Newsgroup: it.comp.sicurezza.varie
Titolo: Legge privacy, mi aiutate?

CIao a tutti.
Ho uno studio commerciale con 3 pc con i seguenti sw: win me, e due con
win 2000pro.
I computer sono collegati a internet ma non esiste una rete interna che li
collega tra loro.
Le domande sono queste:
- il computer con win me e' adatto alla legge sulla privacy visto che si
tratta di SO non multiutente e pertanto con passw facilmete aggirabile?
- i fw e gli antivirus previsti dalla legge privacy vanno acquistati solo
per i computer che sono in rete o per un pc non connesso in rete (anche la
Rete) e' possibile non fare questa spesa?
- esistono fw e antivirus in ambiete mswindows gratuiti anche per uso non
personale?
- ho letto che linux ha gia' un fw e un antivirus propri e opensource  (mi
sembra IPCOP il fw e l' antivirus ?) , se installassi su un pc una
distibuzione gratuita di linux e la usassi come server di rete anche per
collegarmi a internet con gli altri due PC dovrei comprare fw e antivirus
pure per le altre due postazioni client?
Grazie in anticipo.
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

pure per le altre due postazioni client?
Qui ti risponderà qualcuno più esperto di me in informatica.
-- 
Bye, Yorgos
To send me an email, please change loose with free

ciao io faccio adeguamenti privacy allora win me... oltre a non supporta la multiutenza non supporta password di sistema operativo quindi esistono vari software a pagamento uno in inglese che si chiama safe logon una licenza costa sulle 11 euro circa, lui supporta multiutenze illimitate permessi di logon a determinati orari determinati permessi l'unico problema è che in inglese.... poi esiste il software di 
privacy04.it
 o pianetasoftware ma il loro costo si aggira alle 50 - 55 + IVA ma sn in  italiano... poi windows 2000 supporta la password quindi nò problem 
poi l'antivirus deve essere installato su ogni macchina e deve essere aggionrato se i pc vanno su internet deve essere presente un firewall su ogni macchina se nò ne devi mettere uno hardware, su ogni macchina deve essere installato un gruppo di continuità e devi fare i backup di tutte le basi di dati.
Per quanto riguarda Linux si ha qualcosa di integrato ma se ci devi lavorare e hai fatto esperienza su windows sarà un pò difficile e poi se hai qualche gestionale particolare non penso che lo supporti...
se hai di bisogno contattami in pvt!!
-- 
Operat85 
Marco Vitale
Sistemista Windows - Adeguamento Privacy
Asus A4000L
------------------------------------------------------------------------
View this thread: 
http://www.itsistemi.net/viewtopic-809517.html
Inviato via 
http://www.itsistemi.net


Dipende. Il 196/2003 dice che i dati personali devono essere accessibili con
userid / password noti ad una sola persona fisica.
Se questo lo faccia il Sistema Operativo (e nel tuo caso non ME) o
l'hardware (per esempio il BIOS) o l'applicativo al legislatore non
interessa.
-- 
AB

 pure per le altre due postazioni client?
Se usi la linux box come firewall è chiaro che sulle singole macchine
non ti serve, mentre l'antivirus deve essere su ogni macchina (esclusa
quella con linux). Questa soluzione è a mio avviso preferibile ad avere
un firewall per macchina, per una vagonata di ragioni.
In ogni caso, il decreto legislativo lo puoi leggere su
http://www.garanteprivacy.it/garante/doc.jsp?ID=407262
 mentre il
disciplinare tecnico (allegato B) su
http://www.garanteprivacy.it/garante/document?ID=488497
Ti consiglio di leggerli entrambi, ti chiariranno le idee. Inoltre su
http://www.garanteprivacy.it/garante/navig/jsp/index.jsp?folderpath=Fac-simile+e+adempimenti%2FDocumento+programmatico+sulla+sicurezza
trovi una guida per redigere il DPS.


A livello pratico forse perche' ci sono pochi virus in circolazione per
Unix/Linux (il 2% ad esagerare?).
A livello concettuale questi sistemi operativi sono soggetti a "malicious
code" esattamente come tutti gli altri!!! (Anzi i virus e worm sono nati
sotto Unix!).
-- 
AB

 sotto Unix!).
Non proprio. È chiaramente possibile scrivere virus e worm che girino in
ambiente linux, ma la disponibilità dei sorgenti, la rapidità di
rilascio di bugfix, la full disclosure, la preparazione media degli
utenti (che almeno evitano di usare root quando non necessario),
l'attenzione della comunità alle problematiche della sicurezza, la
varietà di configurazioni, rendono la diffusione di virus in linux
piuttosto difficile. Proprio per questo il numero di virus per linux è
irrisorio.

 un firewall per macchina, per una vagonata di ragioni.
beh, potrebbe installare clamav sul server in modo tale da proteggere 
gli altri client, e quindi non necessariamente installare un antivirus 
per macchina e spendere soldi per acquistarlo (anche se ce ne sono di 
gratuiti). Tutto rigorosamente imho
Folken

 su ogni macchina deve essere installato un gruppo di continuità 
perché? dov'è scritto? nn mi risulta che sia una misura obbligatoria...

 gratuiti). Tutto rigorosamente imho
Devi, come minimo, disabilitare floppy, cdrom, e chiavette usb sui
client.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Come filtro http?
Non solo, se manca l'antivirus sui client occorre anche un filtraggio
sulle mail.

