Newsgroup: it.lavoro.informatica
Titolo: Adeguamento legge privacy: una check list

Ho stilato a riguardo una specie di check list delle cose da fare
PRATICAMENTE:
1.	check up sistema informativo aziendale
2.	messa in sicurezza del sistema informativo aziendale
2a.	installazione / configurazione / aggiornamento sistemi operativi
2b.	installazione / configurazione / aggiornamento software antivirus
2c.	installazione / configurazione / aggiornamento software
anti-intrusione (firewall)
2d.	scansione sistema con software di tipo check security per testare la
messa in sicurezza di apparati hardware e software
2e.	assegnazione criteri di autenticazione/autorizzazione al sistema
informativo aziendale (nome_utente + password per ogni operatore)
3.	installazione/configurazione/aggiornamento software di back up
4.	formazione personale dipendente al processo di
autenticazione/autorizzazione
5.	formazione personale dipendente al processo di back up dei dati (back
up / cancellazione / ripristino)
6.	assistenza stesura Documento Programmatico sulla Sicurezza (DPS, da
redigere entro il 31/03/2005)
7.	Produzione modelli per documentazione interna all’azienda
7a.	Comunicazione dal titolare del trattamento dati all’incaricato
dell’assegnazione nome_utente + password
7b.	Comunicazione dall’incaricato al titolare del trattamento dati della
modifica periodica della password
7c.	Comunicazione nomina ad incaricato del trattamento dei dati
personali
7d.	Modulo da pre-stampare Informativa ai dipendenti
7e.	Modulo da pre-stampare Informativa ai clienti
8.	Rilascio in copia delle linee guida sulla sicurezza informatica
relativa alla gestione delle password
9.	Produzione Scadenzario operazioni per il mantenimento conformità alla
legge in oggetto
10.	Rilascio attestazione avvenuto adeguamento del sistema informativo
aziendale alla legge in oggetto
che ne pensate?
GiuNap
-- 
Posted via Mailgate.ORG Server - 
http://www.Mailgate.ORG

> che ne pensate?
Che dalle mie parti le aziende a giugno dissero che tanto
ci sarebbe stata la proroga e quindi non avrebbero
fatto niente. Oggi posso dire che c'hanno azzeccato, anzi
la proroga c'e' stata per ben 2 volte.
Non so con che faccia adesso mi posso ripresentare a
queste aziende per chiedere cosa vogliono fare.

 wrote in message
news:zjGwd.305638$
b5.14...@news3.tin.it

quali sono le tue parti?
le mie sono napoli e dintorni...
cmq, commenti personali sulla capacita' di preveggenza delle aziende a
parte,
tu come ti regoli a riguardo???


e cmq mi sembra di non sbagliare nell'affermare che la proroga riguarda
altro, ma non le
misure minime di sicurezza da adottare entro il 31/12/2004.
queste misure riguardano la messa in sicurezza del sistema e la
redazione del dps.
altro intendo le procedure fisiche che si adottano nel conservare es
copie di back up, o documenti o altro...
ora controllo....


 Ho stilato a riguardo una specie di check list delle cose da fare:
Che l'altro giorno un amico mi chiedeva se avevo qualcosa del genere da 
fargli vedere, e che ora so cosa fargli leggere ;-)
-- 
ale - 
http://www.sen.it
È in corso la CFV per per *it.comp.lang.csharp*, Si può leggere il
manifesto su news:it.news.annunci o news:it.news.votazioni 

 da fargli vedere, e che ora so cosa fargli leggere ;-)
Aggiungo che è la lista è comunque una buona candidata per finire nella 
prossima release delle FAQ ;-)


 prossima release delle FAQ ;-)
basta che mi citate nei credits...
ma... che faq? faq di questo ng?
a parte la gloria, qualcuno che posti commenti critiche suggerimenti
dubbi???


 ma... che faq? faq di questo ng?
tsk tsk®
http://www.sen.it/faq/it.lavoro.informatica.faq.xml
 (cambia l'estensione 
in txt o html, se il tuo browser fa lo schizzinoso)


 queste aziende per chiedere cosa vogliono fare.
Non sei il solo.
Io sto spingendo nella mia azienda per lasciar perdere la consulenza sulla 
privacy, si sta dimostrando una bolla di sapone.

 punto, sempre in teoria e al condizionale,
Appunto: SE le farà.
Ma ho qualche dubbio in proposito.



