Newsgroup: it.diritto.internet
Titolo: Gestione password in azienda

Ciao a tutti,
può (legalmente) un Direttore/Dirigente richiedere a *tutti* i suoi 
dipendenti di comunicare a lui username e password di accesso alla rete 
locale dell'aziende/ente?

OxygeN ha scritto:

Vuoi dire che lui, Dirigente, non ha username/password dei suoi 
dipendenti per l'accesso alla rete locale?
E chi ha fornito ai dipendenti user/pass, il lupo cattivo?
Ci sarà un uffucio/persona addetta alla sicurezza e/o al sistema che le 
gestisce e ha associato ad un nome dipendente i relativi dati di accesso 
(legato magari anche al pc usato).
Se così non fosse, comunque, lo può fare a mio avviso.
-- 
Amministratore
www.AmiciAmici.com
Giornalismo dal basso sui temi dell'amicizia, feste e divertimento.
PodCast "Pronto Chi Bussa" dalla Valtaro al Web...

 Se così non fosse, comunque, lo può fare a mio avviso.
Secondo me, invece, non può, per questioni di responsabilità. La password 
funge principalmente da "assunzione di responsabilità". L'amministratore del 
server può analizzare le tracce (i cosiddetti "log") di tutte le operazioni 
compiute dall'utilizzatore dell'account e risalire, tramite queste, ad 
eventuali danni e/o casini vari, attribuendone così colpe e meriti. Il fatto 
di essere dirigente non implica il diritto conoscere le password di accesso 
dei propri dipendenti. Se serve per un controllo, può sempre farsi "aprire" 
l'account dall'utilizzatore dello stesso o, con i dati di accesso a 
livello-amministratore, accedere comunque ai dati dei dipendenti. Ma farsi 
comunicare le password dai dipendenti secondo me non è legale da un punto di 
vista della privacy.
Prendi ciò che ho detto con riserva: sono solo mie supposizioni che però 
dovrebbero essere fondate.

 Se così non fosse, comunque, lo può fare a mio avviso.
uhmmmm....

 dovrebbero essere fondate.
Si, è il mio stesso modo di pensare. Oltretutto, essendo io un tecnico e 
non un teorico, mi inc***o perchè il metodo e l'approccio sono 
sbagliati: il Dirigente/Direttore necessita di avere accesso a 
determinate informazioni? Benissimo, gli si forniscono i privilegi 
sufficienti a fare ciò che egli ritiene di competenza. Ma "dammi la tua 
password" non è ammissibile, IMHO.
Sempre in attesa di illuminanti riferimenti legali ed eventuali 
casistiche reali già occorse...
GRAZIE!

 GRAZIE!
A parer mio come riferimento dovrebbe essere sufficiente l'allegato B 
del codicd Privacy (disciplinare tecnico). Riporto le regole più 
interessanti
-----------
Sistema di autenticazione informatica
1. Il trattamento di dati personali con strumenti elettronici è 
consentito agli incaricati dotati di credenziali di autenticazione che 
consentano il superamento di una procedura di autenticazione relativa a 
uno specifico trattamento o a un insieme di trattamenti.
2. Le credenziali di autenticazione consistono in un codice per 
l'identificazione dell'incaricato associato a una parola chiave 
riservata *conosciuta solamente dal medesimo* oppure in un 
dispositivo.......
3. Ad ogni incaricato sono assegnate o associate individualmente una o 
più credenziali per l'autenticazione.
4. Con le istruzioni impartite agli incaricati è prescritto di adottare 
le necessarie cautele per assicurare la *segretezza della componente 
riservata della credenziale* e la diligente custodia dei dispositivi in 
possesso ed uso esclusivo dell'incaricato.
..........
-----------
Se poi si vuol garantire l'accesso condiviso ai dati o la loro 
disponibilità penso che metodi già descritti siano leciti.
Saluti

Ora che ho letto altre risposte sono d'accordo con il fatto che non si 
debba rivelare la password di accesso se è stato impostato il cambio 
obbligatorio (o se addirittura il cambio debba avvenire ogni tot giorni).
Proprio per il fatto di garantire la certezza in caso di errori/accessi 
non dovuti etc.
Non capisco a che tipo di dati voglia accedere il Dirigente con le 
vostre password.
Penso che non interessino dei dati ma il controllo sul lavoro svolto dai 
dipendenti e, per questo, non ritengo che la cosa sia possibile.
Sarebbe diverso, a mio avviso, se chiedesse le password di accesso al pc 
in uso per, ad esempio, consentire l'aggiornamento o il controllo del 
software installato.


"OxygeN" <bonnyREM...@SPAMtiscali.it> ha scritto nel messaggio
news:eifcl6$gj1$1...@mophus.csi.it...

Non solo può, ma se è designato responsabile della custodia delle password,
*deve*.


Hmm... in quale parte del Dlgs o dell'allegato tecnico e' definita la 
figura di "responsabile della custodia delle password" (a me pare non 
esista!)
ciao,
Luca

 esista!)
all.B punto 10

 esista!)
Sicuramente ci deve essere, basta porsi in una condizione: se chi 
detiene la propria password muore, sparisce, diventa irrintracciabile
che si fa? Si butta tutto il suo lavoro alle ortiche? no 
ovviamente...
In generale perņ il custode delle password custodisce appunto le 
password dei vari incaricati IN BUSTA CHIUSA e SIGILLATA (cioč non 
puņ vederle a meno ovviamente di situazioni di emergenza) visto che 
nel dps l'unico che deve conoscerla č l'incaricato stesso.
-- 
The best packed information most resembles random noise.
News 2002 [v 2.07] / StopDialer / PopDuster - 
http://www.socket2000.com
Akapulce portal: 
http://www.akapulce.net


