Newsgroup: it.diritto
Titolo: privacy e password condivise

Nella mia ditta accedo al computer tramite una password tipo 
"Segreteria". Siccome ci lavoro solo io la conosco solo io. Ho firmato 
il doc. privacy e inserito nella busta la mia password. Adesso in 
ufficio è arrivata un'altra persona. Il capo ha deciso che anche lui 
dovrà usare a turno il computer che uso io e che quindi devo 
comunicargli la mia password. Sinceramente non capisco quale sia il 
motivo per non creare un nuovo account sul server tipo Segreteria2 o 
Pippo con gli stessi privilegi sulle cartelle. Inoltre nel foglietto che 
ho firmato per la custodia della password c'era espressamente scritto di 
non comunicarla a nessuno. Ad esempio se questa nuova persona cancella 
tutte le cartelle a cui ho accesso al server di chi è la colpa visto che 
condividiamo entrambi la stessa password? si può in ambito aziendale 
condividere una stessa password? c'è qualche legge che posso citare per 
far valere i miei diritti (se ci sono)? chiedo solo che venga creato un 
nuovo account per evitare che l'altra persona mi crei casini...

 nuovo account per evitare che l'altra persona mi crei casini...
Hai tutte le ragioni del mondo.
Prendi il piano programmatico della sicurezza aziendale (perchč lo avete,
vero?!?!) e fai notare al tuo boss dove č scritto che le password sono
personali, che devono venir cambiate ogni tot mesi ecc.
In campo informatico vige un detto: "una password nota a due persone č una
password di dominio pubblico".   :-)
Saluti              Archi

 Saluti              Archi
sì il piano c'è domani lo consulto. In ogni caso il boss anche se nomina 
un incaricato su uno stesso computer (che non ha senso perché è 
l'account in sè ad avere i privilegi di accedere in rete) non può 
nominare due incaricati per uno stesso account giusto? o può farlo?
e se lui nel documento ha stabilito che Segreteria è condiviso? oppure 
per forza va creata una password personale per ogni utente?

 per forza va creata una password personale per ogni utente?
Se vi sono dati personali di mezzo, vedi qui:
      Allegato B. Disciplinare tecnico in materia di misure minime di
sicurezza
      Decreto legislativo 30 giugno 2003, n. 196 - Codice in materia di
protezione dei dati personali
Sistema di autenticazione informatica
1. Il trattamento di dati personali con strumenti elettronici è consentito
agli incaricati dotati di credenziali di autenticazione che consentano il
superamento di una procedura di autenticazione relativa a uno specifico
trattamento o a un insieme di trattamenti.
2. Le credenziali di autenticazione consistono in un codice per
l'identificazione dell'incaricato associato a una parola chiave riservata
conosciuta solamente dal medesimo oppure in un dispositivo di autenticazione
in possesso e uso esclusivo dell'incaricato, eventualmente associato a un
codice identificativo o a una parola chiave, oppure in una caratteristica
biometrica dell'incaricato, eventualmente associata a un codice
identificativo o a una parola chiave.
3. Ad ogni incaricato sono assegnate o associate individualmente una o più
credenziali per l'autenticazione.
4. Con le istruzioni impartite agli incaricati è prescritto di adottare le
necessarie cautele per assicurare la segretezza della componente riservata
della credenziale e la diligente custodia dei dispositivi in possesso ed uso
esclusivo dell'incaricato.
5. La parola chiave, quando è prevista dal sistema di autenticazione, è
composta da almeno otto caratteri oppure, nel caso in cui lo strumento
elettronico non lo permetta, da un numero di caratteri pari al massimo
consentito; essa non contiene riferimenti agevolmente riconducibili
all'incaricato ed è modificata da quest'ultimo al primo utilizzo e,
successivamente, almeno ogni sei mesi. In caso di trattamento di dati
sensibili e di dati giudiziari la parola chiave è modificata almeno ogni tre
mesi.
6. Il codice per l'identificazione, laddove utilizzato, non può essere
assegnato ad altri incaricati, neppure in tempi diversi.
7. Le credenziali di autenticazione non utilizzate da almeno sei mesi sono
disattivate, salvo quelle preventivamente autorizzate per soli scopi di
gestione tecnica.
8. Le credenziali sono disattivate anche in caso di perdita della qualità
che consente all'incaricato l'accesso ai dati personali.
9. Sono impartite istruzioni agli incaricati per non lasciare incustodito e
accessibile lo strumento elettronico durante una sessione di trattamento.
10. Quando l'accesso ai dati e agli strumenti elettronici è consentito
esclusivamente mediante uso della componente riservata della credenziale per
l'autenticazione, sono impartite idonee e preventive disposizioni scritte
volte a individuare chiaramente le modalità con le quali il titolare può
assicurare la disponibilità di dati o strumenti elettronici in caso di
prolungata assenza o impedimento dell'incaricato che renda indispensabile e
indifferibile intervenire per esclusive necessità di operatività e di
sicurezza del sistema. In tal caso la custodia delle copie delle credenziali
è organizzata garantendo la relativa segretezza e individuando
preventivamente per iscritto i soggetti incaricati della loro custodia, i
quali devono informare tempestivamente l'incaricato dell'intervento
effettuato.
11. Le disposizioni sul sistema di autenticazione di cui ai precedenti punti
e quelle sul sistema di autorizzazione non si applicano ai trattamenti dei
dati personali destinati alla diffusione.
Saluti            Archi