Newsgroup: it.comp.sicurezza.unix
Titolo: legge privacy & unix

ciao,
per curiosita', come vi state comportando circa l'adeguamento ai principi
del DPR 318/99 "Misure minime di sicurezza per il trattemento dei dati
personali", relativamente alle macchine unix/linux?
Mi viene detto che, all'atto pratico, sarebbe necessario impostare password di
bios, password di rete e password di salvaschermo.
Il decreto non fa nessuna differenza tra macchine che utilizzano sistemi
operativi "server" e macchine workstation. E' chiaro che su una workstation
molto probabilmente ho windows e quindi questo discorso ha un senso, ma su un
server potrei avere Linux, o Unix qualsiasi, dove non esiste uno screensaver
(o quantomeno puo' non essere installato), e dove al reboot la macchina deve
andare al login da sola, e non puo' certo star ferma li' ad aspettare che
qualcuno gli inserisca la password del bios!
Personalmente poi sullo screensaver avrei da ridire anche su una workstation..
e se io non lo voglio usare uno screensaver? Se non mi interessa preservare lo
schermo?
Mah.. opinioni?
Ciao,
 Luigi 

 Mah.. opinioni?
si, ma non voglio diventare volgare
ciao,
marco

schermo?
Usi i programmi di blocco della tastiera, che esistono pressocche' su
ogni unix io conosca.
Cio' che interessa a te, oltretutto, non conta nulla.
Devi proteggere l'accesso durante l'assenza dell'operatore loggato, che
lo voglia o no, l'operatore, visto che e' il responsabile in quel
momento dell'accesso ai dati, dietro sana politica terroristica, lo
screen saver lo attivera' anche quando si gira di lato per prendere
qualcosa dallo scaffale li' a fianco.:-)
Anche a me, interessano tante cose, che la legge mi impedisce di
realizzare.
-- 
           |Save our planet!
  Ciao     |Save wildlife;
  roberto  |For your E-MAIL use only recycled Bytes !!
           |roberto poggi  
rpo...@softhome.net

 momento dell'accesso ai dati, 
eh un attimo. Se il responsabile e' l'operatore, allora e' un problema suo
tutelarsi come meglio crede, oppure non tutelarsi e assumersi le colpe nel
caso succeda qualcosa se cosi' si sente piu' comodo. Se invece la
responsabilita' e' in capo a qualcun'altro, allora questo qualcuno ha il
potere di dire agli esecutori materiali come si devono regolare. Essere
responsabili di una cosa significa, oltre agli aspetti negativi delle colpe,
avere il diritto di gestirtela come ti pare.
Ciao,
 Luigi

avere il diritto di gestirtela come ti pare.
Purtroppo, non sempre.
Questo e' un caso in cui, oltre al singolo addetto, ci va di mezzo anche
qualcuno che e' responsabile in toto della gestione dei dati.
Cio' limita piuttosto pesantemente la liberta' del singolo di sbagliare
in proprio, lo so, ma la legge non l'ho fatta io.:-)


 Se l'operatore ha accesso ai dati di cui all'oggetto della discussione,
Ma poi quali sono questi dati di cui all'oggetto? :-)
Un semplice server che fa da proxy, gateway, firewall, server samba, ecc. ma
che non contiene ad esempio la procedura di contabilita', o altre procedure
specifiche dell'attivita' dell'azienda, e' da considerarsi macchina sulla
quale impostare particolari condizioni di sicurezza? (dove per sicurezza si
intende questo tipo di precauzioni suggerite dal decreto, e' chiaro che poi
la macchina viene configurata con le adeguate precauzioni tecniche)
Ciao,
 Luigi

Ma poi quali sono questi dati di cui all'oggetto? :-)
Ehi, lo hai letto il subject?
Legge sulla privacy e unix.
Per la legge sulla privacy, ogni archivio che contiene dati che possono
riferirsi a persone fisiche, o giuridiche, deve essere sottoposto a ...
Se ci metti su solo un server web, di cui conosci il contenuto, forse
no.
Se fa da proxy, forse no, o meglio, quasi sicuramente si', visto che dai
log di squid, puoi conoscere alcune cosette sulle abitudini degli
utenti, e visite frequenti a www,troieeporconeassatanate,moc, puo'
rientrare nei dati personali sensibili, per cui serve specifica
autorizzazione SCRITTA da parte dell'utente.
Ma se solo c'e' dentro il server della posta, ci caschi in pieno.


qualcosa dallo scaffale li' a fianco.:-)
di questo non ne sarei tanto sicuro. se non mi ricordo male nella
comunicazione che fai al garante devi indicare un responsabile al
trattamento dei dati raccolti.
Le responsabilita` ricadono su di lui. All'operatore, al massimo,
si puo` solo imputare un concorso in colpa.
ciao
dome che forse oggi l'ho sparata grossa

si puo` solo imputare un concorso in colpa.
Hai letto bene la riga sottolineata?
Lo so che c'e' il responsabile, ma l'operatore ne deve rispondere al
responsabile, almeno gerarchicamente.
Forse, non andra' in galera, ma penso gli risulterebbe difficile trovare
un nuovo posto di lavoro nello stesso ambiente.


responsabile, almeno gerarchicamente.
ok. ho frainteso quello che avevi scritto.
ciao.
dome

 Luigi 
Guarda in quanto idiozie, quel'articolo e' solo secondo al 675/96. Se lo leggi
bene capirai che le misure adottate sono **SEMPRE** fuori legge e sempre in
linea con la legge (come sempre). Inoltre manca un'autorita' di controllo,
quindi se tu fai il tuo dovere da amministratore (e lo fai per altri motivi)
sei gia' in regola. Oppure se becchi un virus arriva la celere a picchiarti ??
-- 
Ciao Ciao Riccardo Bigoni