Newsgroup: it.comp.sicurezza.varie
Titolo: Privacy & DPS (lungo)

Un nuovo decreto legislativo mette ordine sull'utilizzo dei dati personali e
sul loro uso.
Il Decreto Legislativo del 30 giugno 2003 sostituisce, a sette anni dalla
sua emanazione, la legge 675 sulla privacy.
Il nuovo testo di legge (Dlgs 196/2003) raccoglie le esperienze maturate
nell'esercizio della 675 e del DPR 318 del 1991.
Questo testo si occupa del trattamento dei dati personali, sia questo
eseguito con l'ausilio di strumenti informatici o cartacei, in un unico
disegno di legge, superando molte delle obiezioni che erano state mosse alla
precedente legge 675.
Vediamo di seguito alcuni dei punti salienti di questo nuovo decreto, che
entra in vigore a gennaio 2004 e per il quale sono previsti sei mesi di
tempo per adeguarsi sul piano tecnico.
Il codice completo è reperibile sul sito del garante della privacy
(
www.garanteprivacy.it
).
Occorre adottare sistemi di protezione come Antivirus e Firewall
correttamente installati e con politiche di sicurezza aggiornate
regolarmente.
Definizione dei dati:
Nel decreto si definiscono come dati personali (Art.4 lettera b):
"qualunque informazione relativa a persona fisica, persona giuridica, ente o
associazione identificati o identificabili, anche indirettamente mediante
riferimento a qualsiasi altra informazione..."
Sono dati personali ad esempio, NOME, COGNOME, INDIRIZZO, RAGIONE SOCIALE,
TELEFONO, CODICE FISCALE, PARTITA IVA, FOTOGRAFIE, PROFILI CREDITIZI, etc...
Vengono invece definiti dati identificativi (Art. 4 lettera c) tutte quelle
informazioni che permettono la correlazione tra i dati personali e le
persone fisiche.
Ad esempio, dato identificativo è un codice che associa una fattura ad un
cliente.
I dati sensibili vengono invece definiti nell'Art. 4 lettera d.
In questa categoria ricadono tutti i dati che possono essere causa di
discriminazioni, quindi ad esempio i dati relativi alla fede religiosa,
militanza politica, stato di salute etc.
Spesso questi dati sono desumibili da trattenute sindacali, cartelle
cliniche, rilevazioni di presenze etc...
Questa categoria di dati è quella (insieme ai dati giudiziari) su cui la
normativa indica delle precise e stringenti misure di sicurezza.
Nell'articolo 4, lettera "e" vengono invece definiti i dati giudiziari, che
sono tutte le informazioni che rivelano la condizione giudiziaria, presente,
passata o in fase di definizione delle persone fisiche.
A chi è rivolta la normativa... ?
L'art. 5 punto 1 del decreto legislativo sancisce:
"Il presente codice disciplina il trattamento di dati personali, anche
detenuti all'estero, effettuato da chiunque è stabilito nel territorio dello
Stato o in un luogo comunque soggetto alla sovranità dello Stato. "
Ovvero tutti coloro, Pubblica Amministrazione, Enti Privati,
Circoli/Associazioni, Aziende che sono in possesso, in forma elettronica e
non, di informazioni o dati personali relativi a persone fisiche o
giuridiche secondo la definizione che si è data precedentemente.
È pertanto evidente che un archivio elettronico normalmente contiene dei
dati personali.
Ad esempio, la presenza di una scheda cliente o di fogli elettronici con
dati di clienti fa ricadere l'azienda/ente/associazione/pubblica
amministrazione nell'ambito in cui si applica la normativa.
Come si devono trattare i dati?
Il decreto specifica che i dati devono essere il più possibile pertinenti
alle finalità per le quali vengono raccolti.
Sono quindi tutte le informazioni necessarie a comprendere lo scopo per il
quale è stato creato l'archivio, spiegando inoltre quale fine ci si prefigge
(ad esempio: informazioni commerciali, selezione del personale etc).
Inoltre i dati devono essere inventariati e archiviati separatamente a
seconda della loro classifica (personali, sensibili, giudiziari).
L'interessato o la persona che raccoglie questi dati deve informare gli
interessati sulle finalità, la modalità del trattamento, sui diritti che il
titolare può esercitare, come indicato dall'art 13 della legge 196.
Misure di protezione da adottare:
