Newsgroup: it.diritto
Titolo: DPR 318/99 - FERMI TUTTI!!

Probabilmente vado a beccarmi una bella figura di M...., comunque leggete
qua il DPR 318/99 e seguitemi:
..
Articolo 3
(Classificazione)
1. Ai fini della presente sezione gli elaboratori accessibili in rete
impiegati nel trattamento dei dati personali sono distinti in:
a) elaboratori accessibili da altri elaboratori solo attraverso reti non
disponibili al pubblico;
b) elaboratori accessibili mediante una rete di telecomunicazioni
disponibili al pubblico.
.......
Articolo 6
(Documento programmatico sulla sicurezza)
1. Nel caso di trattamento dei dati di cui agli articoli 22 e 24 della legge
effettuato mediante gli elaboratori indicati all'articolo 3, comma 1,
lettera b), deve essere predisposto e aggiornato, con cadenza annuale, un
documento programmatico sulla sicurezza dei dati per definire, sulla base
dell'analisi dei rischi, della distribuzione dei compiti e delle
responsabilità nell'ambito delle struttura preposte al trattamento dei dati
stessi:
......
COOOSSSAAA??
Ma allora il piano va predisposto solo nel caso all'articolo 3, comma 1,
lettera b), "elaboratori accessibili mediante una rete di telecomunicazioni
disponibili al pubblico".
Qualcuno di voi ha archivi accessibili da internet nello studio??? Oppure in
remoto?
Oppure si considerano accessibili solo perché c'è una semplice connessione
ad internet per vedere la posta e per navigare (l'elaboratore comunque NON
E' accessibile mediante rete di telecomunicazioni. Un server web od una
condivisione remota di files lo sono)
Leggendo pari pari pari pari, sembra proprio che
- Le misure vadano comunque adottate
- Non vi sia documento da predisporre
Però, e dico però, la L.325/00 dice
Articolo 1.
Disposizioni inerenti all'adozione delle misure minime di sicurezza nel
trattamento dei dati personali previste dall'articolo 14 della legge 31
dicembre 1996, n. 675
1. In sede di prima applicazione della disciplina contenuta nell'articolo 15
[1] della legge 31 dicembre 1996 n. 675, le misure di sicurezza di cui al
decreto del Presidente della Repubblica 28 luglio 1999, n. 318, possono
essere adottate entro il 31 dicembre 2000 dai soggetti che documentino per
iscritto le particolari esigenze tecniche e organizzative che rendono
necessario avvalersi di un termine più ampio di quello previsto
dall'articolo 41, comma 3 [2], della medesima legge n. 675 del 1996.
2. Il documento di cui al comma 1 deve essere redatto entro un mese dalla
data di entrata in vigore della presente legge con atto avente data certa e
deve contenere una esposizione sintetica delle informazioni necessarie, da
cui risultino:
........
Riassumendo:
- Si alle misure
- No al documento ex art.6 DPR 318/99(a meno di non permettere accesso ai
dati via internet, modem, etc.)
- Si al documento di proroga entro 10/12 se non si erano adottate le misure
all'epoca
Copritemi di insulti.
Justice

Scusate, non ho messo le conclusioni.
Secondo la tesi di cui alla precedente, chi ad oggi non ha fatto niente (e
non č stato "sgamato"), ha fatto bene, in quanto per il 99% degli studi
legali non ci sarebbe da presentare niente (secondo l'interpretazione di
"elaboratori accessibili mediante rete disponibile al pubblico"). Ci
sarebbero solo da applicare le misure, ma senza Documento Programmatico di
Sicurezza ex art.6 DPR 318/99.
Chi non avesse fatto la proroga (di 20 gg.!), dovrebbe stare tranquillo: che
vadano poi a dimostrare che dal 10/12 al 31/12 tali misure non erano state
applicate!
Leggete i punti incriminati e dite la vostra.
Justice

