Newsgroup: it.comp.sicurezza.windows
Titolo: Proteggere dati aziendali da furto

Salve a tutti gentili utenti del forum.
Ho una esigenza da sottoporre come info e upgrade nelle mie conoscenze
informatiche. Ho un cliente che gestisce un'azienda con dati molto
sensibili. L'azienda tratta dati riservati e confidenziali xché sono
doc di natura medica e perizie mediche. Ora sono capitate situazioni
in cui dei exdipendenti hanno sottratto parte di questi documenti e
rivenduti a delle ditte farmaceutiche che asua volta queste ditte
farmaceutiche avrebbero contattato in modo mirato questi clienti e
sottoporre del marketing forzato, aggressivo e antiprivacy mirando al
problema del cliente.
Io ho girato molto sul web per cercare soluzioni:
1) Trend Micro™ LeakProof, di cui dovrei kiamare la TrendMicro per
farmi spiegare da loro esattamante quale hardware dovrei acquistare.
2) crittografia sistema MS XP per quanto riguarda MS XP Pro
3) molto dubbioso per quanto concerne Windows 2000 Server, in quanto
non ho mai approfondito l'argomento
4) certificato di crittografia in gestione nativa da XP Pro
5) blocco di storage USB  -->  già effettuato
Ora la mia domanda é:
- con i 2 sistemi OS, cioé Windows 2000 server e tutti iclient Win xp
pro
1) C'é un link che mi spiegherebbe come attivare il servizio di
crittografia per XP e W2k per ricevere quella sicurezza sui documenti.
2) mi piacerebbe che un doc sul server W2K venga richiesto da un
Client200 (XP Pro) e il server W2K chieda questo certificato al client
XP e poi mi consegni il documento.
3) Sarebbe geniale se una volta che il client XP richieda un documento
e il server W2K gli e lo fornità ,non avrà nulla da chidermi password
x la decriptazione ma faccia tutto in automatico.
4) sulla rete esistono moltissimi backup ma non pratici in quanto ogni
volta che bisogna aprire e  leggere il documento bosogna sempre
inserire al password e nome utente.
Vi ringrazio per una vostara risposta.

Caymano ha scritto:

secondo me ... bisogna fidarsi e basta
oppure essere sicuro che il dipendente in questione NON ne capisca di 
informatica
in quanto :
potresti avere una motherboard che abbia i connettori per rilevare le 
aperture del case
staccare le usb frontali del case,
non avere masterizzatyori o cmq inibire tramite permessi sull'utente la 
possibilità per lui di usare il masterizzatore
MA
se lui all'avvio va nel bios a fa avviare la macchina da CD ... sei fottuto
magari se ha l'opportunità di stare solo lui in ufficio ... se lo porta 
da casa un lettore CD e lo collega
a quel punto il rilevamento dell'apertura del case non viene tracciato 
dal win che non è stato avviato
lui con true image da CD ( o ghost o mille altri ... ) si copia l'intero 
disco su un disco esterno usb che si è portato da casa ( avendo 
preventivamente collgato le usb frontali o ri-abilitato le usb nel bios 
se fossi arrivato a disabilitarle completamente
di fronte ad un dipendente che VUOLE fotterti , l'unica arma è quello di 
NOn lasciarlo mai da solo in ufficio
e, cmq, se trasferire dati dei pazienti ad altri autorizzati , rientra 
tra le sue funzioni, lui potrà in vari modi inviarseli anche a lui 
stesso : un server FTP su internet o sul suo pc di casa che ha lasciato 
accesso ...
l'unica è fidarsi !!!
ciao :-)

