Newsgroup: it.comp.reti.locali
Titolo: domanda sulla sicurezza

Volevo chiedere una cosetta sul D.Lgs. 196/03.
E' vero che ogni utente che accede a dati elettronici (e quindi anche le 
email) è tenuto a modificare la propria password ogni 6 mesi? è inteso 
come precauzione o è obbligatorio? perché il tecnico che ci ha 
installato il sistema ha predisposto un fastidioso messaggio che dopo 6 
mesi inizia ad intasare le caselle peggio del peggior spam del mondo!
Alcuni nostri utenti aprono poco la posta. Ora ci ritroviamo con diverse 
caselle bloccate con diverse mail di avviso. Vorrei sapere se 
disabilitando l'opzione di avviso scadenza (che peraltro blocca la 
posta) è vero che incorriamo i guai legali (secondo il tecnico).

CUT
... � vero che incorriamo i guai legali?
"con un magistrato non staresti tranquillo... "
http://www.youtube.com/watch?v=QOxLbQkm-Sw
ciao
fm

 
dunque?

 dunque?
Fonte:
http://www.parlamento.it/parlam/leggi/deleghe/03196dl3.htm#ALLEGATO%20B
ALLEGATO B
DISCIPLINARE TECNICO IN MATERIA DI MISURE MINIME
DI SICUREZZA
(Artt. da 33 a 36 del codice)
Trattamenti con strumenti elettronici
Modalita' tecniche da adottare a cura del
titolare, del responsabile ove designato e
dell'incaricato, in caso di trattamento con
strumenti elettronici:
Sistema di autenticazione informatica
...
5. La parola chiave, quando e' prevista dal
sistema di autenticazione, e' composta da almeno
otto caratteri oppure, nel caso in cui lo
strumento elettronico non lo permetta, da un
numero di caratteri pari al massimo consentito;
essa non contiene riferimenti agevolmente
riconducibili all'incaricato ed e' modificata da
quest'ultimo al primo utilizzo e, successivamente,
almeno ogni sei mesi. In caso di trattamento di
dati sensibili e di dati giudiziari la parola
chiave e' modificata almeno ogni tre mesi.
...
fonte
http://www.fabiodiresta.com/?tag=misure-minime-di-sicurezza
...
Pertanto, per chi non adottasse le misure minime
di sicurezza ex art 33 prescritte dal Codice della
Privacy con il nuovo quadro normativo si
troverebbe quanto meno contestatato il reato di
arresto di due anni, salvo poi regolarizzarsi
pagando una pena di almeno 30.000ï¿œ anzichï¿œ la
somma di 12.500 ï¿œ prevista precedentemente.
...
Saluti
-- 
--
Problemi e soluzioni di un sistemista informatico
http://blog.maurizio.proietti.name

 
ok ho capito ma il punto ï¿œ un altro.
Ammettiamo di avere delle mail aziendali e di avere impostato la 
password minima a 8 caratteri.
Basta emanare una circolare interna in cui si chiede di cambiare 
password ogni 6 mesi (quindi responsabilizzando il dipendente) oppure ï¿œ 
necessario che il sistema avvisi obbligatoriamente i dipendenti con 
delle mail (bloccando di conseguenza anche la ricezione della posta)?
Inoltre se le mail non vengono usate per spedire dati sensibili ï¿œ 
necessario ugualmente applicare queste regole di sicurezza?

malikranz ha scritto:

Non si puï¿œ fare come con Active Directory che, alla scadenza della 
password, ti obbliga al cambio della stessa altrimenti non ti fa accedere?

 password, ti obbliga al cambio della stessa altrimenti non ti fa accedere?
ma se voglio proprio evitare questa rottura di palle! se le mail sono 
private a che cavolo serve tutto ciï¿œ

 
Le misure minime riguardano dati *personali*
Non ï¿œ necessario trattare dati sensibili.
Se una mail contiene nome o cognome di una
persona... stai giï¿œ trattando dati personali.


 persona... stai giï¿œ trattando dati personali.
ma sei sicuro? il dps non riguarda la privacy dei dati sensibili?
un nome e cognome non ï¿œ una cosa sensibile visto che puoi trovarlo anche 
sull'elenco telefonico. In questo caso sarebbero illegali molte 
istituzioni comprese le universitï¿œ che pubblicano documenti con tanto di 
nome, cognome e codice fiscale (e senza autorizzazione).

 
proprio perche' le email sono private, ha senso cambiare regolarmente la 
chiave di accesso, indipendentemente dal fatto che sia stabilito dalla 
legge o meno.
se il fatto di adottare le misure basilari di sicurezza per un account di 
posta e' un peso, imho manca la formazione minima sullo strumento posta 
elettronica...
e non intendo formazione sull'uso di questo o quel client, ma proprio le 
nozioni minime sulla posta elettronica, sui principali problemi, sui 
rischi, spam & co.
-- 
Paolo opg
BE AWARE that this post uses a fake reply-to address
to contact me write to:
janickg ( at ) hotmail ( dot ) com
--

 
non ci vuole formazione, ci vuole un po' di buon senso.

 
policy enforcement...
il buon senso, almeno per molti utenti di pc aziendali, pare passato di 
moda.
;-P


 ;-P
il problema ï¿œ che se metti troppi paletti come il ricordo della password 
via mail i dipendenti cosa fanno? per dispetto inziano a non usare la 
mail e a lavorare di meno. E' una cosa incredibile. Se cerchi di 
aiutarli pensano che vuoi spiarli o che vuoi fregarli.

 
l'email di avviso non e' un paletto...
magari la scadenza, ma l'avviso no di sicuro.
e se hai utenti che vanno in sciopero se gli fai una cortesia, il 
problema non e' se attivare o meno l'email...
in ogni caso, l'avviso e' imho il minimo *dovuto* agli utenti per non 
creare complicazioni inutili. senza, devono ricordarsi quando hanno 
cambiato la pass l'ultima volta oppure segnarsi in qualche modo quando 
scade per evitare il blocco.
con una mail automatica, gli semplifichi la vita.
in caso di ambienti rognosi, come pare essere quello di cui parli, 
l'avviso diventa invece un must, perche' se si blocca l'account senza 
segnalazioni, poi la colpa e' tua che l'hai fatto di nascosto senza dire 
niente a nessuno e hai impedito di fatturare/lavorare/giocare a 
solitario.
se invece c'e' almeno l'email di avviso...
