Newsgroup: it.news.net-abuse
Titolo: Privacy per sistemisti teoria e pratica

Qualcuno ha già letto di: 
http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499
Me chi lo sa tradurre in pratica?
Frasi come:
"requisiti tecnico-organizzativi, di onorabilità, professionali morali o di 
condotta" (relativamente al sistemista)
"cautele volte a prevenire e ad accertare eventuali accessi non consentiti 
ai dati personali" (casomai l'uso che se ne fa, non la possibilità di 
accedere)
"l'operato degli amministratori di sistema deve essere oggetto, con cadenza 
almeno annuale, di un attività di verifica da parte...."
"Le registrazioni (access log) devono avere caratteristiche di completezza, 
inalterabilità, e possibilità di verifica della loro integrità adeguate.... 
....comprendere i riferimenti temporali e la descrizione dell'evento ce le 
ha generate"
sono effettivamente, applicabili fino in fondo?
su quali sistemi e con quali software?
le considerazioni vanno limitate solo ai sistemi contenenti "informazioni 
sensibili" o in genere a tutto il sistema informatico?
quanto costa tutto questo? 

Vedere anche: 
http://www.repubblica.it/2007/09/sezioni/tecnologia/diritti-web/garante-amministratori/garante-amministratori.html
.
Ma e la privacy del sistemista? :) 

 Me chi lo sa tradurre in pratica?
Io, ma non ne ho voglia, evidentemente non hai mai lavorato
all'interno di un cosiddetto "ente pubblico" altrimenti non avresti
sicuramente posto certi quesiti

 sicuramente posto certi quesiti
Confermo, non ho esperienza in merito, lavoro in una normale azienda 
industriale.
Per lo meno potresti mandare una traccia su dove cominciare a guardare...
Sono un (povero) tecnico che cerca di capire questa normativa.
Capisco il motivo per cui è stato scritto il documento, ma mi stavo 
limitando a cercare di capire (sperando nell'esperienza dei naviganti di 
questo ng), come soddisfare i vari punti del documento, con particolare 
attenzione al 2.f. "registrazione degli accessi".
Forse ho frainteso, ma i requisiti "inalterabilità" (per me un log è pur 
sempre un file...) e "completezza" (abilitare un controllo ha un costo in 
termini di performance, quanto e cosa controllare...) non credo siano 
caratteristiche degli strumenti standard.

 
Soprattutto se si é avuto a che fare con gli "sperti informatici" di cui 
sappiamo qualcosa, vero? :)

 Per lo meno potresti mandare una traccia su dove cominciare a
guardare...
Ti conviene rivolgerti a qualche azienda specializzata :) riassumere
la cosa in due parole non è possibile ed i documenti che trovi in giro
sulla rete lasciano ... il tempo che trovano :)

 di cui sappiamo qualcosa, vero? :)
oddio... non me ne parlare... stendiamo un velo pietoso :)

 oddio... non me ne parlare... stendiamo un velo pietoso :)
Ecco, meglio... :-) Che sennò ci sarebbe da parlarne (male) per ore..

ScriptJus ha scritto:

Per aziende grandi non penso ci siano grossi sconvolgimenti, per quelle 
piccole (come la mia..) penso sia un casotto globale.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
There can be no twisted thought without a twisted molecule.
		-- R. W. Gerard

 piccole (come la mia..) penso sia un casotto globale.
Uh?
Tu dici che hai un sistema che certifica l'inalterabilità dei log di
accesso da parte dell'amministratore di sistema?
Io dico che se entro come amministratore di sistema, i log li macino
un po' come mi pare.
A meno di pensare a syslog inviati in tempo reale a sistemi di terze
parti, con marca temporale e altri ammennicoli tecnoburocratici.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 parti, con marca temporale e altri ammennicoli tecnoburocratici.
Rileggi.. per le aziende piccole (come la mia) penso sia un casotto!
da quello che ho capito i log dovrebbero essere gestiti da una parte terza 
(non necessariamente altra azienda ma anche altro dipartimento/persona che 
non è amministratore del sistema in esame).
Il mio problema è che sono io che amministro e stop!
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Stop searching.  Happiness is right next to you.

 Il mio problema è che sono io che amministro e stop!
Ti conviene trovare uno psicologo compiacente e farti certificare problemi
di personalità.
Se ti certifica che ne hai almeno due (io farei 3 o 4, non si sa mai)
dovresti essere in regola.
Max
-- 
A: Because we read from top to bottom, left to right.
Q: Why should i start my reply below the quoted text?

 terza (non necessariamente altra azienda ma anche altro 
E potrebbe anche andare bene, ma una volta che sono dentro come root,
tu, altro sistema, vedi solo quello che *io* decido che tu veda.
E' questo, che dico, riguardo l'inalterabilità dei dati.


quanto costa tutto questo? 
Boh.
A me *quasi* 0 ma, ripeto, sono nel mio piccolo. :-)
-- 
Lex Tutor
Prima ti ignorano.
Poi ridono di te.
Poi ti combattono.
Poi tu vinci. (Gandhi)

 sulla rete lasciano ... il tempo che trovano :)
Seguo sicuramente il consiglio!
Simpatico che alcuni dei fornitori che ci seguono per la "sicurezza" non ne 
sapessero nulla. 

