Newsgroup: it.comp.reti.locali
Titolo: Aiuto 15 Dicembre (Garante della Protezione dei Dati Personali)

Ciao , questo post � rivolto a tutti gli amministratori di sistema, c'� 
qualcuno che ha trovato qualche  soluzioni che ottemperi a tutti i punti 
della legge in oggetto?
Sono gradite soluzioni OpenSource .
Grazie 

 wrote in
news:4b10534c$0$34590$
4faf...@reader1.news.tin.it
: 

Considerato che nemmeno tra gli studi legali specializzati c'� unit� di
vedute su QUALI SONO con precisione tutti i punti della legge in
oggetto, � difficile identificare una soluzione che li ottemperi tutti. 
La soluzione legalmente pi� sicura � quello di cacciar fuori 20mila euro
(no non � una cifra inventata), e lasciare che sia una ditta esterna,
con assunzione di responsabilit� civile e penale, ad eseguire il "lavoro
sporco". Questi ti piazzano un server di raccolta in casa (o addirittura
viene esternalizzato anche il server, presso i loro ced) e si
occuperanno della gestione dei dati che gli arrivano dai vari agent
sparsi per la tua azienda. Ci sono enne societ� che forniscono questo
servizio, a te resta solo l'incombenza di googlare e di firmare
l'assegno. 
Purtroppo � improponibile per la maggior parte delle piccole realt� (lo
� anche quella dove lavoro io)... ci sar� da ridere... :-(( 

 un cretino ha scritto:
"Il microkernel e' morto da molto tempo ed ancora non lo sa." (cit. Bluff)

 testo come 
p.es
. dumpevt e lo copi su un PC designato
E con questo come garantisci, tanto per dirne una, la completezza e la 
immodificabilit� degli archivi (richiesta esplicitamente dal decreto)?
E come tuteli gli amministratori dal fatto che questo si configura come 
controllo a distanza del lavoratore? Poi, tutti gli accessi interattivi 
fatti attraverso sistemi di consultazione database, con utenze 
amministrative, non sono registrate nell'auditing, deve gestirle il dbms. 
Poi, applicazioni client/server, accesso amministrativo interattivo al 
sistema tramite applicazione client. Come la tratti? E chi amministra 
quel "pc designato"? non certo gli stessi sysadm che vuoi controllare, si 
spera, quindi? 
Sembra facile... 
 

 Sembra facile... 
E difatti è facilissimo. Basta solo gestire pedissequamente quel che 
richiede il garante seguendo l'interpretazione data dalle FAQ. Poi se vuoi 
inventarti qualcosa di diverso per pagare di più non hai che da chiedere ed 
ho già pronta per te una soluzione da circa 100K€/anno (per 5 server e 20 
client) che copre completamente qualsiasi esigenza e qualsiasi eccezione tu 
possa sollevare sull'interpretazione della norma.


 Ah beh, se lo dici tu...
Non lo dico io. 
Comunque ognuno � libero di fare come crede, l'importante � che sappia a 
cosa va incontro. Io le linee guida per pararmi il culo preferisco averle 
dagli avvocati e non dai tecnici, perch� alla fine, in caso di controlli, � 
con gli avvocati che devi avere a che fare, non con i tecnici. 

 con gli avvocati che devi avere a che fare, non con i tecnici. 
Io invece preferisco prenderle da chi ha competenza, e la competenza non la 
hanno nï¿œ gli avvocati nï¿œ i tecnici (nï¿œ soprattutto i commerciali delle 
aziende), ma ï¿œ appannaggio dei tavoli di lavoro cui siedono tutte le figure 
coinvolte che si confrontano e producono una soluzione condivisa.
I legulei hanno sparatto tante di quelle cazzate a questo proposito da 
riempirci un libro, mentre i tecnici hanno dato interpretazioni cosï¿œ 
restrittive da rendere impossibile l'applicazione della legge.
La realtï¿œ ï¿œ quella che ï¿œ uscita dai tavoli di lavoro che hanno discusso la 
norma successivamente all'uscita delle FAQ che hanno chiarito lo spirito del 
dispositivo ed hanno fatto luce su alcuni termini e concetti che potevano 
avere delle interpretazioni equivoche (come 
p.es
 il concetto di integritï¿œ 
che non ï¿œ da intendersi come concetto crittografico, interpretazione data 
dai tecnici, ma solo come concetto astratto, o il concetto di "accesso" che 
non ï¿œ da intendersi come accesso all'informazione, interpretazione data dai 
legulei, ma solo come accesso al sistema).
La normativa puï¿œ essere affrontata in due modi, prendendola per quel che ï¿œ, 
ovvero una norma idiota ed inutile che va risolta spendendo il meno 
possibile (e 20k sono troppi), oppure prendendola come spunto per affrontare 
un aspetto di sicurezza normalmente trascurato che ï¿œ il controllo di accesso 
e la correlazione dei log che richiede investimenti non indifferenti (e 
allora 20k non bastano nemmeno per iniziare) ma che ha una sua utilitï¿œ.


