Newsgroup: it.comp.sicurezza.varie
Titolo: Misure minime di sicurezza

Ciao al ng,
in azienda stiamo redigendo il DPS , solo ci è scappato un piccolo
particolare....quale sono le misure minime di sicurezza richieste dalla
normativa che ogni pc della rete deve avere??
Nel caso l'antivirus deve risiedere su tutti i pc o basta nel server dove
risiedono i dati?
Programmi antispam sono e firewall sono obbligatori???
Quale altre misure?
Ciao e Grazie

 normativa che ogni pc della rete deve avere??
Allegato B.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Every nonzero finite dimensional inner product space has an orthonormal basis.

 Ciao e Grazie
In relazione agli interventi che stň facendo in questo periodo perlopiů
pressostudi professionali (commercialisti e ed avvocati) e piccole aziende,
la mia personalissima interpretazione di "misure minime" č questa:
- antivirus su tutti i PC, server, client, collegati ad internet, in rete,
isolati. Il motivo č semplice: basta un documento di word o un foglio di
excel, per danneggiare tutto quanto. Le politiche di aggiornamento, dove
possibile, dovrebbero essere come minimo settimanali;
- in relazione alle prestazioni della rete (e dei PC che spesso sono un pň
vecchiotti) il firewall puň essere limitato ai soli PC collegati ad internet
(tendenzialmente perň lo installerei su tutti quanti);
- rivisitazione delle politiche di accesso alle risorse dei PC e di gestione
delle password dei singoli utenti: gliele faccio cambiare ogni tre mesi,
lunghezza minima 8 caratteri, ecc.;
- rivisitazione delle politiche di backup: vengono riviste le pianificazioni
giornaliere, la conservazione dei supporti e creati dei batch che
sincronizzino le cartelle dei singoli PC sul server in modo che possano
essere salvate.
- un pň di istruzione agli utenti, con documentazione cartacea, su come
comporre le proprie password, come comportarsi in caso di "allegati strani"
nella posta elettronica, ecc.
Questo piů o meno č quello che mi sembra di aver capito dalla documentazione
in mio possesso. Mi sembra vada un pochetto oltre quello che č il "minimo
previsto per legge", ma personalmente č quello che considero il "minimo per
stare un pň tranquilli", senza cercare virtuosismi tecnologici.
Se hai bisogno di chiarimenti, son qui ;-)
Ciao,
Gianluca.

Allegato B.
Dove trovo l'allegato B e la legge completa?
Ciao e grazie!

 delle password dei singoli utenti
Nel caso più utenti utilizzino lo stesso computer per trattare gli stessi
dati, è necessario che ogni utente abbia una password differenziata?
O è sufficiente, al contrario, assegnare delle password diverse per ciascun
diverso trattamento?
Non è un problema piccolo, perché se ogni utente che usa lo stesso computer
deve avere password diverse, diventerebbe necessaria la sostituzione di
molti software applicativi e PC, spesso vecchiotti, che non lo permettono.
Inoltre, la password deve essere solo sul programma che tratta i dati, o
anche all'avvio del sistema o del bios?
Nel caso si adoperino programmi per la trattazione di dati che non
consentono l'accesso con password, è sufficiente la password di sistema o di
bios?
Saluti, Kodos.

 Dove trovo l'allegato B e la legge completa?
Sul sito del garante.
http://www.garanteprivacy.it
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
I've had a perfectly wonderful evening.  But this wasn't it.

 sufficiente la password di sistema o di bios?
Secondo me si per il motivo spiegato sopra.

stesso (altrimenti uno entra nel BIOS, la toglie e via).
Puoi spiegare  meglio cosa intendi? Se c'č la password al BIOS, nel
BIOS non ci entri.
--
A: Because it messes up the order in which people normally read text.
Q: Why is top-posting such a bad thing?
A: Top-posting.
Q: What is the most annoying thing on usenet and in e-mail?

