Newsgroup: it.discussioni.iso9000
Titolo: all'inseguimento delle firme

Faccio parte della struttura qualità di una azienda che intende certificarsi
ISO 9001:2000 .
Abbiamo conlcuso la documentazione ma si presenta il problema "tecnico" di
dover inseguire le persone che hanno sedi in diverse parti d'italia,  per le
necessarie firme di verifica ed approvazione.
Pensando anche alla fase di regime di manutenzione e di aggiornamento dei
documenti, volevo chiedere se esistono metodi più efficaci ed efficienti per
dare evidenza della verifica ed approvazione dei documenti da parte delle
persone interessate, anche attraverso l'utilizzo di particolari software.
Grazie
Pino

 ha scritto nel messaggio
news:Eiqz9.16898$XO.7...@news2.tin.it...


Pino wrote:

Puoi usare un sistema di firma elettronica, non occorrono software 
particolari ma è sufficiente PGP in una delle sue versioni (è gratuito!!). 
Se hai un ftp server da qualche parte a disposizione, è fatta, basta 
metterci le chiavi pubbliche e sei a posto.
In alternativa, puoi usare una extranet con controlli di accesso (ad esempio 
usando NIS+, ma non so se c'e' per window$). Anche il più semplice 
controllo di accessi è sufficiente ad assicurare la conformità ai requisiti 
di norma per quanto riguarda il controllo della documentazione.
Ciao
Stefano
--
Stefano Gelati
Via Gonin, 34 - 20147 Milano
Tel. 02-4152487
Cell. 348-5620381
mailto:
stefano...@fastwebnet.it

 ha scritto nel messaggio
news:9Lvz9.18501$XO.8...@news2.tin.it...


 ha scritto nel messaggio
news:UmTz9.24686$XO.11...@news2.tin.it...


 particolari ma è sufficiente PGP in una delle sue versioni (è gratuito!!). 
Il PGP è gratuito solo per attività che non siano economiche (ad es. 
educational o uso personale), percui le aziende dovrebbero acquistarlo.
Alberto

Mai sentito parlare della firma digitale ?
Basterebbe inviare il/i files da sottoscrivere/aggiornare agli interessati e
questi te li rimandano "firmati digitalmente", in tale modo (cito,
riassumendola, la normativa di legge) "hanno valore legale, autenticità certa,
sono integri e non sono ripudiabili".
Penso che qualsiasi ente certificatore degno di tale nome non abbia il minimo
problema a riconoscere la validità di documenti (anche cartacei) generati da un
file firmato digitalmente.
Per l'elenco dei certificatori abilitati, visita  
http://aipa.it/
saluti
Angelo Bellora


AS wrote:

Ciò è vero per il software PGP vero e proprio (quello di Zimmermann), ma non 
per altre versioni come GNUPG, che è open source, GPL e gratuita.
Ciao
Stefano
-- 
QOTD:
        On a scale of 1 to 10 I'd say...  oh, somewhere in there.


 
Se fai certificare, da un'ente AIPA, le chiavi pubbliche dei funzionari 
dell'azienda, ti ritrovi però a spendere veramente un MUCCHIO di soldi.
Tieni presente che la firma digitale "forte" (alias Bassanini, alias X509) è 
necessaria solo per gli atti per i quali la legge prescrive la "forma 
scritta", ovvero atti notarili et al. Persino i contratti commerciali non 
hanno dei requisiti così severi, figuriamoci una procedura interna 
aziendale.
Ritorno ad affermare che un sistema a doppia chiave asimmetrica senza 
certificazione (magari però con il timestamping) potrebbe fare al caso di 
tutte le aziende alle prese con il controllo della documentazione.
Ciao
Stefano
-- 
"...a most excellent barbarian ... Genghis Kahn!"
-- _Bill And Ted's Excellent Adventure_


Ad un certo punto, il ,
Angelo Bellora  pigio' la seguente sequenza di tasti :

Io non ho problemi
Mi faccio inviare delle email dalle persone direttamente coinvolte nella
firma
L'email è personale e quindi quando mi arriva una email con scritto APPROVO
VERIFICO
è per me una firma elettronica
L'ente di certificazione quest'anno di Vision 2000 delle firme se ne è
onestamente fregato
:-))))
ci sono aspetti + importanti, tipo garantire se chi firma ne ha l'autorità e
se ha letto veramente il documento.
--
bob

