Newsgroup: it.lavoro.informatica
Titolo: [OT] accesso al sito web aziendale

... argomento delicato del punto di vista della sicurezza.
 
PREMESSA:
 
L' Acme srl ha un proprio sito web  (dominio .it e dominio di posta)
presso uno dei maggiori provider internet italiani.
 
Il sito e' di poche semplici pagine scritte anni fa
dal "figlio del portiere", etc etc bla bla
 
Si  decide di sviluppare un nuovo sito web
e l'incarico viene affidato ad una ditta specializzata,
una web agency.
Il tecnico/commerciale di questa ditta
suggerisce  di continuare ad usare il dominio esistente
per favorire con le info storiche  il posizionamento nei motori di ricerca 
(?)
e chiede l' autorizzazioni per l'accesso ftp, che
naturalmente viene subito concesse.
 
Il giorno successivo, in maniera ferma e decisa,
chiede l'autorizzazione completa alla gestione del sito,
 per controllare i servizi attivi, aggiungere altri servizi,  etc etc
 
A questo punto Acme srl  chiede al sottoscritto cosa succedera'
delle loro mailbox.
 
PROBLEMA: come rispondere???
 
Se ho ben capito, per come e' organizzato il provider,
il web master del sito ha la facolta' di gestire la parte web
 (sottodomini, DNS, ftp, ...)
ed ANCHE  il dominio di posta
( cambiare le password, creare/cancellare mailbox, forwarding...)
 
Direi che si presentano i seguenti scenari:
 
1) Acme srl si accorda totale fiducia alla web agency
 (un nuovo fornitore con cui non ha mai lavorato!)
 e fa gestire a loro anche le numerose mailbox del sito,
nelle quali *putroppo* passano anche informazioni molto riservate,
come bilanci, paghe, corrispondenza importante con altre aziende etc,etc
 
2) Acme cerca in qualche modo di separare le autorizzazioni
sul dominio di posta da quelle del sito web.
 
3) Acme srl dice alla web agency di sviluppare il nuovo sito
su un nuovo dominio e ... finita qui.
 
A mio parere la 1 e' sconsigliabile per la sicurezza,
la 2 e' strada molto complicata e forse costosa.
 
 
Vs idee ? Suggerimenti ?
 
TIA
 
 
ciao
fm
 
 
 
 
 
 
 
 
 
 

 dal "figlio del portiere", etc etc bla bla
 
Acme incarica il soggetto che ha la responsabilit� del sistema 
informativo di seguire il progetto. Se questi � il figlio del portiere, 
probabilmente deve trovarsi qualcuno (lo so, � una posizione delicata) 
oppure si mette nelle mani della web agency.
 
Questa storia del server di posta � imbarazzante! Se ti fai chiamare 
azienda ma sei un sottoscalista senza risorse e cultura, non puoi 
pretendere molto.

fm ha scritto:
 
fm ha scritto:
 
[cuttone]
 
Gli dici: voi vi preoccupate esclusivamente del sito web, noi ci
preoccupiamo e occupiamo del server di posta, dicendoglielo con la stessa
determinazione con cui loro si stanno relazionando con voi.
Ah, dimenticavo, fatti spiegare perche' hanno bisogno di accedere al
vostro server mail.
 
-- 
http://www.kiva.org
 
http://www.wwoof.it
 
http://www.superzeta.it
 
Per il ng it.hobby.hi-fi: a*fan*ulo 'sta ca**o di hifi/hiend, tutte
put*an*te.
C/C++, .net, wxWidgets, CodeTyphon,
Firebird, Oracle & altro.
 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it
 
 
 

 PROBLEMA: come rispondere???
 
io risponderei con un bel "ma anche no".
a meno che la acme srl abbia incaricato la web agency  anche di controllare i servizi attivi, aggiungere servizi, etc... ma se, come ho capito, è incaricata solo di realizzare il sito non vedo perché chiedere carta bianca. se hanno bisogno di qualcosa chiamano la acme e chiedono.
 

