Newsgroup: it.comp.sicurezza.varie
Titolo: A che servono tutte queste leggi se...

DPS, misure minime, ecc. ecc. Ok, sta però di fatto che la maggior parte
della gente che conosco (e parlo anche di professionisti e di funzionari di
aziende private e pubbliche) non sa cos'è un firewall e, riguardo
all'antivirus, si sente tranquillo per il fatto di averne uno installato nel
computer, ignorando completamente che non serve a niente se non viene
aggiornato di continuo. Le nuove leggi non so quanto risolveranno in materia
di sicurezza (secondo me poco e niente), ma penso che sarebbe stato meglio
investire maggiormente sulla formazione: ad esempio la sicurezza informatica
dovrebbe essere insegnata nelle scuole perchè prima o poi tutti, oggi come
oggi, abbiamo a che fare con questi temi. Non è con un dps che si cominciano
a risolvere le cose, tra l'altro in tutte queste nuove normative ci sono
anche delle cose a mio parere inattuabili: ad esempio, a leggere il tutto in
modo estremamente rigido (e considerando che non riesco ad immaginare un
adolescente che fa il dps...), dovrebbe chiudere la maggior parte dei siti
internet italiani... Voglio vedere chi mai si prenderà la briga di
controllarli tutti. -)))))


non e' quello, il punto.
La legge e' matematica, e se ne fotte di "educare" le persone a far le cose
come dio comanda.
tu, se lo desideri, puoi prendere la metro oppure il bus senza fare il
biglietto, "tanto non ci saranno mai controllori a sufficienza".
Peccato che, la volta che capita a te, sei fregato.
E, se io per caso ricevo una mail con un worm in cui compare il tuo
indirizzo email, anche se non provenisse da te, io sporgo denuncia per non
aver inviato a nessuno una mail di quel tipo, per cui non v'e' ragione che
mi "ritorni indietro".
Poi (anche se ho ragione di credere che non accadra'), spettera' alle
autorita' competenti di mandarti un controllo attraverso il quale tu potrai
dimostrare, se non di non esser stato tu il mittente di quel messaggio,
perlomeno di aver adottato le misure minime necessarie cosi' come previsto
dal famigerato allegato B.
Se non ti troveranno in regola, prova un po' ad immaginare quali possano
esser le conseguenze...

 formazione:
dio ci scampi! un corso d'aggiornamento a professionisti e' una farsa in
cui il docente parla ad una platea di gente a cui non "gliene po' frega'
de meno" e che partecipa solo per essere segnato presente sul registro;
invece nelle scuole l'ora di sicurezza diverrebbe l'ora cazzeggio perche'
nessuno studente studia una materia che non viene valutata. diciamo poi
pure che i rari interessati alle lezioni si troverebbero molto spesso un
docente messo li in virtu' delle sue amicizie piu' che delle sue
competenze quindi perderebbero solo tanto tempo.
la soluzione a mio avviso e' una righetta nel contratto con l'isp che dice
che diffusori di virus anche involontari rischiano seriamente il taglio
del cavo e la perdita dei soldi. l'equazione $virus="cheppalle" deve
diventare $virus="soldoni".
-- 
su questo post guariniello ha aperto un'inchiesta.

 mi "ritorni indietro".
questo e' uno dei motivi per cui e' meglio non fare leggi in materia: se i
worm provenienti in apparenza da me fossero un centesimo dello spam che
ricevo subirei un controllo a settimana come minimo.
per non parlare poi del tempo perso dall'autorita' per controllare me
senza ragione reale e senza possibilita' di incidere sul problema.



per questo che ho i miei sani dubbi che li faranno, qusti controlli.
Cio' non toglie che, come al solito, qualcuno ci andra' di mezzo.