Non è esatto.
Per il rispetto delle direttive sulla sicurezza dei dati tutti gli utenti 
devono scrivere in busta chiusa la loro password e consegnarla a un 
amministratore (titolare o delegato) della società o al responsabile dei 
dati. In caso di necessità il dirigente potrà richiedere la busta al 
responsabile della sicurezza e accedere ai dati del PC dell'utente, cioè ai 
dati societari, cioè ai dati di sua proprietà.
In alternativa e per conservare la segretezza della password, 
l'amministratore delegato potrà richiedere all'amministratore di rete di 
agire sulle politiche di accesso ai client della rete che gestisce per 
resettare la password senza entrarne in possesso e impostarne una di 
temporanea che dovrà essere riscritta in busta chiusa, conservata 
sottochiave come le altre, riconsegnata all'utente al suo rientro che dovrà 
nuovamente sostituirla a sua discrezione.
Il fatto che la password debba essere per forza comunicata sta nel fatto che 
il legislatore impone alla proprietà la verifica delle seguenti regole per 
la creazione di una password personale: non riconducibile alla vita privata 
dell'utente, minimo 8 caratteri, alfanumerica e impone il cambio 
obbligatorio ogni 6 mesi, ogni 3 mesi per i dati sensibili.
Saluti
frank 

 ovviamente...
Questo è vero nei casi in cui:
- non si lavora tutti sullo stesso insieme di dati condivisi;
- non esiste un amministratore di sistema (magari insieme ad un altro 
responsabile) che in grado di accedere a tutti i dati;
In ogni caso la password non deve essere comunicata a nessuno, ma al 
limite conservata garantendone la relativa segretezza, per essere 
eventualmente utilizzata in caso di emergenze.
Saluti

 
Riporto regola 10 dell'allegato B che è l'unica punto dove compare la 
custodia delle password.
---------------
Quando l'accesso ai dati e agli strumenti elettronici è consentito 
esclusivamente mediante uso della componente riservata della credenziale 
per l'autenticazione, sono impartite idonee e preventive disposizioni 
scritte volte a individuare chiaramente le modalità con le quali il 
titolare può assicurare la disponibilità di dati o strumenti elettronici 
in caso di prolungata assenza o impedimento dell'incaricato che renda 
indispensabile e indifferibile intervenire per esclusive necessità di 
operatività e di sicurezza del sistema. In tal caso la custodia delle 
copie delle credenziali è organizzata garantendo la relativa segretezza 
e individuando preventivamente per iscritto i soggetti incaricati della 
loro custodia, i quali devono informare tempestivamente l'incaricato 
dell'intervento effettuato.
--------------
Leggendo la regola l'obbiettivo a parer mio è quello di *garantire la 
disponibilità di dati e strumenti*, e quasi sempre ci sono soluzioni 
alternative migliori rispetto al manternere le password in buste chiuse 
e sigillate (anche se il codice suggerisce solo questa soluzione).
Saluti


Ciao.
Io sono anche un amministratore di rete. 3 domini e 25 pc in rete. La mia 
password non la conosce nessuno. Se stanotte crepo i miei colleghi e 
titolari possono prendere il server e buttarlo dalla finestra o attendere 2 
mesi e spendere 20000euro per tentare di recuperare 30 gb di dati con 
sistemi di lettura diretta settore per settore dei 3 dischi. La legge è 
chiara, non si può rischiare la perdita di dati. E se non parla chiaro la 
legge lo fa il buonsenso: le password si scrivono su un foglio e si mettono 
sottochiave chiuse e sigillate. Il titolare onesto non avrà nessuna 
necessità di ricorrere alle password se non obbligato. Se invece l'utente ha 
qualcosa da nascondere allora a maggior ragione il titolare dovrà tutelarsi 
e tutale i suoi dati e i suoi strumenti dall'utilizzo fraudolento o dannoso.
frank 

 
Sono d'accordo con te, sul fatto che l'obbiettivo sia quello di non 
perdere i dati, infatti l'ho detto anch'io nelle risposta precedente.
Sono d'accordo anche sul fatto che non si possa fare a meno di dare 
diritti di amministrazione a più persone infatti ho scritto:
 > .........amministratore di sistema (magari insieme ad un altro
 > responsabile) in grado di accedere a tutti i dati;
Quello che non capisco è la necessità anche nel caso da te citato di 
tenersi 25 buste chiuse (se c'è un utente per pc) con le password dei
soggetti incaricati.
Saluti
	Massimiliano

 ovviamente...
L'Amministratore del server cambia la password ed entra.
Penso che si debba distinguere tra generi di password.
Accesso al PC
Accesso alla rete interna
Accesso alla rete esterna
Accesso ai software (gestionali etc.)
In molti casi il lavoro svolto è a disposizione di tutti e la password 
serve solo ad indicare in maniera univoca chi ha fatto cosa.


 soggetti incaricati.
concordo.
Inoltre aggiungerei anche la descrizione di una procedura di emergenza che 
mi obbligasse ad utilizzare i duplicati delle password e non semplicemente a 
prenderli e ad usarli
(che la mamma dei querelanti è sempre incinta di questi giorni)
ale 

 serve solo ad indicare in maniera univoca chi ha fatto cosa.
Hai presente cosa voglia dire su XP, ad esempio, il rendere privati i
propri file?
-- 
I just found the last bug.


 
Che caspita di domanda è?
Sulla sicurezza di XP penso siamo d'accordo ma è chiaro che si parla pur 
sempre di un sistema operativo e, come tale, può essere attaccato (così 
come ogni cosa al mondo, poi se vuoi parliamo di tempo/capacità/luogo).
PGP non mi potrai dire che non è possibile installarlo su XP e, a quanto 
mi risulta incasina non poco anche le indagini forensi italiane.
Quello che volevo sottolineare io è che esistono password e password.
Per l'appunto quella di accesso a XP (esempio) è un conto mentre la 
passoword di accesso ad un programma anagrafico o di dati sensibili su 
DB è un'altro.
Io non vorrei che un giorno dall'amministrazioni mi possano chiamare per 
un casino nel DB generato dal mio utente/password e, se qualcuno avesse 
le password (anche il Direttore Generale in chiaro) mi rifarei 
sull'indeterminazione di chi ha fatto cosa.