 PROBLEMA: come rispondere???
 
io risponderei con un bel "ma anche no".
a meno che la acme srl abbia incaricato la web agency  anche di controllare 
i servizi attivi, aggiungere servizi, etc... ma se, come ho capito, � 
incaricata solo di realizzare il sito non vedo perch� chiedere carta bianca. 


 Vs idee ? Suggerimenti ?
 
4) Acme dice al fornitore di sviluppare il nuovo sito sul dominio
esistente senza rompere le balle agli altri servizi che non gli
competono minimamente e non ha nessuna necessit� di toccare.
 
Ma che davero?
 
 

 vostro server mail.
 
Esatto. Una web agency non ha NESSUNA necessit� di accedere alla configurazione
della posta o di qualsiasi altro servizio che non sia il sito web.
 
 


 
E se il miglior ingegno informatico della Acme � il figlio del portiere 
che ha fatto il sito?
Voglio dire che se il problema semplicemente esiste, allora significa 
che a gestire il sistema informativo della Acme non c'� proprio nessuno. 
O mi sfugge qualcosa?


 
Dipende, se nel nuovo sito viene creata una nuova casella email di 
contatto, poi chi la attiva e chi verifica che funzioni? Chi assegna la 
quota di spazio?
 
La Acme deve pensare bene se ha in casa qualcuno che può coordinarsi con 
la web agency oppure no.
 
Inoltre lo stesso discorso vale per l'FTP, hanno dato la pw alla web 
agency, se domani cambiano fornitore spero che abbiano qualcuno che 
sappia anche cambiare le credenziali.
 
Infine: dipende da come viene fornito l'hosting.
 
ciao
Gabriele
 

 Infine: dipende da come viene fornito l'hosting.
 
@fm:
 
chi ha fornito l'hosting? Aruba?


  per controllare i servizi attivi, aggiungere altri servizi,  etc etc
 
Senza senso. O meglio, lo potrebbe avere se nell'azienda non c'è nessuno che lo possa seguire, ma io non l'avrei chiesto senza aver chiarito la ragione, e chiesto un compenso adeguato ed una tutela contrattuale.
 
-- 
ale
http://ale.riolo.co.uk
 

ragione, e chiesto un compenso adeguato ed una tutela >contrattuale.
 
 
So di un contratto che e' stato firmato (con relativo anticipo)
per lo sviluppo del sito.
 
Come spesso succede, chi fa questi "acquisti" ignora i risvolti
tecnici, e in pratica tocca ad altri mettere i puntini sulle i e e cercare 
di sbrogliare le
 eventuali matasse. .
 
Non essendoci particolare fretta per la realizzazione del  lavoro,
(detto esplicitamente dal titolare stesso), non vedo perche' intervenire
subito decisamente sul sito di produzione....tutto cio' che
verra' realizzato potrebbe  esser fatto in un ambiente di prova.
(per adesso non e' stata fatta vedere nemmeno una bozza grafica del sito)
Dopo la fase di  test ... si aggiorna il sito di  produzione.
 
Ho chiesto quali servizi servirebbero ed oggi mi hanno risposto
che vorrebbero verificare che ci siano i cron...
(non ci sono ma penso sia un servizio acquistabile)
 
Credo che l'unica soluzione sia chiarire bene e  far decidere
al titolare della Acme srl
 
 
Grazie
 
ciao
fm
 
 
 
 
 
 
 
 
 

 PROBLEMA: come rispondere???
 
io risponderei con un bel "ma anche no".
a meno che la acme srl abbia incaricato la web agency  anche di controllare 
i servizi attivi, aggiungere servizi, etc... ma se, come ho capito, � 
incaricata solo di realizzare il sito non vedo perch� chiedere carta bianca. 
se hanno bisogno di qualcosa chiamano la acme e chiedono.
 
sono perfettamente d'accordo con te.
 
