Newsgroup: it.comp.sicurezza.varie
Titolo: Sempre sul DPS - Alcune domande

Saluti a tutto il NG
Premetto che essendoci ''svegliati'' in ritardo, abbiamo passato gli ultimi 
giorni correndo come disperati per redigere la ns. copia del DPS in tempo 
utile per evitare le sanzioni... La proroga (se confermata) ci salverebbe
proprio...
Dopo aver attentamente riletto tutta la legge ed il relativo all. B, mi
sono rimasti pero' alcuni dubbi:
- Ogni PC da cui si puo' accedere al DB, dev'essere assegnato in via
  esclusiva ad un unico dipendente oppure puo' essere utilizzato a turno 
  da piu' dipendenti  ?
- Avendo centralizzato la gestione delle email aziendali attraverso un
  server mail, lo stesso deve essere menzionato nel DPS ? 
  (NB: ogni email per ciascun account viene copiata per tanti quanti sono
  gli utenti ed infine messa a loro disposizione sulla loro mailbox 
  personale da cui scaricano via POP3, eliminando le email dal server)
- Sempre sul server mail, lo stesso deve rispondere ai requisiti minimi
  di sicurezza ??
Grazie in anticipo 
FP

   deve essere menzionato nel DPS ?
Non è tanto importante "quali" servizi avete e come funzionano in dettaglio,
ma "come" sono protetti.
Certo che se il server mail è pubblico su Internet, contiene dati
personali/sensibili (perché magari fa anche da server web) e non ha misure
di sicurezza particolari (tipo firewall) allora è un rischio bello grosso.

 di sicurezza particolari (tipo firewall) allora è un rischio bello grosso.
Ok, grazie 1000 x le risposte. 
Sulle email non mi sono spiegato molto bene:
- Il server mail serve esclusivamente la LAN, in quanto via Fetchmail 
  scarica i msg da varie mailbox ospitate su alcuni server di ISP esterni
  tramite Fetchmail e le mette a disposizione degli utenti della LAN.
  A bordo ho installato e configurato Amavis-new in combinata con Clam-AV;
  le uniche porte accessibili dall'esterno sono la 995 e la 25 
  (autenticazione SSL obbligatoria). Non contiene archivi di dati personali
  in quanto funge solamente da mail server, a meno che non si consideri
  "archivio elettronico di dati personali" la mailbox di backup che
  raccoglie tutti i messaggi in transito sul server (in+out)
Mi sbaglio??

 Mi sbaglio??
No, non ti sbagli. Non è in effetti un vero "elaboratore con archivi di
dati".
Io lo indicherei solamente in maniera sintetica fra le macchine non
destinate al trattamento dati (tipo "X elaboratori non destinati al
trattamento dati") senza accennare alcunché su come funziona la posta.

 trattamento dati") senza accennare alcunché su come funziona la posta.
OK, anche in questo caso la tua risposta e' fondamentale perche' avevo
capito che il DPS dovesse menzionare solamente i PC su cui si  detengono e
trattano i dati personali/sensibili, quindi pensavo che eventuali altri PC
su cui non si effettuano queste operazioni fossero automaticamente 
esclusi.. ARGH!
Meno male che c'e' la proroga... ;-)

 Meno male che c'e' la proroga... ;-)
Già.
Anche se sto giò vedendo le prime note negative della proroga. Mentre tutti
prima avevano frettissima (anzi di più) perché da bravi puzzoni si erano
ridotti agli ultimissimi giorni, ora avviene l'esatto contrario "Ah, tanto
c'è la proroga, fermiamoci così e se ne riparla più avanti".
Io incomicio già a mettere le cose in chiaro, verso Natale NON faccio DPS. O
lo fanno in questi mesi (al limite sett-ott-nov) o possono andare da un
altro.

 altro.
Ok per la prima, anche se probabilmente inseriro' lo stesso quelle macchine
nelle schede di rilevamento, menzionando che non effettuano trattamenti
Per la seconda, io parto dal presupposto che non mi sono fatto il mazzo in
questi giorni per poi mollare tutto e riprendere chissa' quando e di
corsa.... Meno male che su questo aspetto siamo d'accordo anche
con i miei capi... Entro il 30 dev'essere tutto pronto e regolare, anche
perche' mi sembra che la proroga debba essere ancora pubblicata sulla GU
e pertanto x ora non e' ancora stato prorogato nulla (almeno ufficialmente)
e non vorrei che la pubblicassero magari il 2 Luglio!!!