 Il fatto che la password debba essere per forza comunicata
Non ho sottomano il testo, ma c'è un riferimento normativo preciso per
questa cosa o si tratta dell'ennesima "interpretazione"?
-- 
 Candido - 
http://candido2k.blogspot.com/

 soggetti incaricati.
Bé, 25 buste non sono tante. Chissà come fanno, piuttosto, in una
banca...


 
ho l'impressione che invece la regola sia spesso "interpretata" proprio 
nel senso di obbligare le persone alla comunicazione delle credenziali...
Saluti
Luca

 banca...
tecnicamente sarebbe piuttosto semplice: cifratura della password con la 
chiave pubblica dell'amministratore, che potra accedere alle password 
usando la propria chiave privata (MA non so se ci sia qualcuno che usi 
un sistema del genere...)

 questa cosa o si tratta dell'ennesima "interpretazione"?
in questo caso ti do ragione :D
si tratta di interpretazione
anzi di mala interpretazione anche per quanto riguarda gli aspetti di 
gestione della sicurezza (cioè tecnici)
ale 

 sull'indeterminazione di chi ha fatto cosa.
right
ale 

 
Posta cosi' la domanda la risposta e' NO.
Anzi, la "componente segreta delle credenziali" (leggi password nel 99
percento dei casi) NON DEVE ESSERE COMUNICATA A NESSUNO proprio in forza
della Legge sulla Privacy (dlgs.196/2003 - allegato B).
Premesso che "il custode delle password" e' scomparsa come figura nel nuovo
decreto -- rimangono DEI CASI SPECIFICI e DELLE MODALITA' SPECIFICHE in cui
ALCUNE PASSWORD *devono* essere depositate a tutela dell'azienda.
Queste sono quelle password che sono le uniche che consentono di accedere ad
un certo set di dati (per esempio un solo dipendente ha accesso ad un
database o ad una specifica tabella o ad una specifica cartella). Se il
dipendente scompare, vince al superenalotto, fugge in sudamerica con la
segretaria bionda e/o con la cassa o finisce sotto il tram -- l'azienda
perde l'accesso ai dati!
Quindi SOLO IN QUESTO CASO deve essere disposto il deposito delle
credenziali (normalmente userid+password) per permettere all'azienda di
accedere ai dati anche in assenza (prolungata) del dipendente/incaricato.
La modalità deve essere comunque tale da garantire che non ci siano ABUSI!
(le credenziali siano usate solo in caso di effettiva assenza
dell'incaricato e questo sia avvisato del loro uso appena possibile).
Per il principio della SEPARAZIONE DEI RUOLI (una delle colonne della
sicurezza) il Direttore / Dirigente (normalmente anche il responsabile dei
trattamenti) e' l'ultimo a cui dare le password!
-- 
AB

 sotto il tram -- l'azienda perde l'accesso ai dati!
E se, invece che nome utente e password, si usa l'impronta digitale o 
qualche altra diavoleria biometrica, che si fa?
Tagliamo un dito o caviamo un occhio al dipendente e lo teniamo in 
cassaforte? 

Matteo wrote:

No. Piu' semplicememte, si fa in modo di non essere nella situazione che un
solo accesso biometrico sia l'unico che acceda ad un set di dati (una
pessima idea comunque, con o senza che lo dica un legislatore).
Inoltre, l'accesso biometrico non e sottolineo _non_ sostituisce username E
password. Sostituisce lo username e basta. La biometria fornisce
IDENTIFICAZIONE (io dico di essere io). La AUTENTICAZIONE (io ti provo di
essere io) deve ancora essere fornita da qualcosa che so (password) o da
qualcosa che possiedo (tessera, token di qualche tipo).
Quindi anche se ci si trovasse nel caso che ipotizzi, potresti sempre farti
depositare (secondo i dettami di legge) l'HASH della "diavoleria
biometrica" e il PIN usato. O piu' semplicemente fai in modo che un "utente
di backup" (o piu' di uno) esista in azienda. 
-- 
AB

 di backup" (o piu' di uno) esista in azienda.
qualcuno eoni fa parlò di sistemi di ridondanza e di impiegati ibernati in 
cantina (che 'un si sà mai)
citò anche l'effetto *Buon Dio* e la totale inutilità di schierarcisi contro
:D:D:D
ale [OT] che ogni tanto "alleggerire".... :) 


eh! ;-)
Si d'accordo e' una possibile interpretazione a cui non avevo pensato. Ma il
mio post voleva essere serio. Per "utente di backup" intendevo di non
lasciare che un database o un sistema in una azienda dipenda dall'impronta
digitale o retinale di un solo utente! PESSIMA IDEA (e non c'e' bisogno che
ce lo dica il legislatore, basta un amministratore che si fermi a pensare
per dieci minuti alla logica di quello che mette in piedi). E per
AMMINISTRATORE non intendo _necessariamente_ quello di sistema o di rete...
boccaccia mia statti zitta!!!!
-- 
AB

 boccaccia mia statti zitta!!!!
LOL *come ti capisco* :-)
ale 

 quello che mette in piedi).
Infatti. Il problema non si pone neppure, se il titolare del trattamento può 
accedere in qualsiasi momento a tutti i dati trattati e se l'incaricato 
tratta esclusivamente alcuni dati. Se in banca, dopo che ho versato un 
assegno, qualcuno prende a martellate lo sportellista e il suo computer, il 
mio assegno risulta comunque versato e tutto il lavoro dello sportllista è 
già archiviato altrove e oggetto di altri trattamenti. E' tanto difficile 
organizzare allo stesso modo un'aziendina con tre computer in rete? 

 tipo).
Non e' vero: l'allegato B del Codice della Privacy (D.Lgs. 196/03)
recita "2. Le credenziali di autenticazione consistono in un codice per
l'identificazione dell'incaricato associato a una parola chiave
riservata conosciuta solamente dal medesimo oppure in un dispositivo di
autenticazione in possesso e uso esclusivo dell'incaricato,
eventualmente associato a un codice identificativo o a una parola
chiave, oppure in una caratteristica biometrica dell'incaricato,
eventualmente associata a un codice identificativo o a una parola
chiave."
Quindi sono previste:
1) Username e password, OPPURE
2) Dispositivo di autenticazione ed EVENTUALE password, OPPURE
3) Identificazione biometrica ed EVENTUALE password.

 3) Identificazione biometrica ed EVENTUALE password.
O_o e lui che ha detto ?!?
ale (che qui talvolta non ho capito chi fraintende chi)
- cmq. in prima base - (cit.) 

 O_o e lui che ha detto ?!?
Ha detto che con la biometria serve sempre la password, o un token, il
che non e' vero: con la biometria la password diventa facoltativa.