 
?????
Giuro che non o capito
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Cynic, n.:
	One who looks through rose-colored glasses with a jaundiced
eye.

 Il mio problema è che sono io che amministro e stop!
Questo è il mio stesso dilemma.

 Chiaramente TUTTO.
Come sopra. 

> settore) non sa neanche cosa siano "onorabilità" e "moralità"
uhm... chiederlo a qualcuno della tua famiglia... no eh ?

> uhm... chiederlo a qualcuno della tua famiglia... no eh ?
ah dimenticavo...
*PLONK*

 Giuro che non o capito
Serve un terzo che certifichi che il sysadmin ha fatto gli accessi.
Se hai una personalità multipla, puoi farti controllare da un'altra
delle tue personalità.


Chiaramente TUTTO.
Ecco, sai mica dov'e' che potrei trovare un lettore biometrico adatto
da applicare al vecchio PC che tengo come MAME Machine?
Niente di esagerato, eh: impronta digitale, entrambe le retine e DNA.
Ho gia' speso parecchio per il CNC che incide il log su granito rosso
del Sinai (che, voglio dire, andava bene a te con Mose', e io mi fido
del parere degli esperti), sto cercando di contenere i costi.
Leonardo
-- 
Linten addie toorin addie,
Linten addie toorin ee,
Linten lowrin lowrin lowrin,
The barnyards of Delgaty

 
Ok, ora mi torna.. ma se sono solo (vuoi perché siamo in 3 ma sono l'unico 
tecnico o perché banalmente offro solo servizio di hosting e da solo basto e 
avanzo per il parco clienti) che faccio, devo assumere un altra persona?
O affidarmi a terzi con un bell'aggravio di costi?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Give me a Plumber's friend the size of the Pittsburgh dome, and a place
to stand, and I will drain the world.

 
Errore.. non credo tu non abbia visto la pazza storia del mondo
Fratelli ecco a voi i 15... crash. 10, 10 comandamenti


 di costi?
nomini la donna delle pulizie custode dei logs e via andare

 Fratelli ecco a voi i 15... crash. 10, 10 comandamenti
ROFL... vero, non me la ricordavo !!!

 ROFL... vero, non me la ricordavo !!!
Ecco qui: 
http://www.youtube.com/watch?v=D2qYeNcUQXQ
 

 Me chi lo sa tradurre in pratica?
Scritto da gente che non ha mai messo le mani su qualcosa che
non sia il proprio desktop, è evidente.

 E potrebbe anche andare bene, ma una volta che sono dentro come root,
Non è necessariamente vero: in teoria esistono vari sistemi RBAC che
possono limitare l'onnipotenza di root.
Il problema è la pratica, specie per quanto concerne gli aspetti logistici
e organizzativi...

 settore) non sa neanche cosa siano "onorabilità" e "moralità"
Fai nomi e cognomi, ciarlatano tutto chiacchiere e distintivo.

whiplash ha scritto:

ed ora ci sarà la solira svicolata, scommettiamo?

 Fai nomi e cognomi, ciarlatano tutto chiacchiere e distintivo.
whippo... plonkalo; considerando che ci considera tutti degli
"asilanti", facciamo gli asilanti sul serio e plonkiamolo in massa
suvvia... facciamolo 'stò esperimento :) !

 possono limitare l'onnipotenza di root.
Già. E chi amministra quelli?
-- 
http://bofhskull.wordpress.com/

 Già. E chi amministra quelli?
Qualcuno diverso da root, sulla carta.
E' per quello che parlo di difficoltà logistico-organizzative...

 Qualcuno diverso da root, sulla carta.
"Not beink worried. Pitr fix." (cit.)
Bye, G.

"Not beink worried. Pitr fix."
/SBAM


 "sicurezza" non ne sapessero nulla.
cambia fornitore, di corsa.. :D
-- 
Le donne e i gatti fanno quello che vogliono, gli uomini e i 
cani dovrebbero rilassarsi e abituarsi all'idea. R.A.Heinlein

 Il mio problema è che sono io che amministro e stop!
in effetti hai un problema.


 
capisco che in tempo di crisi si debba investire e assumere ma farlo per 
decreto mi sembra eccessivo..
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
The streets are safe in Philadelphia, it's only the people who make
them unsafe.
		-- Mayor Frank Rizzo

 suvvia... facciamolo 'stò esperimento :) !
In questo modo, si eviterebbe a chiunque legga di dover saltare alcune
dozzine di risposte completamente inutili.
Tornando al topic, c'e' un link alla legge dove approfondire?
Che non tocchi anche a me, con 2 computer in croce.
Fabrizio