 
Credo che questo possa essere fatto rientrare in un discorso di gestione 
del workflow, che difficilmente viene supportato da un semplice client 
email. A quel punto c'è da lavorare anche su lato server, o con 
meccanismi P2P che non sono banali.
Ciao
Alberto

 se ha letto veramente il documento.
Temo di essere assolutamente d'accordo (ma perchè non lavoriamo insieme? Io
sono pronto....).
Penso sia lecito chiedersi: quale interesse ci può essere e da parte di chi
a falsificare una firma su un documento?
Ciò dipende, ovviamente, dal documento stesso.
Faccio esempi banali: un assegno, una cambiale, una specifica di prodotto,
un'approvazione di una fase di progetto, un ordine ad un fornitore (qui
entra anche in gioco l'entità monetaria), una procedura del SQ, un permesso
ferie.....
Io credo (conoscendo l'Ente..;-) ) che siano molto più preoccupati di capire
(almeno alla prima verifica) se realmente qualcuno si è posto questo
problema e che azioni sono state intraprese.
Le firme vengono dopo....
SL

 Alberto
--
bob

 questo problema e che azioni sono state intraprese.
No, non hanno chiesto e si sono focalizzati su altro.
tanto ISO o non ISO sia noi che la concorrenza si presentano con firme
falsificate dei clienti, e quindi meglio stendere un velo pietoso (però si
va su RAI3!!!!!)
--
bob

Le tue risposte accrescono spesso la mia angoscia esistenziale......Grazie
per la serenità che mi dai!!!!
:-))))))
SL

 Le firme vengono dopo....
E' un dato di fatto che la sicurezza sia uno dei business del futuro, e 
che quindi a molti fa comodo "menare il can per l'aria" :-))))
C'è da dare quindi e giuste dimensioni alle cose, e contestualizzarle.
Aggiungo che in materia di sicurezza informatica, si fanno più spesso 
congetture su quel che può succedere, che non dimostrazioni di evidenze 
e di danni arrecati.
Anche per questo concordo con te sul fatto che in certe situazioni il 
discorso sia quasi del tutto irrilevante rispetto ad altre 
problematiche; d'altro canto, dalla "scoperta" di Echelon in poi, 
qualche domanda in più su questo argomento me la son posta: se qualcuno 
fosse interessato a "far sembrare le cose" in modo diverso da come sono, 
il sistema informativo sarebbe in grado di impedirlo?
Ad es. per quell'azienda tedesca che produceva generatori eolici, che 
s'è vista soffiare un appalto multimiliardario in Danimarca da un 
concorrente USA (se non ricordo male, era su Focus o su Quark di qualche 
mese fa, a proposito proprio di Echelon): in quel caso, far risultare le 
cose in modo diverso da come erano realmente....era rilevante ai fini 
del fine che ci si poneva (la frode), e agire con adeguati margini di 
sicurezza avrebbe aiutato a evitare quei problemi (le contromisure per 
evitare le frodi).
Ma, in questo caso ci si avvicina ai temi del cracking e dello 
spionaggio industriale, mentre forse lo spunto iniziale era calibrato su 
una scala diversa.
Alberto


Siccome non hai specificato limiti di costo, io consiglio vivamente una
soluzione "fatta in casa" utilizzando la piattaforma Lotus Domino, che ti
permette a costi più che accettabili di avere una piattaforma per mail,
forkflow, database interni di ogni tipo decisamente stabile, con elevati
standard di sicurezza, di facile gestibilità (una volta impostata "te la
dimentichi" o quasi), di assoluta flessibilità.
Un domani che ci prendi gusto poi, l'implementazione tramite prodotto
"Quickplace" a costo ridicolo ti permette di impostarti una intranet con una
serie di soluzioni già comprese che stacca di gran lunga la concorrenza
(Outlook+exchange+share point +......amenità varie).
(Parere personale ovviamente).
Per la precisione, esistono anche licenze di server domino per linux, e ci
sono soluzioni pre-impostate (ad esempio la distribuzione Suse offre server
Domino + piattaforma server "professional" di Suse).
Lotus Notes per client Linux non è ancora stato rilasciato (e mi viene il
dubbio che mai lo sarà per accordi commerciali con MS); la versione windows
è facilmente installabile su Linux tramite Wine, ma la stabilità non è
esaltante.
Mi sto lasciando prendere la mano.........
Chiudo e saluto  :o)

