Newsgroup: it.comp.sicurezza.varie
Titolo: Codice della Privacy e Win98

Salve
Nella mia rete ho ancora molti pc win98....che per il codice della privacy 
non č piů a norma.
E' corretto se sostituisco l'OS (oppure il pc) solo sui pc che hanno 
trattamento di dati sensibili o giudiziari?
Questo perchč secondo me:
se il trattamento dei dati fatto sul pc č di dati personali (e non
sensibili).....posso anche tenere win98.
se il trattamento dei dati fatto sul pc č di dati sensibili o giudiziari
devo per forza avere almeno win2000.
Esatto? 

non č piů a norma.
E dov'e' scritto, nella legge?

 trattamento di dati sensibili o giudiziari?
No: l'identificazione dell'utente e' necessaria su tutti i PC che
trattano dati personali, e fa parte delle misure minime (allegato B).
"Sistema di autenticazione informatica
1. Il trattamento di dati personali con strumenti elettronici č
consentito agli incaricati dotati di credenziali di autenticazione che
consentano il superamento di una procedura di autenticazione relativa a
uno specifico trattamento o a un insieme di trattamenti.
2. Le credenziali di autenticazione consistono in un codice per
l'identificazione dell'incaricato associato a una parola chiave
riservata conosciuta solamente dal medesimo oppure in un dispositivo di
autenticazione in possesso e uso esclusivo dell'incaricato,
eventualmente associato a un codice identificativo o a una parola
chiave, oppure in una caratteristica biometrica dell'incaricato,
eventualmente associata a un codice identificativo o a una parola
chiave."


Scusa, ma se la macchina win 98 fa parte di un dominio?
Se non ho la coppia login/password giusta non ho l'accesso alla rete 
contenetni dati sensibili e quindi dovrebbe andare bene lo stesso.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 trattamento di dati sensibili o giudiziari?
No, non è corretto.
Vanno "messi a norma" tutti i PC con trattamento di dati di terzi (quindi 
anche con dati personali).
Se invece il PC non contiene alcun dato di terzi (ad esempio PC con software 
di lavoro senza dati altrui, PC dimostrativi, ecc...) allora non si applica 
il codice della privacy.

 contenetni dati sensibili e quindi dovrebbe andare bene lo stesso.
In quel caso, se sul disco fisso della macchina non sono presenti dati
personali, e la password e' conforme alle norme (almeno 8 caratteri,
non riconducibile all'incaricato, da sostituire obbligatoriamente ogni
3/6 mesi), va bene lo stesso: la macchina Win98 diventa un semplice
terminale.

 terminale.
Ma devi togliere dalla macchina stessa outlook e la sua rubrica di
clienti e fornitori.
Devi impedirgli di salvare in locale qualsiasi cosa.
Devi ... trasformare 98 in qualcosa che gestisca i permessi e le
autenticazioni.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Devi impedirgli di salvare in locale qualsiasi cosa.
Perché?
Se magari in locale ha un foglio Excel con il riepilogo di cassa, una lista 
di cose da fare, la documentazione su certe procedure e altre cose del 
genere non c'entra mica nulla con dati di terzi.

A me è comunque stato detto che:
1- win98 non verrà più supportato da quest'anno da parte di microsoft.....
quindi niente più aggiornamenti almeno semestrali dell'OS.
...e secondo me cio porta a non essere più a norma di legge!!!!
(che prevede l'aggionamento almeno semestrale)
2- l'autenticazione sulla macchina è inesistente, infatti chiunque può
utilizzare una macchina W98 senza avere un account in rete.
3- un pc win98 ntroduce inoltre un livello di sicurezza globale nella rete 
molto scarso, dove
un infiltrato può facilmente sniffare pacchetti LM per dedurne le password
inserite su macchine 98 e utilizzate per accessi di rete.
quindi .....
Win 98 non dovrebbe essere a norma di legge.......

 Win 98 non dovrebbe essere a norma di legge.......
Ma si, mettiamo fuori legge qualsiasi s.o. non recente, tanto non c'è più 
nessuno che li usa (è ironico ovviamente, ci sono valanghe di enti che per 
molti motivi non possono cambiare s.o. vecchi).

 genere non c'entra mica nulla con dati di terzi.
Ma li puo' avere.
Basta un riepilogo scadenze con i nominativi dei clienti e bang! sta
trattando dati personali.
Cosa perfettamente legittima, se l'utente e' autenticabile, cosa che
con 98 non e'.



....non sto affermando questo......

 
Come ragionamento mi va bene, però voglio vedere la finanza andare da 
*tutti* quelli che hanno il 98 e lo usano per internet a fargli il mazzo 
per la rubrica


 con 98 non e'.
Ripeto: con l'autenticazione HW, Win98 e' perfettamente in regola.

 che non patcherai più il tuo OS.....
Condivisibile... ma la Legge *non* dice che le patch devono essere per forza
rilasciate dalla Microsoft...
Potrei sempre installare software e patch di terze parti che aumentino il
livello di sicurezza del mio Win98 (e non e' un assurdita'...)
Chiaro che rimarrebbe la responsabilita' del Titolare (o del Responsabile)
di attuare il *controllo periodico* sulla presenza di nuovi aggiornamenti,
sia Microsoft che altrui...
Romano

 per la rubrica
Ecco cosa intendevo per "paranoia" :-)
E' ovvio che controlleranno, ma entro i limiti della decenza.
Altrimenti seguendo questa logica sequestrano i cellulari dei dipendenti che 
magari si sono segnati i numeri dei clienti, i PDA o chissà cos'altro. 
Ragazzi, stiamo parlando di numeri di telefono o di indirizzi email, mica di 
dati sensibili (dove magari sarebbe meglio concentrare le protezioni).

