Newsgroup: it.istruzione.scuola
Titolo: Sicurezza informatica

Sono alle prese con il documento programmatico sulla sicurezza informatica,
in qualità di responsabile per la sicurezza informatica.
La dizione lascia pensare che tale documento si occupi solo del trattamento
dei dati mediante strumenti informatici.
Invece la valenza è ben più ampia e si occupa del trattamento e della
sicurezza dei dati in generale. Pertanto anche di quelli che usualmente non
vengono acquisiti e conservati su supporti infomatici.
Il protocollo del registro riservato, i registri di classe e i registri
personali tanto per fare degli esempi.
Registri di classe e registri personali sono la cosa che più mi preoccupa.
Pure avendo dettato le regole di conservazione, di accesso e le modalità
di... chiamiamola peregrinazione... mi sembra sempre di non aver detto o
fatto abbastanza in merito.
Come si può garantire la sicurezza e la riservatezza di qualcosa che passa
di mano in mano e su cui hanno diritto a metterci gli occhi diverse decine
di persone al giorno?
Per non parlare delle centinaia di persone che pur non avendone titolo hanno
praticamente la possibilità di metterci mano.
Le regole che ho raccomandato sono le seguenti:
Registri di classe
- Il docente della prima ora preleva il registro in sala docenti.
- Il registro viene consegnato da un docente all'altro durante il cambio
dell'ora.
- Se ciò non è possibile viene lasciato al collaboratore scolastico al
piano.
- Il docente dell'ultima ora deposita il registro in sala docenti.
- Un incaricato ritira i registri e li conserva in luogo sicuro.
- Il giorno dopo un incaricato riporta i registri in sala docenti.
Registri personali
- Devono essere tenuti a cura del docente e quando non in uso conservati in
sala docenti nel cassetto personale del docente.
- La sala docenti è ad accesso controllato, per cui possono accedervi solo
gli addetti ai lavori, altri vi accedono solo sotto controllo.
- La sala docenti è controllata da allarme e sottoposta a videosorveglianza
e quando non vi sono attività didattiche o funzionali viene chiusa.
Sembrerebbero eccessive queste misure, ma l'alternativa sarebbe acquistare
armadietti blindati per ogni docente, visto che le cassettiere in commercio
hanno serrature ridicole.
Anche la videosorveglianza sembrerebbe eccesiva, salvo considerare che le
sparizioni e le contraffazioni dei registri personali dei docenti sono
alquanto frequenti.
O questo... oppure il registro elettronico.
..

 O questo... oppure il registro elettronico.
Potresti aggrapparti al fatto che i registri contengono solo dati personali
ma non dati sensibili, per cui il trattamento a loro riservato può essere 
meno sicuro. 

 meno sicuro. 
Non credo che questo regga. A parte il fatto che è difficile 
quantificare o comunque definire in modo oggettivo l'espressione "meno 
sicuro" (meno... quanto? cosa no per i dati personali e cosa si'?...).
Ad ogni modo, siam sicuri che nei registri personali non ci siano dati 
sensibili? Esenzione dall'IRC, note o riferimenti al fatto che uno o più 
alunni sono certificati (con magari specifiche varie), ecc.? Pensa solo 
ai giornali dei docenti di sostegno: son tutti dati sensibili o quasi. E 
onestamente non mi sentirei di escludere nemmeno che anche in quelli 
degli altri possano esserci dati sensibili (che so, esenzione per un 
certo periodo di tempo per problemi di salute dalla motoria - quindi non 
valutazione autorizzata e giustificata - o altro; sto "inventando").
Non so... magari sbaglio io ma imho Arkannen deve starci attento non poco.

 hanno serrature ridicole.
Se il problema è solo formale, cioè se si vuole giustamente tutelare il
docente responsabile della custodia dei dati, la "cassettiera ridicola",
purché funzionante, secondo me, può bastare. Di fronte alla manomissione di
una serratura, se pur piccola, il docente non è responsabile della perdita
dei dati.
p.

