Newsgroup: it.comp.sicurezza.varie
Titolo: Privacy senza server

Salve a tutti
Dopo aver letto diversi forum e post, ancora non riesco a capire una
cosa di questa legge 196/03.
Se ho una rete di 7 pc in p2p tutti con xp professional e dicui uno fa
file server, per essere in regola con la privacy devo necessariamente
installare un server vero, il  dominio e le policy come dice in ns
consulente privacy? ho esiste una soluzione + economica?
Sul sito microsoft si parla sempre di server centrale per
autenticazione.
Ma la legge è ermetica su questo aspetto, parla solo di autenticazione
non centrale o locale.
Ringrazio in anticipo chi mi dara' un risposta esaudiente.
goodgiant75

 consulente privacy? ho esiste una soluzione + economica?
non capisco cosa intendesse dire la persona che ti ha consigliato questo ..
L'aspetto tecnico è una cosa, il trattamento dei dati personali esula da 
questo. Col p2p (premetto che non sono un esperto in materia) non capisco poi 
che tipo di dati tratteresti, visto che cmq non salvi dati personali nè 
sensibili sulle tue macchine, sono appunto file, mp3, video che ne so ..
Al massimo io me ne guarderei bene, dal p2p, per altri aspetti legali, quali 
ad esempio la violazione dei diritti di autore.
Ad ogni modo non hai bisogno di un dominio tuo (puoi cmq avere un dominio di 
terzo livello da alcuni servizi gratuiti) e non è detto che per forza ti 
serve un software server (win2000/2003 server o altro). Se devi semplicemente 
fare autenticazione puoi farlo con mille sistemi anche con XP e non è detto 
che tu debba trattare dati personali. Puoi creare degli script che non 
richiedono la mail di iscrizione e nemmeno nome, cognome etc etc..
-- 
Ciao, Dmitry
X-Privat News to Mail : 
http://www.x-privat.org/freenews2mail.php

 richiedono la mail di iscrizione e nemmeno nome, cognome etc etc..
AHAHAHAHAHAHAHAHAHAH!!!! Castoro, e mi lasci un boccone così 
ghiotto... ?  Ahahahaha!!!! Ma sai almeno cos'è un DOMINIO su windows
XP? Lo sai o no? Non è mica come 
www.castorone.it
!!! Ma non sai 
proprio una cippa neh? Un'altra cosa, per p2p il tizio intende che  
la rete è composta da computer *alla pari*, cioè non c'è un dominio 
di autenticazione centrale... Ahahahah, dio mio, ma solo tu riesci a 
sparare simili castronate! "...il dominio di terzo livello 
gratuito..." ROTFL... "...gli script di autenticazione..." ahahah!!!
-- 
All you need to know is the user interface.  - J. Redford
News 2000 [v 2.06] - 
http://www.akapulce.net/socket2000

 che tu debba trattare dati personali.
"Non è detto che debba trattare dati personali" secondo te sarebbe una
spiegazione plausibile da scrivere? :-)
Mattinatacca, Dmitry, fossi in te tornerei a letto.

 Mattinatacca, Dmitry, fossi in te tornerei a letto.
mah, convinto tu 


 un dominio puņ essere locale integrato in active directory o meno. E allora?
Ma nulla, figurati. Perņ... come dire, forse non ci hai capito una 
ma%%a di tutto il discorso? E se non ci hai capito una mazza come 
pretendi di poter fornire risposte adeguate?
-- 
You know it is going to be a bad day when you forget your new password.


 un dominio può essere locale integrato in active directory o meno. E allora?
E allora che? :-)


Parla solo di autenticazione perchè al legislatore interessa che tu
autentichi con certi criteri (ovvero tu amministratore sia ragionevolmente
certo che c'era l'utente mario a fare quella cosa, quel giorno, su quel
dato). Il "come" lo lascia a noi tecnicacci purchè si soddisfino i criteri
(minimi, idonei e preventivi).
Premesso che devi autenticare soddisfando il dlgs196/2003 ed i criteri di
cui all'allegato B del dlgs.196/2003 solo se tratti dati personali,
premesso che se ti garba puoi andare oltre quei criteri: puoi gestire la
cosa sia centralmente che localmente. Se come dici le stazioni di lavoro
sono sette e sono tutte in un posto non vedo grossi problemi. Fossero 700
su 10 sedi (ma anche su una...) sarebbe un caos gestionale tale che ti
converrebbe certamente comprare l'hardware ed il software necessari a
gestire la cosa centralmente.
-- 
AB

 gestire la cosa centralmente.
questa mi sembra la risposta più sensata di tutto il thread


 Niente. 
come immaginavo. Parli tanto per parlare, senza aggiungere nulla di 
costruttivo. Ma non mi stupisco.