 qualsiasi eccezione tu possa sollevare sull'interpretazione della norma.
Orsù dimmi, i discorsi fatti da questo simpatico burlone non ti
ricordano una qualche persona che non si fa vedere da un po su icols?
:)

 In realt� la cosa � MOLTO chiara da quando sono uscite le FAQ.
link?
-- 
MirkoB.   
ne...@bsi-net.it
Motoretta BMW R1150R Nera...
L'indirizzo em@il non � da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente.

 link?
www.google.it
 che � da quella parte ===>
Una semplice ricerca con scritto
garante privacy amministratori di sistema faq
ha portato esattamente qui:
http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499#FAQ

:)
Chi � il simpatico burlone tra me e lui lo vedremo in occasione del primo 
controllo del garante, o della prima vertenza sindacale, il resto sono 
chiacchere alla macchina del caff�. :-)
Comunque mai frequentato it.comp.os.linux.sys n� it.comp.os.linux.software 
n� it-alt.comp.os.linux.suse (gli unici 3 gruppi che no nella grouplist con 
quelle iniziali)

Ciao Gandalf Corvotempesta  in data Sun, 29 Nov 2009 11:00:32 +0100,
hai scritto:

grazie! :-)


Ah beh, se lo dici tu...
No, ha ragione, 2 legali di 2 studi diversi, fra cui la Frediani
(
http://www.consulentelegaleprivacy.it/index.asp
) ci hanno confermato
questa cosa.
Fa testo la legge, la faq non ha alcun valore legale.
E sulla legge per esempio c'� scritto che i log devono essere
inalterabili, per cui se ti attieni a questa la copia su supporto non
alterabile di log alterabili non � corretta.
Dovrebbero essere inalterabili gi� dal momento in cui sono scritti su
disco.
Ciao
---
Francesco

 disco.
Considerando il fatto che parliamo di quel che fa un *amministratore*, i
log sono alterabili ancor prima che arrivino sul disco di chicchessia,
sul piano strettamente tecnico.
Ergo, o non � possibile avere dei log "inalterabili" o bisogna chiarire
cosa intende (quel)la norma per "inalterabili", visto che evidentemente
� definizione variamente interpretabile.
Considerando che un chiarimento al riguardo lo ha fornito chi il
provvedimento lo ha scritto, tenderei a fidarmi pi� della
interpretazione sua che di chi ne d� interpretazioni a posteriori (e
che, strettamente parlando, ha tutto l'interesse professionale ed
economico a farti fare pi� giravolte possibile).
IMHO, eh...
-- 
Professional System & Network Sarcazzer
http://bofhskull.wordpress.com/

 Fa testo la legge, la faq non ha alcun valore legale.
� vero quello che dici, per�:
- se si parla di una FAQ qualsiasi pubblicata da un giornale o un sito 
anche specializzato nell'argomento, allora � corretto dire che non hanno 
valore legale
- se si parla di FAQ pubblicate o sul sito del ministero che ha 
promulgato la legge o sul sito del garante che la ha promulgata, allora 
ha valore di "circolare intepretativa" e come tale ha valore legale, 
cio� pu� essere portata a proprio favore in caso di contestazione

 wrote in 
news:ifp9h514qf7lbho7k...@4ax.com
:

per quel che ne capiso di legalese (molto poco) la faq non e' niente 
altro che una interpretazione della legge in questione.
perche' l'interpretazione di due studi legali ha maggior valore o 
dovrebbe essere piu' considerata dell'interpretazione fornita da chi ha 
scritto la legge?
fermo restando che siamo in italia, quindi le leggi sono poco chiare per 
definizione, io, come skull, darei maggior peso all'interpretazione 
fornita dal garante...
senza contare che se non ha valore legale la faq (interpretazione fornita 
dal garante), cosi' non ha valore legale l'interpretazione fornita dai 
due avvocati.
o mi sfugge qualcosa?
-- 
Paolo opg
BE AWARE that this post uses a fake reply-to address
to contact me write to:
janickg ( at ) hotmail ( dot ) com
--

 disco.
Dovrebbero essere affidabili già nell'istante della loro generazione, ma 
questo richiede appunto un intervento strutturale che non è assolutamente 
compatibile con nessuna azienda che non sia nata con un progetto che abbia 
considerato la sicurezza prioritaria sin dal principio (
p.es
. una CA).


