Newsgroup: it.lavoro.consulenti
Titolo: DPS e un povero studente

Sono al 3 anno del Corso di Laurea in Informatica per un amico faccio,
saltuariamente dei piccoli lavoretti di amministrazione di rete nella
sua azienda.
Alcuni giorni fa mi chiede se gli posso redigere il DPS e la messa in
sicurezza della rete, cose che dal punto di vista tecnico sono in
grado di fare ma il mio dubbio riguarda il DPS, io che non ho partita
IVA posso farlo comunque oppure no?
Grazie

IVA posso farlo comunque oppure no?
Mi parrebbe la tipica prestazione occasionale (sperando che tu non gli
chieda più di 5.000 euro! :-))
Ciao
Conte Oliver
(togli le scarpe per mandarmi una e-mail)

chieda più di 5.000 euro! :-))
Uhmmm quasi quasi..... :-))
A parte gli scherzi non mi ci avvinicerei nemmeno a quella cifra,
comunque anche se non ho una partita IVA posso farlo comunque, e
dovrei firmare qualche cosa?
Sono andato sul sito dell'Autorita' Garante a controllare i documenti
tecnici e via dicendo, se per caso un altro amico (a dir la verita' un
amico di mio padre) che fa l'avvocato mi chiedesse anche lui il DPS
(spero di no perche' devo studiare e mi distrarrei troppo) dato che
tratta dati sensibili e giudiziari come mi dovrei comportare.
Scusate le domande ma io di legge (purtroppo) ci capisco poco :(
Grazie

Also Sprach Control:

Non per raffreddare i tuoi entusiasmi, ma la P.I. è l'ultimo dei tuoi 
problemi: 
 -1- Il DPS è un fatto legale / organizzativo, l'informatica c'entra 
     poco. Poi, anche o dati cartacei sono da "normalizzare".
 -2- Il DPS è UNA delle misure minime, ovvero è condizione necessaria
     ma non sufficiente per essere conformi. Servono anche tutte le
     altre misure minime... informatiche e non informatiche...
 
 -2- A norma di legge, dopo avergli redatto il DPS devi firmargli una 
     dichiarazione che la tua prestazione è conforme al D.Lgs. 196/2003
Te la senti?
-- 
Alessandro

 chieda più di 5.000 euro! :-))
Ti stai predisponendo una tariffa a tuo favore?
:-))

Te la senti?
Beh prima o poi dovrei cominciare non credi?  :-)
O dovrei restare sempre con la paura di dire: cavolo devo fare tutto
secondo le regole.
Come ripeto (spero di non rompere troppo le scatole) prima o poi, se
faro' il consulente (che tra l'altro e' sempre stato cio' che volevo
fare) qualche foglio di carta dovro' pur firmarlo, giusto? :-)
Certo il tempo forse e' un po' tiranno, comunque, leggendo i documenti
tecnici ho scoperto che il 90% delle cose che andavano implementate
dal punto di vista informatico come misure di sicurezza minime sono
fatte.
Dovro' decidere riguardo al resto.


E' proprio sul *resto* che volevo metterti in guardia. La questione è un 
fritto misto di legale, organizzativo e sicurezza delle informazioni (che 
non è la stessa cosa che sicurezza informatica!). 
Per esempio, sapresti decidere nello sviluppare il DPS se è necessaria la 
notifica al Garante per i trattamenti effettuati in Azienda? Hai una 
metodologia per l'Analisi di Rischio che va inclusa nel DPS? Sapresti 
discernere fra i casi in cui è necessaria l'informativa da quelli in cui 
non è necessaria? Sai cosa c'entra l'Art 2050 del Codice Civile con il D. 
Lgs.196/2003? (Il Codice della Privacy *non* è l'unico codice della 
Repubblica Italiana...). Fatti un "giro" su 
http://www.axamonline.net
 per 
alcune di queste risposte.
Non voglio ne sminuirti ne raffreddarti. Dico solo che a meno che tu non 
sia un genio (e te lo auguro di cuore), al terzo anno di informatica è 
ardito infilarsi in un terreno insidioso dove un giorno potresti essere in 
un'aula di Tribunale a difendere il *tuo* DPS e le altre misure minime in 
sede civile o penale. 
-- 
Alessandro

 sede civile o penale. 
beh... basterebbe che il nostro studente si offrisse
non di firmare bensi' di aiutare, in maniera del
tutto informale, il titolare/responsabile per la
sicurezza interno all'azienda a redigere il DPS.
Amministratore del sistema, parimenti, sara' un
dipendente dell'azienda (eventualmente e comunque
informalmente aiutato dal nostro amico).
Questa sara' la soluzione adottata dalla maggior
parte dei piccoli studi.
Peraltro sono perfettamente d'accordo sul fatto che
il creatore del thread, nel momento in cui
candidamente dice "io di legge (purtroppo) ci capisco
poco", non dovrebbe assolutamente mettere la firma
su qualsiasi documento avesse la parvenza di un DPS :-)))

...

