Newsgroup: it.lavoro.informatica
Titolo: l Garante fissa i criteri, quattro mesi per mettersi in regola...

Ciao a tutti, sono tonizzo, ritornato nel gruppo dopo alcuni anni di
assenza (magari in un prossimo post vi racconto, ma la professione di
informatico mi sta andando bene, fortunatamente).
Premesse a parte, volevo una vostra opinione in merito alle nuove
disposizioni del Garante della privacy:
http://www.garanteprivacy.it/garante/doc.jsp?ID=1580831
In particolare, approfondendo la questione, v'è un articolo che
recita:
4.5 Registrazione degli accessi
Devono essere adottati sistemi idonei alla registrazione degli accessi
logici (autenticazione informatica) ai sistemi di elaborazione e agli
archivi elettronici da parte degli amministratori di sistema. Le
registrazioni (access log) devono avere caratteristiche di
completezza, inalterabilità e possibilità di verifica della loro
integrità adeguate al raggiungimento dello scopo di verifica per cui
sono richieste.
La questione ruota attorno alla parola "inalterabilità". Che
significa? Prendiamo una macchina Unix. Se sono root altero tutti i
log del mondo. Potrei predisporre un syslog server e mandare i log là
in tempo reale, ma anche qui, chi mi garantisce l'inalterabilità?
Posso blindarlo, tirar giù tutti i servizi e avere due o tre persone
che possono loggarsi...
Ma è veramente così "inalterabile" il dato?
Cosa ne pensate?
Seconda questione: qual è l'ambito di applicazione di questa norma?
Solo i sistemi che contengono dati sensibili? Personali? Anche
amministrativi?
Poi non ci sono solo i "sistemi"... Ci sono anche i db. Le "cartelle"
windows. Ecc... Che fare? Attivare l'audit per tutto? Il che vuol dire
una montagna di dati...
Chi si occupa di sistemi, che precauzioni sta adottando in questo
senso? Come avete recepito la normativa?
Ciao a tutti, grazie...

 Il che vuol dire una montagna di dati...
oltre che consulenze ad hoc
felice_pago
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/


La materia è sicuramente complessa e purtroppo io non sono
certo un esperto, però secondo me chi scrive tali norme  ne sa
ancora meno di me al riguardo, quindi finisce col scrivere delle
sciocchezze che poi dovranno essere interpretate, e da chi si
deve occupare di rispettarle prima e da chi poi deve controllare dopo
(se mai ci sarà qualcuno che lo fa).
A parte che creare una montagna di dati per me equivale a
burocratizzazione
e confusione, ma chi dice che poi gli stessi dati raccolti con
"l'audit" non siano
modificati/taroccati? Il punto è che evidentemente ci deve essere
uno o più responsabili che rispondono dell'applicazione di queste
misure
e che hanno accesso a tali log. Alla fine come in qualsiasi sistema
di
sicurezza, qualcuno ai dati ci deve accedere. Ripeto, parlo
senza conoscenze in materia ma solo come informatico.
Saluti
 Cristian

 wrote:

Ciao Tonizzo piacere di ritrovarti.
L'argomento è complesso rispondo stasera da casa... se avrai la
pazienza di aspettare.

 Ciao a tutti, grazie...
Prego, a presto.

senso? Come avete recepito la normativa?
Abilitazione del log ovunque , salvataggio dei log, firma digitale degli 
stessi con firma qualificata del titolare del trattamento se non addirittura 
loro marcatura temporale a norma CNIPA.
W l'itaglia

In un sistema che mi è capitato di vedere e che doveva mantenere dei log 
  non taroccabili (CA di una PKI) era collegato un disco ottico WORM. 
Esistono pure dei nastri certificati WORM, gli Ultrium dalla versione 3.
Francesco


Certo che sì :)
Ciao, benritrovato...

 Ma come dice Felice in genere tutto è tracciato.
Beh, l'audit sul file server e su oracle non è attivo. Ci son tabelle
che contengono dati personali, non è attivo un log a livello verbose
che logghi qualsiasi operazione venga fatta su tali tabelle. Bisogna
arrivare a questo punto?
Ciao