 ogni singolo record, la completezza richiede un sistema di trasmissione dei 
Stiamo interpretando l'inalterabilita' in senso meno generale, intesa
come inalterabilita' da parte del controllato, cioe l'amministratore.
Quindi registrazione anche su memorie di massa convenzionali (es: HD)
purche' inaccessibili, anche fisicamente, agli AdS. Ci sembra che sia
perfettamente in linea con il dettato normativo ed e' compatibile con
le FAQ. Si evitano tutte le criptoproblematiche carpiate con tanto di
scappellamento su DVD-R, a destra, per due.
Fabio

 purche' inaccessibili, anche fisicamente, agli AdS. 
E chi amministra la macchina non amministrabile da un amministratore?
Si amministra da sola?


Questa osservazione varrebbe per qualsiasi soluzione.
Su quella macchina non esisteranno dati personali [1] quindi chi
la amministrera' non sara' "amministratore di sistema", ai sensi
della normativa in oggetto.
Fabio
[1] tranne che quelli degli AdS da controllare.

 
Scusa ma... se su quella macchina ci sono i log
con gli username degli amministratori (che devono
essere associati a persone fisiche) allora
contiene dati personali anche la macchina dei log
e quindi ï¿œ soggetta al provvedimento... e qui ci
si allooppa :-)
-- 
--
Problemi e soluzioni di un sistemista informatico
http://blog.maurizio.proietti.name

 
Quoto in pieno!!!
Non so se può essere utile a qualcuno, ma qui ho
postato la mia soluzione (in continuo aggiornamento)
http://blog.maurizio.proietti.name/2009/10/29/provvedimento-del-garante-sugli-amministratori-di-sistema/
Se avete consigli sono sempre ben accetti
Saluti


 si allooppa :-)
Volevi dire "alloopa", immagino :-P Qualcuno dice che non allooppa
in quanto il trattamento avviene proprio in forza di una norma sul
trattamento dei dati personali e/o che e' ovvio che dovra' esserci
un limite alla ricorsione nell'applicazione di questo obbligo. Non
trovo riscontri soddisfacenti a supporto di queste interpretazioni
e quindi, in genere, preferisco considerare che la macchina che si
occupa della registrazione dei log non necessita di una gestione a
cui fa capo un AdS ma soltanto d'interventi della tipologia di cui
all'ultimo paragrafo del punto 1 della FAQ.
Fabio

 
Sinceramente nn capisco il problema...
se anche la macchina dei log ï¿œ soggetta al
provvedimento significa che dovrï¿œ loggare
login/logout.
Niente di piï¿œ complesso.
E' un server come un altro, contiene dato
personali = ï¿œ soggetta al provvedimento.
Scusa ma nn capisco il problema :-)
saluti
M.


 login/logout.
Uhmmm... dove?

bio ha scritto:

su sï¿œ stessa...


 su sï¿œ stessa...
Come fai a garantire l'integrita' e l'inalterabilita' dei log se gli
AdS, la cui attivita' e' oggetto del controllo, sono anche AdS dell'
host che gestisce i log stessi? A rigor di termini, il provvedimento
e le faq lasciano margini d'interpretazione sufficienti per ritenere
che in alcuni casi questo approccio, insieme a salvataggio periodico
su supporto non riscrivibile, possa soddisfare (faq 12) il requisito
di integr + inalter richiesto dalla norma, e so che altri faranno in
questo modo, ma ritengo che sia tecnicamente piuttosto discutibile e
potenzialmente inadeguato nella maggioranza degli scenari.
Fabio