 Cio' non toglie che, come al solito, qualcuno ci andra' di mezzo.
Hum.
Questo e` un discorso dannatamente lungo e complicato. 
Partiamo da quello che e` vero e ovvio: quando il legislatore tenta di
risolvere, come il suo strumento (le leggi), problematiche di carattere
tecnico, e` destinato a fare danni.
Questa legge, non e` esente da questa considerazione (e non e` il primo
caso del genere).
E` altrettanto vero, pero`, e nel caso, gli anni e la pratica ce lo
hanno dimostrato che:
- e` necessaria una regolamentazione nella babele di sedicenti
  consulenti informatici, novelli admin, bottegai dell'informatica ecc.
Sopratutto all'aumentare, come in questi anni, del contenuto informatico
delle pratiche lavorative di tutti. E io trovo _allucinante_ che ancora
oggi, nel 2004, una compagnia telco installa router di connettivita`
alle aziende lasciando password factory default, piuttosto che i miei
dati piu` sensibili (non parlo di quelli personali), siano alla merce di
tutti quelli che lavorano in un ufficio "che ci abbiamo la password
unica che ci dimentichiamo" - e anche a molti non di quell'ufficio.
Il *nuovo* tup, cerca, se non altro, di dare un "indicazione di
direzione" sul fatto che chi tratta/ha a che fare con l'informatica, si
deve dare _una regolata_.
Non e` certo una legge perfetta (anzi), si prende cura in maniera quasi
maniacale di certi aspetti, spesso in maniera decontestualizzata
(l'antivirus sulla "banca dati", in maniera priva di contesto, non
significa molto), e *tentando* di fornire dettagli dove questi in
realta` non sono richiesti (per le caratteristiche di astrattezza ecc,
delle leggi).
Pero`.
Lancia un messaggio in una direzione. Quello per cui le aziende, si
devono dare una regolata.
Su i dubbi del dispositivo sanzionatorio, io non sarei cosi` fiducioso:
se e` ben vero che siamo nel paese con piu` leggi (e piu` leggi
disattese) in tutto il panorama, e` altrettanto vero, che qui,
_parrebbe_ chiaro che non si intende creare l'ennesima legge da
disobberidire.
L'inclusione nella relazione acc. del bilancio del riferimento al dps
(l'avete fatto, l'avete aggiornato); l'estensione _anche alla guardia di
finanza_ di poter fare ispezione in termini di osservanza della 196;
rendono chiaro il messaggio che intendono _applicare_ questa legge.
/me che passera` giugno...
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Those who do not understand Unix are condemned to reinvent it, poorly.

/me che passera` giugno...
Questa non l'ho capita.
Riguardo la parentesi sulle leggi di serie A e B non voleva essere
polemica ma, di nuovo, immaginati la faccia del povero neolaureato che
ha aperto da poco l'attivita' con i soldi dei genitori e spera di
ridarglieli in breve tempo e di potersi comprare casa e mettere su
famiglia e il 1 luglio gli arriva un'ispezione della GDF che gli molla
una multa da 50000 euro e lo denuncia in sede penale......Il suicidio
e' garantito.
Se succedesse e fossi il padre del ragazzo andrei dal Garante .....mi
fermo qui e' meglio.
Io continuo a ripetere che tutto deve essere ponderato, ma a questo
punto si rischia di piu' per aver dimenticato un archivio del cavolo
aperto che un omicidio, con la prima sei fregato nel momento del
controllo con il secondo forse ti salvi (purtroppo).
Sai pero' la mia paura piu' grande quale e'? Che i controlli siano
solo per diciamo una settimana, due, un mese e poi basta. I poverini
che si ritrovano incasinati avrebbero oltre al danno la beffa, si
quella che TUTTI gli altri (anche messi peggio di loro) si salvano
perche' non sono stati i "primi" a cadere nei controlli. 
Preferirei che controllassero tutti ma proprio tutti a questo punto e
tutti il 1° luglio in modo da essere sicuri che hanno adottato le
misure entro il 30 giugno, tutti coloro che hanno "fatto i furbi" si
ritrovano inguaiati in base alla vera entita' della mancanza. Dare
multe astronomiche a piccoli studi o piccole realta' avra' sicuramente
l'unico risultato di far chiudere un sacco di "piccoli".
Ciao

 /me che passera` giugno...
Anche io preferisco Agosto...
-- 
cat: .signature: No such file or directory

 l'unico risultato di far chiudere un sacco di "piccoli".
Non hai modo di saperlo.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Lottery: a tax on people who are bad at math.

 posta! dati sensibili!) 
tuttalpiu`, dati personali.
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------


 e' garantito.
Stai parlando di un piccolo studio professionale (mediamente).
E quello è un caso abbastanza semplice e relativamente molto *poco* costoso
da mettere in regola. Se togli la parcella del consulente, in giro esistono
abbastanza programmi free o quasi (anche non solo per uso personale) da
ridurre il costo dell'applicazione *fisica* delle misure minime di sicurezza
a forse meno di 100 euro.
E se il neolaureato ha qualche ora libera la sera può tranquillamente
studiarsi il disciplinare tecnico per conto suo in molti casi, e magari
ovviare anche alla parcella del consulente.
Per il resto mi trovo daccordo completamente con quello che ha scritto
Maurizio e aggiungo ben vengano leggi in questo senso quando purtroppo è
l'unico modo con cui si riuscirà piano piano ad introdurre una *cultura*
della sicurezza dove oggi manca completamente.
E conviene ricordare che il tup non riguarda la sicurezza informatica ma la
sicurezza nel trattamento dei dati personali sensibili e giudiziari. Se poi
viene effettuata con elaboratori elettronici entra in campo il disciplinare
(e cmq. non scordiamoci degli ultimi 3 commi che riguardano il trattamento
cartaceo).
sai quante volte mi chiamano a casa degli utenti ai quali in ufficio hanno
detto: "no mi spiace oggi non è al lavoro perchè è a casa con
raffreddore/mal di pancia/ azzzi sua" ?
bè... oggi ci sono gli strumenti per poter far cessare questo stato di cose.
omaggi
ale

 Tribunale fino al Giorno del Giudizio Universale.
Bella questa :-)

 tuttalpiu`, dati personali.
Beh, dipende dal caso, ma sia gli uni che gli altri, se correlati...
-- 
The Skull says:
A Linux machine! Because an (i386|ppc|alpha|PA-RISC)
is a terrible thing to waste!

