Newsgroup: it.comp.sicurezza.varie
Titolo: esempi DPS

c'è qualcuno che è disponibile a condividere un esempio di DPS compilato per 
una piccola/media azienda di produzione? oppure siete a conoscenza di 
qualche sito che ne pubblichi degli esempi?
(lasciando perdere la solita guida per la compilazione del garante che è 
troppo sintetica)
vorrei capire con degli esempi pratici il livello di dettaglio e 
l'articolazione delle informazioni di chi ha già compilato il DPS.
grazie.
 

qualche sito che ne pubblichi degli esempi?
http://www.siscas.net/dps/?Compilazione_del_DPS:DPS
-- 
Bye, Yorgos
To send me an email, please change loose with free

 
Ma che bell'esempio di come _NON_ fare un DPS... i difetti sono tanti, il
piu' eclatante e' la mancanza dell'Analisi di Rischio. Il loro allegato 2
e' solo una lista di minacce (come del resto e' intitolato, gli riconosco
almeno onesta' intellettuale). Una Analisi delle Minacce  e' una cosa
diversa da una Analisi di Rischio -- e quest'ultima e' cio' che chiede la
normativa.
Detto questo, dubito che ci siano esempi in rete di DPS che siano al tempo
stesso "freeware" e rigorosi  (tranne quello sul sito del Garante, che
pero' e' rivolto a realta' molto piccole e comunque non ti da la metodica
con cui redigerlo in organizzazioni appena appena piu' complesse di una
pizzeria... e quindi sei capo a zero!).
Non freeware prova la Camera di Commercio di Milano:
 
 
http://www.cedcamera.it/index.phtml?Id_VMenu=199
(questi pero' si fanno pagare...)
-- 
AB

Ma che bell'esempio di come _NON_ fare un DPS... 
Io mi sono posto un'altra domanda: a cosa serve un DPS per un'azienda
di produzione?


 
Per "produzione" intendi chi fa tondini di ferro, navi, aerei, turbine,
elettricita', cocomeri (beh non quelli si "crescono" non si producono),
tapperelle, calcestruzzo?
Con i dovuti distinguo (per quantita' e qualita') tutti (chi poco e chi
tanto) trattano dati personali di dipendenti, clienti, soci, partner o
terze parti.
Per esempio se distribuisci elettricita' in forza di un decreto _non_ puoi
staccare corrente elettrica ad un disabile o ad un malato cronico anche se
non paga la bolletta (ci mancherebbe altro che gli stacchi, per esempio, un
polmone artificiale o un altro macchinario...) ma per essere certo di non
amazzarlo _devi_ (azienda) essere certo di avere questa informazione nei
tuoi database (!) e che solo i pochi a cui serve questa informazione ci
possano accedere. 
Se produci tondini di ferro fai visite mediche periodiche ai tuoi dipendenti
giu' in fornace... se produci qualunque cosa (magari fra i tuoi clienti hai
militari o ospedali o enti governativi) hai a contratto misure di sicurezza
delle tue reti e magari devi fare in modo da un lato di fare Intrusion
Detection, ma al tempo stesso di non ledere i diritti di cui all'Art. 4
dello Statuto dei Lavoratori (in medio stat virtus). 
Un casino insomma... :-)
-- 
AB

dello Statuto dei Lavoratori (in medio stat virtus). 
Ho l'impressione che tu dia per scontato che TUTTI gestiscano le
aziende con l'informatica.
La realtà è molto diversa.


 
No, presumi troppo. Ho solo fatto esempi. Ma il loro outsourcer
amministrativo principale, il *commercialista* , e' probabile usi
l'informatica. E scusatemi, I AM VERY SORRY, di quei trattamenti _NON_ E'
TITOLARE il commercialista. Forse, se va bene, ne e' responsabile e se va
"a minimo sindacale" ne e' incaricato. 
Poi possiamo essere molto creativi a trovare ogni possibile scusa per dire,
quando c'e' da lavorare o da prendersi responsabilita', che il problema e'
sempre degli altri ed i meriti sempre i nostri. Ma in linea di principio se
i dipendenti, fornitori ed i clienti sono dell'azienda anche i trattamenti
dei loro dati gli competono. Che vengano materialmente trattati all'esterno
da medici, informatici, commercialisti e' un fatto operativo di
convenienza, specializzazione ed opportunita' che nulla ha a che vedere con
la titolarita'. Alla fine da chi ricevono lo stipendio i dipendenti, da chi
vengono pagati i fornitori e a chi pagano la fattura i clienti?
 