 Fabio
E se altri fanno da AdS su quella macchina come fanno a garantire
l'integrita' e l'inalterabilita' dei log? Anche loro saranno soggetti
al provvedimento... loop :-)
E la macchina dei log allora dove deve risiedere? non importa essere
ads per staccare un cavo di rete o trapanarle un disco... :-)
Non ho capito perchè debba essere (tecnicamente?) discutibile e
inadeguato.
Il provvedimento non serve ad avere una tutela legale contro gli
AdS... l'utilità del provvedimento è dubbia, forse l'unico che l'ha
colta è Marco D'Itri quando (GIUSTAMENTE) dice
"ha un importante scopo politico.
Serve a rassicurare alcuni che i casi di accessi illeciti a dati
sensibili accaduti nel recente passato sono stati fatti da sistemisti
che agivano all'insaputa dei dirigenti dell'azienda che non avevano
modo
di controllarli. Se ci vuoi credere... "
Personalmente ritengo che ciò che non è richiesto non sia necessario.
Saluti
M.

 Personalmente ritengo che ciï¿œ che non ï¿œ richiesto non sia necessario.
La norma non richiede nulla, esplicitamente, sul piano tecnico ed
infrastrutturale, ma chiede soluzioni "adeguate". L'adeguatezza a
soddisfare i requisiti nel tuo caso specifico la valuterai tu, in
fase di implementazione, e... un giudice o il garante, in caso di
problemi. Vedi tu :-)
Considera che anche nelle FAQ, un'infrastruttura del tipo che hai
previsto viene reputata adeguata nei "casi piu' semplici". Qui' i
margini di discrezionalita' per valutare quanto e' "complesso" un
caso sono ampi, soprattutto in assenza di giurisprudenza (e anche
in futuro non penso che ce ne sara' molta), ma di solito cerco di
andare un po' sul sicuro :-)
Fabio

 andare un po' sul sicuro :-)
Bhï¿œ... io leggo:
"l'adozione di strumenti piï¿œ sofisticati, quali la
raccolta dei log centralizzata e l'utilizzo di
dispositivi non riscrivibili o di tecniche
crittografiche per la verifica dell'integritï¿œ
delle registrazioni."
Quindi la mia soluzione ï¿œ "piï¿œ sofisticata"... la
tua mi sembra eccessiva :-)
Saluti
M.


 I backup se li fa da sï¿œ?
I miei clienti ricevono TUTTI un log del backup che LORO controllano (o dicono
di farlo) perche' LORO sono i responsabili dei LORO dati.
Se ogni mattina devo controllare 20+ log di backup faccio quello come lavoro,
salvo il fatto che non mi pagano per quello.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Go directly to jail. Do not pass Go, do not collect $200.

 luigi
Ciao
M.
-- 


 Infatti ti pagano per fare l'AdS :-)
NOn esattamente. :)
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Politicians do it to everyone.

 perchï¿œ tutto sto macello?
Hai frainteso lo scopo della legge. Si parte dal presupposto che l'
AdS potenzialmente potrebbe *non* essere degno di fiducia. E quindi
il titolare lo deve controllare e valutarne l'operato.
Scusa ma il resto del post e' un po' deludente: pensavo ne stessimo
parlando seriamente.
Ciao
Fabio

 parlando seriamente.
Ne stavo parlando seriamente (a parte qlc battuta
che pensavo fosse concessa :-) )
Penso seriamente che non si possano utilizzare dei
log in sede di giudizio.
(ma nn sn un giurista, posso sbagliare)
Cosa ne pensi?
Ciao


 individuato lo puï¿œ fare tranquillamente, non trovi?
Qui sta l'idiozia di base della legge e l'ignoranza di chi l'ha redatta che non
conosce i computer ne' il concetto di "regressione all'infinito" nota anche con
il concetto di "quis custodiet ipsos custodes?"
Concordo con chi ha detto che e' una schifezza messa assieme da politici
ignoranti in materia che si vogliono tutelare (o credono di riuscirci) con
regolamenti che sono semplicemente inattuabili.
Ciao,
luigi
-- 
/
+--[Luigi Rosa]--
\
Non dobbiamo lasciarci indurre a credere che la macchina potra` mai
sostituire il fedele e provato cavallo.
    --Gen. John K. Herr, Capo di Stato Maggiore US Army, 1938

Mi aspetterei qualche novità dal Garante in merito al fatidico termine
del 15 dicembre e/o almeno un loro supporto al fine di capire se ciò
che si adotta è corretto ed esaustivo.
Se gli amministratori di sistema sono più di uno come ci si comporta?
Si dovrebbe accedere con la propria login+password anzichè come
administrator?

 administrator?
Si. E' necessario che gli AdS siano
"identificabili" con account personali.
-- 
