Newsgroup: it.diritto.internet
Titolo: il garante chiede commenti..

http://www.garanteprivacy.it/garante/doc.jsp?ID=1611986
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Fashion is a form of ugliness so intolerable that we have to alter it
every six months.
		-- Oscar Wilde

 
http://www.garanteprivacy.it/garante/doc.jsp?ID=1611986
Dai, prepara un testo che finisca con "non avete altro da fare?", io
sottoscrivo :)
Gabriele


Guarda, visti i casini per aziende medio piccole sarebbe utile inviargli un 
pacco di commenti



Anche "siete pazzi?", mi accodo :)

 pacco di commenti
Li posso scrivere su candelotti di dinamite, secondo te? :P
-- 
 Candido

 
http://www.garanteprivacy.it/garante/doc.jsp?ID=1611986
Sto studiandone l'applicazione per una multinazionale con N sedi e un 
sacco ed una sporta di amministratori per ogni sede.
Se vuoi posto postare un sunto delle imprecazioni in alto elfico che sto 
pronunciando... sempre che i Valar non mi fulminino prima °_°
-- 
Parsifal


credo sia reato..



le imprecazioni si imparano sempre volentieri.. il modo di usarle si trova 
sempre


 con svariate sedi e decine di persone coinvolte si parla.
Il problema è parecchio complesso perché non è chiaro come debba avvenire 
la valutazione, su quali basi e con quali conseguenze.
Immaginiamo che tu venga deputato alla verifica dei requisiti di cui sub 
A.
Valuti una persona inadeguata perché non sa configurare un firewall.
Questa persona può essere licenziata? DI quali strumenti dispone per far 
valere le sue ragioni? Deve trattarsi di una verifica formale o possono 
essere sufficienti verifiche sul campo?
E che responsabilità ha il controllore?
Fino a che punto può spingersi per valutare l'affidabilità morale 
dell'amministratore?
-- 
Parsifal

 Chi ha voglia di approfondire
Mi tocca farlo per forza; quando (se) ne verrò a capo vi faccio sapere.
(fortuna che secondo qualcuno non ci sono casini per nessuno...)
-- 
Parsifal 


la palla (per me che sono piccolo e nero) è proprio quella: chi controlla 
quello che faccio?
Il cliente? Non credo.. anche perché comunque il server è mio e non suo.


 in una sorta di cerchio senza fine?
no, solo quelle per cui svolge le funzioni di admin (quindi solo
nell'ambito che hai definito prima nell'incarico);
in pi� i log devono contenere riferimenti temporali e la descrizione
dell'evento: e mi sembra normale, senn� non sono log, sono timbrature di
presenza.
cut
scusate, mi presento: lurko da anni, ho anche scritto per un periodo,
ricompaio solo ora che ho un p� pi� di tempo.
Saluti, Z
-- 
dura lex sed lex
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

), visto il tipo
di gente che hanno dimostrato di essere.
(1) in effetti, avevo dimenticato di specificare: per nessuna PERSONA
SERIA.
-- 
Lex Tutor
Prima ti ignorano.
Poi ridono di te.
Poi ti combattono.
Poi tu vinci. (Gandhi)

 sembra normale, sennò non sono log, sono timbrature di presenza.
Hai qualche fonte? No perché dalla lettura del provvedimento sembrerebbe 
proprio il contrario.
Il garante infatti richiede che "Devono essere adottati sistemi idonei 
alla registrazione degli accessi logici (autenticazione informatica) ai 
sistemi di elaborazione e agli archivi elettronici da parte degli 
amministratori di sistema".
QUindi tutte leoperazioni di LOGIN e LOGOFF a tutti gli archivi da parte 
di tutti gli admin.
Inoltre "Le registrazioni (access log) devono avere caratteristiche di 
completezza, inalterabilità e possibilità di verifica della loro 
integrità adeguate al raggiungimento dello scopo di verifica per cui sono 
richieste" quindi devono essere complete (che significa, servono i dati 
di login o anche l'audit delle operazioni compiute (a spanne la seconda).
Tra l'altro il garante ha stabilito che "Le registrazioni devono 
comprendere i riferimenti temporali e la descrizione dell'evento che le 
ha generate e devono essere conservate per un congruo periodo, non 
inferiore a sei mesi". Quindi come vedi non è affatto semplice come al 
vedi tu.
TYra l'altro la tua tesi ha la grave falla di NON considerare gli accessi 
fatti da un ADMIN al di fuori della sua competenza, quindi proprio in 
quelle attività che NON dovrebbe svolgere. Gran bel controllo, no? ;)
Ciao
-- 
Parsifal