 dei dati.
Il casino può forse essere per la scuola in caso di contenzioso. Se deve 
dimostrare di aver far tutto ciò che poteva per custodire al meglio i 
dati, la serraturina forse non è il massimo (videosorveglianza, ecc, 
ecc, poi quando si arriva al cassetto... la serratura di topolino). 
Tutto però sta a vedere cosa viene chiesto ad Arkannen (se deve pensare 
alla tutela del docente o a quella più ampia della scuola) e se il 
discorso da me fatto in merito al caso di contenzioso abbia un qualche 
fondamento.

 alla tutela del docente o a quella più ampia della scuola)
Il responsabile della sicurezza informatica deve:
- definire le misure di sicurezza informatica da adottare e predisporre
l'informativa per l'amministratore del sistema e per il responsabile del
trattamento dei dati;
- collaborare con il responsabile del trattamento dei dati personali per
definire il piano di formazione;
- informare il titolare del trattamento sulle non corrispondenze con le
norme di sicurezza e su eventuali incidenti.
Inoltre...
Il Responsabile testé incaricato dichiara di essere a conoscenza di quanto
stabilito dal D.L.vo N. 196 del 30/06/2003 ed in particolare di quanto
indicato nell'allegato B "Disciplinare tecnico in materia di misure minime
di sicurezza" e si impegna ad adottare tutte le misure necessarie
all'attuazione delle norme descritte nel Documento Programmatico sulla
Sicurezza, in relazione ai compiti sopra indicati.
Dove:
Titolare del trattamento è il Dirigente scolastico
L'amministratore del sistema è colui che amministra la rete informatica (in
genere il segretario)
Il responsabile del trattamento, per come ho predisposto le cose, coincide
con l'incaricato del trattamento... ossia con i docenti per quel che
riguarda registri di classe e registri personali e con altre figure per quel
che riguarda altri compiti.
Ho preferito questa soluzione sostanzialmente per due motivi.
Uno... non vedo perchè debba essere responsabile Tizio per le castronerie
che combina Caio.
Due... Tizio in quanto responsabile dovrebbe necessariamente sindacare
sull'operato di Caio, per cui minerebbe la sua autonomia di docente.
Ma se in futuro ci si spingerà sempre più verso una visione gerarchica
(perlomeno nelle funzioni) dell'unità organizzativa docente.
Allora il coordinatore di classe potrebbe essere responsabile del
trattamento.
..

 O questo... oppure il registro elettronico.
beh se usi invece il registro elettronico allora sì che ci sono rogne. Di 
solito i registri
elettronici che ho visto conservano dati sensibili degli alunni e quindi 
andrebbe compilato il DPS. 

 meno sicuro.
infatti il registro non contiene dati sensibili. Punto e basta. 

 Non so... magari sbaglio io ma imho Arkannen deve starci attento non poco.
Se è il docente a inserire dati sensibili sul registro sono problemi suoi. 
Non c'è
scritto che deve farlo per forza lì. 

 fatto in merito al caso di contenzioso abbia un qualche fondamento.
sì ma chi ha detto al docente di trascrivere informazioni personali sul 
registro?
quindi se le mette il docente sbaglia il docente. 

 andrebbe compilato il DPS.
Mi sa che non hai ben chiaro a cosa serva il DPS.
..

 scritto che deve farlo per forza lì. 
Dipende da com'e' fatto il registro. In quello dei docenti di sostegno 
del nostro istituto di dati sensibili ne vengono inseriti e *non* sono a 
discrezione del docente: sono i registri stessi ad essere predisposti in 
modo da contenerne.
Ad ogni modo il registro è strumento del docente e come tale deve essere 
funzionale. Se l'annotazione di un dato sensibile è funzionale, allora 
deve poterlo fare. Sta alla scuola tenere conto del fatto che ci puo' 
essere questa possibilità. Un docente non puo' essere costretto ad 
utilizzare un registro in condizioni tali da non consentirgli l'utilizzo 
dello stesso in modo parziale o comunque in modo non funzionale.