Non apparteniamo, fortunatamente, alla PA. CNIPA c'entra lo stesso?
Ma pensavi a qualcosa del genere?
Voglio dire, cmq tutti gli apparati stanno in LAN o in una VLAN
separata. In teoria il traffico non lo sniffi se non da dentro. Cmq
anche se lo sniffi per taroccarlo devi metterci del dolo, bisogna
arrivare a questo?
Leggiucchiando in giro ho trovato questo: 
http://www.4sign.it/4ever1.php
Pensavi a cose di questo tipo?
Voglio dire, qualcuno di voi nella pratica cos'ha messo in piedi e che
apparati ha coinvolto?
Grazie, ciao

 arrivare a questo punto?
Purtroppo dalle disposizioni sembrerebbe di sì. Almeno che non
implementi dei batch che di tanto in tanto facciano Datawarehouse sui
soli dati sensibili, come fanno alcuni.
L'accesso al DB potresti loggarlo a livello di sessione.Certo che se
poi si parla di DB enormi è un casino. Mirroring del DB o altre
stranezze, non so, so che Oracle ci sta facendo qualche soldo in
consulenze...

 Ma come dice Felice in genere tutto è tracciato.
oltre all'udit
tol spot e-trust altri che mi sfuggono


 consulenze...
oltre ad E&Y accidentur ed altri,
che potendo parlare col padrone del vapore,
gli dicono cosa sanno fare e il padrone legifera
per farglielo fare
felice_pago
la mia legge e' indifferente


 
Ma qualcuno ci crede ancora? Avete esperienza diretta (gli articoli di 
giornale e gli amici che vi "hanno raccontato" non valgono) di qualche 
azienda che, anche mancando totalmente di DPS,  è stata sanzionata?
Mi sembra tutta un'ignobile farsa.

 Una VPN per ognuno verso il syslog server?
Altrimenti un tunnel ssh/ssl, che si implementa in un attimo (ad es. via 
stunnel).

 disposizioni del Garante della privacy:
http://www.garanteprivacy.it/garante/doc.jsp?ID=1580831
[snip]
ti invito a leggere il thread corposo su 
l...@sikurezza.org
 -->
http://www.sikurezza.org/lex/maillist.html
con interventi e pareri autorevoli.
In poche parole, "so' cazzi" :-)

 Ma qualcuno ci crede ancora?
domanda con poco senso, scusa.
Seppur il rischio sia relativamente basso - come del resto, quello di
essere beccati per truffa e tanti altri reati finanziari; oppure
quello di mettersi a norma con la 626 e successive; tu, da
amministratore di sistema/consulente/ITmanager ti presenti al tuo CEO
e gli suggerisci di fottersene perchè la Pol Post ha altro da fare ?
Ho lavorato e anche aiutato a redarre a DPS e misure minime, e ti
assicuro che moltissime aziende non hanno alcun interesse a veder
contenziosi con clienti/fornitori, oltre al rischio di beccarsi un
esposto da chicchessia, per rischiare:
-Art. 168 Falsità nelle dichiarazioni e notificazioni al Garante
Sanzione penale, reclusione da 6 mesi a 3 anni
-Art. 169 Omessa adozione di misure necessarie alla sicurezza dei dati
  	Arresto fino a 2 anni o sanzione amministrativa, pagamento di una
somma da 10.000 a 50.000 euro
-Art. 170 Inosservanza dei provvedimenti del Garante 	Arresto da 3
mesi a 2 anni
Poi, che il legislatore, al solito, si muova come elefante in
cristalleria, redigendo norme astruse e inapplicabili in molti casi,
secondo me non CI esime (come professionisti dell'informatica) a far
sì che dove lavoriamo ci sia il massimo rispetto e la massima
collaborazione per applicare *misure minime*.
Personalmente - e sottolineo personalmente - collaboro con un Avvocato
che, ti assicuro, assiste molte aziende in contenziosi che partendo da
altri problemi *arrivano* proprio a contestarti sul punto della tutela
dati/misminsicurezza, e conosco almeno 2 casi di sanzioni piuttosto
gravi, con intervento della Polizia Postale in azienda (con tutti gli
annessi e connessi di una bella ispezioncina che non si limita certo a
chiederti di stampare il PDF con le norme fotocopiate da qualche sito).


