Newsgroup: it.comp.sicurezza.varie
Titolo: D.Lgs 196/2003 e requisiti minimi

Salve
volevo capire i requisiti da prendere in considerazione nel caso in cui in
una azienda ci sono:
SOLO DATI PERSONALI
password di almeno 8 caratteri
modifica password ogni 6 mesi
possibilità cambio password da parte dell'utente
utenti non utilizzati da 6 mesi vengono disattivati
crittografia dati su pc portatili
antivirus
firewall di rete
backup dati con verifica
sicurezza luogo dove sono tenuti supporti di backup
SUS server
DPS
ANCHE DATI SENSIBILI
modifica password almeno ogni 3 mesi
......cosa altro devo prendere in considerazione?
ANCHE DATI GIUDIZIARI
????????
Cosa altro c'è da prendere in considerazione?
Io metterei anche:
Sistema raid su server
Switch o hub di riserva/scorta
Gruppo di continuità almeno sui servers
Auditing sui servers
Cambio account administrators sui servers
.....c'è altro secondo voi?
anche che non faccia parte dei requisiti minimi?
GRAZIE

 anche che non faccia parte dei requisiti minimi?
Solitamente consiglio il backup non sul server (su un HD separato) ma su una
macchina diversa (anche solo un semplice client).


Cioč?
Fare la copia dei dati su un'altro pc in rete? Io faccio il backup su unitŕ
nastro........

macchina diversa (anche solo un semplice client).
Io lo faccio fare su CD (la mole dei dati e' intorno a 100MB)
giornaliero su CDRW.

 ha scritto:
Scusa ma oggi leggendo gli articoli 26 e 27 del D. Lgs. 196/2003 non
ho capito una cosa, ma allora se io inteso come studio legale voglio
continuare a lavorare devo chiedere prima l'Autorizzazione al Garante?

 il backup su unitŕ nastro.
Ah beh, allora se usi un'unitŕ esterna č anche meglio.

 100MB) giornaliero su CDRW.
Certo, se la mole è così ridotta un CD-RW direi che va più che bene.
Poi se proprio vuoi fare il pignolo gli dici di mettere i CD-RW in
cassaforte :-)

 chiedere prima l'Autorizzazione al Garante?
Bella domanda.
Dalla legge sembra proprio di si, però guarda caso se guardi sul sito del
garante la notifica l'hanno fatta ben pochi studi legali e se chiedi al
garante (o all'URP) informazioni su questa notifica (ad esempio cosa deve
fare chi non è arrivato entro il 30 aprile 2004) c'è il silenzio più
assoluto.
Ovviamente il motivo è perché nemmeno loro sanno bene cosa si deve fare,
sono solo leggi sparate a caso da qualcuno che una mattina si è svegliato e
ha detto "toh, oggi imponiamo nuove misure di sicurezza a tutti" senza
rendersi conto della difficoltà di fare di colpo questa cosa.
Esattamente come per la Legge Urbani, un altro esempio di legge i cui
controlli sono inapplicabili.

controlli sono inapplicabili.
Purtroppo credo anche io che i controlli siano inapplicabili anche
perche' i primi che non sono in regola sono proprio loro purtroppo,
un avvocato mi ha detto che persino i Tribunali sono nei guai per
l'adeguamento a causa di gravi problemi logistici. 
In questo caso mi verrebbe da dire al Garante "ma scusa come fai a
mettere queste misure minime se non hai conoscienza dei problemi che
crei?".
Purtroppo i controlli inapplicabili generano anche un'altro problema,
quello che un sacco di ditte e studi se ne fregano proprio con l'idea
del "tanto chi controlla? Non verranno mica a rompere le scatole
proprio a me!" e questo e' controproducente infatti rischia di far
sembrare "stupidi" coloro che le adottano.
Forse contrariamente a quanto ho detto (puo' sembrare che io sia
contro le misure minime) io sono favorevole per certi versi a queste
misure minime (quanti studi professionali hai visto senza nemmeno un
antivirus?, io troppi) come dicevi tu, una volta (antecendente al
problema DPS) sono andato in uno studio con due sedi per condividere i
documenti se li spedivano per posta elettronica gli ho detto che
esiste la VPN e da allora quando incontro il proprietario dello studio
(i miei clienti sono quasi tutti conoscenti) ancora mi ringrazia!
Tutto deve essere ponderato non credi?
Ciao

 Tutto deve essere ponderato non credi?
Giustissimo.

assoluto.
Ho risentito lo Studio segnalando il problema e mi hanno risposto che
la categoria  degli Avvocati *HA* un'autorizzazione generica del
Garante per il trattamento dei dati sensibili e quindi gli studi
legali non necessitano di un'autorizzazione esplicita.
Prendi queste informazioni con le pinze.

 Prendi queste informazioni con le pinze.
Se è vero, è un'ottima cosa.
Hai per caso idea di dove possa chiedere conferma? (non intendo uno studio
legale in particolare, ma magari un sito di categoria o cose simili)

 legale in particolare, ma magari un sito di categoria o cose simili)
Sull'inserto del sole 24 ore di maggio intitolato "la mia privacy" viene
specificato da un'esperto che sia gli avvocati che i medici sono esenti
dalla notificazione.
Mentre una circolare del'ordine dei commercialisti ha detto che anche i
consulenti sono esenti da tale obbligo.
Sapete per caso se è stata data una proroga alla notificazione che scadeva
il 30/04
Ciao e grazie Viaco

 notificazione che scadeva il 30/04
No, al momento che io sappia non c'è alcuna proroga in merito.

legale in particolare, ma magari un sito di categoria o cose simili)
Oggi e' arrivato il consulente per l'Ente Pubblico sai cosa ha detto?
Che la cifratura/separatura dei dati va usata solo se e' un ente
sanitario altrimenti no, alle mie rimostranze ha detto che nemmeno gli
studi legali devono adottare la cifratura/separazione dei dati.
Mah.

e possa vedere i dati sensibili solo richiedendoli esplicitamente).
Ci sono un po' di informazioni contrastanti, l'allegato tecnico e
l'ultimo documento del garante (linee guida) lo prescrive solo per gli
organismi sanitari o esercenti professioni sanitarie.
In realtà la legge all'art 22 lo prescrive per tutto il settore
pubblico, quindi anche comuni, enti ecc.
Vedremo come si consolida la giurisprudenza, per ora consiglio ai miei
clienti di tenere su carta e sotto chiave tutto quanto non serve in
digitale, è la soluzione più economica anche se bisogna rispettare gli
articoli 27,28,29 del disciplinare tecnico.
Andrea



Così dice anche la linea guida presente sul sito del garante da
sabato, in realtà questo contrasta con l'art 22 della legge che dice
che riguarda tutto il settore pubblico...
Andrea



Si chiamano autorizzazioni generali, ne ha emanate alcune che
riguardano campi specifici, come quello del rapporto lavoratore-datore
di lavoro. Si trovano sul sito del garante.
Per quanto riguarda gli avvocati è molto interessante le risposte del
garante date negli scorsi giorni alle richieste dell'ordine,
inquadrano bene quanto richiesto e alcune semplificazioni. Le ho
trovate sul sito dell'ordine di Milano.
Andrea