 
La legge è e deve essere legge: se mi vengono a controllare in azienda la 
rubrica di oe del grafico, *pretendo* che controllino anche quella di casa 
del mio vicino


 
No. Se il tuo vicino e' una persona fisica, la rubrica personale non e'
considerata trattamento di dati personali.
Ed e' uno dei motivi che mi fanno gridare quando si cerca di legiferare 
sul buon senso.
Perche' la mia agendina non e' dato personale, e quella di outlook si',
solo perche' lo uso per lavoro?
Perche' l'indirizzo di un cliente e' un dato personale, se lo metto in
contabilita', e non lo e' se lo segno sul mio PIM ?
Oltretutto, in contabilita' sono *OBBLIGATO* a registrarlo, ma per
accedere all'elenco clienti debbo identificarmi, se lascio la mia
agendina sulla scrivania, chiunque la puo' leggere comodamente, senza
autenticarsi con password o dispositivi biometrici.


 
quoto


 quella di casa del mio vicino
I privati dovrebbero essere esclusi dall'applicazione del D.Lgs.
196/03, ECCETTO le misure minime (autenticazione, firewall, antivirus)
che vanno comunque applicate... per cui e'giusto: anche il privato con
la rubrica di OE deve mettersi a norma!

 legiferare sul buon senso.
Anche i privati debbono applicare "in ogni caso" le misure minime (art.
5 comma 3 del D.Lgs. 196/03).


Allora ci vorrebbe un controllo per ogni pc venduto (almeno controllando 
il numero dei virus respinti dal server)



Ma non si debbono autenticare per aprire l'agenda.
Non debbono fare un elenco delle persone che hanno accesso ai locali
in cui l'agenda e' tenuta.
Non debbono comunicarmi se e quando passano il mio numero di telefono
ad un amico, non debb...
E' quello che dico anch'io.
Le *misure minime* sono il buon senso, la normale cura del buon padre di
famiglia, come dice il codice civile.
E non capisco che differenza ci sia tra la normale cura per conservare
la mia agendina, e/o la rubrica di outlook, o l'anagrafica dei clienti.
La legge sulla privacy e' la trasposizione in legge del buon senso.
Non debbo andare a caccia di dati personali per usi diversi dal normale
rapporto di lavoro/amicizia/conoscenza, se voglio parlare con mio
cugino, e' giusto che esista l'elenco del telefono, ma se sei il solito
*markettaro* e' giusto che tu non possa rompermi le pelotas, anche se il
mio numero e' sull'elenco. Perche' mio cugino lavora di notte, e io lo
so, tu non lo puoi sapere, e lo svegli per offrirgli qualcosa o per
fare un sondaggio.
Non debbo disturbarti trattando i tuoi dati personali salvo che me lo
dica tu.
Non debbo trarre vantaggio a tuo danno sfruttando i tuoi dati sensibili,
discriminandoti per sesso, religione, fede politica.
Se ho i tuoi dati, debbo cercare di conservarli nel migliore dei modi
possibili, per evitare che la loro distruzione e/o diffusione
involontaria non ti procuri un danno.
Se tu non vuoi che io abbia i tuoi dati, sei libero di dirmelo.
E' tutto buon senso, ed educazione civica. Materia che mi sembra
scomparsa dalle nostre scuole.


 Ma non si debbono autenticare per aprire l'agenda.
Invece si, se e' elettronica: l'autenticazione informatica fa parte
delle misure minime (allegato B al D.Lgs. 196/03, punto 1 e seguenti).

la rubrica di OE deve mettersi a norma!
Nel senso che dovrei mettere firewall e antivirus sul mio Palm?
Wow.
Leonardo
-- 
La societa' londinese mi2g, specializzata in digital risk management,
ha assegnato la palma del "sistema operativo piu' sicuro al mondo" al
Commodore VIC 20, su cui non si registrano falle da oltre tre anni.
http://punto-informatico.it/p.asp?i=50281
  (lies, damned lies and...)

 Leonardo
Pensa ad una bella autenticazione via radius sul cellulare da 100€


 Nel senso che dovrei mettere firewall e antivirus sul mio Palm?
Direi di no... Ovviamente si parla di strumenti informatici
vulnerabili, cioe' PC con Winzozz.

 
Anzi potrebbero anche portasi dei floppy o usbkey , meglio siliconare 
tutti i buchi del PC.
Devi anche togliere le penne e matite agli utenti, potrebbero sempre 
trascrivere i dati su carta o sul palmo della mano.
Io installerei un metaldetector all'ingresso dell'azienda per evitare 
che si portino da casa fotocamere o videocamere.
Sono troppo paranoico?

 Sono troppo paranoico?
Noooo scherzi? Come dice qualcuno ogni tanto "la legge è legge" :-)

 Sono troppo paranoico?
Purtroppo no. :-)
E' la legge ad essere paranoica, nella lettera.
E volendo grattare tra le righe, anche l'annotazione manuale di dati
sensibili dovrebbe essere fatta crittograficamente, con autenticazione
preventiva.
Percio', niente matite, se non connesse ad un lettore di smart-card. :-)


 Percio', niente matite, se non connesse ad un lettore di smart-card. :-)
Argh :-) 

 
Quello che voglio evidenziare č che se un operatore 'esce' dal suo 
incarico al trattamento quindi non rispetta le regole impartitegli, 
diventa molto difficile controllare ogni eventuale situazione:
Paragoniamoci ad esempio agli utenti della strada: anche se obbligassimo 
tutte le case costruttrici e/o proprietari di dotare i veicoli di 
dispositivi di autocontrollo per il rispetto del codice della strada non 
credo che le infrazioni diminuirebbero fino a zero.
Segnalo anche che l'inizio del thread parlava di Win98 e dati personali 
non sensibili.
Saluti