 Beh, dipende dal caso, ma sia gli uni che gli altri, se correlati...
A beneficio di chi legge, non tanto per Emanuele:
su i "log della posta", non riesco a immaginare quale dato sensibile
possa esserci. Se invece si intende archiviazione e analisi dei
contenuti dei messaggi allora, si. Ma in tal caso sai meglio di me che
ci sono diverse leggi a cui ottemperare ben prima della privacy:
sorveglianza elettronica, statuto dei lavoratori, ecc.
Ma su i "log" di posta, non mi sovviene nessun dato sensibile, o mi sto
perdendo qualcosa?
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
Ethernet works in practice, but not in theory.

 perdendo qualcosa?
Non direi.
Però se analizzando i log della posta vedo che l'utente 
gi...@domain.it
 ha
intenso scambio di mail con la sede nazionale di Rifondazione Comunista,
piuttosto che con le comunità ebraiche di mezza italia o l'arcigay,
qualche dato sensibile ce lo posso anche ricavare, anche senza sapere di
preciso cosa si stanno dicendo...
Poi, non sono un giurista, e non ho idea se si possa rientrare nel caso,
ma a intuito io direi di sì...


 preciso cosa si stanno dicendo...
Il solo fatto di scrivere all'arcigay (per dire) non fa di te un gay,
aggiungerei "perfortuna". E` chiaro che analizzando molto _ogni_ dato,
puo` essere elemento di profilazione, ma e` un'altro paio di maniche.
I dati sensibili sono tali in quanto "fini a se stessi". (la tua
cartella medica, la tua tessera del partito XY, ecc.).
Altra cosa e` l'analisi del contenuto, ovviamente.


 
Ma allora qualsiasi cosa..
Ho un fornitore i cui boss sono isacco, giacobbe e samuele: dici che si 
indovina di che religione sono?
Non credo però (o meglio spero altrimenti siamo alla frutta) che questo 
dato possa essere considerato dato sensibile.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 Altra cosa e` l'analisi del contenuto, ovviamente.
Pacifico, in termini di rivelazione "diretta". Solo che la definizione di
"dati sensibili" proposta dal garante (al 196, art 4, punto d ), č:
 "dati sensibili", i dati personali idonei a rivelare l'origine razziale
 ed etnica, le convinzioni religiose, filosofiche o di altro genere, le
 opinioni politiche, l'adesione a partiti, sindacati, associazioni od
 organizzazioni a carattere religioso, filosofico, politico o sindacale,
 nonchč i dati personali idonei a rivelare lo stato di salute e la vita
 sessuale;
Non vi č alcun riferimento (salvo ulteriori specificazioni di cui non
sono a conoscenza) sul "quanto esplicita" tale "rivelazione" debba essere...
Poi, ribadisco, č questione di interpretazioni, penso che forse su
it.diritto.internet possano essere maggiormente specifici...
Solo che non ne ho voglia, ogni volta che ci provo finisco per rinunciare
in preda al mal di testa... :-P
E non č cosě rilevante, in fondo...
Hola...


 sono a conoscenza) sul "quanto esplicita" tale "rivelazione" debba essere...
Come giustamente dici _dopo_ (e io ho cuttato), la questione e` da
giuristi, e io pure non faccio a gare per andare su idi, cmq, il
riferimento, deve essere atto a _rivelare_ non a far
sospettare/intuire/valutare/considerare.
Dal fatto che io scrivo tutti i giorni a $partitoapiacere, puoi
_valutare_ che io sia un affiliato, ma non hai una rivelazione, salvo
poi scoprire, leggendo le mail che scrivo "VI ODIO!!".
-- 
                          Maurizio - Tannoiser - Lemmo
                 Founder Member of ERLUG 
http://erlug.linux.it
-------------------------------------------------------------------------------
If you don't succeed redefine success

 ha scritto nel messaggio
news:2jnh4iF...@uni-berlin.de...

Concordo.!
Siamo sempre li fra' il dire (legiferare) e il fare...c'è
sempre di mezzo il mare....!
-- 
Walter

 sempre di mezzo il mare....!
ecco, questa che hai scritto è la cosa più sensata che sei riuscito 
ad esprimere fino ad ora ..
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group  ~   
http://www.fiag.it
X-PLANET Community        ~   
http://www.x-planet.org