 
Ciairaggionecciai!
L'avevo pensata diversa, poi mi e' uscito quell'http riduttivo.



Mi sono spiegato male (o meglio parzialmente...). Sono daccordo con te
tecnicamente, ma al legislatore questo non interessa: sono comunque
"strumenti soggetti a codice maligno" (pessima traduzione di malicious
code) come da punto 16 del Disciplinare Tecnico o Allegato B:
"I dati personali sono protetti contro il rischio di intrusione e dell
azione di programmi di cui all art. 615-quinquies del codice penale,
mediante l'attivazione di idonei strumenti elettronici da aggiornare con
cadenza almeno semestrale."
La buona notizia e' che un "idoneo strumento elettronico" viene *di* *serie*
con molte distribuzioni Linux e si chiama "rpm". Provare per credere:
     rpm -qaV
(verifica l'hash attuale di file critici di sistema rispetto all'hash che
avevano al momento della loro installazione). Mettelo nel cron di sistema,
fatevi mandare per email l'output e vivete tranquilli :-)
-- 
AB

     rpm -qaV
Assolutamente no. La verifica dei pacchetti non ti tutela "contro il
rischio di intrusioni e dall'azione di programmi ecc." semplicemente
perché non la previene, ma al limite ti avvisa che è già avvenuta.
Troppo tardi, i dati sono già in possesso di qualcun altro e tu sei
nei guai :-) Per la 196/2003 è un controllo che vale poco.


Detta cosi' hai ragione. Volevo esprimere un concetto, non scrivere un
trattato sull'hashing e sul come usarlo per la prevenzione da virus sotto
Unix/Linux (google!!!). Per usarlo in maniera preventiva, come giustamente
fai notare, devi applicare questo controllo di integrita' *prima* di
portare in esecuzione il tuo eseguibile, script, o quello che e'.
-- 
AB

 portare in esecuzione il tuo eseguibile, script, o quello che e'.
Quindi non è applicabile, a meno di voler effettuare un controllo per ogni
eseguibile che si manda in esecuzione ogni volta che lo si esegue, un
rallentamento inaccettabile nella maggioranza delle situazioni. L'unica
cosa che si può fare (e che va fatto) è un controllo del pacchetto
(o dell'eseguibile) prima di installarlo, ma questo tutela ben poco (sempre
meglio di niente), il problema intrusione resta.
Quello che normalmente si fa è quello che tu dicevi, appunto un
controllo periodico per assicurarsi che non ci siano file
corrotti/modificati senza motivo, e poter porre rimedio il più
velocemente possibile, ma questo per la 196/2003 non è abbastanza.


Sono contento che con un d.lgs. con ancora cosi' poca giurisprudenza tu
abbia cosi' tante certezze e cosi' pochi dubbi (anzi mi pare non ne abbia
neanche uno).
Buon per te. Lo dico con ammirazione, davvero, non con ironia. Non
frainterdermi. 
-- 
AB

 neanche uno).
A me invece dispiace che tu voglia fraintendere a tutti i costi quello
che scrivo, mettendomi in bocca parole non mie. Il significato di
"valutazione accettabile ed accettata *in fase di stesura* del DPS" mi
sembrava davvero chiaro.


Si, ma "accettabile" da chi? E soprattutto "accettata" da chi? Dalla
"maggioranza"? Stendere il DPS e' una cosa, difenderlo e' un altro. E' come
quando i miei colleghi mi dicono "fatturo di qui e fatturo di la..." e io
gli ricordo che fatturare e' una cosa, incassare un'altra e fare profitto
un'altra ancora.
Sai le Forze di Polizia e la Magistrature anche nel mondo "libero" sono note
per difendere la democrazia, non per praticarla. In caso di ispezioni o
controlli non mettono ai voti e non fanno referendum... Quindi finche' non
vedo giurisprudenza non  so dire chi abbia ragione o abbia torto (anzi dico
che non e' una questione di ragione o torto), dico solo "teniamoci aperte
tutte le opzioni, perche' qualche uomo di legge creativo sul ns. cammino ce
lo troveremo" :-()
-- 
AB

