Newsgroup: it.istruzione.scuola
Titolo: Amministratori di sistema

Entro il prossimo 15 dicembre (salvo ulteriori proroghe) tutti i 
titolari (pubblici e privati) del trattamento di dati in forma 
elettronica dovranno adottare le prescrizioni del Garante della Privacy 
(provvedimento del 28/11/2009 - si veda anche pagina 9 del Sole 24 Ore 
di oggi). A titolo di curiositï¿œ personale mi interessa sapere se nelle 
vostre scuole:
a) ï¿œ gia individuata formalmente (spero) la figura dell'amministratore 
di sistema; se sï¿œ in base a quali criteri ï¿œ stata individuata tale 
figura ed a chi ï¿œ stato assegnato l'incarico (docente, non docente ...);
b) se ï¿œ  previsto un compenso per tale figura;
c) se sono presenti strumenti o sistemi di registrazione e conservazione 
degli accessi al sistema da parte dell'amministratore di sistema 
conformemente alle prescrizioni del Garante;
d) in ordine al punto c) a quali suggerimenti pratici o esperienze 
attingere per conformarsi al dettato normativo.
Nella mia scuola:
a) l'ultimo CD ha formalmente assegnato l'incarico ad un docente, giï¿œ 
webmaster, in quanto l'unico disponibile ad accettarlo;
b) sï¿œ, per 400 - diconsi 400 - euro lordi l'anno (!)
c) no
Grazie anticipatamente a chi vorrï¿œ rispondere.
A.B.

 di sistema;
Mah! Io un anno fui responsabile per la sicurezza informatica.
Dovetti redarre un documento di una trentina di pagine.
Poi cadde tutto nell'oblio.
..

   
Amen.

 Dovetti redarre un documento di una trentina di pagine.
"Redigere" :-)
Comunque il dispositivo in questione richiede in buona sostanza che i 
log degli accessi degli amministratori vengano memorizzati 
periodicamente su supporti read-only (es. CD), cosa che si puo' in gran 
parte automatizzare. I supporti andranno poi conservati secondo la 
normativa vigente circa i dati sensibili, poiche' correlati con essi.
Ciao
Luca

 "Redigere" :-)
Sono il presidente del comitato "usiamo redarre al posto di redigere".
..

 Sono il presidente del comitato "usiamo redarre al posto di redigere".
:-)
Ciao
Luca

 normativa vigente circa i dati sensibili, poiche' correlati con essi.
Hai detto nulla...
La questione � che i log degli accessi non devono essere modificabili 
nemmeno dagli amministratori (cosa che � abbastanza difficile con i S.O. 
attuali).
Risultato: sta fiorendo un business nel campo dei security log appliance
Roba tipo questi, per intendersi:
http://www.atscom.it/ita/prodotti/prod_bc/log_appliance_f.htm
http://www.hsm.it/servizi/hsm-log-sentry.php
Earendil

 ..
Daccordo
Gioachic 

 Risultato: sta fiorendo un business nel campo dei security log appliance
Come sempre. Si sfrutta l'urgenza da un lato e l'incompetenza 
dall'altro per guadagnarci sopra; il che non e' sbagliato, s'intende, 
ma crea difficolta' e preoccupazione laddove si potrebbe lavorare in 
modo piu' semplice e lineare.
(Probabilmente a breve usciranno dei dispositivi "certificati" da bla 
bla bla, ad un costo dieci volte il normale.)
Ciao
Luca

 Daccordo
C'ï¿œ troppa anarchia su questo ng! :-)

