Newsgroup: it.comp.reti.locali
Titolo: responsabilita' per sistemi obsoleti

ciao a tutti,
 
chiedo qui perche' non so bene da dove partire.
 
mi sono imbattuto in una situazione in cui le direttive generali sono ' se 
funziona non toccarlo, neanche aggiornare' che ha portato a un sistema 
informativo anche abbastanza importante (30+ server, 500+ client) basato su 
software abbastanza datato il tutto, tranne i client, rigorosamente fermo a 
patch di diversi anni fa (win 2003, sql 2005, patch fino al 2011 o anche 
piu' vecchie).
 
la questione tecnica sulla sicurezza non e' interessante per il management 
che vuole solo che il sistema funzioni, in qualche modo.
 
esiste qualche leva da poter usare in una situazione del genere per 
smuovere le acque?
 
qualcosa del tipo responsabilita' di manager/admin/chissachi in caso di 
perdita di dati o di hacking.
 
esiste qualche norma di questo tipo?
 
 
 
-- 
Paolo opg
 
BE AWARE that this post uses a fake reply-to address
to contact me write to:
janickg ( at ) hotmail ( dot ) com
--

 esiste qualche norma di questo tipo?
 
chi firma l'incarico di amministratore della rete? ovvero chi è il 
responsabile dell'infrastruttura informatica?
 


 
Codice privacy, allegato B, punto 17.
 

 wrote in news:n9uubc$1h4o$1
@
gioia.aioe.org
:

questa e' una bella domanda: non riesco a capirlo.
 
c'e' un responsabile IT ma tutti quelli che dovrebbero dipendere da lui 
fanno un po' quel che vogliono e piu' che fare il responsabile fa 
l'amicone.
 
concordi le cose col gruppo, uno cambia idea, va dal capo e glielo 
comunica, dopodiche' fa quel che vuole senza avvisare gli altri.
 
e' un po' un far west...


 wrote in news:n9uubp$1hau$1
@
gioia.aioe.org
:

segnalazione azzeccatissima, grazie.
 
trovato riferimento anche nelle sanzioni:
http://www.consulenzaprivacy.it/sanzioniprivacy.htm
 
 
 
Chiunque, essendovi tenuto, omette di adottare le misure minime previste 
è punito con l’arresto sino a due anni o con l’ammenda da 10.000 a 50.000 
Euro. All’autore del reato, all’atto dell’accertamento o, nei casi 
complessi, anche con successivo atto del Garante, è impartita una 
prescrizione fissando un termine per la regolarizzazione non eccedente il 
periodo di tempo tecnicamente necessario. (…) Nei sessanta giorni 
successivi allo scadere del termine, se risulta l’adempimento alla 
prescrizione, l’autore del reato è ammesso dal Garante a pagare una somma 
pari al quarto del massimo dell’ammenda stabilita per la contravvenzione. 
L’adempimento e il pagamento estinguono il reato.


 
http://www.consulenzaprivacy.it/sanzioniprivacy.htm
 
 
Prova anche a chiedere un penetration test; se sono così sicuri non 
dovrebbero opporsi, e ne vedrai delle belle.
 
Ciao
Luca

 
 
 
racconto solo l'ultima che e' capitata: il gateway verso internet č un 
fortigate.
 
:-/


 fortigate.
 
Ogni apparato ha i propri pro e contro, ma se fai fare un pentest 
dall'interno con macchine tanto vecchie, verrà fuori il finimondo.
 
Certo che un pentest di 500+ macchine costerà un botto; in alternativa, 
potresti installarti OpenVAS e Metasploit + Armitage, fare una bella 
scansione approfondita, creare i report Executive (tanto, stando alla 
situazione che descrivi, i dettagli non servono) e consegnarli alla 
dirigenza.
 
P.S.: con Armitage, se fai i test con meterpreter, prendi il controllo 
delle macchine dei dirigenti e nella root di C: scrivi un file con la 
storia del contadino ed i buoi scappati.
 
Ciao
Luca

 wrote in news:n9uvuj$1k4a$1
@
gioia.aioe.org
:

500 sono i client, che sono windows 7 aggiornati.
il problema secondo me sono i server che sono fermi ad anni fa.
 
un pen test servirebbe per dei tecnici, ma i tecnici gia' sanno tutto e 
non gli frega una cippa di aggiornare o patchare, l'importante e' che 
stia in piedi...
 
 
tanto per dire il domain controller principale e' win2003 in arretrato di 
patch dal 2011; il secondario e' 2008 r2 con un centinaio di patch in 
sospeso, non so di che data.
 
lasciamo stare i server exchange 2007, che non si aggiornano dal 2012.
 
e per finire il server sql principale che e' sql 2005 sp2 su win 2003 
32bit. la chicca e' che e' stato messo in pista un secondo sql 2005 per 
problemi di carico (!!!!!).
 
 
fermo restando che ho fatto presente a chi di dovere la situazione e i 
problemi tecnici (meno sicurezza, scarse prestazioni, mancanza di 
supporto del fornitore in caso di guai, piu' complicato integrare nuovi 
applicativi/sistemi) e che ai tecnici it, di aggiornare, non frega 
proprio niente, stavo cercando un modo per fare capire la situazione a 
chi tecnico non e'.


 wrote in
news:n9uubp$1hau$
1...@gioia.aioe.org
: 

giusto per ridere, l'alleagto dice:
17. Gli aggiornamenti periodici dei programmi per elaboratore volti a 
prevenire la vulnerabilità di strumenti elettronici e a correggerne 
difetti sono effettuati almeno annualmente. In caso di trattamento di 
dati sensibili o giudiziari l'aggiornamento è almeno semestrale.
 
 
e se il sistemista effettivamente ogni 6 mesi installa 2 o 3
aggiornamenti lasciandone indietro una vagonata, e' in regola? la norma
non dice di installare *tutti* gli aggiornamenti e nemmeno i piu'
recenti... 


 chi tecnico non e'.
 