 in una maniera o nell'altra... :-)
Non sono d'accordo.
A questo punto anche il caveau di una banca è "di fatto" accessibile al
pubblico. Basta farlo saltare per aria.
Credo che vada valutato "l'uso normale" che se ne fa. Altrimenti, che senso
ha la distinzione dell'art.3?
"elaboratori accessibili mediante una rete di telecomunicazioni disponibili
al pubblico" dovrebbe presumere che ci sia reale bisogno ed un "utilizzo
NORMALE nell'accesso mediante rete pubblica".
Seguendo il tuo ragionamento, tutti gli elaboratori rientrerebbero nella
categoria b) (a meno di non murare le prese telefoniche e tutte le prese del
computer alle quali è possibili connettere un modem).:-)). Chi rientrerebbe
nella categoria a) ?
Justice

 ad internet
ecco, bravo: questo e` il problema.
Occorre definire infatti quando ricorre il requisito dell'*accessibilita` al
pubblico*: se basti la semplice connessione ad internet, ovvero sia
necessario che si metta su un server web, FTP, BBS o quant'altro.
A mio avviso, puo` essere di aiuto la legge penale.
Ricordo infatti che i sistemi informatici ricevono la tutela di cui
all'art.615 ter c.p. qualora siano protetti da *misure di sicurezza*.
Il che pone un'evidente *circolarita`* tra il 615 ter e il DPR 318.
Imho se si proteggono i propri PC dalle intrusioni (id est: firewall), vi si
potranno detenere dati sensibili e giudiziari senza per questo essere
assoggettati al *regime duro* di cui all'art.6 del DPR 318.
un saluto,
Gianfranco Romano.

 ha scritto nel messaggio
news:d3L%5.5694$ag5.3...@twister1.tin.it...

Beh, buona interpretazione ma porta ad alcune contraddizioni:
- Sarei obbligato a redigere un documento sulla sicurezza proprio perché il
mio sistema non è "ben" protetto (?!). Mi sembra un'antinomia.
- Nel documento sarei quasi obbligato a dire che c'è un firewall, quindi il
documento non avrebbe più senso di esistere (?!)
- I firewall, anche se in misura molto minore rispetto agli antivirus, sono
validi finché qualche bambino prodigio non provvede a "sfondarli", perciò
sono *dinamici e variabili con il fattore tempo* . Quindi avrebbero ben
donde di comparire in un piano di aggiornamento annuale. In tal senso non
sono d'accordo che proteggono il sistema *a priori* e quindi, secondo me,
non bastano a diversificare un elaboratore b) da un elaboratore a).
Ricordiamoci poi, che il 99% della funzionalità di un firewall, è dato da
come si configura (arte soggettiva).
Secondo me dev'essere chiarita la differenza tra gli elaboratori a) e b).
Un computer connesso ad internet ad uso navigazione ACCEDE ad una rete
telematica....
Un computer connesso ad internet (od al telefono) ad uso server o PPP-remoto
E' ACCESSIBILE mediante rete telematica....
Casa mia NON E' ACCESSIBILE al pubblico.
Saluti.
Justice

 la propria rete) con un minimo di responsabilità
Ma sulla sostanza mi trovi più che d'accordo!
Tra l'altro saprai sicuramente che IE 5.0 (ricordo male) aveva la JVM
buggata, di modo che dall'esterno si navigava alla bella sull'HD di una
qualunque personcina connessa con un minimo di conoscenze!
Per non parlare di quanti lasciano la condivisione dei files attiva anche
sul TCP/IP esterno e ti regalano l'accesso all'HD senza sforzo alcuno....
Ma allora converrai con me che lasciare all'autocertificazione la sicurezza
della rete informatica è una vera e propria *bufala* all'italiana.
E' scontato che ci dovrebbero essere terzi specializzati e certificati che
rilascino (anche sotto loro responsabilità), attestati periodici sulla
sicurezza del sistema...
Qui però entravo più che nella sostanza, ma nella vera e propria "forma"
della legge e quindi interpretare cosa voleva dire il legislatore in
quell'articolo (e quindi cosa mi farà l'autorità se non trova il "foglio").
Non conta cosa *noi* sappiamo che vuol dire di fatto "elaboratori
accessibili...", ma dobbiamo entrare nella mente (malata?) del legislatore e
soprattutto dell'organo giudicante per sapere cosa succederà alle persone
assoggettate alla legge.
Saluti.
Justice