 C'ï¿œ troppa anarchia su questo ng! :-)
Giusto. Chiamiamolo Anarken.
Ciao
Luca

 bla bla, ad un costo dieci volte il normale.)
stanno gi� uscendo :-(
Earendil

> stanno giï¿œ uscendo :-(
purtroppo sono giï¿œ usciti e fanno cagare come questo:
http://www.easy-mail.it/
Prezzo 2000-3000 euro per una macchina obsoleta, non modificabile, con 
interfaccia webmail orrenda.
Senza contare che sei obbligato a prenderti in blocco anche il 
consulente che te la installa (ï¿œ tutto un giro).
A me ï¿œ capitata di vederla durante una presentazione in comune. C'erano 
presenti anche dei responsabili delle scuole che scalpitavano per 
acquistarla. Ho fatto presente che era semplicemente una distro 
camuffata e pure male ma sono stato zittito. Dentro c'ï¿œ semplicemente 
una debian che anche un ragazzino potrebbe customizzarsi.
La distro eBox ad esempio ï¿œ giï¿œ pronta e molto piï¿œ funzionale.
Avete presente le convention Amway o Erbalife? dove se ti azzardi a dire 
che in erboristeria le stesse cose e di qualitï¿œ superiore costano un 
quarto ti scuoiano vivo?
E' chiaro che queste cose fanno breccia dove c'ï¿œ tanta ma tanta 
ignoranza. Quindi scuole e comuni.

 Se c'ï¿œ un exploit, comunque nel log ï¿œ registrata una query malformata. 
Mica facile: il testo parla di accesso ai dati personali. Se i dati 
sono contenuti in un database, tutt'al piu' saranno coinvolti l'access 
log di sistema e quello del database, ma non quello del server http, 
che e' la porta d'accesso dell'esempio. Il testo non dice che debbano 
essere salvati *tutti* i log della macchina.
Ciao
Luca

 salvati *tutti* i log della macchina.
quindi non ha senso che vengano loggati gli accessi degli studenti ad 
internet?

 internet?
Quella legge non dice questo; si parla solo di conservazione dei dati 
personali e di accesso agli stessi da parte degli amministratori di 
sistema.
Vedi 
http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499#9
Credo che loggare gli accessi degli studenti a internet sia doveroso, 
almeno per una struttura pubblica, ma gli stessi rientrano nei dati 
sensibili e dovranno quindi essere trattati di conseguenza.
Ciao
Luca

 essere salvati *tutti* i log della macchina.
E un sysadmin non logga il server http? Maaahh ;-)))
Vuol dire cercar rogna...
Earendil

 sensibili e dovranno quindi essere trattati di conseguenza.
le pagine visitate dagli studenti rientrano nei dati sensibili?

 le pagine visitate dagli studenti rientrano nei dati sensibili?
Certamente: rientrano negli interessi e nelle inclinazioni personali.
Ciao
Luca

 Vuol dire cercar rogna...
Massi' che l'http server va loggato :-)
Il problema e' che, poiche' la legge non dice di salvare e conservare 
tutti i log della macchina, ma solo quelli relativi all'accesso ai dati 
personali, permette di definire casi come quello dell'esempio, in cui 
si accede sfruttando una vulnerabilita' del sistema.
Del resto e' una legge relativa alla privacy, cioe' quella cosa che, 
dalla sua introduzione, ha provocato un movimento impressionante di 
carte, documenti e risorse, IMHO con discutibili benefici per la 
popolazione.
Un mio vecchio collega inglese di lavoro, specialista in meccanica di 
precisione, diceva "le serrature sono per le persone oneste".
Ciao
Luca

 popolazione.
piu' che benefici, ha portato autentici malefici.
Un esempio di come, da un ovulo di buone intenzioni, possano nascere (ed 
essere fin troppo amorevolmente allevati) mostri.
Nella migliore delle ipotesi la normativa sulla privacy (e, soprattutto, gli 
altezzosi pronunciamenti del garante pontifex maximus) non serve 
assolutamente a nulla; di norma e' dannosa.


Quoto ! 
Del resto ciascuno di noi, dall'introduzione della Privacy, quante c.d. 
"informative", dai piï¿œ disparati soggetti, ha ricevuto e immediatamente 
cestinato ? :-(
A.B.