Ciao e grazie mille del link. Molto interessante.
Se devo giudicare dall'allegato B di cui si parla, i cazzi per noi son
pochi. Esiste un identity manager, esistono delle policy per scadenza
ecc... dati personali ne abbiamo, ma di dati sensibili no. O meglio,
pare che:
"Per i soggetti che trattano soltanto dati personali non sensibili e
che trattano come unici dati sensibili quelli costituiti dallo stato
di salute o malattia dei propri dipendenti e collaboratori anche a
progetto, senza indicazione della relativa diagnosi, ovvero
dall'adesione ad organizzazioni sindacali o a carattere sindacale, la
tenuta di un aggiornato documento programmatico sulla sicurezza è
sostituita dall'obbligo di autocertificazione, resa dal titolare del
trattamento ai sensi dell'articolo 47 del testo unico di cui al
decreto del Presidente della Repubblica 28 dicembre 2000, n. 445, di
trattare soltanto tali dati in osservanza delle altre misure di
sicurezza prescritte. In relazione a tali trattamenti, nonché a
trattamenti comunque effettuati per correnti finalità amministrative e
contabili, in particolare presso piccole e medie imprese, liberi
professionisti e artigiani, il Garante, sentito il Ministro per la
semplificazione normativa, individua con proprio provvedimento, da
aggiornare periodicamente, modalità semplificate di applicazione del
disciplinare tecnico di cui all'Allegato B) in ordine all'adozione
delle misure minime di cui al comma 1."
Cioè gli unici che trattiamo noi. Che tratteremo alla stregua dei dati
personali.
Il problema restano quindi:
1. centralizzazione dei log per porteggerli e renderli il più
possibili inalterabili.
2. cosa dobbiamo loggare e fino a che "profondità"?
Ad esempio, un amministratore del proprio desktop windows è un
amministratore? Devo loggare tutti i desktop e notebook e
centralizzarli? Dirai: non ci son dati personali. Ha la posta, la
rubrica. Contiene dati personali...
Ma se continuiamo con sto circolo vizioso, allora anche i palmari e i
cellulari. Hai una rubrica, accedi a dati personali come il cellulare
di una persona...
Oltre alla parte tecnica mi resta difficoltoso capire il contesto in
cui applicarla...
Ciao, grazie

 chiederti di stampare il PDF con le norme fotocopiate da qualche sito).
Di questo sono curioso. Mi sento di chiederti, sempre nel rispetto della 
deontologia professionale, se non c'è qualche dettaglio da aggiungere. 
Sono convinto che la polizia postale, se come dici ha eseguito un 
accesso in un'azienda, non si trattasse di una vicenda legata al Dlgs 
193/2003, ma di qualche articolo del codice penale, magari degno di un 
articolo di cronaca.


Dlgs 193/2003
"Sistema dei parametri stipendiali per il personale non dirigente
delle Forze di polizia e delle Forze armate..."
dai su lo so che volevi dire 169/2003.... era solo per fare una
battutaccia!!!

 battutaccia!!!- Nascondi testo citato
Cioè lo vedi pure io ci sono cascato  correggo: Dlgs 196/2003!!!!

 apparati ha coinvolto?
Credo che dovranno tutti farlo.

azienda che, anche mancando totalmente di DPS,  è stata sanzionata?
Si, direttamente almeno un pajo (una terza non so' come sia andata a finire),
indirettamente altrettante.
Il punto che ti sfugge e' che il DPS va allegato al bilancio, se non c'e' gli
omini in grigio sono obbligati a farti le toto'...


wrote:

Da quanto si legge : "Il Decreto Legge 25 giugno 2008 n.112  del
giugno 2008, poi tradotto in un provvedimento  del Garante nel
dicembre 2008, ha abrogato l’obbligo della redazione del Documento
Programmatico sulla sicurezza per tutte le aziende che non trattano
dati sensibili o che trattano solo dati sensibili inerenti salute e
malattia dei propri dipendenti, senza indicazione della diagnosi"
Qui rientrano moltissime aziende...
Quindi il DPS non siamo più obbligati a farlo...

 
Al contrario: ho pensato che la previsione legislativa fosse alla base 
un sistema molto efficiente di accertamento. Voglio dire che con poco 
impegno la GDF poteva elevare sanzione senza rischiare nessun 
contenzioso, vista la chiarezza dell'obbligo formale.
Purtroppo non è successo nulla!!! Ho assistito a diverse verifiche, ma 
il DPS non lo hanno mai chiesto. Mi è spiaciuto, perché qualche hanno fa 
ho invitato molte aziende a mettersi i regola, ma ho presto capito che 
si trattava di un'ignobile farsa.
Quelle due aziende di cui parli, senza volerti chiedere di mettere nel 
NG i "dati personali", come sono incappate nelle sanzioni? Non credo che 
abbiano avuto vicende legate all'allegato tecnico. Forse si trattava di 
dati sensibili o altre situazioni con violazioni macroscopiche, come 
cliniche private senza neppure di DPS sulla carta?