 
mi rispondo da solo ... ( lol )
se , però , oltre a non lasciarlo mai da solo in ufficio
c'hai anche un firewall serio ( una macchina dedicata impostabile 
davvero bene da gente che sa il fatto suo
magari si può evitare che possa inviare dati a casa sua via internet
sempre che determinate attività NON rientrino tra le sue attività lavorative
perchè in quel caso , basta che lui si invii come allegati a se stesso i 
documenti via e-mail
devi quindi ANCHE avere un 'vero e proprio' _e-mail___server_ tra le 
macchine presenti in ufficio , con gestione posta centralizzata , tale 
quindi da evitare che lui possa mandare e-mail , all'infuori di una 
lista di possibili indirizzi che voi gestite ,
insomma, ci sono tante cosine da gestire , che abbisognano di gente 
competente per essere impostate e di soldi in più per macchine 
aggiuntive ( e-mail server e firewall )oppure macchine virtualizzate con 
vmware et similia su lle macchine già presenti in ufficio , ma in questo 
secondo caso , la 'robustezza' (sicurezza) del sistema se ne va a farsi 
benedire ...
ti ci vuole parecchio denaro , come dice un vecchio proverbio
"sempre a soldi si va a finire !!! ..."
anche se resta il discorso di fondo : se il dipendente vuole ... basta 
che per 'sbaglio' manda in stampa "una cosa per un'altra" ed ecco che vi 
buggera sotto i vostri occhi
quindi attenzione anche alla roba 'da gettare' che sia davvero gettata 
davanti ai vostri occhi con macchinetta distruggi-documenti
ciao :-)
p.s. ancora ribadisco che se il dipendente vuole, fortissimamente vuole 
... gli puoi rendere la vita difficile, ma la necessità ( di fotterti 
per lucro) aguzza l'ingegno
ri-ciao :-)

 
Spero di averti aiutato
Alessandro
PS: quando un pc è accessibile fisicamente allora tutto il contenuto del 
disco diventa accessibile (e le password crackabili o "in chiaro", vedi 
Ophcrack). Solo i dati criptati rimangono tali

Ciao,
io prenderei in considerazione prima l'aspetto legale e poi quello 
tecnico. Tramite un buon DPS ed una ragionata lettera d'incarico puoi 
vincolare molto il dipendente potenzialemnte infedele; ricorda che 
parliamo di reati penali.
Un aspetto che potresti curare è quello di avere un log completo di chi 
accede a cosa (e quando) in modo da monitorare acecssi ingiustificati o 
eccessivi, che non si possono giustificare con il normale svolgimento 
del lavoro assegnato e quotidiano; inoltre i log costituiscono un'ottima 
prova in sede di giudizio.
Sull'aspetto tecnico non ho molto da aggiungere agli altri commenti, se 
non che il "ladro di informazioni" potrebbe tafugare una stampa 
(ottenuta dalla lecita consultazione del materiale) o anche dettare a 
telefono ciò che in quell'istante appare a video.

 aperture del case
[...]
Ho notato che esistono alcuni case con anelli per lucchetto. Non so se 
si tratta di un lucchetto antifurto, cioè per ancorare il case alla 
postazione, oppure di un lucchetto che impedisce l'apertura del case.
In ogni caso, credo che un abile fabbro saprebbe realizzare una 
struttura che protegga il case da manomissioni e aperture non 
autorizzate.
In quel modo, sarebbe impossibile aggiungere porte e connettori 
rimossi, USB, CD o altro, e anche le impostazioni del bios sarebbero al 
sicuro, non essendo possibile staccare la batteria per resettare il 
bios.
Un programma come quello segnalato dall'OP, poi, si prenderebbe cura di 
verificare i dati in uscita "including email, webmail, IM, USB and 
CD/DVDs", almeno così assicurano su
http://us.trendmicro.com/us/products/enterprise/leakproof/
Se però i dati sono veramente sensibili, userei per quei dati una 
macchina non connessa a Internet.

problema del cliente.
A rischio di fare spam, ti segnalo 
http://www.imprivata.com/
Si occupa di sistemi di sicurezza informatici, ma sicuramente non č una 
soluzione "a buon mercato".
-- 
Skywalker Senior
http://www.christianbisti.net
http://www.flickr.com/photos/skywalkersenior/
 