I report di tipo Executive sono fatti proprio per questo. Anche solo 
per mettere le mani avanti, mostrando che le falle ci sono e che tu hai 
relazionato: a quel punto, avendoli informati, passi loro la palla, 
cioé la responsabilità di considerare sicura una condizione che sicura 
non è.
 
Il catasto di Roma è alloggiato in un sotterraneo che si trova 
nell'area di esondazione del Tevere. Senti se anche per loro è una 
condizione sicura.
 
Ciao
Luca

 fortigate.
 
e questa cosa, cosa avrebbe di cosě eclatante?
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non č da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 e questa cosa, cosa avrebbe di così eclatante?
 
ti giuro, stavo con il cronometro aspettando questa risposta. lol
 

 ti giuro, stavo con il cronometro aspettando questa risposta. lol
 
no perchč detta cosě sembra che si parli del router di alice...


 
 
la backdoor scoperta di recente, da sola, non molto.
messa nel contesto che ho descritto (una serie di server non patchati da 
anni, sicurezza spannometrica e controlli caserecci) aggiunge secondo me un 
ulteriore problema piuttosto significativo a un quadro gia' critico.
 
sarebbe stato lo stesso se il sistema con backdoor fosse stato cisco o 
anche il router di alice: il succo e' che nel contesto, e' una aggravante 
di non poco conto.


 
 
la backdoor scoperta di recente, da sola, non molto.
messa nel contesto che ho descritto (una serie di server non patchati da 
anni, sicurezza spannometrica e controlli caserecci) aggiunge secondo me un 
ulteriore problema piuttosto significativo a un quadro gia' critico.
 
sarebbe stato lo stesso se il sistema con backdoor fosse stato cisco o 
anche il router di alice: il succo e' che nel contesto, e' una aggravante 
di non poco conto.
 
 


 
 
non l'ho detto ma credo ormai sia ovvio: la risoluzione del problema e' 
stata fatta con la dovuta calma...


 recenti...
 
Sì, lo so che è fatta con i piedi.

 ulteriore problema piuttosto significativo a un quadro gia' critico.
 
capisco il punto di vista, ma bisogna anche capire questi qua cosa
fanno...
Personalmente mi ha chiamato un'azienda colpita da criptolocker. mi ha
fatto verificare che non ci fossero residui in giro, hanno preso e
buttato tutti i file, non si sono preoccupati piů di tanto.
Al consiglio di sostituire i PC (tutti con XP), di installare un
antivirus degno di questo nome, di fare backup e affini hanno fatto
semplicemente spallucce.
 
Alla fine se sanno come sono messi e a cosa possono andare incontro,
affari loro (e non č certo una legge a far cambiare idea a qualcuno in
Italia).


 
 
ho chiesto indicazioni proprio per questo: io provo a fargli cambiare 
idea perche' mi sembra corretto, ma l'importante e' che adesso sanno a 
cosa vanno incontro.
anche se al momento non e' ancora chiaro chi sarebbe responsabile in caso 
di un rilievo da parte del garante...


l'amicone.
 
Se si finisce in tribunale, il giudice per capire chi è il capo guarda
chi è pagato come capo.
 
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.


 
Sembra sia una tendenza molto diffusa, anche nei grandi gruppi, quella 
di sottovalutare grandemente certi problemi.
Ho un cliente, facente parte di un grande gruppo nel ramo 
alimentazione, per il quale ho dovuto lottare ed insistere affinchè 
venisse "concesso" spazio e supporto per i backup, prima inesistenti. 
La richiesta è stata accolta solo dopo un paio di "mani" di 
cryptolocker...


 
io invece ci leggo che se è un aggiornamento importante per la 
sicurezza deve essere fatto comunque, al massimo con cadenza annuale.
 
-- 
[ b a z ]
"Scettico io? Ne dubito!"
" La coerenza è l'ultimo rifugio delle persone prive di immaginazione"
- socio MSTC - Responsabile Gruppi Antanati Gomito/Piede
- Mister Vistracàonpetto
 
 

 recenti...
 
 
If (esistevulnerabilita & esistepatch) then
	obbligo aggiornare
fi
 
Giulia
PS:Sostanzialmente tutto gli aggiornamenti di sicurezza sono obbligatori.
 


 
in un mondo perfetto. nel mondo reale hai TIZIO che fa funzionare il suo 
software su php dei flinston, CAIO a cui non hanno pagato la 
manutenzione e quindi non ti da assistenza nel passaggio e SEMPRONIO che 
dice "fin quando funziona io non lo tocco".
 


L importante e' non essere chi la legge stabilisce come chiaramente responsabile (Amministratore delegato -> direttore -> capo 
ufficio -> vice capoufficio -> tecnico -> addetto alle pulizie).
 
Giulia