Io mi preoccuperei di più delle "azioni di parte" che della GdF che
sicuramente ha gatte da pelare più serie.
Avere un ispettore del Garante o la GdF che ti suona alla porta per
vedere la tua conformità alla Privacy è come fare 5+1 al Super
Enalotto--possibile, ma improbabile.
Se i trattamenti di dati personali non sono conformi, la possibilità
che qualche cliente, fornitore o terzo "avente diritto" dotato di
pochissimo senso dell'umorismo faccia un'azione di parte (querela,
denuncia, esposto...) per vere o presunte violazioni della sua 
privacy, bene... questa nel lungo periodo è quasi una certezza.
E' vero che *alcune* scadenze, fra cui il DPS, sono slittate al
30 Giugno 2005. E' anche vero che il d.lgs.196/2003 è legge dello
stato dal 1/1/2004 e bisogna essere conformi, con o senza un DPS...
Guardate il caso Vitaminic...
-- 
A.B.

 
Una visione molto tecnologica. Se il tuo incarico prevede
solo la parte tecnologica, è un buon punto di partenza.
A mio parere mancano tre cose:
- i criteri di valutazione delle risposte
- i criteri di "copertura dei gap" 
  (cosa si fa, se una risposta è insoddisfancente?)
- tutta la parte organizzativa e tecnico-legale
-- 
A.B.

...
a cosa ti riferisci? sempre dps (oggi me lo studio per bene promesso!)
p.s. AB capisco la tua stizza (se cosi' si puo' chiamare)! hai
sicuramente ragione,
ma io non voglio improvvisarmi consulente; e' per questo che 
sono due settimane che mi studio legge, post dei ng, siti, pagine,
proroghe,
dichiarazioni del garante, per fare bene il mio lavoro: 
installare un antivirus un firewall ed aggiornare il sistema operativo e
spiegare come gestire ed aggiornare le password.
non voglio improvvisarmi consulente
tutto-fare-per-la-legge-sulla-privacy.
so che ci sono tutti quegli aspetti
(legale+organizzativo+amministrativo+tecnico) da considerare
e' per questo che vorrei tutelarmi e lavorare (e farlo al meglio!)
grazie
GiN



No, no. Niente stizza, se č stata interpretata come tale colpa mia!
Per le altre risposte a Lunedě, ora chiudo l'ufficio per il weekend.
Ciao 
-- 
A.B.

> che ne pensate?
Diversi clienti mi hanno risposto: "Chissenefrega". Noi abbiamo
detto "Ma č la legge" e loro "Chissenefrega". Boh.
Fra

 mai mostrato a nessuno!
[/quote]
-- 
Pepe
Milano, Italy

 sistema informativo aziendale?
imho manca la parte di profilazione degli accessi,
Quella di prevedere un firewall per tutti mi sembra eccessiva


Non e' solo il discorso che e' legge.
In primi non tutti sarebbero obbligati a farlo.
Ed e' legge l'adozione delle misure minime. Che non sono nient'altro che la 
trascrizione di regole dettate dal buonsenso che tutti noi informatici 
applichiamo ma che l'azienda manifatturiera o lo studio professionale non 
applicano (vedi backup, antivirus, eccetera).
La motivazione della spesas conseguente alla perdita dei dati mi sembra piu' 
che sufficiente per convincere le aziende ad adottare le misure 

 che sufficiente per convincere le aziende ad adottare le misure
Purtroppo non è così. La stupidità di brianzoli e milanesi è senza limiti.
Proprio
la scorsa settimana un cliente mi ha detto che hanno fatto due conti e gli
costa
meno perdere tutto piuttosto che mettere in piedi un sistema di backup...
contenti loro......
Fra

 Quella di prevedere un firewall per tutti mi sembra eccessiva
intendi un firewall hardware?
io ho pensato semplicemente ad un firewall software...


 della privacy ...
Pensa che sabato scorso ho migrato la rete di una ditta a SBS 2003 e
riconfigurando i pc mi sono imbattuto in quello del direttore generale....
ovviamente Windows 95!! E diceva che si trovava bene.....................
Perché cambiarlo? :-)
Fra

 io ho pensato semplicemente ad un firewall software...
Il firewall software secondo me rompe troppo i coglioni sia all'utente (che 
ricordiamoci non e' molto esperto) sia all'admin che lo deve configurare 
correttamente (e l'operazione va ripetuta su tutti i computer a meno che non 
si abbia una gestione centrallizata)I.
Sicuramente dove ritengo opportuno mettere un firewall, o laddove il cliente 
lo chiede per bloccare in qualche modo l'utilizzo di internet (file sharing 
ecc) ne metto uno hardware.
Negli altri casi mi accontento della NAT.
La profilazione vuol dire impostare i permessi sulle risorse. Non e' sempre 
richiesta, pero' e' da inserire tra i lavori da eseguire
imho = a mio modesto parere (circa)

"Fra" <superv...@NSgmail.com> wrote in message 
news:N3%wd.48312$C94....@tornado.fastwebnet.it...