Gian Carlo wrote:

Attraverso la lente degli standard FIPS e delle Best Practice ISO-17799 e
ISC2, a me piacerebbe leggerla cosi':
2. Le credenziali di autenticazione consistono in un codice per
l'identificazione dell'incaricato associato a:
    una parola chiave riservata conosciuta solamente dal medesimo 
    - oppure -
      in un dispositivo di autenticazione in possesso e uso
      esclusivo dell'incaricato, eventualmente associato a un 
      codice identificativo o a una parola chiave, (PIN)
      - oppure - 
         in una caratteristica biometrica dell'incaricato,
         eventualmente associata a un codice identificativo
         o a una parola chiave.
(anche se logicamente devo dire che regge poco, perche' quel "in un
dispositivo" o "in una caratteristica" appaiono piu' legati al verbo
consistere... me ne rendo conto. Mi chiedo solo se il legislatore era
scarso grammaticalmente o nella conoscenza degli standard internazionali).
Traduzione, come piacerebbe a me :-): devi comunque darmi il codice di
identificazione (username) e poi associarlo a una password, un token o una
caratteristica biometrica. Quindi: USERNAME (codice di identificazione) per
la identificazione a cui segue una delle tre "cose" per la autenticazione.
Quello che correggo parzialmente (mea culpa - i capelli bianchi) dal mio
post precedente e' di essere ancora troppo legato agli standard che
distinguono fra accesso FISICO e LOGICO (che invertono l'uso della
biometria). Niente di male a far convergere i due mondi, va bene. Purchè
sia chiaro che la BIOMETRIA non _dovrebbe_ fare sia IDENTIFICAZIONE che
AUTENTICAZIONE (o fa l'uno o fa l'altro).
Se il legislatore ha voluto farci un regalo e dirci che con la biometria
facciamo di un botto IDENTIFICAZIONE e AUTENTICAZIONE va bene. Non ha
rispettato nessuno standard e best-practice internazionale, eppur mi pare
poca cosa rispetto a strafalcioni ben piu' gravi che combina in altri
campi... :-)
-- 
AB

 che non e' vero: con la biometria la password diventa facoltativa.
Quelle dell'allegato B sono misure "minime", il cui rispetto alla lettera non 
ti mette automaticamente al riparo da eventuali problemi collegati al 
trattamento dei dati.
Per riassumere:
1) mancata adozione delle misure minime di sicurezza -> responsabilità ex 
art. 2050 c.c. se deriva un danno (cfr. art.15 del Codice) e sanzione penale 
ex art. 169 del Codice; per quest'ultimo aspetto è previsto l'istituto della 
prescrizione ad adempiere con possibilità di oblazione in caso di ottemperanza,
2) adozione delle misure minime di sicurezza ma insufficienza delle medesime 
alla luce del progresso tecnico   -> responsabilità ex art. 2050 c.c. se ne 
deriva un danno (art. 15 del Codice).
Il trattamento dei dati è pienamente equiparato allo svolgimento di attività 
pericolosa e di fatto la responsabilità ex art. 2050 c.c., secondo 
giurisprudenza costante,  può essere evitata solo dimostrando il caso 
fortuito che sia anche imprevedibile.


No. Il punto 10 definisce in quali situazioni e' previsto che le password
debbano essere custodite e quali garanzie minime di custodia debbano essere
applicate.
Semplicemente non e' piu' una figura *obbligatoria* . La figura di "Custode
delle Password" come da precedente normativa (abrogata dal 1/1/2004 in
forza del d.lgs.196/2003) non esiste piu'. Nulla vieta ad una azienda di
averne uno o piu' di uno, se cosi' desidera organizzarsi. Ci sono altre
possibilita' - il "key escrow" e' una (google it!).
-- 
AB

 sull'indeterminazione di chi ha fatto cosa.
Non certo se le password sono custodite in busta CHIUSA E SIGILLATA.
-- 
Shift to the left!  Shift to the right!  Pop up, push down, byte, byte, byte!


 
NO. Vedi punti 2 e 4 all.B 196/2003 (segretezza) e punto 10 (quando, perche'
e come depositare le credenziali se, e solo se, occorre).
-- 
AB

 in caso di ottemperanza,
Giustissimo, sottolineo che il disposto dell'art. 169 si applica anche 
in assenza di danno.
-- 
Spesso l'uomo concentrandosi sui mezzi perde di vista lo scopo.
A. Schopenhauer

 software installato.
A questo ci pensa, di solito, l'amministratore di sistema 
(Administrator) che *certamente* non fornisce a nessuno la password di 
accesso.

Purtroppo con questa storia della privacy, cose prima ovvie diventano
non piu' tanto ovvie. Magari alle lunghe uno ottiene anche ragione, ma
chi ha tempo da perdere dietro alle cause per dimostrare che (essi'
adesso va dimostrato..) che se tu usi il computer mio per fare un
lavoro che ti pago io e dentro la mia azienda, TU non devi pretendere
proprio niente su quello che sta sul MIO computer?
Allora meglio prevenire: far firmare una bella lettera dove ci sara'
scritto: 
sappi che stai usando un MIO strumento, sappi che qui dentro ci devi
mettere solo cosa INERENTI il lavoro, sappi che io devo far funzionare
bene la rete e devo controllare i consumi, QUINDI STAI SICURO che
controllero' il traffico che generi col MIO computer sulla MIA rete,
perche' quando domani mi arriva la bolletta o la denuncia, devo sapere
se con i miei clienti ci sto rimettendo di telefonate piu' di quanto
gli fatturo, oppure devo sapere se usi i miei mezzi per attivita'
illecite per le quali poi ci vado di mezzo io. Sappi che la casella
email 
PI...@AZIENDA.IT
 NON E' LA TUA, e' dell'AZIENDA, ti ho solo
temporaneamente delegato al controllo di quello che ci arriva,
esattamente come se ti mandassi alle poste a ritirare il contenuto
della C.P. N°110, quindi non ti venga in mente nemmeno di ipotizzare
che sei proprietario di quello che ci e' dentro oppure che io non devo
metterci il naso.
Specificatamente per quanto riguarda le password: sappi che qualsiasi
password ti venga fornita, ti viene data solo perche' l'AZIENDA INTERA
deve proteggersi dall'esterno, quindi la password, l'utente,
l'account, non serve A TE per poter creare un tuo ambiente dove poter
fare quello che vuoi, ma sono le chiavi per ENTRARE A LAVORARE IN
AZIENDA, e quindi non ti venga in mente che perche' ti do' le chiavi
per entrare in azienda PER LAVORARE, l'azienda diventa tua o ci puoi
venire il sabato sera a fare i festini. Sappi che se perdo le mie
chiavi, verro' a farmene una copia dalle TUE, perche' le chiavi (e le
password) sono le MIE per entrare nella MIA azienda.
Ho letto.
Ho capito.
Ho accettato: COGNOME, NOME.

