Newsgroup: it.comp.os.linux.sys
Titolo: Firewall iptables e dichiarazione di conformità

Salve, avrei un quesito di carattere burocratico/tecnico.
Sul newsgroup riguardante le leggi non sono riusciti ad essermi di aiuto 
in merito alla normativa sulla privacy.
Come azienda, ove necessario e su richiesta del cliente installo un 
gateway linux con funzioni  di proxy e firewalling, aprendo solo quelle 
porte strettamente necessarie per i servizi in uso.
Ora il cliente mi chiede una dichiarazione di conformità del firewall. 
In questi casi come si può fare trattandosi di una soluzione diciamo 
"artigianale" a fornire la conformità?
Sarebbe come dire che mi costruisco io un' autovettura in casa mettendo 
assieme vari pezzi e poi chiedessi l'omologazione per circolare in 
strada, nessun ente me la darebbe. Non so se rendo l'idea, c'è qualche 
altra persona che si occupa di sicurezza e si è già trovato con questo 
tipo di problema?
Nel caso qualcuno si sia già trovato davanti a questa problematica che 
cosa ha scritto nella dichiarazione? Quali sono i punti da trattare?
Scusate se forse sono un attimo OT ma probabilmente un newsgroup di 
sistemisti in questo caso mi può essere piu utile che un newsgroup di 
avvocati.
Grazie
Ciao

Sei sicura che quello di cui hai bisogno tu non è una dichiarazione di
conformità del firewall, forse il tuo cliente deve fare il DPS.
Cha è un documento "sfigato" scusate il termine ma più azzecati per
definirlo non ce ne.


 tipo di problema?
Non vedo il perche'... Se fosse una soluzione FW software o hardware
commerciale, non andrebbe ugualmente configurata? E visto che va
configurata, non puo' fare schifo oppure brillare a seconda di come
e' stata configurata? Non penso proprio che il DPS (perche' e' IMHO
a proposito di questo che il cliente ti chiede una certificazione),
imponga di usare soluzioni che esulano dal software free o open source.
Tu, come operatore/tecnico/ditta/consulente IT, hai adottato degli
strumenti per raggiungere un fine, foss'anche avessi scritto tu da zero 
il software finalizzato a quello scopo. Se quel fine e' raggiunto,
che problema c'e'? Che differenza c'e' fra il fine raggiunto con un
firewall realizzato con una soluzione open source, e lo stesso fine
raggiunto con altri mezzi? Che fischio c'entra il paragone
automobilistico e le omologazioni? Per caso, il software gestionale
di migliaia di SW italiane ha bisogno di essere "omologato" perche'
le aziende lo possano utilizzare... e non esploda tutto? Non c'e'
d'altronde scritto nella quasi totalita' delle licenze software che
puo' cascare il mondo e' nessuno e' responsabile? Non vedo perche'
questo non valga per un firewall software o hardware (anche perche'
nel firewall c.d. "hardware" gira comunque un software...)
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 Ora il cliente mi chiede una dichiarazione di conformità del firewall.
Facile.
"netfilter è uno dei sistemi di filtro e manipolazione di pacchetti
di rete più avanzati sulla scena". :-D
Scherzi a parte, non deve essere il firewall ad essere conforme, ma
le misure adottate ai fini di (etc etc, un mare di chiacchiere).
-- 
"Io mi sarei aspettato un intervento più misurato dall’assessore Ascoli, 
nel senso che, ospite in questo paese, poteva avere maggiore rispetto..."
(Giannotti di Forza Italia all'assessore Ascoli, ebreo italiano)
http://snipurl.com/antisemitafi

 Nel caso qualcuno si sia già trovato davanti a questa problematica che 


Salve, avrei un quesito di carattere burocratico/tecnico.
Sul newsgroup riguardante le leggi non sono riusciti ad essermi di aiuto 
in merito alla normativa sulla privacy.
Come azienda, ove necessario e su richiesta del cliente installo un 
gateway linux con funzioni  di proxy e firewalling, aprendo solo quelle 
porte strettamente necessarie per i servizi in uso.
Ora il cliente mi chiede una dichiarazione di conformità del firewall. 
In questi casi come si può fare trattandosi di una soluzione diciamo 
"artigianale" a fornire la conformità?
Sarebbe come dire che mi costruisco io un' autovettura in casa mettendo 
assieme vari pezzi e poi chiedessi l'omologazione per circolare in 
strada, nessun ente me la darebbe. Non so se rendo l'idea, c'è qualche 
altra persona che si occupa di sicurezza e si è già trovato con questo 
tipo di problema?
Nel caso qualcuno si sia già trovato davanti a questa problematica che 
cosa ha scritto nella dichiarazione? Quali sono i punti da trattare?


Allora bella domanda... l'allegato B della legge oltre a fornire tutta una
serie di specifiche tecniche abbastanza approssimativa dice: se ti fai tutto
da solo non ti serve niente se te lo fa qualcuno devi farti rilasciare un
certificato di conformità.
Ora quel "se te lo fa qualcuno" non implica che a farlo sia un informatico
in senso stretto quindi un dottore in informatica un perito o un ingegnere
dice semplicemente qualcuno quindi un idraulico va benissimo. Ora scherzi a
parte non serve niente devi semplicemente firmare un foglio in carta
intestata dove tu dici che il sistema da te configurato rispetta tutte le
normative vigenti.
Al cliente va benissimo così, ora devi solo essere sicuro tu di aver fatto
tutte le cose x bene... con quel foglio firmato in diretto responsabile non
è più il cliente ma sei tu quindi...
Spero di esserti stato di aiuto.
ciao
          Matteo
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 "artigianale" a fornire la conformità?
Il tuo cliente ha le idee un po' confuse.
La legge richiede che il reponsabile che redige il DPS (Documento 
programmatico sulla Sicurezza) si faccia dare da una eventuale ditta esterna 
che ha curato la rete aziendale (non solo in termini di cavi ma proprio di 
configurazione) la certificazione che il lavoro è stato fatto rispettando il 
D. Lgs. 196/2003.
Con questo si intende che gli account e i PC devono essere configurati in 
certi modi, che ci devono essere degli obblighi (scadenza e lunghezza 
password ad esempio) e cose del genere.
Da quanto ho capito, tu hai solamente fornito un firewall/proxy, non hai 
configurato account, policy di accesso e cose del genere. Le indicazioni 
sulle misure minime (il famoso Allegato B) toccano il tuo firewall MOLTO 
alla lontana. Il firewall è uno degli strumenti che possono essere adottati 
per garantire la sicurezza, ma NON è la rete in se.
Quindi, tu puoi anche fare una dichiarazione di conformità, ma sarà una cosa 
estremamente stringata in quanto quasi nessuna indicazione della legge tocca 
il tuo strumento.
Può andare bene anche una cosa tipo un semplicissimo foglio in cui dichiari: 
Il firewall che ho fornito rispetta il D.lgs 196/2003 in quanto non permette 
l'accesso esterno a porte non preventivamente autorizzate dal responsabile e 
non è accessibile dall'esterno (se usi SSH dall'esterno aggiungi "senza 
l'utilizzo di meccanismi di cifratura").