 :-)
Come ti ripeto, sulla sostanza siamo perfettamente d'accordo.
Qui però entravo più che nella sostanza, nella vera e propria "forma"
della legge e quindi interpretare cosa voleva dire il legislatore in
quell'articolo (e quindi cosa mi farà l'autorità se non trova il "foglio").
Non conta cosa *noi* sappiamo che vuol dire di fatto "elaboratori
accessibili...", ma dobbiamo entrare nella mente (malata?) del legislatore e
soprattutto dell'organo giudicante per sapere cosa succederà alle persone
assoggettate alla legge.
Per il resto, sono 3 gg. che scarico OpenBSD2.8  ;-)
Capirai che alla sicurezza ci tengo abbastanza...
Saluti
Justice

 Copritemi di insulti.
Secondo me hai ragione. Ma ciò peggiora la situazione: gli avvocati
preferiscono parlar male della norma, piuttosto che leggersela.
E i clienti preferiscono parlar male degli avvocati per ciò che in realtà
non fanno, o ciò -come mettersi d'accordo tra loro- che è giusto che
facciano. L'idea di parlarne male per ciò che effettivamente fanno, non
passa neanche per l'anticamera del cervello.

 applicate!
Sostanzialmente corretto.


 tranquillo.
Tranquillo? Se il 2 gennaio mi arriva un controllo ed i miei elaboratori
sono categoria b) , cosa racconto? Ho fatto la proroga ed ho applicato le
misure senza predisporre documento?
Comunque, quello che volevo dire è che, secondo quello che dice il DPR, se
gli elaboratori sono classificabili come a) , il DPS non andrebbe più fatto!
Né ora, né il 20/3!
Il punto centrale è - uno studio con 8 pc in LAN che condividono una
connessione ad internet per la SOLA navigazione (quindi non con lo scopo di
far accedere agli elaboratori dall'esterno), sono, -secondo la legge-:
a) elaboratori accessibili da altri elaboratori solo attraverso reti non
disponibili al pubblico;
b) elaboratori accessibili mediante una rete di telecomunicazioni
disponibili al pubblico.
??
Questo mi pare il nocciolo della situazione.
Che mi dite?
Justice

