Newsgroup: it.comp.sicurezza.varie
Titolo: Normative Sicurezza e P.A.

Buon giorno a tutti.
(scusate lo sfogo)
Sono a scrivere giusto per aprire un dialogo e un confronto, su di un 
argomento che ormai (per lavoro) seguo da qualche anno.
Mi trovo a svolgere consulenze in materia di sicurezza nella gestione delle 
informazioni in varie realtà di enti locali di svariate dimensioni, (dal 
comunello di 1000 abitanti a comuni capoluoghi di provincia), più o meno in 
tutta italia (escludendo le isole) e dappertutto tranne rarissime (uniche?) 
eccezioni la situazione è davvero sconfortante (le realtà meno sconfortanti 
sono da classificare come "tristi").
Il messaggio più difficile da far passare è che i loro dati sono "davvero!" 
importanti e "succulenti" per determinate categorie di soggetti, ma ciò 
nonostante, ciccia, nisba, non gli entra nel capoccione.
Tralasciando la sicurezza più propriamente rivolta agli apparati, su tutti 
la carenza massima è di tipo organizzativo, e la frase "controllo delle 
procedure" produce effetti simili a quelli di "obluraschi" di Serniana 
memoria (la parola "procedure" ottiene risposte migliori, ma generalmente 
provoca stati di catalessia).
Personalmente ho smontato e depositato sulla scrivania dei Sindaci parecchi 
hard disk di server in produzione, oppure ho avuto accesso a password di 
root con un semplice telefono. E ciò mi inquieta "assai".
Oltretutto, praticamente tuti gli enti effettuano trasmissioni verso e da 
banche dati centrali (governative) e la mole di informazioni che viaggia via 
internet è "notevole".
E' da un po' di tempo che mi sto prefigurando uno scenario tristo ed 
allarmante, non appena aumenterà ancora un po' l'informatizzazione e 
decrescerà il dato cartaceo, dove soggetti abbastanza motivati potranno a 
loro piacimento andare a modificare le banche dati detenute dagli enti, 
ricavandone anche un cospicuo guadagno.
(già oggi esiste una normativa dove le anagrafi possono tranquillamente 
mandare al macero tutti i registri cartacei e mantenere solo i dati su 
server... e in almeno una occasione dove i registri erano già stati 
eliminati, ho personalmente verificato che non esistevano back up di 
sorta... e non parlo di comunello da 1000 abitanti...)
Le normative che in questi anni sono state emanate (solo in Italia, senza 
contare Europa ecc.) lasciano purtroppo il tempo che trovano e il governo 
centrale (chiunque esso sia, non importa) se "ne fotte" bellamente.
I trattamenti in outsourcer non prevedono (MAI) una minima garanzia reale in 
sede contrattuale, e nella quasi totalità dei casi, figure esterne hanno 
accesso diretto o indiretto (e spessissimo in forma non autorizzata e MAI in 
forma controllata) a dati di notevole rilevanza.
Mi chiedo anche il senso di intraprendere (per i professionisti che prestano 
la loro opera alla P.A.) percorsi di certificazione in questa materia, se, 
di fatto, non vengono recepite (dal committente) le elementari norme di 
sicurezza che vengono proposte.
Vabbè, scusate lo sfogo, ma oggi è venerdì e io odio i venerdì :)
Voi che esperienze avete avuto con la P.A.?
ale

 root con un semplice telefono. E ciò mi inquieta "assai".
e quando trovi anche armadi senza chiavi che custodiscono pratiche messe 
alla mercè di tutti? O anche lasciate sulle scrivanie? E tutto ciò 
perchè non ci sono mai soldi per niente: come ad esempio comprare armadi 
con chiusura ecc...Figurati pensare a tenere aggiornati server e quant'altro


La mia esperienza è quotidiana perchè ci lavoro e come ti dicevo qualche 
rigo fa non sempre è colpa del dipendente. I tagli che vengono proposti 
ad ogni finanziaria non dovrebbero essere quelli che colpiscono l'esiguo 
stipendio che prende ogni mese il dipendente ma nello spreco che si fà a 
partire soprattutto dalle alte sfere (onorevoli, assessori, consiglieri, 
sindaci, presidenti, ecc...).
Ciao e scusa anche per il mio di sfogo

 sindaci, presidenti, ecc...).
figurati, mica parlavo dei dipendenti. Come ti dicevo il problema 
sostanziale è di natura organizzativa
A partire dalle Amministrazioni
ale 

 Voi che esperienze avete avuto con la P.A.?
oltre che in alcuni enti locali, in un caso ho vissuto la situazione 
che descrivi durante un lavoro su un server della direzione centrale di 
una banca... praticamente potevo leggermi le ultime 10 operazioni, il 
saldo del cc e del portafoglio titoli di tutti i loro correntisti. Sono 
uscito contento di non avere un conto da loro, ma anche chiedendomi 
quanti estranei hanno accesso ai dati dei miei cc.
-- 
Sans

 
A parte che non ti faro' (per buon senso e per l'art. 622 del c.p. -
Rilevazione di Segreto Professionale) un solo nome... ma qualche cognome
che tentazione che sarebbe! Dicevamo, a parte questo, la ns. personale
esperienza e' variegata. Sembrera' incredibile, ma P.A. con idee chiare (o
meglio intenzioni chiare - chiarirgli le idee e' compito nostro) e disposte
a spendere purche' gli si spieghi esattamente razionali, come, dove, con
quali piani a medio e lungo termine le abbiamo trovate.
Poi abbiamo trovato anche quelle che tu hai raccontato. Non sono mai
diventate nostre clienti. Non eravamo interessati noi (chissa' se e quando
ci avrebbero pagato) ne erano interessate loro (parlavamo a loro in una
lingua sconosciuta).
Poi ne abbiamo trovate molte nel mezzo.
-- 
AB

 lingua sconosciuta).
Una cosa che mi sconcerta sempre, vabbè sconcerta per modo di dire, ormai ho 
fatto l'abitudine, è come il CED sia temuto a livello di "centro di potere" 
e, di conseguenza, spesso e volentieri smembrato o riadattato non appena 
cambia a) amministrazione b) direttore generale.
L'altra cosa dura da far passare è la costituzione "interna" di un pool 
valutativo che possa gestire l'ISMS. Interna o anche esterna, niente da 
fare, preferiscono frammentare e delegare le attività senza un coordinamento 
centrale.
Ed infine... se il Ministero salvasse un po' dei soldi che butta in progetti 
e-government farlocchi, e li destinasse alla formazione degli enti (anche 
formazione interna) credo che in veramente pochi anni si riuscirebbe a 
costituire una coscienza pubblica di livello leggermente migliore di quello 
attuale
ale