Newsgroup: it.comp.os.linux.sys
Titolo: Ancora su Privacy e AMministratori di sistema

Segnalo questo interessante intervento di Cosimo Comella componente 
dell’Autorità Garante per la protezione dei dati personali, che ha 
partecipato in prima persona alla stesura del documento.
http://www.youtube.com/watch?v=QbYdYGlqsho&feature=channel
Questo filmato è la parte specifica che ci interessa, ma consiglio di 
vedere tutto il convegno
Cià!

 partecipato in prima persona alla stesura del documento.
Vorrei sentire adesso i pareri di *qualcuno* che, quando dicevo le stesse
cose, mi dava addosso sostenendo che non avevo capito nulla della legge...
Scusa il piccolo sfogo...
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 
Presente!
Io sono molto onesto e ti dico che hai ragione, ma, occhio, perché il
docente dice pure questo:
"il garante non richiede di creare sistemi blindati, certificati, che
pure sono ipotizzabili e in certi casi *richiesti*"
Quindi, esistono dei casi in cui si richiede di operare in maniera
differente.
Quali sono questi casi? Non lo so. sicuramente le TELCO. Probabilmente
banche e assicurazioni.
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo

 Quali sono questi casi?
Il punto è proprio che si son ben gurdati dal chiarirlo...

 Il punto è proprio che si son ben guardati dal chiarirlo...
Quindi non esistono, nonostante sia stato detto che in certi casi sono
richiesti? Quella, ovviamente, non è una sede per discutere quel tipo
di dettagli.
Senza addentrarmi troppo, ritengo che i dati soggetti a richieste da
parte della magistratura, devono essere "blindati e certificati" e il
problema della esposizione dei dati nella finestra temporale in qualche
modo va risolto. Le TELCO (non su tutti i server) hanno questo tipo di
dati. Probabilmente anche le registrazioni delle transazioni bancarie
sono soggette allo stesso trattamento.
L'unica soluzione è Centera (o prodotto analogo che consente la
scrittura in tempo reale, ma non la cancellazione)
Ho visto aziende che usano che prima scrivono sui dischi, e poi
trasferiscono su Centera e questo, ovviamente, non è conforme.


 banche e assicurazioni.
Si`.
D.: Come sta tuo cugino?
R.: Mio fratello sta bene.
Gli obblighi in materia di banche, assicurazioni, Telco, non derivano
e oserei dire hanno attinenza solo marginale con la normativa di cui
all'oggetto, dato che credo conseguano da tutt'altra normativa  per
cui la questione a riguardo e` esemplificata chiaramente dalla domanda
e dalla risposta di cui sopra. (questa mattina mi sento
particolarmente simpatico).
Andrea

 scrittura in tempo reale, ma non la cancellazione)
Ci sono aziende che usano le stampanti ad aghi ad alta velocit�. Producono
un bancale di foglio continuo perforato ogni due settimane (una � mia
cliente). Altre usano LTO Worm, fatto apposta e ideale proprio per i log
dato che � sequenziale.




E se (tu) avessi ragione? 
Sono un insieme di norme del garante (noi il garante lo nominavamo
sempre e ce lo sognavamo la notte, quindi il garante c'entra). Si
tratta di una estensione della norma, che riguarda altri casi. 
O probabilmente un'altra norma, sempre in senso al gruppo di norme del
garante, che riguarda sicuramente le Telco (le banche non saprei dire
con certezza: me lo sono inventato per analogia).
p.s.: sia chiaro: NON SONO I LOG DELL'AMMINISTRATORE DI SISTEMA. SI
TRATTA DEL SOTTOSISTEMA DI AUDITING.
p.s.: non ricordo più il numero della norma.


 cliente).
Mi piacerebbe vedere come ci fanno una ricerca e quanto/come e dove lo
archiviano.

 archiviano.
Non ci fanno ricerche; per quelle usano i database online che contengono una
copia dei dati. Per l'archiviazione hanno degli appositi magazzini in cui
quei dati vengono conservati (IIRC) 30 anni.


 
ad esempio (per quanto riguarda il nostro caso: telco) ci dissero che
la legge prevedeva una max retention. Credo fosse due anni.



Ma anche un semplicissimo log server centralizzato che calcola l'hash 
del file in questione e lo invia tramite PEC sfruttando la TSA del 
fornitore della PEC, in questo modo l'hash del file dovr� 
obbligatoriamente corrispondere ai dati contenuti nella mail e si 
otterr� la certificazione dell'integrit� del file a costo zero, 
dopodich� lo si pu� archiviare/trasferire/copiare dove meglio si crede.
Ovviamente si pu� pure utilizzare Mail::POP3Client di PERL per ripescare 
automaticamente le mail ed eliminarle dal server dopo averle archiviate 
in un DB (per esempio)

 otterrà la certificazione dell'integrità del file a costo zero, 
Ok! Però, tieni presente che io raccoglievo audit (non solo log) da
diversi sistemi operativi: windows, hp-ux, solaris, linux e che questo
audit. Si tratta di audit molto diversi tra loro, che, prima di essere
inviato al DB, ncessitava di un parsing. Quindi l'hash dovrà essere
eventualmente prodotto dopo aver eseguito il parsing. 
Peccato che il parsing avviene normalmente sulla base di uno
scheduling. Quindi la finestra temporale c'è sempre. 
Quindi si può optare per salvare, sia il file originale con l'hash del
quale tu parli, sia (ovviamente) i dati contenuti nel DB.
Bisognerebbe, in alternativa, verificare il funzionamento delle
componenti real-time dei prodotti di memorizzazione di audit/logging.
Io non conosco il dettaglio del funzionamento di tali componenti (so che
esistono) e ho idea che nessuno li utilizzi... e pertanto continua ad
essere un puttanaio nel quale non è facile districarsi!


 Scusa il piccolo sfogo...
Appoggio il tuo sfogo, anceh io per farlo capire mi ce n'è voluto.
Un semplice CD, con i dati estratti, è già troppo...

 cliente).
Quanto spreco immane di carta...
Enrico

 Quanto spreco immane di carta...
Non dirlo a me... ogni volta che entro in quella sala mi piange il Quore.


 essere un puttanaio nel quale non � facile districarsi!
Assolutamente inuti per una semplice ragione, serve una TSA interna il 
ch� va bene per aziende del calibro di Telecom Italia, Poste Italiane, 
Camere di commercio ecc.. ma � praticamente impossibile per tutte le 
altre che non dispongono di una TSA accreditata dal CNIPA.

 cliente)
Questo sì che è pratico ed ecologico!
-- 
Vide