Newsgroup: it.comp.lang.delphi
Titolo: [ot] cosa fate per la privacy

ciao a tutti, avendo un applicativo che contiene informazioni di persone
(quindi dati sensibili) come posso fare per essere a norma con la legge
sulla privacy??? dove trovo informazioni a riguardo su cosa il software
dovrebbe avere/fare?
Simone

dovrebbe avere/fare?
È un argomento delicato, tanto che ci sono società specializzate
nell'auditing della gestione. Puoi partire dal sito del Garante.
Luigi D. Sandon - D&amp;D Support Team
--- posted by geoForum on 
http://www.delphiedintorni.it

 ha scritto nel messaggio 
news:2rg8p0F...@uni-berlin.de...

Il sito ufficiale è questo:
http://www.garanteprivacy.it/
poi puoi trovare un bel pò di materiale in giro per la rete.
La legge da delle indicazioni relativamente alla protezione di quelli che 
sono definiti dati sensibili (fai attenzione: non è detto tu stia trattando 
dei dati sensibili, magari solo dei dati personali) rendendoli sicuri e 
facendo in modo che solo gli utenti autorizzati possano accedervi. In realtà 
non da alcuna indicazione tecnica relativa alla struttura delle 
applicazioni.
Quindi, se sei in una situazione tipo: ufficio e tutti i dipendenti sono 
autorizzati accedere ai dati sensibili attraverso la tua applicazione, la 
protezione va intesa rispetto a soggetti che non fanno parte dell'ufficio. 
In questo caso gestire la semplicemente la sicurezza a livello di Sistema 
Operativo dovrebbe essere sufficiente, senza necessità di intervenire 
sull'applicazione.
In una situazione dove, ad esempio, tutti gli utenti accedono alla tua 
applicazione ma solo alcuni possono accedere ai dati sensibili, allora 
dovresti progettare un sistema utente/livello di accesso che permetta di non 
visualizzare i dati sensibili agli utenti non autorizzati. In alcune 
situazioni ospedaliere ho sentito addirittura della necessità di separare i 
dati sensibili da quelli personali, presentandoli in una seconda maschera, 
accessibile solo attraverso ulteriore password.
Per quanto riguarda la sicurezza del database, ho letto di crittografarne il 
contenuto in modo che non sia accessibile. Senza cercare il pelo nell'uovo, 
dovrebbe essere sufficiente proteggerlo con password (ovviamente dipende dal 
database) e magari applicare un pò della crittografia intrinseca.
In sostanza, difficilmente troverai indicazion certe al riguardo, ma solo 
comportamenti o interventi piu' o meno. In teoria il livello dell'intervento 
dovrebbe essere effettuato in relazione all'effettivo livello di rischio di 
accesso inautorizzato dei dati... ma poi c'è sempre chi ci mangia, ed allora 
vedi reti locali senza accesso ad internet con il firewall hardware.
Ciao,
Gianluca.
-- 
Gianluca Plevani
-----------------------------------------------------------
http://www.brain-enterprise.com
 

ciao Gian, grazie per la risposta... spiego meglio il problema...
ho un applicativo che gira in alcuni saloni di bellezza... al suo interno ci
sono dati di clienti (nome, cellulare, informazioni su allergie,ecc.)... il
salone fa firmare il foglio per la privacy, perň potrebbe essere che qualche
cliente smanettone abbia accesso ai dati o che qualche operatore del salone
ci metta il naso... dal punto di vista tecnico ho messo la gestione utenti,
con tanto di user e password... perň devo premunirmi di altre cose??
Simone

 con tanto di user e password... però devo premunirmi di altre cose??
Tieni conto che, rispetto ai dati che mi hai detto:
- nome, indirizzo, tel., ecc. dovrebbero essere considerati "dati 
personali", quindi dal puro punto di vista della "legge privacy" non è 
richiesto alcun intervento;
- informazioni su allergie, ecc. sono senza dubbio dati sensibili, quindi 
devono assolutamente essere protetti.
Io - adotterei una struttura di questo tipo:
Maschera Dati Personali -> Immissione Password -> Maschera Dati Sensibili
In modo che un qualsiasi utente già loggato nell'applicativo sia costretto a 
reimmettere la propria password e, se autorizzato, possa accedere a tali 
dati.
Dal tuo punto di vista la procedura dovrebbe essere ok.
Ora c'è il solito nodo legato al comportamento dell'utente, che dovrebbe 
visualizzare i dati e chiudere la maschera prima di abbandonare la 
postazione. Quindi poi l'eventuale altro utente non autorizzato o il cliente 
smanettone non dovrebbe poter accedere ai dati. Questo però non è un 
problema tecnico, ma puramente legato al comportamento dell'utente che deve 
essere adeguatamente istruito e... poi non resta che sperare che non 
scrivano le varie password su un post-it posizionato sul monitor.
Eventualmente, per implementare una qualche sicurezza in più, potresti 
tenere sotto controllo l'attività dell'utente in quella specifica maschera 
e, se per x secondi/minuti non fa niente, chiuderla in automatico...
Oltre a questo le tue problematiche dovrebbero essere solo di tipo 
"sistemistico": installazione dell'antivirus, gestione della protezione del 
PC (utenti nei sistemi WinNT, pwd bios nei Win9x), installazione del 
firewall se connesso ad Internet (un firewall, non l'sp2 di WinXP). Il resto 
stà alla responsabilizzazione degli utenti.


 e, se per x secondi/minuti non fa niente, chiuderla in automatico...
come posso fare a verificare l'attività dell'utente (mouse e tastiera) in
maniera sensata??
Simone

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1
Simone P wrote:
| come posso fare a verificare l'attività dell'utente (mouse e tastiera) in
| maniera sensata??
Io anziché andare a complicarmi la vita farei così...
Dopo 5 minuti di inattività (ossia nulla è stato cliccato o scritto
sulla form per tale tempo) farei uscire un "pop-up" che avverte l'utente
della chiusura automatica della form in XX secondi.
Se l'utente ancora non risponde premendo OK su tale pop-up o cliccando
da qualche parte sulla form (o comunque facendo qualcosa sulla form)
allora la form si chiuderebbe da sola allo scadere del tempo.
Questo lo puoi fare in modo anche abbastanza semplice tenendo un timer
che scala una certa variabile da un valore prefissato... ogni volta che
l'utente fa qualcosa tale variabile viene risettata al valore massimo.
Quando tale variabile raggiunge lo 0 la form si chiude.
Bye,
~  Luca
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.2.4 (GNU/Linux)
Comment: Using GnuPG with MultiZilla - 
http://enigmail.mozdev.org
iD8DBQFBUz+/liez+Z59f3URAkaKAJ9GUGeKo1pI5fNA24++GF3p1Cp7TwCghZIr
O18xelS9ISvZfgPBEq9ajxE=
=zWKE
-----END PGP SIGNATURE-----

>vedi reti locali senza accesso ad internet con il firewall hardware.
Il firewall non serve solo per l'accesso ad Internet. È abbastanza comune
in ambienti ad alta sicurezza utilizzare firewall per controllare
l'accesso a segmenti di reti interne "sensibili".


  Leggi l'allegato B della legge, è molto semplice e facilita molto le cose.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/