 Alberto
perfetto
infatti per la certificazione della direzione IT vorremmo associare alla
ISO9001 anche la BS7799B ( Sicurezza dei dati e delle Informazioni) che
viene vista come Norma "cogente (???) e permette per i casi dove è
importante gestire la sicurezza e l'autenticità delle "firme" severi
controlli.
Volete esempi pratici ?
- uso PC aziendali senza possibilità di scaricare posta esterna (compreso
sto NG) e e.mail con possibili virus
- antivirus certificati e immodificabili
- SW distribution di applicativi originali e non bacati
- accesso intranet controllato
- accesso remoto WIFI o via dialup alla intranet controllato in base al CLI
del collega
- disabilitazione login dipendenti o consulenti dimessi o licenziati
- controllo mail entranti via firewall
-tracking email voluminose
- controlli a campione sui dipendenti
questa per me sarebbe qualità (l'ultimo virus interno ha "fottuto" circa
2000 ordini fatti su fogli Excel... con 2000 cliente incazzati.. quindi.....
altro che firmette fatte da responsabili distratti e svogliati !!!!
:o)
--
bob

 forkflow
;-))
Il forkflow è quello che faremo insieme davanti alle tagliatelle quando
verrò a Bologna a trovarti ...
Ahahahahahah ....... :-)))))
--
Alessandro

Ad un certo punto, il ,
Alessandro Seno  pigio' la seguente sequenza di tasti :

HAHAHAH
Mitica Bologna !!!!!
--
bob

 bob
verissimo, ma ci sono enti di certificazione (ribadisco il concetto: degni, ma
spesso non degni di tale nome), che vogliono che la firma sia fisicamente
presente su un pezzo di carta. Sappiamo quanto sia ormai consolidato il regime
di "paperless management" nelle aziende.
Quindi, a questo punto, il gioco si può anche fare pesante, in quanto anche le
eventuali email di cui sopra non valgono un classico tubo, a meno che non siano
mail PROTETTE e CERTIFICATE a mezzo di servizi come quello offerto da PosteCom.
Quanto ai costi, mi sembra che mettere in piedi un sistema di qualità a norme
ISO, distribuito su più sedi e con svariati referenti che devono interagire tra
loro, comporti dei costi di grandezza tale per cui il fattore di rapporto con le
poche decine di Euro/anno per addetto che servono a mantenere attivo un sistema
di firma digitale e mail protetta e certificata non sia assolutamente
significativo nel contesto economico generale dell'azienda.
saluti
Angelo

 bob wrote:

Sui costi hai ragione, forse sono io che non riesco a far passare il budget
su un software secondo me inutile.
Sul fatto che l'ente sia così cocciuto voglio propio vedere dove sta scritto
delle firme . Guarda che solo il tuo manuale qualità richiede che nelle
procedure di sistema tu definisca una Procedura per la registazione  dei
documenti e delle registrazioni. In quella procedura specifica i tuoi
criteri indicando la e-mail.
Sfido chiunque a dimostrare se una FIRMA contraffatta oppure una e-mail
CONTRAFFATTA siano distinuguibili, e considera che nella mia azienda (8500
persone) la mail è assolutamente ufficiale ed utilizzata (forse anche
abusata) da tutti gli enti a tutti i livelli.
Se i signori certificatori si ostinano forse non hanno capito dove cercare
la vera qualità,  ma sono solo degli zelanti precisini che vogliono vedere
il compitino della maestrina fatto bene ed ordinato e non si degnano di
capirne i contenuti.
:o)
bob

 capirne i contenuti.
WOW Bob: quanta differenza nel tuo tono e nelle tue osservazioni tra oggi e
quando hai iniziato a frequentare il NG!
Complimenti.
SL

 Alessandro
..........................
e io che pensavo di fare un salto da "clorofilla" per la degustazione di un
paio di crostini di sesamo e carotine biologiche bollite e
disidratate...........
;oD
Biassanott.....

 SL
hehe !!!
Esagerato, ti assicuro che nel dubbio non mi sogno di essere cosě
aggressivo.
Forse mi sto **adattando** ad un ruolo scomodo e questo mi costringe a
prendere delle **contromisure**---> sicuramente la piů **talebana** č quella
di cercare di usare i consulenti e i certificatori per il loro vero valore
aggiunto, che mi sembra importante quando ci si confronta in queste
occasioni.
Quello che scrivo a **getto** č abbastanza reale e sentito perchč č una
delle tante **battaglie** del momento, mi scuso se i toni sono stati accesi
ma era solo un effetto collaterale e non un attacco ai colleghi del NG.
---
bob