Vi ringrazioe per le vostre risposte e soppratutto vi ringrazio che
avere prestato attenzione alla lettura del mio POST.
Bhé partirei dal dire che:
1) "Tramite un buon DPS ed una ragionata lettera d'incarico puoi
vincolare molto il dipendente potenzialemnte infedele; ricorda che
parliamo di reati penali. "
 R) confermo e concordo
2) "se non che il "ladro di informazioni" potrebbe tafugare una stampa
(ottenuta dalla lecita consultazione del materiale)......"
R) Su questo aspetto ho impostato la Multifunzione in modo tale che
quando un utente raggiunge un elevato numero di stampe, ricevo un
email come avviso di allerta.Inoltre rimangono tutti i log per
risalire quale utente ha stampato cosa
3) "se lui all'avvio va nel bios a fa avviare la macchina da CD ...
sei fottuto "
R) Tutti gli utenti si possono loggare come utenti limitati con
estreme limitazione e tutti i dati sono giacenti sul server. Vi sono
delle policy dove nessuno può copiare dati in locale.
4) Disattivato a livello BIOS il mount delle periferiche di
archiviazione di massa, BIOS con Password
5) Ogni email che l'utente invia, vi é un'impostazine sul server dove
viene inoltrata di nascosto una copia dell'email ad un indirizzo su un
PC isolato "
contr...@dominio.ch
" dove a sua volta vengono fatte
delle verifiche per visionare cosa gli utenti scambiano. Tutte le
email con allegati vengono filtrate con delle regole con dei nomi
sospetti su una cartella da Verificare con urgenza!!
6) tramite firewall tutte le webmail sono state vietate e non é
possibile aprire delle webmail dalla propria postazione.
Di più che dovrei fare?
disabilitare il printscreen?
acceccare gli okki a questa gente?
salutoni a tutti

 salutoni a tutti
ciao :-)

 6) tramite firewall tutte le webmail sono state vietate
E i moduli php per l'invio di email su una qualsiasi pagina web?

 Vi ringrazio per una vostara risposta.
Ciao
M.

 acceccare gli okki a questa gente?
Rotfl!
Alessandro

sospetti su una cartella da Verificare con urgenza!!
Capisco la sicurezza aziendale ma in questo modo non si viola apertamente 
uno dei dettami della legge sulla privacy?
Ho letto di parecchie aziende condannate perché spiavano mail e telefonate 
(lecite o illecite che fossero) dei dipendenti.


  R) confermo e concordo
E confermo anch'io.
Per il resto, la mia strategia sarebbe quella diversa dalle altre 
soluzioni che ti hanno prospettato: separare le funzioni di chi ha 
accesso ai dati personali da quelle di chi ha accesso ai dati sensibili.
In pratica: tutte le perizie mediche non devono riportare i nomi degli 
interessati, ma solo dei codici identificativi; chi può leggere la 
tabella di corrispondenza tra codici e nomi non deve avere accesso alle 
perizie.

 Io ho girato molto sul web per cercare soluzioni:
Ti consiglio di valutare Websense Data Security Suite.
http://www.websense.com/global/en/ProductsServices/dss/
È una soluzione di alto profilo ma è IMHO una delle migliori.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 Alessandro
Ciao
M.

 Se girano abbastanza soldi da giustificare la spesa prova:
www.booleserver.com
Grazie mille per il link...complimenti, tra i diversi post che ho
inserito nei Newsgroup....si proprio Newsgroup (ho aggiornato il mio
vocabolario) questo che ho inserito qualche giorno fà direi che mi sta
dando delle soddisfazioni per le risposte che voi utente mi state
fornendo....complimenti a tutti per l'animato senso di opinione che
donate in questo  Newsgroup.
PS: Link valido e direi da prendere in seria considerazione e
valutazione
GRAZIEEEE (permettetemi di dirlo ad alta voce)