LOL
Questo discorso te lo puo' fare chi ha due/tre computer al massimo.
A questi elementi occorre mettere una soluzione di adeguamento "economica", 
senza fare domini ecc.
Non gli si puo' ovviamente proporre una soluzione da 5000 Euro se no non 
hanno tutti i torti nemmeno loro.

 hanno tutti i torti nemmeno loro.
Parlo di azienda da più di 20 dipendenti. Gli costa meno dire ai singoli
"sono
cazzi vostri" piuttosto che centralizzare il backup. Ti dirò di più, ho
visto
realtà in cui già c'era un'unità di backup perfettamente funzionante. Solo
che
la lasciavano inutilizzata per mancanza di voglia/tempo/sadiocosa :-)
Fra

Ciao! Io mi ritengo una persona molto fuori dal comune... Un eremita 
filosofo autodidatta, dato che non provo alcuna soddisfazione nei 
piaceri da cui trae beneficio la massa (sesso, famiglia, amore, lavoro, 
vita sociale, soldi, vizi, eccessi, ecc.); Io al contrario li trovo 
stressanti. Io aborro la società in genere e reputo il 95% della gente 
idiota. Spesso sono reputato come incoerente, incongruente, 
contraddittorio, psicolabile, infantile, sfigato ed emarginato per il 
mio modo di pensare... Ma che cazzo me ne frega a me? Io non vi vieto 
mica di pensarlo! Tuttavia io continuo a spammare e a dire quello che 
penso anche a chi non vuole ascoltare >:) . Troverai il mio sito a: 
http://www.alexanderthegreat.150m.com/
 . Se però tu fossi interessato ad 
ascoltare alcuni brani di mia produzione , mi troverai in diretta su 
Radio Music One ogni Domenica Sera alle 23 agli indirizzi:
- Bassa Qualità: 
http://music1.simosnap.com:8004/listen.pls
- Alta Qualità: 
http://music1.servegame.com:8000/listen.pls
Potrai persino dialogare in diretta con me facendo sentire la tua voce 
in tutto il web! Dovrai solo scaricare 'Skype' da 
http://www.skype.com
 e 
contattarmi sewguendo le istruzioni sul mio sito. Non perdere questa 
opportunità di prendermi per il culo in diretta, di fronte a tutto il web!
N.B. Durante la trasmissione potrai persino osservarmi! (trovi le 
indicazioni sul mio sito)


Ue', ma togli una curiosita': tu i backup li fai fare a manina?

> Ue', ma togli una curiosita': tu i backup li fai fare a manina?
Ovviamente cambiare la cassetta sì... e mi è stato più volte
detto "Ehhhh ma non ho una persona che tutte le mattine cambi
la cassetta....".
In fondo se hai 20 dipendenti e gli dici di arrangiarsi per i backup
le probabilità di perdere del lavoro sono basse... o no? Non hanno
tutti i torti :-)
Fra

 Fra
imho, sono altissime.
Pero' se si perdono dei dati si incazzeranno con il dipendente e non con il 
consulente informatico :-))) 

 che sufficiente per convincere le aziende ad adottare le misure
Si, ma succede solo quando effettivamente perdono i dati (cosa peraltro 
molto diffusa).
A quel punto si che vengono a piangere da noi! So che non è gentile, ma ogni 
tanto un "te l'avevo detto" ci scappa.

 Negli altri casi mi accontento della NAT.
tu stai scherzando o non hai idea dei rischi.

 tu stai scherzando o non hai idea dei rischi.
Mah, guarda, in realta' so benissimo che anche attraverso NAT possono essere 
portati a termine degli attacchi, anche se l'ipotesi e' piuttosto remota.
Pero' il discorso che si sta facendo e' in riferimento a quanto richiesto 
dalla legge.
Non so se l'hai letta. Il Firewall e' obbligatorio solo per la protezione 
dei dati sensibili.
L'azienda con due/tre computer in rete usati per fare videoscrittura, e' 
difficile che mi approvi l'acquisto del firewall. E quindi *in quel caso* mi 
accontento della NAT.
Questo per tornare al discorso iniziale ovvero "come far digerire la pillola 
della spesa".

 accontento della NAT.
questo è un altro discorso.
Il fatto è che devi senz'altro far capire che il NAT *non protegge in alcuna
maniera una rete* (non è affatto vero che è remota la possibilità di
attaccare se in presenza di nat o pat), e che oggi come oggi esistono
scatolotti hardware per piccoli uffici del costo di 100-200 euro che
contengono dei piccoli moduli firewall (con nat,stateful inspection,
iptables o similari) e che permettono di adeguarsi degnamente....

