Newsgroup: it.comp.sicurezza.varie
Titolo: tanto per cambiare, dps..

STo tirando le fila delle mie situazioni e ci capisco poco..
ALlora: per quanto riguarda l'azienda come tale non ci sono grossi 
problemi (buste paga cartacee da incatenare e contabilità standard), il 
problema me lo pongo per la mia attività, che è quella di provider 
internet..
E-mail: no problem, sono dati identificativi necessari per 
l'espletamento del servizio.
Form vari su mie macchine di miei clienti: misure minime e dps a mia 
cura (il servizio lo do io direttamente).
Mi vengono dei dubbi riguardo alle altre tipologie di servizi, ovvero:
-Banche dati con dati personali realizzati per clienti, risiedono sul 
mio server e ci posso accedere per la manutenzione
-banche dati come sopra ma su server di clienti, in housing presso di 
me: posso entrare come amministratore della macchina (e quindi posso 
smanettare nel db).
-banche dati come sopra ma i clienti se li gestiscono da soli, io piùà 
che dargli banda non faccio
-ultimo caso, un server presso un cliente che ha dati sensibili (i 
precedenti solo dati personali) in cui dovrà risiedere un mio programma 
e che sarà mantenuto da me.
Ma da qualche parte non c'è una bella tabella con un po' di esempi?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

Ciao Roberto,
scusa l'OT e la digressione,
volevo dirti che a torto o a ragione, 
su it.lavoro.informatica ti si e' dato del coglione.
Ciao,
Lorenzo.
PS: basta che cerchi un post circa una tua risposta ad un curriculum.
Infondo le cose importanti della vita si misurano solamente con "la buona
volontą".
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 
No problem, il tizio di cui parli non sono io (io sono di prato e lavoro 
a firenze).
CIao


 risiedere un mio programma e che sarà mantenuto da me.
Uhm...
Tu puoi amministrare completamente questa macchina o hai accesso solo a
questo programma?

 
login:root quindi ho libero arbitrio.
Fra le altre cose il programma lo faccio io, il db lo installo io ecc 
ecc ecc
Mi romperebbe però essere responsabile di una cosa che non posso poi 
controllare al 100%: e se i backup non li fanno?


 controllare al 100%: e se i backup non li fanno?
domanda: come vi ponete nel caso di amministratori di sistemi?
ci sto pensando sopra e non so come uscirne in maniera pulita...
Azienda X con all'interno (o esterno non cambia molto) una figura incaricata
come amministratore di rete, cos'è?
incaricato del trattamento per quanto riguarda la manutenzione? (accesso
root ovviamente)
Responsabile del trattamento?
altro?
nel comma 15 del disciplinare sono citati gli "addetti alla gestione o alla
manutenzione degli strumenti elettronici" dove parla della revisione su base
annuale degli ambiti del trattamento.
Sarei orientato a vedere l'amministratore di rete come *incaricato* alla
manutenzione e quindi con completo accesso a tutte le tipologie di dati.
Ma non ne sono così sicuro.....
Ricadrebbe nell'ultimo caso specificato da Roberto, ovvero fai la
manutenzione ma non hai altri interessi nel trattamento dei dati che
risiedono su quel particolare server.
(per i back up fai nominare dal cliente che è il titolare del trattamento,
un incaricato delle copie di back up e gli fai firmare un registro su base
almeno settimanale, ma questo non dovrebbe preoccuparti a meno che tu non
sia nominato a tua volta responsabile del trattamento, ma non credo che sia
il caso)
ale


Mi piace (l'amministratore nella mia azienda sono io), mi leverei un 
sacco di beghe..
Vado a leggere l'ultimo interlex e torno


 fanno?
In effetti è un caso particolare...
Vediamo...
Il titolare della macchina sei tu, quello che c'è dentro è tuo MA l'accesso
fisico e il backup non sono a tuo carico... quindi direi che nel tuo DPS ti
preoccuperai di descrivere le misure "logiche" di sicurezza (password,
antivirus, ecc...) mentre il backup e le misure fisiche andranno nel loro
DPS.
Rimane da vedere se devi chiedere il loro DPS, su questo non sono sicuro, a
occhio direi di si.

 gli fai firmare un registro su base almeno settimanale,
Questa cosa del registro non l'ho mai fatta. Direi che potrebbe essere utile
solo in caso di backup "manuali" o come prova che periodicamente viene
controllata l'integrità.


 
Mi sono spiegato male: quello che c'è dentro è del cliente ma fatto da 
me e la macchina è del cleinte ma preparata da me.
Io ho un accesso root ed il cliente è quello che materialmente tratta i 
dati.
Avete letto il commento su interlex alla "chiarificazione" del garante?


 controllata l'integrità.
si, era inteso in quel senso, mi sono spiegato male io.
ale

 e quindi a che titolo accede ai dati?
Non accede propriamente ai dati (nel senso che non sta lì a usare i
programmi di immissione/modifica dati), ma ha pieno accesso ai file della
macchina. Non si occupa del CONTENUTO dei dati, non è quindi un incaricato
al trattamento.
Ad esempio io preparo sempre tre tipi di lettere:
1: Il titolare assegna la mansione di responsabile dei dati (se vuole,
altrimenti il titolare stesso è il responsabile e la lettera non ha senso di
esistere)
2: Il responsabile assegna i compiti di incaricati al trattamento dati
3: Il responsabile assegna il compito di amministratore di sistema
Non ho fatto lettera di incarico per il custode della password in quanto
questa mansione è solitamente o del responsabile o dell'amministratore (se
interno). Mi pare inutile assegnare questa mansione a una persona diversa.

 
Grazie, mi hai illuminato non poco..


 interno). Mi pare inutile assegnare questa mansione a una persona diversa.
mi pareva che non esistesse più il *custode* della psw ma che questa dovesse
essere a conoscenza dei soli incaricati e singolarmente (es. scadenza delle
psw al primo utilizzo)
ale

 primo utilizzo)
Ma va?
E se l'incaricato va in vacanza o è in malattia e serve la sua password
magari per accedere a un database a cui ha accesso solo lui?
Il fatto che la password deve essere reperibile in qualche modo mi sembra
scontato.

 scontato.
non solo è scontato (comma 10 cito: "sono impartite idonee e preventive
disposizioni *scritte* volte ad individuare chiaramente le modalità con le
quali il titolare può assicurare la disponibilità di dati o strumenti
elettronici in caso di prolungata assenza o impedimento dell'incaricato"
omissis)
io mi regolo così: creazione di un profilo di autorizzazione di riserva con
login e psw in busta chiusa sigillata in custodia al titolare , e registro
da firmare e datare in caso di apertura della busta. In questo caso
creazione di nuova psw da riconservare in busta chiusa sigillata fino alla
prox necessità.
nel mio intervento di prima credevo tu ti riferissi allla vecchia figura del
resp. delle psw (318/99) che non esiste più
ale