Il decreto, negli articoli 31, 33 e 34 descrive le misure di sicurezza da
adottare.
In questi articoli viene ribadito che si devono tutelare l'integrità e la
riservatezza dei dati con misure di sicurezza fisica (limitazione degli
accessi ai locali, uso di armadi con chiave, controlli di accesso biometrico
alle sale server ecc), logiche (antivirus, firewall..) e organizzative
(istruzione del personale e dei collaboratori, creazione di procedure,nomina
di responsabili ecc.)
Le password devono essere gestite da un responsabile e aggiornate
periodicamente.
Ogni 6 mesi per i dati personali e ogni 3 mesi per dati sensibili e
giudiziari.
Al decreto è stato inoltre aggiunto l'allegato B (che verrà aggiornato in
funzione dell'evoluzione tecnologica) che ha il compito di analizzare nel
dettaglio le misure di sicurezza sul piano tecnico.
Vediamo di seguito i punti che caratterizzano gli articoli 31, 33 e 34.
Articoli 31 (Obblighi di sicurezza)
L'art. 31 del decreto legislativo dice:
"I dati personali oggetto di trattamento sono custoditi e controllati, anche
in relazione alle conoscenze acquisite in base al progresso tecnico, alla
natura dei dati e alle specifiche caratteristiche del trattamento, in modo
da ridurre al minimo, mediante l'adozione di idonee e preventive misure di
sicurezza, i rischi di distruzione o perdita, anche accidentale, dei dati
stessi, di accesso non autorizzato o di trattamento non consentito o non
conforme alle finalità della raccolta. "
Qui il decreto descrive cosa si deve garantire rispetto alle informazioni,
ovvero:
1) riduzione dei rischi di perdita/distruzione (backup e procedure di
salvataggio dei dati).
Pertanto devono essere create procedure di backup periodiche delle basi dati
accompagnate da procedure di ripristino degli stessi.
2) riduzione del rischio intrusione da parte di estranei non autorizzati al
trattamento.
I dati devono essere accessibili solo al personale addetto al trattamento e
l'utilizzo deve essere consono ai dati raccolti.
Viene anche sottolineato che le contromisure tecniche di protezione hanno
sempre una validità temporale e vanno costantemente adeguate all'evoluzione
delle possibili fonti di minaccia.
Articoli 33 (Misure minime)
L'articolo 33 sancisce:
"Nel quadro dei più generali obblighi di sicurezza di cui all'articolo 31, o
previsti da speciali disposizioni, i titolari del trattamento sono comunque
tenuti ad adottare le misure minime individuate nel presente capo o ai sensi
dell'articolo 58, comma 3, volte ad assicurare un livello minimo di
protezione dei dati personali. "
In questo articolo il decreto sottolinea l'obbligatorietà delle azioni
menzionate nell'articolo 31.
Si noti che l'applicazione di queste misure è da considerare come il minimo
intervento necessario; è quindi eventualmente da integrare con altre misure
in funzione delle informazioni possedute.
Articoli 34 (Trattamenti con strumenti elettronici)
L'articolo 34 entra nel merito delle misure da adottare nel trattamento dei
dati effettuato con strumenti elettronici, dicendo che:
Il trattamento di dati personali effettuato con strumenti elettronici è
consentito solo se sono adottate, nei modi previsti dal disciplinare tecnico
contenuto nell'allegato B), le seguenti misure minime:
a) autenticazione informatica;
b) adozione di procedure di gestione delle credenziali di autenticazione;
c) utilizzazione di un sistema di autorizzazione;
d) aggiornamento periodico dell'individuazione dell'ambito del trattamento
consentito ai singoli incaricati e addetti alla gestione o alla manutenzione
degli strumenti elettronici;
e) protezione degli strumenti elettronici e dei dati rispetto a trattamenti
illeciti di dati, ad accessi non consentiti e a determinati programmi
informatici;
f) adozione di procedure per la custodia di copie di sicurezza, il
ripristino della  disponibilità dei dati e dei sistemi;
g) tenuta di un aggiornato documento programmatico sulla sicurezza;
h) adozione di tecniche di cifratura o di codici identificativi per
determinati trattamenti di dati idonei a rivelare lo stato di salute o la