 Oppure netpc con le USB disabilitate, tutto sul server principale e amen.
Altra soluzione dove posso cominciare a dire che pezzo per pezzo...sto
trasformando quella azienda davvero blindata e sicura!
Sarà l'inizio di una nuova epidemia di seghe mentali di noi tecnici IT
per una tendenza psicopatica e materialista che si sta diffondendo?
Comunque non sono solo io a farmi seghe mentali in merito ma é una
vera tendenza preoccupante.
Furto di dati: attenzione agli ex-dipendenti
A cura di Redazione DMO
Pubblicato il 06-03-2009 11:51
Da www. Abruzzo Liberale.it
Furto di dati con pen usb: Slurping
Scritto da Alessandro Sigismondi
Dopo aver sentito parlare dello Spam, del Phishing ,dello Pharming e
dei Spyware il vocabolario delle minacce ai dati personali custoditi
nel computer conia di un nuovo termine: lo Slurping (o Pod slurping),
che tradotto significa
''bere in modo rumoroso''.
Grazie


  Io posso dirti come agisco sulla mia macchina-lavoro: alcune volte 
conservo anche io dati di clienti, sono notai, avvocati, si tratta di 
recupero dati i backup che faccio prima di mettermi a smaneggiare sul loro 
HD; ho semplicemente instalato un programma di crittografazione dei file e 
creazione di un HD virtuale, si tratta nel mio caso di  BestCrypt, all'avvio 
mi chiede una PW, se la inserisco si crea il disco virtuale che contiene i 
dati dei clienti, la PW dura 6 minuti in assenza di uso del pc, quindi 
quando lavoro non la reinserisco mai ma se dovessi assentarmi o spegnere il 
PC (od anche metterlo in standby o suspend) al ritorno devo reinserirla. il 
file che contiene i dati è un unico file da 4GB ed anche se venisse rubato 
servirebbe a poco. Ho provato anche Truecrypt ma è più "faragginoso" perchè 
non ti compare un'unica finestra dove inserire un'unica PW ma c'è una (anche 
se breve) procedura da seguire.
Per te forse sarebbe meglio un sistema a lettore di schede o rilevamento 
biometrico in modo da poter sapere chi era in un certo momento al PC e cosa 
ha fatto. 

 seguire.
Beh, davvero breve :)
Con Truecrypt: click su Mount, compare la finestrella per l'input della 
passoword, premio invio, ed è fatta (automaticamente viene montata 
l'unità virtuale preselezionata).

 ha scritto nel messaggio 
news:mn.ac337d93d...@news.lillathedog.net...

si, hai ragione, ma troppe volte è accaduto che io aprissi outlook express 
senza prima cliccare su mount e così OE mi si apriva nella finestra di 
default su C invece che nella cartella sull'HD virtuale e quando accade 
dovevo aprire l'HD virtuale e riposizionare (dal menu manutenzione) lì la 
cartella  di OE, se "mount" si aprisse automaticamente io lo vedrei e 
sarebbe impossibile sbagliare ma non lo fa, invece BestCript ti propone 
all'avvio (se lo vuoi, altrimenti si comporta come TC) la finestrella dove 
inserire la PW; pare una cosa da nulla, basta non distrarsi all'inizio, però 
nel corso delle prove a me capitava spesso e perdevo tempo a rimettere a 
posto le cose; se sapessi come far apparire all'avvio la finestra di TC 
sarebbe già diverso. Comunque i file di TC, sia quello che contiene i dati, 
sia quello eventuale che contiene la PW non sono protetti dalla 
cancellazione (almeno io non so come fare) e mi è capitato più volte di 
cancellare l'uno o l'altro cancellando DIR o cose che ritenevo in più, BC 
invece protegge pesantemente i file dati, tanto che neanche con "unlook" 
riesco a cancellarlo (per cancellarlo occorre una procedura non complessa e 
documentata nell'help). pultroppo BC è a pagamento ed io ho ancora una 
versione vecchia che sul mio pc non permette un corretto standby, devo prima 
chiudere l'HD virtuale e poi andare in standby. 

Se per qualche motivo li puo' comunque visualizzare e hanno tutto questo valore per fare una copia male che vada usa la digitale o 
il cellulare e un OCR ..............
Se non li  puo' visualizzare  non sono i suoi e quindi basta qualunque sistema multiutente moderno con le ACL.........
Giulia

 Grazie
Ciao
M.