 obbligatorio ogni 6 mesi, ogni 3 mesi per i dati sensibili.
Scusa, ma qui non mi trovi concorde (ma magari mi manca qualche 
passaggio): le regole "tecniche" (minimo 8 caratteri, ecc.) sono 
facilmente verificabili in fase di creazione/modifica della password 
dallo stesso sistema di autenticazione, che in caso di non rispetto 
delle stesse non permette la prosecuzione delle attività.
Per quanto riguarda invece il "non riconducibile alla vita privata 
dell'utente": dove sta scritto? E soprattutto: come e *chi* può 
permettersi di vagliare la password e metterla più o meno in relazione 
alla vita *privata* di un dipendente? Questo mi pare che possa violare 
la privacy, o mi sbaglio?
Secondo me quindi non è FORZATAMENTE obbligatorio comunicare al 
Dirigente/Direttore la pass.

vostre password.
Nel mondo reale, tanti dati sono comunque legati al profilo
dell'utente che accede, anche se esiste un server. Nel mondo reale, la
gente puo' anche ammalarsi. Nel mondo reale, fatto di aziende di 5
persone, il dirigente puo' essere lo stesso che deve urgentemente
rispondere all'email che si trova su quel maledetto computer chiuso
con la password del dipendente malato.
Solo uno dei tanti possibili esempi che sono il quotidiano nel mondo
reale...

 nel senso di obbligare le persone alla comunicazione delle credenziali...
Hai ragione Luca. Molto probabilmente la Dirigenza/Direzione interpreta 
in questo senso la norma... come fare per modificare questa impostazione 
mentale?

 scritto: 
Concordo, questo andrebbe sempre fatto.
-- 
 Candido - 
http://candido2k.blogspot.com/

Giovine ha scritto:

Ah, capisco, dovevo dirlo prima che io mi riferivo al mondo di Nutella, 
scusatemi.
Ci possono essere mille esempi di "mondo reale" che potrebbero spiegare 
tutto ed il contrario di tutto: nel mondo reale si formano anche i 
cerchi nel grano.
Io penso che se una persona lavora, con la sua password di accesso, il 
suo lavoro servirà a qualcosa, farà qualcosa per uno scopo e questo 
scopo può (o meno) servire ad altri in Azienda.
Se con la sua password cripta a 128bit il suo lavoro è perchè è stato 
pensato così: quindi c'è un perchè ed altri non devono avere l'accesso 
al suo lavoro altrimenti si avrebbe dovuto condividere quei dati, quella 
email, quel lavoro con altri.
Una buona Azienda pensa prima a come ovviare a queste cose.
Qui si stava parlando di un dirigente che chiede le password ad un certo 
punto del lavoro aziendale: può farlo?
-- 
Amministratore
www.AmiciAmici.com
Giornalismo dal basso sui temi dell'amicizia, feste e divertimento.
PodCast "Pronto Chi Bussa" dalla Valtaro al Web...

 locale dell'aziende/ente?
allora messa in questi termini, no, non può
ale 

 allora messa in questi termini, no, non può
Si, in effetti io l'ho messa giù molto "sterile" e generica... Non ho 
alcun motivo addurre motivazioni per un'eventuale decisione in questo senso.
Inoltre, essendo io un SysAdmin, conosco più di un solo modo per 
*evitare* di dover ricorrere a questi metodi "terra-terra". La questione 
basilare, IMHO, è l'organizzazione della struttura informatica e 
conseguente redazione di un testo da far accettare alle varie Dirigenze 
e da far firmare ai dipendenti. Se "la rete" (chiamiamola genericamente 
così) è strutturata in termini di accessi in modo corretto, non si avrà 
MAI una situazione di "blocco totale" o di situazioni in cui si *deve* 
ricorrere alla forzatura del sistema.

 Ho accettato: COGNOME, NOME.
E io non firmo.
Che fai?

 con la password del dipendente malato.
E che cavolo ci fa su quel computer e solo su quel computer?
Una ditta cosě deve fallire, prima di rovinare ulteriormente l'economia
nazionale.



In una officina meccanica che succede se l'operaio non vuole indossare
scarpe anti infortunistiche, casco e occhiali protettivi ? Può continuare a
lavorare ?
L'azienda con quegli obblighi tutela l'operaio ma in primis se stessa, non
vedo perché non possa farlo con gli strumenti informatici, che possono fare
danni altrettanto rilevanti.
Se la firma del documento è condizione sine qua non per una eventuale
assunzione la soluzione è semplice, niente firma niente assunzione. Se
arriva dopo una eventuale assunzione come azienda non ti farei utilizzare
gli strumenti oggetto del documento.
Starsky

 possibilita' - il "key escrow" e' una (google it!).
Ecco, questo è OT

 utilizzare gli strumenti oggetto del documento.
Ottima idea. Trova tu il lavoro da far fare a tutti, perchè dopo 
l'assunzione nessuno firma (schiavi a parte).
Probabilmente nessuno degli scriventi era nato quando hanno inventato i 
contratti collettivi, la legislazione di sostegno e gli ispettorati del 
lavoro.
Pare che a qualcosa servano, però.
Condizionare l'assunzione a una firma illegale o anche solo superflua, poi, 
serve a procurarsi bei guai e basta. La magistratura del lavoro non è tenera 
con chi si porta appresso mentalità ottocentesche. 

