Newsgroup: it.comp.sicurezza.varie
Titolo: Privacy: registro cronologico

Ad un corso sul D.Lgs.196/03 (codice privacy) a cui ha partecipato un mio
conoscente, indicavano come obbligatoria la tenuta di un registro
cronologico su cui annotare le operazioni di modifica periodica delle
credenziali di autenticazione (password), nonché altre operazioni relative
alla sicurezza.
Io non ne ho trovato riscontro nell'allegato B... qualcuno ne sa qualcosa?
Grazie, saluti, Kodos.

 ha scritto nel messaggio
news:gBSdd.52788$
H11.1...@twister1.libero.it

Non è proprio obbligatorio per legge, ma in caso di controllo è quasi 
indispensabile per dimostrare che hai effettivamente cambiato la password 
ogni 3/6 mesi (a seconda del tipo di dati trattati).
A meno che tu non voglia andare a spulciare nei log di sistema in caso di 
controllo :-)
Certo che poi uno può "firmare il registro di controllo" e poi fregarsene di 
cambiare la password (a meno che il s.o. non sia configurato propriamente) 
ma in quel caso è tua responsabilita, hai comunque dichiarato che l'hai 
fatto firmando il registro.

 dichiarato che l'hai fatto firmando il registro.
Ma e' tecnicamente possibile stabilire con certezza l'avvenuta modifica
periodica delle password attraverso un controllo software?
Perche' in caso contrario, l'unica prova dell'avvenuto cambiamento delle
password sarebbe il semplice registro firmato (anche in presenza
dell'art.2050 cc).
Questa sarebbe un opportunita' notevole di eludere tale obbligo.
Ciao, Kodos.

 obbligo.
Si la possibilità c'è ma è ovvio che se lo scoprono sono poi cavoli tuoi.
Perdere 1 minuti ogni 3/6 mesi per scrivere una parola e per firmare un 
foglio non è poi così tragico. Ovvio poi che quando ci si trova di fronte 
alle impiegate che si mettono le mani nei capelli quando gli dici "la 
password deve essere di 8 lettere" e loro rispondono con "O mio Dio, ma non 
mi ricorderò mai una password così lunga!!!" allora poi io gli propongo il 
cambio password poi se non lo fanno sono cavoli loro.

 poi così tragico. [...]
E' quello che volevo dire io (spiegandomi male): cioe' si istituisce, come 
si diceva, un "registro dei cambi password" nel quale gli incaricati ogni 
3/6 mesi annotano la password appena sostituita (ovviamente non quella in 
uso), salvo poi mantenere sempre la stessa.
Il registro servirebbe per dimostrare che tali password venivano adottate e 
poi sostituite periodicamente, anche se nella realta' questo non succedeva.
A questo punto, sarebbe impossibile per gli  eventuali accertatori 
contestare il mancato avvicendamento delle password (sempre che non si 
mettano a controllare i log, ma credo sia difficile, soprattutto se pensiamo 
non solo alla password del SO, ma anche a quelle di eventuali software 
gestionali dedicati...)
Kodos. 


impostando una scadenza alla password, e facendo in modo che la pwd venga 
sostituita al primo utilizzo, credo che sia un sistema sufficiente a 
dimostrare che si adempie al cambio di password ogni 6 mesi...

 si adempie al cambio di password ogni 6 mesi...
La soluzione da te proposta e' senza dubbio sufficiente a garantire un
livello di sicurezza rispondente in pieno alle misure minime dell'all.B.
La mia domanda e': in caso di accertamento, puoi dimostrare cio' che hai
fatto o ti serve un "registro cartaceo"?
Kodos.


è una bella domanda... non potrebbe essere sufficiente mostrare all'organo 
di controllo le impostazioni del sistema di controllo delle password? 
...sempre che chi faccia i controlli abbia un minimo di conoscenze 
informatiche...
Comunque, attendo con ansia i primi controlli per vedere come si muovono 
(sperando che tra i "pionieri" non ci siano i miei clienti!!!)