 
Si mi riferisco al DPS (che però ora ho il dubbio se rientra o meno 
nella tua proposizione). Più in particolare mi riferisco alla pre
analisi di rischio. Se ti fai una checklist di domande, dovrai per 
forza standardizzare in qualche modo le risposte e avere dei 
criteri con cui valutare le risposte (da cui la gap-analisys) per 
avere modo di pianificare le azioni correttive. 
Ma se redigere il DPS non rientra nei tuoi obiettivi, allora il 
problema non si pone. Qualunque cosa ci sia scritta nel DPS la
implementi e punto, le tue specifiche di progetto sono tutte li 
(qualcun altro si sarà preso la responsabilità di valutare che
tali specifiche siano conformi alla legge, alla realtà aziendale ed
agli umori dell'Amministratore Delegato...).
-- 
A.B.

 
E io che pensavo di aver visto cose che voi umani non 
potete neanche immaginare... ma questa mi mancava. 
Almeno i miei clienti sono più onesti e mi dicono, "si
è un rischio, non abbiamo soldi da spenderci e ci 
teniamo il rischio". Ma dire che costa meno perdere 
tutto è proprio miopia (o peggio disonestà intellettuale).
-- 
A.B.

 ogni tanto un "te l'avevo detto" ci scappa.
Io normalmente inoltro l'email inviato prima...
:-)
-- 
Pepe
Milano, Italy 

 adeguarsi degnamente....
Concordo. Una qualsiasi rete aziendale senza firewall, al giorno d'oggi, 
è come una lancia alla deriva nell'oceano antartico in mezzo ad una 
tempesta.
-- 
ale - 
http://www.sen.it
È in corso la CFV per per *it.comp.lang.csharp*, Si può leggere il
manifesto su news:it.news.annunci o news:it.news.votazioni 

 attaccare se in presenza di nat o pat),
Mah, ovviamente degli attacchi attraverso NAT ne ho sentito parlare piu' 
volte anche io.
Il mio giudizio della eventualita' remota di attacchi e' dovuto al 
monitoraggio che ho fatto di alcuni computer con PF dietro ad un dispositivo 
NAT.
Beh i log del personal firewall erano tutti puliti.
Nessuna traccia di tentativo di accesso, scansione, fingerprint ecc...
Quindi da cio' ho dedotto che l'attacco attraverso NAT non e' alla portata 
di tutti, o quanto meno non e' ancora cosi' diffuso.
Se tu potessi indicarmi alcune fonti che documentano il contrario te ne 
sarei grato, almeno mi rendo conto della reale entita' della minaccia
E in piu' avrei qualcosa da leggere durante le vacanze ;-)
Sono altresi' molto favorevole all'utilizzo degli scatolotti al posto dei 
router telecom ecc. Molto piu' versatili, sicuri, personalizzabili, (VPN 
eccetera).
Alcuni dispositivi NAT che ho incrociato non hanno nemmeno la possibilita' 
di far passare il GRE....
Ripeto pero' che dipende dalla buona volonta' del cliente.
Cioe', non so voi, ma io normalmente sono in competizione con quei ladri che 
spacciano per adeguamenti la sola redazione della parte documentale.
In questi casi il lavoro deve essere fatto contenendo le cifre. Lo 
scatolotto incide almeno del 20% sul preventivo finale...

 E in piu' avrei qualcosa da leggere durante le vacanze ;-)
Mi associo alla richiesta :-)
(però per le vacanze ho già da leggere, magari a gennaio)

 agli umori dell'Amministratore Delegato...).
E qui io risolvo ogni dubbio, facendo firmare al cliente un documento:
"dichiaro che il consulente ha seguito le direttive da me impartite
circa
l'adozione delle mms, secondo il dps dell'azienda scrivente, .
sollevo quindi il consulente da ogni responsabilità futura relativa al
lavoro
eseguito.
il consulente dunque non e' responsabile della non conformità delle mms
della conformita' delle misure adottate sara' unicamente responsabile
l'azienda
scrivente"
FUNZIONA??? (altro dubbio atroce)


 tutto è proprio miopia (o peggio disonestà intellettuale).
20 dipendenti: i furbi si masterizzano la roba per i cavoli
loro, gli stupidi no... ma tanto il lavoro degli stupidi vale
poco... e cmq essendo stupidi non salverebbero neanche
il lavoro sul server :-) per cui il ragionamento non fa una
grinza :-)
Fra

 
Tutto dipende da COSA il consulente è stato ingaggiato per fare... è
importante essere molto chiari fin dal principio dell'operazione
ad evitare recriminazioni a posteriori...
-- 
A.B.