Il Mon, 6 Nov 2006 17:26:16 +0100, Matteo ha scritto:
[cut]
Ok, ammetto la mia ignoranza per cui ribalto la questione.
Mettiti tu nei panni di una azienda che vuole tutelarsi da usi impropri dei
propri strumenti informatici, cosa proponi ?
Ah ripeto la domanda fatta prima: cosa succede in una officina se un
operaio si rifiuta di indossare gli indumenti anti infortunistici o se si
rifiuta di seguire le norme che evitino gli incidenti con i muletti? E' una
richiesta anti sindacale o ottocentesca questo obbligo ?
Per me una pressa, un muletto o un pc sono strumenti aziendali l'utilizzo
dei quali deve essere regolamentato. Perché ti sembra cosě strano ? 
Ciao
Starsky

punto del lavoro aziendale: puň farlo?
Il dipendende non ha nessuna giustificazione per poterla negare, se
anche lui cura i suoi interessi facendosi rilasciare un foglio nel
quale si dichiara che non e' piu' lui l'unico a possedere quella
password. Ovviamente a quel punto il responsabile della sicurezza dei
dati dovra' rinormalizzare al piu' presto in qualche modo la
situazione.

semplicemente "fare gli affari degli altri", allora no, non puň.
Ma scusa, gli "affari degli altri" quali sarebbero??

 Ma scusa, gli "affari degli altri" quali sarebbero??
Penso che ci si possa riferire ad una situazione di questo tipo:
il dipendente non fa "affari suoi", ma "affari dell'ente/azienda" per 
cui è stato assunto. Accade però che (forse illecitamente) il dipendente 
abbia dei dati *sensibili* insieme ad altri dati "di lavoro". Nel 
momento in cui il "capo" entra nell'ambito dei dati del singolo 
dipendente e viene a contatto con un dato *sensibile*, potrebbe 
conformarsi una violazione del codice sulla privacy (a prescindere 
dall'eventuale illecito compiuto dal dipendente, forse sanzionabile in 
altro modo). Questa è una mia supposizione eh...


wrote:

Non ti assumo!
Pensi che riusciro' a trovare una scusa per non farlo? :-)
O, se ti assumo, non ti metto certo davanti ad un computer.
A parte poi che se non firmi, mi dai la patente a non potermi fidare
di te (visto che se non vuoi firmare, vuol dire che non riconosci a
che titolo ti do le chiavi dell'ufficio, a che titolo ti mando alle
poste a prendere la posta dalla casella postale della ditta, etc etc
etc), tenendo cosi' un comportamento idoneo "a ledere in modo grave,
cosě da farla venir meno, la fiducia che il datore di lavoro ripone
nel proprio dipendente e tale, quindi, da esigere sanzioni non minori
di quella massima" !!!
Non c'e' scritto mica che devi prostituirti in quella dichiarazione,
anzi, la si puo' mettere tranquillamente sotto forma di manuale delle
procedure interne.

 gli rubi i progetti AUTOCAD che si fanno in privato sul pc pubblico!!
[...]
secondo me la stai prendendo *un attimo* dal lato sbagliato
ale 

 situazione.
Ecco che mettiamo "altra carne al fuoco": a questo non c'avevo pensato, 
ma sarebbe una correttezza anche da parte della Dirigenza rilasciare 
questo foglio che attesta ciň che č stato fatto. Io ti do la mia 
password perchč non nascondo nulla, e tu perň firmi il fatto che l'hai 
fatto (cosě ne resta traccia e mi dimostri che non vuoi "farmi le pulci")...

 resta traccia e mi dimostri che non vuoi "farmi le pulci")...
Si ma non usciamo troppo dal seminato...
allegato tecnico B punto 2
Le credenziali di autenticazione consistono in un codice per 
l'identificazione dell'incaricato associato a una parola chiave riservata 
conosciuta solamente dal medesimo[Omissis]
che poi la famigerata *busta sigillata* non č uno dei metodi migliori o piů 
"agili" per ovviare al punto 10
ale 

 strano ?
Perchè se uno non sa fare il padrone, o si affida a Confindustria o analoga 
organizzazione, o va a scuola e impara (ci sono anche corsi regionali 
gratuiti, per i principianti).
Chi s'inventa una legislazione personale, è meglio che chiuda al più presto 
e vada ad arricchirsi in qualche paese diverso dall'Europa, se lo trova. 

 "agili" per ovviare al punto 10
Infatti ritengo che user/pass sia solo un modo per:
-non avere accessi ai dati da persone che non sono dell'Azienda
-verificare chi fa cosa
NON criptare i dati o il lavoro che si svolge.
Quindi chi ha le credenziali maggiori vedrà il lavoro svolto dai 
sottoposti e così via.
Io la vedo così e nelle Aziende che ho visitato (anche da 8000 
dipendenti) la gestione era questa.


 la gestione era questa.
vabbč dai, tu vivi nel mondo di Nutella no?
:D:D:D:D
*wink*
ale 

 :D:D:D:D
Ah, già dimenticavo ;-)


 e vada ad arricchirsi in qualche paese diverso dall'Europa, se lo trova.
Resta da verificare, leggi alla mano, se simili disposizioni sono campate
per aria o hanno una loro valenza giuridica. Lascio ad altri la risposta.
Starsky

 sindacale ?
Lascia perdere, stai discutendo con un soggetto che contesta che il datore di 
lavoro abbia il diritto di stabilire a quali condizioni possono essere usati 
gli strumenti di produzione aziendali e che nega l'esistenza del potere 
direttivo datoriale.

 dipendenti) la gestione era questa.
La vedo *esattamente* così anche io, peccato che non la vedono così 
ovunque...


wrote:

Poi invitami, quando farai la tua bella nazioncina dove tutto funziona
idealmente :-) :-) 
Ma mi sa che senza queste ditte che secondo te debbono fallire
(perche' mai poi? E dove sta scritto scusa che rovinano l'economia??
Ma che stai male???) questa nazione i soldi se li deve stampare da
sola!

