Newsgroup: it.comp.sicurezza.varie
Titolo: privacy e gestionale

Salve a tutti,
  vorrei sapere se le misure minime da adottare per gestire i dati 
personali con strumenti elettronici (famoso "allegato B" della legge 
sulla privacy) devono essere adottate anche per il gestionale oltre che 
per l'accesso ai pc.
Ovviamente il gestionale contiene dati personali (l'anagrafica clienti, 
per esempio, credo lo sia)
Mi riferisco in particolare al cambio di password, alla disattivazione 
dell'account dopo 6 mesi di inutilizzo, ecc..
Lo stesso discorso vale per l'intranet/extranet, nel caso contengano 
dati personali? (Possono avere account e password diverse dal gestionale 
e dal pc)
Grazie x gli eventuali chiarimenti
Alessandro


In realta' potrebbe essere che sia esattamente il contrario. Ovvero, 
sicuramente si dovranno adottare per il gestionale in quanto questo consente 
il trattamento di dati personali.
Non e' detto che l'accesso al PC lo consenta. Si potrebbe verificare il caso 
che, accedendo semplicemente al PC, non si sia in alcun modo in grado di 
interpretare i dati personali che il gestionale registra e archivia 
(ipotizzo un DB crittografato in relazione alle credenziali di accesso al 
gestionale). Addirittura sul PC potrebbero non esserci nemmeno lettere o 
documenti che configurino un diverso trattamento di dati personali. E 
nemmeno la rubrica per email e fax. Null'altro, quindi, se non il sistema 
operativo, e quindi non sarebbe necessaria alcuna credenziale di accesso. 

 
Il "sistema" nel suo complesso deve gestire i dati personali come da
Allegato B (dove per sistema si intende quello complessivo fatto dalla
singola stazione di lavoro / PC con i suoi strati hardware e software)
fosse anche, caso minimo, fatto di un singolo PC stand-alone.
Quale pezzo del "sistema complessivo" lo faccia per il legislatore è
irrilevante. 
Da notare che essere conformi all'allegato B e' ad occhio e croce uno sforzo
per il 20% tecnico e per l'80% organizzativo/gestionale (inutile avere la
tecnologia se poi non la si usa correttamente). L'altro giorno ho scoperto
che ad un imprenditore mio amico (e per principio non propongo le mie
consulenze agli amici, ma in questo caso si e' rivelato un errore...)
avevano fatto cambiare PC e sistemi operativi con la scusa della privacy e
quando gli ho chiesto, "... ma le lettere di incarico, il DPS, sai quali
trattamenti fai e chi li esegue, hai analizzato i tuoi processi di
outsourcing" ho ricevuto in risposta uno sguardo vacuo e gli ho offerto il
pranzo in cui abbiamo parlato rigorosamente di mogli, amanti e
cavalli... :-(
-- 
AB


  > In realta' potrebbe essere che sia esattamente il contrario.
Beh, si, la cosa mi sembra giusta: non deve essere possibile accedere a 
dati personali se non secondo i criteri dell'allegato B.
Il dubbio sul quale mi sto "scannando" con qualche collega è questo: 
accededendo a un pc secondo le modalità dell'allegato B, è necessario 
reiterare la stessa procedura di sicurezza per accedere anche al gestionale?
Secondo me è inutile: addirittura il gestionale potrebbe essere privo di 
password se è il pc a eseguire l'autentificazione. Basta che, per 
accedere ad un qualsiasi dato personale, si passi attraverso le 
protezioni dell'allegato B.

 cavalli... :-(
Cavalli? Lol!
Ciao
Alessandro

 sui pc e basta
La legge non pone limiti di questo tipo alla soluzione da dare al problema 
delle autenticazioni e delle autorizzazioni.
Forse sara' difficile applicare un sistema di autorizzazioni che possa 
consentire la diversificazione delle funzioni degli Incaricati 
(autorizzazione), sempre che questi siano piu' di uno.
Io non vedo problemi se il PC e' in carico ad un solo Incaricato, a quel PC 
si accede con regolare autenticazione di legge, e l'applicativo gestionale 
e' locale e non condiviso in rete (PC standalone). Poi la legge dice, in 
materia di autorizzazioni (all. B punto 12): "Quando... ". Se la condizione 
*quando* non e' verificata (cioe' non sono individuati profili di 
autorizzazione di ambito diverso, come appunto nel caso di PC standalone con 
unico Incaricato) allora mi sembra di interpretare correttamente affermando 
che non necessita alcun sistema di autorizzazione e quindi potrei lasciare 
accesso aperto al gestionale.
Forse addirittura questo potrebbe essere vero nel caso di piu' Incaricati, 
che usano diverse autenticazioni di accesso, ma hanno tutti identico profilo 
di autorizzazione. 


In questo caso teniamo famiglia *e* capiamo di privacy :-D per questo non
vendiamo PC per risolverla... ma ti sorprenderebbe sapere quante volte ci
sono clienti che preferiscono rivolgersi a chi gli vende qualche hardware o
software "cotto e magnato" piuttosto che a noi o chi come noi vede gli
aspetti organizzativi della cosa (oddio devo pensare! No no, piuttosto vi
do il doppio per qualche pezzo di ferro e software, ma non fatemi
pensare!!!). 
-- 
AB


E cosi' e' se vuoi te lo metto su carta da bollo... se lo fa il PC tu a
livello applicativo non devi fare nulla.
L'autorizzazione e' tutta un'altra storia (e questa e' per il 99% un fatto
amministrativo/organizzativo e per l'1% software), perche' e' un fatto
troppo complesso per un sistema operativo. Sempre che l'autorizzazione sia
necessaria... v. 196/2003 all.B ci sono delle eccezioni (anche "guanche" e'
stato abbastanza esplicito nel suo post).
-- 
AB


Senza il forse. Se hai N utenti con un solo profilo di autorizzazione (tutti
sono autorizzati a fare tutto quel che si puo' fare) *non* ti serve un
sistema di autorizzazione.
NB: 
per "sistema di autorizzazione" non credo proprio che il legislatore abbia
inteso necessariamente un sistema informatico. Potrebbero esserci
situazioni poco complesse in cui il "sistema di autorizzazione" e'
perlopiu' amministrativo (e certamente con quel minimo necessario e
sufficiente di supporto tecnico, altrimenti stiamo freschi!).
In ogni caso anche un "sistema di autorizzazione" realizzato con un
bellissimo sistema informatico dovra' essere gestito amministrativamente,
altrimenti se chi lo gestisce non sa come distribuire a chi le
autorizzazioni... e come avere il jet privato e non sapere ne pilotarlo ne
avere i soldi per il pilota... ;-)
-- 
AB


la legge parla chiaro: è il sistema che deve avere l'accesso protetto 
secondo le regole stabilite nell' allegato B.
I software che possono girare sul sistema vengono utilizzati dalla persona 
che ha accesso al sistema stesso,
per cui non vi è bisogno di protezione "a valle" in quanto il sistema è già 
protetto "a monte".

 vendiamo PC per risolverla...
Ovviamente, e mi sembra che abbiate capito, non ho detto "tutti i 
consulenti" o roba simile; semplicemente c'e' stato chi, pur non 
conoscendo la materia, ha provato a vendere consulenza e software.
Ciao
Alessandro

Che dire, vi rigranzio tutti quanti dei preziosi chiarimenti!
Ciao
Alessandro