Nei prossimi giorni vedro' di capire  come la pensa, invece, il padrone del 
vapore.
 
ciao
fm
 
 

 Infine: dipende da come viene fornito l'hosting.
 
No. L'hosting palesemente gi� c'� quindi la web agency non he ha alcuna
voce in capitolo - a meno che la Acme non le affidi specificatamente
anche quella.
 
 

 O mi sfugge qualcosa?
 
Ti sfugge che la web agency non ha nessun titolo per richiederla. Se Acme
ha solo il figlio del portiere sar� LEI a decidere che magari conviene
affidare tutto alla agency, non il contrario. Se qualcuno mi fa una richiesta
del genere, io mi sento legittimato a pensare che sta meditando di fregarmi
in qualche modo.
 
 

 sfugge qualcosa?
 
il dubbio e' che i titolare della Acme voglia proprio un lavoro
svolto "da altri"  e non dal  personale interno della Acme,
cosa che tecnicamente non sta in piedi perche' dovranno
comunque collaborare necessariamente.
 
Pero' ... se si intende mandare un "segnale" ... dal punto di vista
della politica aziendale, avrebbe senso.
 
Lo capiremo  nei prossimi giorni.
 
 
Grazie
 
ciao
fm
 
 
 


BINGO !
 
(IMVVHO...s'intende)
 
ciao
fm 
 
 

 al titolare della Acme srl
 
Io credo che la risposta debba essere no per definizione :) SE non c'�
personale tecnico in azienda allora si valuta un contratto di gestione
globale, ovviamente con tutte clausole del caso.
 
 
 
 

 comunque collaborare necessariamente.
 
Beh no tu sei perfettamente legittimato a non sapere nulla di web
e di sistemi perch� fai tergicristalli per occhiali, dunque paghi un
esterno perch� ti fornisca tutto chiavi in mano. Fin qui �
perfettamente normale.
 
 

 
 
scommetto 50 €c che il provider inizia per A, finisce per A e le lettere 
in mezzo sono RUB..
 
in questo caso credenziali "amministrative" uniche che danno accesso a 
tutto il sistema, mail comprese..
 
come si risolve?
 
si sposta uno dei due servizi altrove.. la posta, per esempio.
 
S.

 comunque collaborare necessariamente.
 
vorrebbe dire che il titolare ha conferito incarico alla web agency, quindi alla fine di che si starebbe a parlare? 

 affidare tutto alla agency, non il contrario.
 
Non ho mai lontanamente pensato che la web agency avesse titoli di sorta.
 
Lo dico pi� semplicemente con due estremi:
 
1) Se si tratta di una microimpresa (due fratelli imbianchini con la zia 
in ufficio...) allora va bene tutto. Al limite anche che web agency gli 
legga la posta o la ragazza clandestina che fa le pulizia gli rubi le 
penne. Al limite se la vedono con il Garante :)
 
2) Se si tratta di un'azienda di quelle dove la riservatezza dei dati ha 
un valore economico non irrisorio, allora � inconcepibile che nessuno 
abbia la responsabilit� del sistema informativo. Se sono sull'orlo del 
fallimento li capisco, se non lo sono, allora sono degli scriteriati. Al 
limite, se sono PMI, affidino tutto all'esterno come avranno fatto a suo 
tempo con il commercialista. Il problema non � la risposta da dare 
all'agenzia, il problema � che aziende che fanno domande del genere 
dimostrano un'inadeguatezza imbarazzante.
Se hanno paghe, bilanci, offerte... ci sar� qualcuno che si occupi che 
il sistema informativo continui a gestire questi dati anche luned� 
prossimo! Questo qualcuno non � in grado di rapportarsi alla web agency?
 
Forse sono un'azienda poco pi� grande di quella del punto (1), che se 
continua cos� al punto (1) ci ritorna, e mi pare giusto.
 