 Tornando al topic, c'e' un link alla legge dove approfondire?
trovi tutto sul sito del garante


 mancato di farmelo notare quasi ogni giorno da oltre due anni... :-(
Resta il fatto che relativamente a questo post sei uno dei pochi che ha 
"contribuito".
Bene anche chi ha "allietato" la cosa, triste chi non aspetta altro a 
buttarsi nella mischia.
Ahhh la buona vecchia netiquette....
Paolo 

 saltare alcune dozzine di risposte completamente inutili.
come ad esempio questa tua risposta :) ?

 cambia fornitore, di corsa.. :D
Qualcuno ne conosce in zona Treviso? 

 come ad esempio questa tua risposta :) ?
Non mi aspettavo da te un voler far caciara a tutti i costi.
Comunque, GRAZIE a ScriprJus, che ha risposto alla domanda che tu hai
tagliato, ho due comodi link da cui penso, da un'occhiata veloce, che non
sia obbligatoria per "chiunque".
Fabrizio (ma per tanti, forse si...)

 Non mi aspettavo da te un voler far caciara a tutti i costi.
caciara ?!? Scusa eh, ma sei stato tu a postare una risposta
inutile... parlando di risposte inutili :) suvvia, non inizierai anche
tu a fare come quell'altro tizio che vede "nemici" ovunque ?
Ad ogni modo, la smetto qui, visto che siamo OT

 mancato di farmelo notare quasi ogni giorno da oltre due anni... :-(
Oltre alle *parole* si dovrebbe leggere l'oltre.
Porre in capo a una professione non regolamentata requisititi di 
onorobilità, moralità e pubblica conoscibilità, nonchè l'obbligo di 
verifica periodica sull' operato, pone la premessa per l'azione 
risarciatoria sia verso il designante (ad esempio il responsabile 
trattamento dati) sia per il mandatario, in procedimenti di rilevanza 
civile e penale.
In particolare la:
"Qualora l'attività degli amministratori di sistema riguardi anche 
indirettamente servizi o sistemi che trattano o che permettono il 
trattamento di informazioni di carattere personale dei lavoratori, i 
titolari pubblici e privati sono tenuti a rendere nota o conoscibile 
l'identità degli amministratori di sistema nell'ambito delle proprie 
organizzazioni, secondo le caratteristiche dell'azienda o del servizio, 
in relazione ai diversi servizi informatici cui questi sono preposti."
pone le premesse per la riconoscibilità fisica dei soggetti coinvolti 
in un eventuale erroneo trattamento informatico, e quindi crea i 
presupposti per una serie di azioni legali dirette non solo verso il 
RTD ma anche verso altri "soggetti fisici" materialmente incaricati, 
fossero anche in outsourcing. Definire "onorabilità" e "moralità" 
comporta sorpassare una visione meramente esecutrice del soggetto 
incaricato, ed assegnare alla sua persona fisica in solido con il 
mandante, obblighi di condotta conforme, a prescindere dalla natura 
contrattuale (con persona fisica o giuridica) verso cui il mandato si è 
concretizzato.
La prima conseguenza è la necessità di una buona polizza responsabiltà 
civile professionale ed assistenza legale, ancorchè per professione non 
regolamentata.

 Che non tocchi anche a me, con 2 computer in croce.
dipende se usi il netbios i computer si scambiano perlomeno il NOME 
dell'host quindi nortorialmente un dato personale. Col netbeui di 
default come fai tu invece, il nome la stampante lo prende dalle ultime 
sei lettere dell'indirizzo eth, per cui tutto a posto, vai tranquillo.

 sei lettere dell'indirizzo eth, per cui tutto a posto, vai tranquillo.
(rotfl)
Non credo però che, con buona pace del tanto osannato e non instradabile
netbeui, un windows 9x sia conforme alla normativa sulla privacy.

 netbeui, un windows 9x sia conforme alla normativa sulla privacy.
Non c'entra. Lui vuo sentirsi dire se è a norma o meno e sopratutto se 
gli tocca ahilui spendere o meno. Come gliela giustifichi è del tutto 
irrilevante: puoi parlare di protocolli, positroni, Best Practice ... 
fa tanto uguale. Se è evidente che gli tocca pagare allora comincia a 
scaldarsi e ad argomentare assurdità contro ogni evidenza, pur di non 
rassegnarsi a rompere il porcello.
D'altronde si parlava di amministratori di sistemi ed esordisce lui con 
due PC, è una sorta di "vado bene per "La Madonna" ?" a 5 m dal 
cartello.

 cartello.
Che il roditore Fabrizietto sia l'emblema della tirchieria più becera si 
sapeva, d'altro canto, no? Lo ha già dimostrato, cos' come ha dimostrato 
di saper tirare fuori cazzate esemplari inserendosi in thread in cui lui 
non avrebbe nessun titolo per parlare, data la manifesta ignoranza al 
livello di bestia che ha mostrato di possedere.
-- 
Ne rimarrà soltanto uno..

 Ad ogni modo, la smetto qui, visto che siamo OT
Ringrazio sentitamente.
Fabrizio