 Giulia
Ciao
M.

 me capitava spesso e perdevo tempo
Se ti può consolare, questo capita anche a me. In effetti sarebbe 
comodo (per chi lo desidera, come opzione)  un avvio automatico del 
mount con password quando si avvia un programma che richiede i dati sul 
disco virtuale.
E' comunque possibile, nelle impostazioni di TrueCrypt, il Mount 
automatico al logon di Windows
(Preferences - Actions to perform upon log on to Windows...)

 se circolasse sapresti chi e' l'utente da cui e' "uscita" l'informazione 
Beh, ma solo se intercetti la fotografia.
Una volta carpita l'informazione, i dati verrebbero trasferiti su altri 
supporti, e addio filigrana visibile.
Semmai, si dovrebbe pensare a piccole varianti inserite all'interno dei 
documenti stessi per "marcarli" in modo personalizzato.
Per fare un esempio banale, se l'informazione sensibile fosse un testo 
che deve restare segreto, basterrebbe inserire una frase marker (di 
contenuto sostanzialmente ininfluente) diversa per ogni copia, per 
poter 1 risalire a chi ha divulgato il documento.
2 rintracciare chi ha divulgato il documento.
3 scoprire chi ha diffuso il documento.
4 individuare chi ha trafugato il documento.
5 ecc. ecc. ;-)

Carissimi utenti
direi che sono pienamente appagato delle vostri risposte.
Ho intrapreso una analisi per uno studio caso tipo da utilizzare in
futuro per questo genere di clientela molto paranoica e forse
distratta nell'assumere dipendenti con "furbe e sleali ambizioni" nel
bagaglio professionale.
I punti principali che sto portando avanti con estremo interesse e
contatto diretto con le aziende fornitrici:
1) Trend Micro™ LeakProof,
2) 
www.booleserver.com
3) BestCrypt (Agenti esterni fidatissimi  e/o manager dell'azienda)
4) buon DPS ed una ragionata lettera d'incarico
Ora in base ai vostri suggerimenti ho cominciato la stesura di alcune
policy per indirizzare le aziende toccate o sensibilizzate da questo
argomento.
Un suggerimento comunque che forse stavo tralasciando ma che ci sto
lavorando, su uno spunto di un utente,  sarebbe di utilizzare una
banca dati con i nomi e cognomi dei pazienti o clienti crittografati o
in codice, anche tutti gli incarti riporteranno solo un codice alposto
del nome, cognome, indirizzo e Nr. telefonico o altro recapito. In tal
modo tutto il resto diventerebbe inutilizzabile per scopi
antiprofessionali o illeciti.
Cosa ne pensate?
saluti a tutti voi....e mille grazie davvero!

 Ho intrapreso una analisi per uno studio caso tipo
Potresti mettere alla prova i tuoi sistemi di protezione affidando a 
qualcuno di tua fiducia l'obiettivo di infrangerli (e ovviamente 
comunicarti se ci è riuscito e come, per poter turare la falla).
A volte è più facile trovare la strada per evadere ragionando dal punto 
di vista del galeotto ;-)

 Skywalker Senior
http://www.christianbisti.net
http://www.flickr.com/photos/skywalkersenior/
Per rilassare l'atmosfera direi che mi sono visitato i siti citati
e ......complimenti Chris
PS: aggiungerei la fantasia di poter vedere in formato slide show le
foto con un sottofondo di musica lounge e chill-out,
il resto non commenterei ma lascerei ai propri sensi.
Bravo!

 contenuto sostanzialmente ininfluente) diversa per ogni copia,
Praticamente quello che si faceva a voce per scoprire chi e' lo spione 
della comitiva, non avevo pensato a usare al tecnica anche in questo 
contesto!  :)
Ciao
M.

 il resto non commenterei ma lascerei ai propri sensi.
Quando mi deciderò di rifare quel benedetto sito penserò anche a qualcosa 
del genere, grazie del suggerimento.
-- 