con chi si porta appresso mentalità ottocentesche. 
Cosa c'e' di illegale nel chiarire che se ti sto dando le chiavi
dell'ufficio, non e' perche' ti consento di andare in mutande di notte
in ufficio ma solo perche' in qualche modo devo ottenere l'effetto che
TU ASSUNTO entri e gli ALTRI ESTRANEI non entrano?
Cosa c'e' di illegale nell'avere CASELLE EMAIL DELL'AZIENDA (non TUE,
non DEI DIPENDENTI) e qualcuno queste email deve pur leggerle?
Cosi' se io ho la casella 
MAGA...@DITTA.IT
 e in quel momento la
legge il magazziniere X, il magazziniere X puo' venirmi a dire "no
scusa non la leggere la posta DEL MAGAZZINO DELLA DITTA perche' ci
stanno messaggi privati?
Cos'e' che non vorresti firmare tu, l'aver letto e accettato il
manuale operativo che appunto dice a che titolo ti vengono date le
chiavi, il pc, e la posta? Ma tanti auguri!!!!

 l'esistenza del potere direttivo datoriale.
Il soggetto in questione ha letto la frase "accordo di due o più parti" ed è 
andato a guardare in vari vocabolari la definizine della parola "accordo".
Chiunque pretenda d'occuparsi di diritto saltando a piè pari l'intero libro 
IV del codice civile può tranquillamente dedicarsi all'ippica. Può darsi che 
indovini i cavalli vincenti e qualche soldino lo faccia.
Io vendo, per denaro e altre utilità, al compratore di lavoro, alcune ore 
della mia vita. Non gli vendo una persona e non gli vendo la dignità d'una 
persona. Se il compratore non sa usare ciò che gli viene venduto, non è 
immaginandosi d'aver diritto a più di quanto compra che risolve i suoi 
problemi. E di figure così l'economia di un paese avanzato non ha certo 
bisogno.
Prima falliscono le ditte con padroni di quel tipo e meglio è. Per tutti. 

 Prima falliscono le ditte con padroni di quel tipo e meglio č. Per tutti. 
c.v.d. Grazie per aver provato quanto dicevo.

 sola!
Non mi risulta che l'Olanda si stampi i soldi da sola. La Svizzera sě, e con
profitto.
E sono due nazioni nelle quali la legge č la stessa (in Svizzera č piů
severa, anzi) ma di gente che s'inventa robe come le tue non ne ho mai
incontrata. E sě che ditte e dittarelle ne ho frequentate un po'.

 chiavi, il pc, e la posta? Ma tanti auguri!!!!
Non ti ricordi che la legge ti obbliga a far frequentare ai tuoi dipendenti
(a tue spese) un adeguato corso di formazione, prima d'affidargli qualsiasi
strumento?
Sostituire un dictat alla formazione professionale sarà poco costoso, ma è
illegale. E le cose illegali sono fonte di guai.
Ti conviene andare a scuola e imparare il mestiere di padrone. In
alternativa, ti puoi organizzare senza dipendenti. Con un po' di cervello ce
la si fa.

 ha scritto

Mi sembra che un PM stia provando che tu sei dedito ad attivitą illegali.
Non sei un gran pulpito. 

 
Prima di fare affermazioni come quella di cui sopra, peraltro 
particolarmente gravi e, oserei dire, diffamanti dovresti quantomeno 
accertarti dell'identitą del tuo interlocutore.

altro modo). Questa è una mia supposizione eh...
Ma infatti puo' benissimo accadere, inoltre puo' venire in mente al
dipendente (e in mente gli viene sicuro, soprattutto negli enti
pubblici) che siccome ha l'email che si chiama 
NOME.C...@DITTA.IT
quella casella e' sua, cosi' come gli puo' venire in mente che siccome
ha un account che non per vanita' o fanatismo o ma per semplice
praticita' si chiama col suo stesso nome ed e' protetto dalla
password, allora dentro quell'account puo' farci gli affari suoi. Ecco
perche' dico che onde evitare questi "FRAINTENDIMENTI" (legittimi o
meno che siano, ma si sa dietro ogni idea stramba si puo' trovare un
giudice che te l'appoggia), si fa firmare un bel foglio sullo stile
che ho segnalato.

secondo me la stai prendendo *un attimo* dal lato sbagliato
In che senso?

fatto (così ne resta traccia e mi dimostri che non vuoi "farmi le pulci")...
E' inevitabile che sia cosi', perche' se ti do la password deve
risultare da qualche parte che io da quel momento non sono piu'
responsabile di quello che viene fatto con la mia password, dato che
non mi identifica piu' inequivocabilmente.

conosciuta solamente dal medesimo[Omissis]
Appunto, quindi quando te la do mi rilasci un qualcosa dove affermi
che te l'ho data.

 ha scritto

E un secondo dopo la cambio. 

 ha scritto nel messaggio 
news:dph1l21o24pag957h...@4ax.com...

a parte che a sto punto mi viene da fare una citazione...
"MLD?"(Tm)
cmq. tornando seri, il punto è proprio questo:
normalmente, *non me la dai* (sigh)
in alcuni casi specifici e motivati *me la dai*
ma non solo
*me la dai* tramite un sistema che certifichi *che me l'hai data*;
che si evinca che io ho la responsabilità della sua custodia;
che io non sono a conoscenza della tua password in quanto *me l'hai data* in 
modo tale da rispettare questo requisito;
e *se la dovessi assolutamente usare* individuo un sistema sicuro per fare 
in modo che venga riscontrato il suo uso;
e, infine,
*se te la uso* te lo devo comunicare in modo che tu, successivamente, possa 
*riacquistare la tua verg..* ehm, possa nuovamente rimodificarla.
e cmq. insisto nel dire che prima di arrivare a questo ci sono metodi magari 
più onanistici ma sicuramente efficaci che non *farmetela(Tm) dare*
ale 


E 2 secondi dopo mi faccio creare un account con privilegi più elevati
dei tuoi :)
Gabriele

 Che fai?
Richiamo formale. :-P
-- 
 Candido - 
http://candido2k.blogspot.com/

 Richiamo formale. :-P
Assolutamente no. Si verbalizza, con l'ausilio di un paio di testimoni, che 
il destinatario ha rifiutato di firmare *per ricevuta*. In ogni caso l'ordine 
di servizio sarà comunque affisso negli spazi appositi a fini di pubblicità.

> Poi invitami, quando farai la tua bella nazioncina dove tutto funziona

La domanda nasce spontanea: embe'??
Poi si puo' capire quale sarebbe il criterio secondo cui una ditta
dovrebbe fallire, e come costituisce un danno per la societa'?

la si fa.
Si', ok.



