Newsgroup: it.comp.sicurezza.varie
Titolo: sempre privacy e DPS

Mi trovo nella spinosa situazione di scrivere ed attuare il dps.. Non 
che la gestione dei dati adesso sia condotta con allegria, ma la 
formalizzazione burocratica mi sembra un po' pesante!
Vedo in giro dps sia in forma tabellare che semplicemente descrittiva: 
sono complementari o uno vale l'altro (sempre che ci siano scritte cose 
intelligenti, ovviamente) ?
Dalle integrazioni del garante sembra che i dati di contabilità non 
siano considerati dati sensibili ma solo personali, come quelli 
necessari a garantire l'usabilità del servizio venduto (penso che i dati 
di autenticazione per le email siano un chiaro esempio), quindi anche 
una mailing list rientra in questo caso ?
QUesto mi interesserebbe abbastanza perchè ho delle piccole procedure 
web (cataloghi, e-commerce, newsletter) gestite direttamente dal cliente 
ma sui miei server, in cui però io posso entrare per motivi di 
amministrazione; ho anche dei server di altre aziende, di cui per alcuni 
curo la manutenzione "sistemistica", per altri lo tengo solo per dargli 
la linea internet: in questi casi come ci si deve comportare ?
Tanto per complicare la situazione stamani ho letto l'ultima uscita di 
Interlex..:
 > Tanto per incominciare: chi è tenuto a predisporre il DPS? La prima
 > lettura delle norme genera il dubbio che ci sia almeno
 > un'incongruenza tra l'art. 34 del 196/03 e il punto 19 dell'allegato.
 > Affrontando il testo con attenzione si giunge facilmente alla
 > conclusione che la misura riguarda solo i titolari di trattamenti di
 > dati sensibili e giudiziari (vedi Il DPS e le copie delle
 > “credenziali”: leggiamo bene le norme  di Luigi Neirotti).
Quindi sarei addirittura esentato..
Sono graditi commenti,idee e link!
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 Interlex..: 
Io parlo per il mio caso, poi ovviamente ognuno è a se. Io tendo a 
non considerare *sensibili* i dati forniti dai miei utenti, ovvero
la propria casella mail. Difatto non si ha nessun riscontro reale
su dati più oggettivi, quali ad esempio nome, cognome, codice fiscale 
etc etc .. Non vi sono poi dati fiscali, in quanto il servizio è 
gratuito e quindi non mi servono.
Francamente è un bel grattacapo.
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group  ~   
http://www.fiag.it
X-PLANET Community        ~   
http://www.x-planet.org

 
Anche se sei esentato, fare un DPSS può essere il discriminante che ti 
permette di uscire fuori da un'accusa ex art. 2050 del codice civile in 
caso, incrociando le dita, che qualcosa vada storto: infatti anche se un 
ente non è obbligato a redigere il DPSS, è comunque obbligato a mettere 
in essere le misure minime di tutela, e il DPSS è proprio il mezzo con 
il quale si può dimostrare di averlo fatto.
Nel caso il rischio non sia troppo remoto, il mio consiglio è farlo 
comunque...
-- 
Fabrizio "Hermooz" Ermini


Ok.. il mio problema è solo la burocrazia (anche perchè certi 
adempimenti in una ditta di 5 persone con 2 tecnici sono un po' 
pallosi..): ma chi ha ragione? Interlex o le pessimistiche tesi che ho 
letto anche in idi?


 letto anche in idi?
chi ha ragione su cosa? :-)
-- 
Fabrizio "Hermooz" Ermini


Sul fatto che il dps non sia obbligatorio ma facoltativo.
Anche perchè se è obbligatorio lo devo far digerire ai miei clienti che 
hanno database


 hanno database
E' obbligatorio se c'e' trattamento di dati sensibili (anche solo 
cartaceo). Nella maggior parte delle realtà aziendali la cosa si 
verifica solo se c'e' gestione interna delle risorse umane (trattenute 
sindacali, certificati medici...). Se è tutto esternalizzato, è molto 
probabile che il DPS non sia obbligatorio.
-- 
Fabrizio "Hermooz" Ermini