 ai dati veri e propri si).
Mettiti nei panni di un grossista con dieci persone a banco:
Su un computer unico alcuni addetti debbono eseguire operazioni simili,
che si riferiscono ad attivita' su un server remoto, tra le quali ci
sono sicuramente le anagrafiche clienti.
Penso proprio che dovra' modificare le procedure operative, adesso il
primo che arrivava si autentica come ufficioXYZ, e poi tutti gli altri
usano la connessione gia' stabilita.
Dovranno, invece, autenticarsi, entrare nel programma, uscire, logout, e
il successivo dovra' fare le stesse operazioni.
Secondo me, ci sara' la rivoluzione, oppure questa norma sara'
disattesa.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 ai dati veri e propri si).
Sì, credo che questo sia l'approccio più equilibrato alla legge, anche in
considerazione del fatto che non sarà mai possibile far sostituire tutti i
computer e i software delle aziende d'italia.
Se la sicurezza è ugualmente garantita (con password all'accesso, adeguata
istruzione al personale, adeguato posizionamento dei computer e degli
archivi) è sufficiente, secondo me. Se poi, nonostante tutto, provochi un
danno ad un soggetto di cui tratti i dati, dovrai risponderne civilmente nei
suoi confronti (risarcimento di denaro), ma non sei responsabile penalmente.
Almeno spero.

 BIOS, nel BIOS non ci entri.
Nel BIOS ci sono due password, "User" e "System" (o con nomi simili).
La prima serve per l'accesso al computer, la seconda serve per modificare il
BIOS stesso.
Se imposti solo quella d'accesso, non proteggi le modifiche al BIOS (o
almeno su alcuni computer, a volte ci sono BIOS molto diversi fra di loro).

dei singoli programmi.
E' quello che succede anche in tantissime grosse e grossissime
aziende, ingressi ai computer controllati, accessi ai dati poco
controllati. Molto spesso le connessioni ai DB non sono controllate e
scoprendo la password interna dell'applicativo riesci a vedere tutti i
dati (cancellarli o modificarli).
La sicurezza applicativa costa molto, le replicazioni dati e i clients
server complicano le cose, la sicurezza è uno dei motivi per tornare
ad applicativi host anche se sotto mentite spoglie web :-).
Non è pensabile modificare subito tutti i programmi, ma le possibilità
di controllo con i log http delle applicazioni te le sogni in quasi
tutti gli altri sistemi. Per fortuna che tutti i miei applicativi sono
web e il controllo semi automatico dei log http/applicativi è una
delle misure di sicurezza base, del mio DPS.
Andrea

 bios?
L'ideale è lavorare su più livelli.
Io considero la password a del bios come lo strumento meno sicuro per
proteggere un PC in quanto comunque fornisce una valida protezione
all'accesso al PC nel suo insieme ma non permette la protezione delle
singole componenti. Quindi potrebbe risultare facile per chiunque estrarre
il disco fisso, metterlo su un altro PC, riconfigurare adeguatamente il
Sistema Operativo ed avere pieno accesso a tutte le informazioni.
La password di Sistema, se parliamo di sistemi che hanno una gestione degli
Utenti e delle autorizzazioni, può già essere qualcosa in quanto comunque
può rendere l'accesso più difficoltoso. Su sistemi tipo Win9x la password è
utile solo se c'è l'accesso ad un server di autenticazione, diversamente è
del tutto inutile.
L'ideale, a mio avviso, è sempre una password a livello di applicazione e
una minima crittografia dei dati che essa tratta in modo che non possano
essere facilmente accessibili.
In mancanza di questo, ed in relazione al tipo di dati da trattare, si
interviene a salire, fino alla password del bios.
Poi, come dicevo, è necessario capire se tutto è gestibile con gli strumenti
già presenti in azienda oppure intervenendo con nuovi sistemi e soluzioni. E
questo dipende molto dal tipo di dati che si stanno trattando e l'effettivo
interesse che un chiunque potrebbe avere a trafugare.
Gianluca.

almeno su alcuni computer, a volte ci sono BIOS molto diversi fra di loro).
Se non imposti una password "administrator" non ti lascia neanche
settare una password "user", almeno nei BIOS capitatimi finora.
In effetti i casi di presenza di una password "user" sono un
sottoinsieme dei casi di presenza di password "administrator".
Ma ci sono davvero BIOS  che consentono di farsi male nella maniera da
te indicata?


 nella maniera da te indicata?
Che vuoi che ti dica, avrò beccato qualche BIOS fatto male :-)

 Altrimenti si rischia solo di prendere a cannonate un formicaio.
Per i clienti dello studio dove lavoro suggerirò di fare quanto segue:
- Con dati sensibili: password di sistema e degli applicativi.
- Con soli dati personali comuni:
se gli applicativi lo permettono, password anche su questi ultimi,
altrimenti solo a livello di sistema e/o bios. In aggiunta ad una idonea
disposizione delle postazioni di lavoro, credo che il livello di sicurezza
sia accettabile.
Kodos