 E allora che? :-)
e allora il tuo intervento non ha aggiunto nulla.


consulente privacy? ho esiste una soluzione + economica?
Se hai la pazienza di leggere qui:
http://www.garanteprivacy.it/garante/doc.jsp?ID=488497
vedrai che le cose sono abbastanza semplici anche con le reti p2p.
-- 
Bye, Yorgos
To send me an email, please change loose with free

 costruttivo. Ma non mi stupisco.
Metodo "seppia": quando la situazione si fa difficile, una bella
nuvolona nera e via, telare.

 
Beh, si l'allegato B. Le "misure minime", il "cosa". 
Le "misure idonee", le "misure preventive" ed il "perchè" te lo dice il
resto del decreto ed un esperto di sicurezza / privacy -- il "come" un
esperto di sicurezza / un informatico.  
-- 
AB

 mail di iscrizione e nemmeno nome, cognome etc etc.. 
Carlo, ma di che parli?

esperto di sicurezza / un informatico.  
Per lavoro ho avuto modo di esaminare, anche se da dilettante di
informatica, le protezioni approntate da "esperti" di sicurezza per
garantire la privacy.
Alcune erano cervellotiche, costringevano gli utenti a "liturgie"
assurde e i titolari a crisi di nervi.
La realtà è, e vorrei essere sinceramente smentito da voi esperti,
che, avendo accesso fisico ai PC, non c'è sicurezza che tenga.


 che, avendo accesso fisico ai PC, non c'è sicurezza che tenga.
Più o meno...
-- 
On a clear disk you can seek forever...


  ho esiste una soluzione + economica?
1) Gestire la sicurezza tramite gli account locali delle varie macchine. 
E' macchinoso, ma con pochi PC si fa: spendi nulla di HW, nulla di 
licenze, un po' di tempo, hai un certo rischio di lasciare 
"dimenticanze" e quindi accessi non autorizzati.
2) Utilizzare un server di autenticazione centrale basato su un PC di 
recupero e software libero (shameless plug: esiste un progetto OSS 
mirato specificatamente alla preparazione di un server del genere, lo 
trovi qua: 
https://gforge.miu-ft.org/projects/apriti/
). Spendi poco o 
nulla di HW, nulla di SW, un po' di tempo, hai meno rischi che nel caso 
precedente.
Bye!
-- 
Fabrizio "Hermooz" Ermini

 
Dipende da (A) la definizione di "sicurezza" (B) quanta sicurezza ti serve
(C) cosa devi proteggere (D) quanto sei disposto a spendere e a complicarti
la vita.
Certo che se per sicurezza intendi "riservatezza" dei dati (che è la
definizione più diffusa, ma non per questo la più completa), se si riesce a
mettere fisicamente le mani su un PC, una delle poche cose che si possono
fare per garantire la riservatezza è cifrare i dati, con tutte le
complicazioni organizzative e gestionali del caso (si fa se ne vale la pena
e per sapere se ne vale la pena si fa una Analisi di Rischio come Dio
comanda).
Se allarghi la sicurezza a "disponibilità" ed "integrità" dei dati le cose
migliorano. Mi rubano il server nottetempo? Fa 10,000 Euro di roba (magari
assicurata)? Va bene. Se ho i backup e le procedure di restore (soprattutto
le procedure di restore!) da un giorno ad una settimana di tempo e sono di
nuovo in pista. Ho perso per sempre 10 anni di lavoro perchè mai fatto un
backup o le mie procedure di restore non ci sono o non le ho mai verificate
e scopro che non funzionano? Mi metto il cuore in pace e porto i libri in
tribunale per le procedure di fallimento...
-- 
AB

Explorer parla da solo su una qualche porta UDP
Che 'un fosse tanto normale me n'ero avvisto, in effetti.
Da me ogni tanto si sveglia convinto d'essere un browser.
 
Leonardo Serni

 dell'hacking sul server del Serni che non galoppava cosi' :)
aaaaahhh, e' un trottatore, non ricordavo :)