 quindi se le mette il docente sbaglia il docente. 
Imho la scuola deve prevedere l'inserimento di alcuni dati anche 
sensibili. Un docente è comunque una persona che per il suo ruolo 
facilmente viene a conoscenza di dati sensibili riguardo ai propri 
alunni, quindi puo' capitare che li annoti nel suo registro, soprattutto 
se il tutto lo riguarda rispetto al proprio insegnamento. Credo sia 
assurdo che una scuola che non tenga conto di tale possibilità.

 consapevole se li inserisce.
secondo me no. Se tu vuoi segnarli fallo pure. Io non rischio. Preferisco
affidarmi alla memoria ;)

 sensibili? [CUT]
A parte per gli insegnanti di sostegno il resto non ne contiene di dati 
sensibili.

 affidarmi alla memoria ;)
Mi pare un'assurdità, la tua. Basta semplicemente che la scuola ti 
faccia lasciare il registro in luogo sicuro (tutelando se stessa, tutela 
anche te). A livello personale rischi se diffondi i dati che conosci 
(quindi devi solo tenere le informazioni per te), quindi se tu li segni 
non cambia nulla, salvo forse il fatto che... segnandoli non rischi di 
dimenticarli ;)

> Mi sa che non hai ben chiaro a cosa serva il DPS.
beh leggendeo i tuoi post precedenti le idee confusee le hai tu!
senza contare che la compilazione č scaduta il 31 marzo!

 dimenticarli ;)
Cmq nella mia scuola hanno predisposto un documento completo sulla
sicurezza che tiene conto di tutti i casi. Cmq si sono affidati a devi veri 
esperti
e non a persone improvvisate. 

 senza contare che la compilazione č scaduta il 31 marzo!
E allora? Ma stai zitto per favore.
Che neanche le date dei messaggi sai leggere, figuriamoci il resto.
I "miei post" sono datati 29 marzo ben prima della scadenza.
Il DPS l'ho protocollato il 31 marzo ed č stato fatto sulla stessa orma di
tutti i DPS presentati dalle scuole italiane.
E tutte le scuole italiane hanno come punto debole nella gestione della
sicurezza dei dati i registri di classe e dei docenti.
..

 Cmq si sono affidati a devi veri esperti e non a persone improvvisate. 
Anche tra i "veri esperti" non è raro, purtroppo, trovare gli improvvisati 
dell'ultimo minuto che hanno scoperto la gallina dalle uova d'oro...
Earendil

 sicurezza dei dati i registri di classe e dei docenti.
io do ragione a janko perché non ha scritto nulla di strano e tu ti sei 
offeo per niente. Tu hai postato il primo messaggio il 29 marzo ed avevi una 
marea di idee confuse. E il DPS era da presentare per il 31. Il 29 marzo 
"ben prima della scadenza?" ma sai contare i giorni? 

"Earendil" <nom...@NOSPAMlibero.it> ha scritto nel messaggio 
news:442e7815$0$29729$4faf...@reader2.news.tin.it...

I veri esperti si limitano a copiare pari pari o con modifiche opportune dei 
testi che
"girano" tra uffici. 

 io do ragione a janko
Guardate che Arkannen ha solo chiesto - implicitamente - un parere, 
un'opinione. Senza dare scadenza alcuna, tra l'altro. Il rispondergli o 
meno non può quindi seguire le sue scadenze.

 "girano" tra uffici.
no un vero esperto fa una perizia completa e scrive completamente da solo il 
testo.
Poi gli altri copiano da lui. Non so che esperti conosci... 

 meno non può quindi seguire le sue scadenze.
il DPS scadeva il 31 quindi era implicito che i suoi dubbi andavano 
schiariti
entro quella data. 

nielj ha scritto:


 Poi gli altri copiano da lui. Non so che esperti conosci...
Praticamente tutte le ditte che si occupano di stilare il dps. 

 quella.
sì certo ma dal messaggio sembrava che anche chi lavora seriamente si mette 
a
copiare e basta. Insomma in un'azienda di 1000 dipendenti non si può copiare 
il dps
dell'azienda accanto! magari a scuola forse sì invece tanto le cose sono 
quasi le stesse.