vita sessuale effettuati da organismi sanitari.
In questo articolo sono elencate, in linea generale, le misure di sicurezza
minime da adottare in un sistema informatico.
I dettagli tecnici sono contenuti all'allegato B.
Pertanto in un sistema informativo occorre inserire:
Un sistema di autenticazione per l'accesso ai dati, ovvero la gestione dei
codici di accesso o password ai sistemi informativi che contengono i dati.
Queste dovranno essere conformi a quanto descritto nell'allegato B, quindi
ad esempio essere gestite da un responsabile, aggiornate periodicamente (sei
mesi per dati personali e tre mesi per dati sensibili/ giudiziari).
Le password inoltre dovranno essere di almeno otto caratteri e non contenere
riferimenti riconducibili all'incaricato.
Per maggiori dettagli si veda l'allegato B alla sezione "Sistema di
autorizzazione informatica".
Un sistema di controllo dell'accesso ai dati da parte del personale addetto
alla manutenzione e gestione dei sistemi informativi, unito a misure che
tendano a garantire l'effettiva motivazione all'accesso e la revoca al
personale non più autorizzato.
La protezione che viene citata al punto (e), fa riferimento nel settore
informatico a worm, virus informatici, attacchi da parte di pirati
informatici.
Ovvero situazioni che inserendosi nel sistema operativo rendano accessibili
i computer all'esterno per via telematica.
In questo caso occorre adottare sistemi di protezione come Antivirus e
Firewall correttamente installati e configurati con politiche di sicurezza
aggiornate regolarmente.
Sistemi di backup e disaster recovery che garantiscano l'integrità dei dati
programmando periodicamente il salvataggio dei dati, la custodia delle
copie, le procedure di ripristino e così via.
Stesura di un documento programmatico sulla sicurezza, ovvero la stesura di
un documento interno dove vengano descrìtte le politiche di sicurezza
adottate e le modalità di auditing.
Tecniche di cifratura per i dati sensibili/giudiziari; data la natura di
questi dati (come specificato nell'allegato B) non solo i locali dovranno
essere protetti, ma anche il trasporto dei dati all'esterno o per via
telematica in formato elettronico dovrà essere cifrato.
Oggi questo si può ottenere con l'utilizzo ad esempio di IPSec, tecnologia
presente in molti apparati firewall, per quello che riguarda il livello
rete.
Oppure cifrando i dati a livello di applicativo.
Accertamenti e sanzioni
Il decreto 196/2003 prevede inoltre la possibilità di effettuare delle
ispezioni o verifiche nei luoghi ove si svolge il trattamento dei dati (Art.
158 Accertamenti).
Il garante si avvarrà ove necessario della collaborazione di altri organi
dello stato.
Rimangono invece praticamente inalterate le sanzioni già previste nella
precedente legge sulla privacy come ad esempio il richiamo all'articolo 2050
del codice civile, che prevede, in caso di danni causati a terzi per effetto
del trattamento dei dati personali, la prova (a volte impossibile da
esibire) che tutte le precauzioni necessarie ad evitare il danno erano state
prese.
La mancata osservanza può portare all'arresto sino a due anni e all'ammenda
da diecimila a cinquantamila euro (Art. 169).
Si deve tutelare l'integrità e la riservatezza dei dati con misure di
sicurezza fisiche, logiche e organizzative.
===================================================
Conclusioni:
Occorre porre attenzione ai dati che sono in nostro possesso, cercando di
inserire nel sistema informatico le misure di sicurezza idonee.
In più punti nel decreto legge si fa riferimento a misure di sicurezza
aggiornate periodicamente ed al passo con le nuove tecnologie.
Si ricorda ai tecnici che le misure di protezione hanno sempre una validità
temporale e vanno pertanto continuamente aggiornate.
Pertanto, sarebbe meglio evitare soluzioni posticce che potrebbero
soddisfare le esigenze attuali, ma risultare obsolete nel tempo richiedendo
pertanto nuovi investimenti.
(Sperando sia utile a chi, come me, ha dovuto studiarci su a lungo, pur
essendo gia' abbondantemente "a norma" da tempo).