Ciao, mi occupo di sicurezza informatica e mi sono occupato di fare
alcuni dps: guarda che non devi solo adempiere a quanto specificato
nell'allegato tecnico, ma devi fare una serie di cose alquanto
"complicate" come una risk analisys, documentazione dei trattamenti,
preparazione delle nomine, ecc..ecc.. insomma un bel lavorone!! A meno
che non si tratti di un'azienda molto piccola ma che sopratutto non
tratti molti dati Personali e Sensibili (vedi le definizioni sul DL
196/03)
Insomma ... di informatico alla fine c'e' poco (documento sui backup,
sicurezza dei locali, password di 8 caratteri, nomina custode, blocco
pw dopo tot tempo....) c'e' invece un buon lavoro "organizzativo" da
fare.
In tutti i casi.. se qualcosa non va bene, la responsabilità non e'
tua (occhio alla nomina del titolare e del responsabile....
sicuramente ti becchi quella dell'incaricato)

il *tuo* DPS e le altre misure minime in sede civile o penale.
Ok, se invece di assumermi eventuali "responsabilita'" io
semplicemente dicessi a questo conoscente, io ti configuro tutta la
parte informatica seguendo le regole che secondo me vanno applicate ma
poi ti trovi qualche altra persona che venga a fare il resto e che
scriva il DPS poi se questo "lui" ritiene che debba essere
riconfigurato qualche cosa lo fara'. E lui (conoscente) accetta a
questo punto non si tratta solamente di favore? Credo di si.
Domanda:
Ma allora per avere le conoscenze necessarie per fare il DPS e il
resto in modo regolare come bisogna fare? Una specie di corso?
Studiare dei libri particolari?

 
Amen!
-- 
Alessandro


Molta competenza non solo tecnologica, ma anche di diritto ed 
organizzativa. Non esistono al momento corsi o titoli che *abilitino* a 
fare il DPS. Tutti si possono offrire e tutti se ne assumono le 
responsabilità. Purchè sia chiaro che *non è una questione informatica* .
Il sito che ti ho indicato nel precedente post ( 
http://www.axamonline.net
 
) vende il suo servizio a 1.600 Euro. Lo sappiamo perchè siamo stati fra i 
loro clienti pilota in fase di sviluppo. Domanda, a 1.600 Euro vale la pena 
stare ad arzigogolare: lo fai tu, anzi ne fai un pezzo, anzi implementa le 
misure minime che poi qualcuno ci farà il DPS, etc. etc. etc.?
Naturalmente il tuo conoscente è l'unico che ha la risposta... ma se 1.600 
(ma anche 3.000 non farebbe differenza) fossero un problema per una 
questione di "adempienza" legale, mi preoccupo assai dell'economia 
italiana...
-- 
Alessandro

 ha scritto nel messaggio
news:70qq60p4obavfo283...@4ax.com...


 Devi rilasciare 
"Puo'", non "deve"


No DEVE.
Punto 25 del Disciplinare Tecnico (Allegato B del Decreto):
"Il titolare che adotta misure minime di sicurezza avvalendosi di soggetti 
esterni alla propria struttura, per provvedere alla esecuzione riceve dall 
installatore una descrizione scritta dell intervento effettuato che ne 
attesta la conformità alle disposizioni del presente disciplinare tecnico."
Il DPS è *una* delle misure minime, ergo si *deve* attestarne la conformità 
(se il DPS è redatto da un professionista esterno all'organizzazione).
-- 
A.B.

 No DEVE.
rileggi attentamente il thread.
Nel caso esposto ribadisco quanto scritto sopra.
E con DPS e TU chiudo qui, perche' questo aborto
legislativo (come gia' quello del '99) sembra piacere
a tutti quanti mentre in realta' svilisce ancor piu'
la figura dell'informatico e conferisce ai giudici
un potere quasi illimitato.
Ne riparliamo ai primi processi e richieste di 
risarcimento danni (se mai ci saranno: il punto in
Italia e' sempre questo).