-- 
AB

la titolarita'. 
Premesso che un'analisi va fatta caso per caso, delegare con lettera
d'incarico il trattamento a specialisti è sufficiente per togliersi di
torno un bel po' dicembrine.
Io non ho la tendenza a semplificare, ma nemmeno mi piace vedere il
turbinio di carte INUTILI che girano a causa delle consulenze di
presunti ESPERTI di privacy.


torno un bel po' dicembrine.
                               ^^^^^^^^^^^^^^
                             incombenze


 
Sono d'accordo. Ho visto sedicenti esperti produrre montagne di carte e ho
visto dirigenti di grandi aziende e PA chiedere montagne di carte (!).
Io addirittura sono un _talebano_ :-) della semplificazione (o almeno ho
questa nomea dopo aver ridotto a 24 pagine i DPS di SpA o PP.AA. da
migliaia di addetti). Semplificare, razionalizzare ed evitare carte da
bollo che volano a destra e manca e' piu' che lodevole.
Il mio commento sul vizio italiano (e non) di trovare sempre a tutti i costi
un razionale per dimostrare che la responsabilita' e la titolarita' di
qualcosa e' _sempre_ di qualcun altro (chiunque sia, ma un altro) aveva un
ambito piu' ampio della sola privacy. Il vizio non e' solo italiano, tanto
che anche nel mondo anglosassone c'e' la battuta "This monkey is not mine",
per far intendere che si vuole scaricare una responsabilita' :-)
Tutto si puo' semplificare e fare in modo di non ingessare in procedure
borboniche, ma deve rimanere chiaro che se il medico visita il _mio_
dipendente, lo fa per assolvere ad un obbligo di legge della _mia_ azienda,
su _mio_ incarico. Dura razionalizzare che di quel trattamento sia titolare
il medico. Ovvio poi che se faccio calcestruzzo, tondini di ferro o navi,
io (azienda) non so nulla di medicina e non posso materialmente esercitare
alcun controllo sull'operativita' del medico (che e' un fornitore--non un
dipendente), l'unica cosa che posso fare nel DPS e':
 - prendere atto che esiste il trattamento
 - verificare a quali basi dati (elettroniche o cartacee) e' collegato
 - quantificare (o qualificare) i rischi sui dati
 - quale ufficio della mia azienda ne e' responsabile
 - verificare le regole contrattuali fra me (azienda) e il medico
Ti assicuro che se ben fatto il tutto si riduce 1 riga per tre tabelle ed un
capoverso di dieci righe (e' il lavoro di analisi a monte che e' un casino
proporzionale alla complessita' aziendale). L'effetto operativo e sui
processi invece e' potente -- ne esci con le idee molto piu' chiare di chi
debba fare che cosa e cosa ci si aspetta in ingresso ed in uscita dai vari
sotto processi.
Il DPS di per se e' un pezzo di carta. E come dice un proverbio tedesco
"sulla carta puoi scrivere quello che vuoi, la carta non si offende". Se e
quando qualcuno comincera' a fare controlli mi chiedo quale metodica
useranno per controllare la "giustezza" del DPS. Lo verificheranno sul
piano formale? Sostanziale? Operativo? Dei processi? Sinceramente non lo
so.
-- 
AB

so.
Condivido il tuo punto di vista, che adesso mi è più chiaro.
Posso dirti per esperienza diretta che, ad oggi, la preoccupazione di
tutti ( o almeno di parecchi) e di avere carta in quantità e firme in
abbondanza.
Un ultimo esempio: ogni volta che vado alla USL devo firmare
l'autorizzazione per il trattamento dei miei dati.
Solo quest'anno ho già messo 5 firme per 5 analisi!


i black-out).
Mi pare un po' eccessivo.
Per esempio io ho in casa una lista su supporto informatico di dati con i
quali, con tecniche deduttive, posso accertare gli orientamenti religiosi
e politici di cittadini italiani:
	Abdallah ben Abdallah         ==> musulmano
	Isaac Goldberg                ==> ebreo
	Libero Camillo Lenin Bottazzi ==> comunista da parte di padre
...ora siccome quando ho comprato in edicola le "Pagine Bianche su CD" la
SEAT **NON** mi ha avvertito che avrei dovuto dotarmi di "apposite misure
di sicurezza" e/o informare il garante, posso rivalermi su di loro?
Okay, sto facendo una battuta, pero' secondo me la faccenda sta scappando
di mano :-( ...finira' che dopo una analisi di costi e benefici, le nuove
aziende decideranno di lavorare interamente su cartaceo.
Leonardo
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.