 dell'amministratore di garantire i suddetti requisiti.
[...]
Il medesimo problema è presente, da anni, nella normativa in materia 
di sicurezza sul lavoro: c'è sempre qualcuno (datore di lavoro, 
committente) che alla fine dei giochi resta col cerino in mano e 
risponde per culpa in eligendo (ha delegato un incapace) o per culpa 
in vigilando (2° comma dell’art. 16 del Dlgs 81/2008).
Vogliamo parlare di responsabilità quasi oggettiva?

 Vogliamo parlare di responsabilità quasi oggettiva?
Si.
Sono d'accordo.
Il problema è che vengono scritte norme di "buon senso" che poi, in 
pratica, sono di impossibile (o quasi) attuazione.
-- 
Parsifal

 Ciao
Mi scuso per non aver cuttato e per la lunghezza.


 Z
mi sono riletto, ed ho avuto di nuovo quel tono saccente. mi sono
infastidito da solo.


 Mi scuso per non aver cuttato e per la lunghezza.
Non ï¿œ lungo il post, ï¿œ complesso il discorso ;)
-- 
Parsifal

 infastidito da solo.
Tranquillo ï¿œ normale quando si parla. Se lurki avrai notato che nella 
peggiore delle ipotesi ci si fanculizza e poi si riprende a parlare ;)
E' questo il bello dei gruppi che si puï¿œ litigare e\o discutere senza mai 
doverla mettere sul personale.
Tra l'altro il tuo tono non mi sembra cosï¿œ fastidioso, non essere troppo 
critico con te stesso. ;)
-- 
Parsifal

 male io?
penso di essere io il "colpevole": penso prima a me stesso :)


 te li firmi digitalmente all'atto dela generazione) per un anno; i log li
Ma qualcuno ha trovato questo "sistemino" per generare i log e firmarli 
digitalmente all'atto della generazione? E farlo poi da ogni PC della 
rete locale del cliente.
Io sono riuscito a generare dei Log che posso poi consultare nel 
Visualizzatore degli Eventi... ma poi come posso esportarli e firmarli 
digitalmente e in modo automatico?
E poi in questo modo registro il log di tutti gli utenti del PC e non 
solo dell'Amministratore. E se l'amministratore non ha l'accesso a quel PC?
E l'accesso al PC dell'incaricato della manutenzione degli strumenti 
elettronici come va gestito? O meglio... va gestito?
[cut]
-- 
Daniele Pinna
www.dapinna.com
www.ildocfainpillole.it
leva oops. per rispondere

 pratica, sono di impossibile (o quasi) attuazione.
Banalizziamo: cosa succede se viene seguito alla lettera il 
provvedimento del Garante del 27 novembre 2008 eppure si verifica 
l'ipotesi di cui all'art. 15 del Codice?

 l'ipotesi di cui all'art. 15 del Codice?
A seguito di azioni od omissioni dell'amministratore di sistema, 
ovviamente.

 l'ipotesi di cui all'art. 15 del Codice?
E' una domanda retorica , vero?
-- 
Parsifal

 E' una domanda retorica , vero?
Ni. :P

 Ni. :P
Si andrà a ripetere la giurisprudenza formatasi in materia di 2050, con 
tutti i problemi e le possibili difficoltà probatorie a seguito...
Hai detto bene te: responsabilità quasi (quasi?) oggettiva.
-- 
Parsifal

 Hai detto bene te: responsabilità quasi (quasi?) oggettiva.
Art. 2050 in quanto espressamente richiamato dal codice, combinato col 
2049 (solitamente il sysadmin è un lavoratore dipendente).
Per continuare con i pensieri in libertà, che ne pensi della tendenza 
del Garante di "legiferare" utilizzando lo strumento delle 
prescrizioni, per di più assistite da sanzione amministrativa (comma 
2-ter, art. 162 del Codice)?

 del Codice)?
Che ormai siamo al tramonto del diritto con una paurosa confusione dei 
ruoli, soprattutto in ambito Istituzionale.
Vogliamo parlare dell'ultima moda legislativa? Il penale a mezzo DL...
Ma stiamo scantonando OT.
-- 
Parsifal