 assoggettati al *regime duro* di cui all'art.6 del DPR 318.
Non troverai mai un informatico che ti garantisca la non accessibilità
(=impenetrabilità) di un computer protetto da un firewall. La stessa IBM,
interpellata da Confindustria, non si è sentita di dare una simile garanzia.
L'utilizzo del firewall potrà essere un'utile misura per ridurre i rischi,
ma secondo me non li elimina: il computer rimane (anche se in misura
ridotta) potenzialmente accessibile.
Pertanto sarò comunque costretto a redigere il documento programmatico sulla
sicurezza (che è un adempimento in più che mi è imposto per il trattamento
dei dati sensibili qualora abbia computer accessibili mediante reti
disponbili al pubblico), ma ci potrò scrivere che ho adottato il firewall
come misura per ridurre il rischio di accessi abusivi.
L'unico altro adempimento (oltre al documento di cui sopra) che mi è
imposto, consiste nell'obbligo di autorizzazione per l'utilizzo degli
strumenti di interconnessione "mediante reti disponibili al pubblico" (i.e.
modem). Roba da poco.
Vorrei far notare un paio di incongruenze del regolamento:
Art. 4 - Codici identificativi e protezione degli elaboratori
1. Nel caso di trattamenti effettuati con gli elaboratori di cui all'
articolo 3, oltre a quanto previsto dall'articolo 2 devono essere adottate
le seguenti misure:
(omissis)
c) gli elaboratori devono essere protetti contro il rischio di intrusione ad
opera di programmi di cui all'art. 615-quinquies del codice penale, mediante
idonei programmi, la cui efficacia ed aggiornamento sono verificati con
cadenza almeno semestrale.
Qui gli antivirus (l'art. 615quinquies parla di virus et similia) vengono
definiti come programmi anti intrusione. IMHO è una definizione che si
adatterebbe invece ai firewall.
Secondo me, inoltre, non ha senso limitare l'obbligo di utilizzo di
antivirus solo ai computer collegati in rete o, comunque "accessibili
mediante una rete di telecomunicazioni disponibili al pubblico." Lo scorso
13 dicembre quasi tutti i Pc della Direzione Provinciale del Lavoro della
mia città sono saltati per un virus "del 13". Nessuno di loro era collegato
ad Internet ed erano tutti Pc stand alone. L'infezione si era diffusa alla
vecchia maniera: i dischetti.
Art. 7. - Reimpiego dei supporti di memorizzazione
1. Nel caso di trattamento dei dati di cui agli articoli 22 e 24 della legge
effettuato con gli strumenti di cui all'articolo 3, i supporti già
utilizzati per il trattamento possono essere riutilizzati qualora le
informazioni precedentemente contenute non siano tecnicamente in alcun modo
recuperabili, altrimenti devono essere distrutti.
Cioè, in pratica, si dice che nel caso di dati sensibili e giudiziari i
supporti (i.e. dischetti) già utilizzati per il trattamento possono essere
riutilizzati previa riformattazione, sempre che il trattamento dei dati
avvenga mediante elaboratori collegati in rete o comunque accessibili
attraverso reti disponibili al pubblico. Rimangono esclusi i computer
stand-alone.
Qualcuno mi può spiegare che senso ha questa esclusione?
--
----
---------------------
Saluti
Lorenzo

 ??
Io voto b).


 Justice



[CUT]
Mi sono pentito di aver postato il messaggio precedente un millisecondo dopo
aver premuto il tasto invio.
'Sto cesso di autluk non è stato in grado di annullarlo.
Fate finta che ho avuto un attimo di incapacità di intendere e volere dovuta
a stress da superlavoro.


 Internet č (potenzialmente) accessibile attraverso la rete telefonica.
Embč?
Anche il Caveau č "accessibile mediante una rete di infrastrutture
accessibili al pubblico"..
Basta scendere in strada, entrare in banca ed aprire le porte (=firewall)
che si interpongono fra te ed i $$$ !
Comuque, a questo punto entrerebbe in gioco una nuova variabile:
Computer POTENZIALMENTE connettibili ad internet, anche se non connessi.
Se dichiaro i miei computer come a), come si fa a provare che non sono b) ?
Mi spiego, se hai una rete a) ma hai anche computer + una presa telefonica
nel muro + modem interno (oggi comune sul 60% dei pc)+ windows, chi
impedisce all'accertatore di classificarli come b), anche se vengono usati
come hai detto tu? Un cavetto costa 1000 L..... ci affidiamo alla presenza o
meno del cavetto? (peraltro complicato da reperire e/o occultare....:-)))
Va da se che sistemi tipo windows non sono UNIX, quindi il privilegio di
creare connessioni ad internet č demandato anche ad utenti normali... non
solo all'amministratore.
Justice

 ha scritto nel messaggio
news:_JM%5.139077$hk4.5...@news.infostrada.it...


 Justice


 Qualcuno mi può spiegare che senso ha questa esclusione?
apparentemente non ha alcun senso.
La logica, forse, (e il discorso vale anche per la limitazione sugli
antivirus), sta nel fatto che il DPR 318 semplicemente ritiene piu`
*esposti* in termini di rischio gli elaboratori di cui all'art.3 e per
questo ne diversifica le misure rispetto agli stand alone.
ciao,
G

 G


 programmi antiintrusione.
Infatti...
auguroni,
G.

 G.
Auguri anche a te :)
