,
nel rispetto della privacy del dipendente, per tutte le operazioni
necessarie o previste. Al termine dell'intervento l'Amministratore di
rete fa nuovamente scadere la password provvisoria. L'incaricato
assente, oltre ad esserne stato informato, al suo rientro dovrà
digitare una nuova password per accedere al suo PC.
Le sole password dell'Amministratore di rete sono gestite in forma
cartacea in busta chiusa e conservate in cassaforte, il custode di
queste credenziali è l'attuale Legale Rappresentante, Presidente
pro-tempore del CdA.
Ciao,
Samantha