 vedo giurisprudenza non  so dire chi abbia ragione o abbia torto
Ma scusa, ragione o torto su cosa? Sul fatto che una macchina linux
non debba essere dotata di antivirus? Perché da qua la discussione è
partita, e dalla tua affermazione che un rpm -qaV in crontab
adempierebbe alla richiesta di un idoneo strumento elettronico per
la protezione dei dati personali contro il rischio di intrusione e
dell'azione di programmi di cui all art. 615-quinquies del codice
penale.
Sull'utilità di un controllo hash per quanto richiesto dalla legge mi
pare ci siano pochi margini di dubbio, a meno che non si voglia
affermare che più carne al fuoco si mette e più è facile intortare il
finanziere di turno. La legge parla di prevenzione, un controllo sugli
hash in prevenzione è IMO impraticabile.
Riguardo alla necessità di un antivirus facciamo una cosa semplice, se
trovi un antivirus per linux con scansione realtime da installare lo
installo e lo metto a DPS. Qualunque uomo di legge, per quanto creativo
possa essere, dovrà arrendersi all'evidenza che se nessuno ha mai
sentito l'esigenza di realizzare uno strumento forse è perché quello
strumento proprio non serve, non trovi? Poi certo, se vogliono renderti
la vita difficile ci possono riuscire, anche semplicemente sollevando il
dubbio che qualcosa non sia in ordine e rimandando tutto alla
magistratura, e a quel punto giù soldi in avvocati e consulenze e
perizie, ma quella mi pare un'altra storia :-)
Ciao.


 
http://www.symantec.com/
      Symantec AntiVirus for Bluecoat Security Gateway for Solaris/Linux
      Symantec AntiVirus for Clearswift MIMESweeper for Solaris/Linux
      Symantec AntiVirus Scan Engine for Solaris / Linux
      Symantec AntiVirus for Linux
 
http://www.f-prot.com/products/corporate_users/unix/
      F-Prot Antivirus for Linux x86 / BSD x86
 
http://www.clamav.net/
      ClamAV
 
http://www.pandasoftware.com/download/linux/linux.asp
      Panda Antivirus for Linux
 
http://www.ravantivirus.com/pages/home.php
       RAV AntiVirus Desktop for Linux
-- 
AB

       RAV AntiVirus Desktop for Linux
Niente realtime.
Ora, a trovare l'elenco degli antivirus che funzionano su linux non
credo ci volesse molto. Resta il fatto che mi pare si continui a
confondere la prevenzione, che è ciò a cui la legge punta, con controlli
periodici, sicuramente utili ma che non prevengono nulla (e che sono
l'unica cosa che questi affari qui sopra possono realmente fare). Per
altro non ho alcun interesse a continuare una discussione di questo tipo,
che mi sembra stia diventando parecchio inconcludente e si stia
allontanando sempre più, e non per mia volontà, dal tema fondamentale da
cui era partita: un firewall linux dal punto di vista della 196/2003.

 mattone su una macchina *NIX, equivarrebbe ad ammazzarla.
Certo. Ed in ogni caso ho girato il sito per un po', ma l'unica traccia
di prodotti symantec per linux che ho trovato è negli updates di
prodotti non più commercializzati.

       ClamAV
Real time.
In realtà, un framework che lo consentirebbe ci sarebbe:
http://www.dazuko.org/
-- 
Chaos A.D.		|	Raging crowd
Tanks on the streets	|	Burning cars
Confronting police	|	Bloodshed starts
Bleeding the Plebs	|	Who'll be alive?

 per difendere la democrazia, non per praticarla.
Azz, meriterebbe di essere usata come sign!  :)
Ciao
M.

 client.
no, basta mettere solo un AV su una macchina e nella policy da far 
firmare ai dipendenti specificare bene che ogni qualvolta devono 
utilizzare un floppy, chiavetta ecc. devono andare a scansionarlo su 
quella macchina in cui c'e' l'AV.
Corretto l'AV per la posta e il FW sul server, anche li specificare 
nella policy che e' vietato connettersi a internet con modem analogici, 
cell GPRS ecc
Cosi' disse l'avv. Andrea Monti in un seminario che seguii tempo fa.


Va bene la concludiamo. Peccato che tu l'abbia trovata inconcludente perche'
invece mi hai convinto di una cosa che sospettavo e ora mi hai davvero
convinto. La legge mi chiederebbe "prevenzione", ma nel caso di linux (e
unix in genere) degli audit periodici di integrita' sono idonei e adeguati,
eventualmente i "buoi sono gia' scappati", ma almeno so che sono
scappati ;-) meglio di nulla. :-/
PS: comunque il post originale parlava di firewall *e* antivirus.
-- 
AB

John Smith wrote:

Copyright 1980 del mio maggiore (Ora Generale di Brigata) che me la uso'
contro una notte per farmi capire che era ora di smettere di rompere i
coglioni... (era la mia notte fortunata... il maggiore era in fondo un
poeta-soldato ed era disposto -- ancora per pochi minuti -- alla dialettica
anziche' alle manette...)
-- 
AB