 FOTOGRAFIE, PROFILI CREDITIZI, etc...
Quindi se in un database ci sono solo nome, cognome, codfisc, indirizzo e
cose del tipo "rate non pagate di un prestito" sono dati personali giusto?


Per come l'ho capita io, direi di si.

 Per come l'ho capita io, direi di si.
Anche io sono dello stesso parere, chiedevo solo ulteriori opinioni :-)

 scappatoia. E rende perfettamente l'idea di che s.o. obseleti si tratti.
Funziona sempre la lamerata di togliere la batteria?
-- 
Io faccio anche teleassistenza per centrali termiche. (Dmitry)

 Io faccio anche teleassistenza per centrali termiche. (Dmitry)
'stardo ;)

 accorgimenti del caso di sicurezza.
panarea Thorin, si dice panarea, ricordi ? ;)
Danny e Le sign dei bei tempi andati

 ma non ne sono certo.
si, credo si possano considerare dati sensibili in quanto personali ma non
riferibili a qualunque individuo (se uno e' "protestato" puo' esser soggetto
a discriminazioni esattamente come uno che sia omosessuale).

 Non sarà cosa indolore.
Bhe, sicuremante una soluzione Microsoft costa di piu e non di poco... ;-)

 Ipsec come se piovesse, o, al limite, EAP/WPA.
Sicuramente, ma quante persone sanno implementare una vpn? ;-)
Io ho usato freeswan e funge.
EAP cosa e´? scusate se non sono molto aggiornato...

 in posizione originaria, senza nemmeno toccare la batteria. 
Su altre ci sono delle belle password che funzionano sempre e comunque.
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 siano dati sensibili, ma non ne sono certo.
Però non c'è alcun riferimento a cose del genere nella descrizione dei dati
sensibili nella legge 196/2003 (a meno ovviamente che io non mi sia
sbagliato, e questo è possibilissimo).

 batteria. 
su alcune MB sono memoprizzate in E-EProm quindi non č cosě semplice.
-- 
Ciao, Dmitry
FIAG - Free It-Alt Group  ~   
http://www.fiag.it
X-PLANET Community        ~   
http://www.x-planet.org

 Danny e Le sign dei bei tempi andati
mi sembri un pappagallo a volte..


 ha scritto nel
messaggio news:2i8kf3F...@uni-berlin.de...

il bollettino dei protesti (o ex bollettino) esiste in ragione di dare
pubblicita' a chi non paga, ergo non mi sembra la stessa cosa.

 ma non ne sono certo.
singolarmente, no; pero' se vengono raccolte sistematicamente allo scopo 
di fare una stima dell'affido finanziario di un soggetto si incorre in 
specie espressamente coperte da alcuni articoli della legge che 
prevedono specifiche misure, tra cui la notifica del trattamento al 
garante.
Ribadisco, solo se si è in presenza di database _espressamente_ dedicati 
a quella funzione, su questo il garante è stato molto chiaro. Le usuali 
annotazioni sui pagamenti che qualunque azienda tiene nei confronti dei 
propri clienti costituiscono dati sì preziosi, ma non "sensibili" 
secondo i termini della 196.
-- 
Fabrizio "Hermooz" Ermini

 sotto al tavolo una segretaria degna del nome fa sempre miracoli :)
rotfl! se leggesse quello che scrivi anche la mia.


 Bhe, sicuremante una soluzione Microsoft costa di piu e non di poco... ;-)
Ma implementare una VPN con EAP e' un gioco da ragazzi ;)
--
Sicuramente, ma quante persone sanno implementare una vpn? ;-) (Alessandro
Marzini)


e tu un abuseman

 gestire, quasi utopia direi.
finche' e' semestrale, poi.

 hai una segretaria e non ce la presenti ? Bell'amico che sei...
seee ... spetta e spera :)


 hai una segretaria e non ce la presenti ? Bell'amico che sei...
magari manco gli rivolge la parola, non vedi che non riesce manco a farle
leggere il NG ? <g>

 Ma te l'ha mandata la pellicceria Annabella di Pavia? :-)
ri-rotfl :) no no ..


 "sensibili" secondo i termini della 196.
Grazie dei chiarimenti.

 skippare la password basta premere Esc.
Fallo entrare in un dominio se ce la fai con quel trucchetto.
-- 
Protect your software at all costs; all else is meat.
News 2000 [v 2.06] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net

 
il 'bollettino dei protesti' come'era inteso una volta non esiste più e 
cmq non è più liberamente consultabile da chiunque ma solo da chi ha 
accesso - motivato - ad una archivio che oggi, per gli addetti al 
settore, si chiama 'centrale di rischio'...

 settore, si chiama 'centrale di rischio'...
Per bollettino dei protesti intendo anche la Gazzetta Commerciale che ho
sulla mia scrivania in questo momento ed è consultabile da chiunque paghi un
abbonamento. O forse mi sbaglio
ciao