.... se faccio le buste paga fuori le ho comunque anche in "casa" e 
quindi per le sole buste paga dovrei fare il dps in formato da "dati 
sensibili"?
Allora qualunque azienda con dipendenti..


 sensibili"?
dipende cosa hai precisamente "in casa". Non posso risponderti con 
precisione, bisogna vedere se vengono conservati dati sensibili o no. La 
busta paga di per sè non lo è.
bye!
-- 
Fabrizio "Hermooz" Ermini


DI per sè no, ma se un dipendente manda soldi al sindacato lo diventa..
Quindi (se è così) in teoria il dps lo devono fare tutti coloro hanno 
lavoratori dipendenti.


 DI per sè no, ma se un dipendente manda soldi al sindacato lo diventa..
di nuovo: dipende. Nel documento che conservi c'e' scritto solo 
l'importo della trattenuta o anche il sindacato al quale è versata?
-- 
Fabrizio "Hermooz" Ermini

 
Non ho dipendenti iscritti al sindacato..


 Quindi sarei addirittura esentato..
Si, non sei obbligato. Però ho letto altre interpretazioni secondo cui chi
non ha dati sensibili/giudiziari non è tenuto a rispettare la data di
scadenza del 30 giugno ma è cmq tenuto a fare lo stesso il DPS.
Evidentemente c'è solo un gran casino in giro...

 
Mi sembra che sia un tentativo di mettere ordine in un settore gestito 
con i piedi
(mi dicono che secondo striscia la rai avrebbe venduti i dati in proprio 
possesso così, senza alcuna autorizzazione.. se fosse vero sarebbe altro 
che da denuncia), però è stato fatto in modo nebuloso e che si presta ad 
n interpretazioni..
Ma lo faranno apposta?


Evidentemente c'è solo un gran casino in giro...
Scusa ma uno Studio Legale con 5 computer che misure di sicurezza
dovrebbe adottare secondo te dal punto di vista informatico?
Autenticazione UserID/PSW, Firewall, Antivirus, sistemi costantemente
aggiornati, procedura per il Disaster Recovery, Server dedicato (linux
+ Samba), UPS sul Server, Backup giornaliero, e' sufficiente?

 sufficiente?
Di questi direi che basta un UPS per il server e backup giornaliero (almeno
su un HD diverso, ancor meglio se il backup lo fa un altro computer, anche
un client).
Per quanto mi riguarda è sufficiente, purtroppo la legge richiede anche la
crittografia dei dati (giudiziari), password che scadono ogni 3 mesi,
lunghezza minima delle password di 8 caratteri, ecc...

 busta paga di per sč non lo č.
a parte le ritenute sindacali, sulla busta paga ci sono alcune voci che
riguardano lo stato di famiglia del dipendente... esempio: una dipendente
che io so non essere sposata, percepisce gli assegni famigliari per una
figlia a carico da questo si deduce che trattasi di ragazza-madre... č un
dato sensibile...


Ci vuole il firewall.
Danny che NAT non e' protezione (cit.) ;)

lunghezza minima delle password di 8 caratteri, ecc...
Le PSW le cambiano gia' ogni 3 mesi sono più lunghe di 8 caratteri.
Per quanto riguarda la cifratura dei dati e' sufficiente la password
di apertura di Word, dato che usandola, il programma cripta anche il
contenuto del file?
Dal punto di vista invece della sicurezza fisica e dei documenti
cartacei, un sistema antifurto, l'obbligo di chiudere a chiave gli
archivi, non lasciare documenti con dati giudiziari sulle scrivanie
quando non c'e' nessuno in ufficio, lista delle persone autorizzate ad
accedere agli archivi fuori orario e la firma di un documento che
obbliga alla segretezza tutti coloro che entrano nello Studio per
lavoro (idraulico, elettricista, donna delle pulizie, etc) e'
sufficiente?
Secondo me si.
Grazie.

 Secondo me si.
Anche secondo me.