 
 
 

 Vs idee ? Suggerimenti ?
 
valutare anche cosa comporta per quanto riguarda
il d.p.s. come minimo tutti gli sviluppatori del progetto
dovrebbero comparire come amministratori del sistema,
se fossi io il responsabile IT della acme ricuserei subito
gli incarichi nel d.p.s. per palese impossibilit� a "garantire"
sia la sicurezza che la riservatezza.
 
 
 

 sia la sicurezza che la riservatezza.
 
La cosa che mi ha colpito di questa storia � la sensazione che il 
responsabile IT non � mai esistito e non c'� nessuna intenzione che 
inizi ad esistere. Altro che "incarichi del d.p.s.".
Per� vogliono sicurezza e riservatezza.
Roba da matti.
 

quindi alla fine di che si starebbe a >parlare?
 
Chiacchere da bar ... :-)
 
ciao
fm 
 
 

 ad esistere
 
Aspetta....per adesso c'e' solo una o due mail....
vediamo gli sviluppi prima di precipitare le cose .
Stiamo parlando di una piccolissima azienda.
 
ciao
fm
 
 


ci avevo pensato, ma significherebbe cambiare il suffisso
di tutte le caselle di posta ... ?
 
ciao
fm
 
 


?? prego?
 
sposti il servizio di posta da un'altra parte, devi "solo" cambiare i 
puntamenti del dns relativi alla posta..
 
oppure non ho capito la domanda
 
S.

 di tutte le caselle di posta ... ?
 
no, significherebbe solo il lavoro di ricrearle da un'altra parte.
 


 
Infatti questo punto non è chiaro, non si capisce bene se in Acme 
abbiano personale apposito oppure no e che tipo di contratto ci sia con 
la web agency.
 
Gabriele
 

On 20/07/12 13.06, Matteo Sterza ha scritto:

Mi pare che non sia più obbligatorio il DPS.
 
Gabriele
 
 

 Mi pare che non sia più obbligatorio il DPS.
 
http://punto-informatico.it/3418287/PI/Commenti/dps-abolito-avanti-art-34-ed-allegato.aspx
 
 
 
-- 
http://www.kiva.org
 
http://www.wwoof.it
 
http://www.superzeta.it
 
Per il ng it.hobby.hi-fi: a*fan*ulo 'sta ca**o di hifi/hiend, tutte
put*an*te.
C/++/#, .net, wxWidgets, CodeTyphon,


 abbia la responsabilit� del sistema informativo.
 
Welcome to Italy, this beautiful country!
 
Sai quante PMI sono in questa situazione? Oh la gestione dell'IT COSTA,
mica si possono buttare soldi cos�, tanto il server lo pu� gestire pure
la segretaria no?
 

 dovrebbero comparire come amministratori del sistema,
 
Il dps non esiste pi� quindi niente problema.
 
 

 
"Sentenza" <sent...@STACEPPAosteriafuoriporta.net> ha scritto nel messaggio 
news:jubi6c$2q9r$2...@newsreader1.mclink.it...

mah...se leggi l'articolo al link di sopra:
" viene meno una delle incombenze, ma l'art. 34 resta integralmente 
applicabile "...
 
Art.34 ed Allegato B...
 
ciao
fm 
 
 

 di tutte le caselle di posta ... ?
 
Ma scusa, avete indirizzi di posta aziendale del tipo
"pinco.pallino@<nomedelprovider>.it" ?
 
 
altrimenti, se avete 
pinco....@acme.it
 penso che chiunque altro possa
fornirti il servizio lasciando invariati gli indirizzi di email.
 
 
Ciao,
Marco
 
-- 


 fornirti il servizio lasciando invariati gli indirizzi di email.
 
Ma anche volendo si pu� spostare solo il web senza toccare la posta.
 


si, come hanno spiegato anche in questo thread.
 
Ho messo il punto interrogativo perche' non sapevo
se la cosa era fattibile...
 
ciao
fm
 
.