Strano che uno cosi' preparato non se ne sia accorto da solo, vero?

E un secondo dopo la cambio. 
In questa frase il soggetto "IO" (ovvero tu) e' riferito al dipendente
che da la password o a quello che la riceve?
Comunque: se e' riferito a chi la da: chi ha detto che abbia ancora
possibilita' di cambiarla?
Riferito a chi la riceve: embe'? Ci facesse quello che vuole, ne
rispondera' lui.
In ogni caso: che c'entra col foglio di carta dove non si fa che
mettere nero su bianco una cosa vera??
Non so mi pare che ormai tu stia viaggiando alla cieca cosi' giusto
per andare contro. Contro cosa forse non l'hai capito nemmeno tu: io
non l'ho capito di certo.

 
Una alternativa al Custode delle Password per gestire le password in
ottemperanza al punto 10 dell'all. B del TU sulla Privacy e' OT in questo
thread (Gestione Password in Azienda)? Sono aperto a questa possibilita',
ma sinceramente non ho capito il perche'. Me lo spieghi?
-- 
AB

 dovrebbe fallire, e come costituisce un danno per la societa'?
Perchč quella descritta da te non č un'impresa.
L'imprenditore vero pensa a fare i soldi, non a sfogare le sue frustrazioni.
Uno che fa soldi non ha neppure il tempo di pensarle certe lettere, 
figuriamoci scriverle. 

 ha scritto

E torniamo alle origini.
La legge dice che la password posso averla solo io e che devo cambiarla 
spesso senza comunicarla.
Un'azienda è un'organizzazione. L'imprenditore è un organizzatore e, in
quanto tale, può fare barcate di soldi. Se non sa organizzare cambi
mestiere.

 figuriamoci scriverle. 
E infatti le fa scrivere al capo del personale che è appunto pagato per 
occuparsi del personale.
p.s.: Sto ancora aspettando da te maggiori dettagli  sull'indagine per le mie 
presunte attività illegali.

 occuparsi del personale.
... o cmq da qualcuno che si occupi di "Sicurezza e Privacy" per conto 
della ditta o dell'ente... ahi ahi ahi... siamo messi male :-/

OxygeN <bonnyREM...@SPAMtiscali.it> ha scritto

Se quello che si occupa di "Sicurezza e Privacy" inventa lettere di quel 
tipo, da far firmare per giunta, il padrone che pensa ai soldi non lo paga e 
lo sostituisce con qualcuno che badi al sodo e non alle pratiche 
burocratiche coi timbri a posto.
Magari uno svizzero, visto che in Svizzera certe seghe mentali non esistono 
neanche dove si parla italiano. 

 burocratiche coi timbri a posto.
Non hai capito. La firma del dipendente è un optional e attesta solo la 
avvenuta ricevuta *dell'ordine di servizio*. Altri mezzi di comunicazione, 
quale, ad esempio, l'affissione in bacheca, sono assolutamente equipollenti.
L'ordine di servizio è espressione del potere direttivo di cui tu neghi 
l'esistenza. Poiché qui non si discute del mondo che vorresti ma della realtà 
delle cose, mi spiace dirti che sei completamente fuori bersaglio. La 
filosofia discutila in altri NG.
A proposito, sto ancora aspettando le tue scuse per l'affermazione diffamante 
di ieri.

 della ditta o dell'ente... ahi ahi ahi... siamo messi male :-/
Non esattamente. L'ordine di servizio è emanazione del potere 
direttivo e quindi il medesimo deve essere emesso o dal datore di 
lavoro o da altro soggetto che può esercitare tale potere (ovviamente 
in virtù di delega datoriale) e cioè, tipicamente, dal responsabile 
del personale. Ovviamente quest'ultimo dovrà avvalersi della 
competenza tecnica del consulente in materia di sicurezza e privacy 
per evitare di scrivere delle boiate... ad ognuno il suo lavoro!

figuriamoci scriverle. 
Uno che scrive queste cose a me pare molto piu' frustrato.

 Uno che scrive queste cose a me pare molto piu' frustrato.
Secondo me tu fai il bullo, ma di euro ne hai visti proprio pochi, e tutti 
passati da papą, nella vita. 

 burocratiche coi timbri a posto.
Si chiamano policy e sono molto opportune. Servono per permettere al
lavoratore di capire esattamente cosa possa fare con le risorse
aziendali e cosa no, e servono al datore per responsabilizzare
adeguatamente il dipendente circa l'uso che fa di tali risorse.
Cosa succede se un dipendente diffama, tramite la mail aziendale,
un'azienda concorrente? Si parla di semplice diffamazione o magari di
concorrenza sleale? La responsabilità è in capo al solo dipendente
oppure ne risponde anche il datore?
-- 
 Candido - 
http://candido2k.blogspot.com/

 d'affidargli qualsiasi strumento?
Eh? C'è una legge che mi obbliga a far frequentare un corso
di taglio e cucito prima di dare alla segretaria forbici e pinzatrice?
-- 
ValeRyo 

 diffamante di ieri.
Vuoi che peggiori la situazione? Hai smentito e la smentita è stata 
pubblicata con lo stesso rilievo della notizia. Di più non spetta, ex lege. 

 
Bene, vedo che aneli ad essere querelato. Vedrň di accontentarti.

 dictat di servizio.
A me ste certificazioni ISO fanno ridere, ce l'hai perfino Wind che ha
un servizio customer-care che fa cagare e la home page in violazione
della legge... ah ovviamente se segnali la cosa ai certificatori se ne
fregano, tanto i soldi li hanno intascati.
Ah infine "una rigorosa divisione del lavoro" mi sa un po' di impiegato
statale, la mano destra non sa ciò che fa la sinistra. Se non intendevi
ciò, fai un esempio, che sia reale però !
Gabriele

neanche dove si parla italiano. 
Poi un giorno forse capiremo per quale triste trascorso assumi questo
tono scandalistico riguardo la suddetta comunicazione. Nel frattempo
concedici di assumere la tipica espressione (occhi sgranati e bocca
aperta) di chi si trova davanti a qualcuno con qualche rotella in
meno.

passati da papà, nella vita. 
Lo vedi che sei frustrato? Ma che minchiate scrivi?? :-) :-) :-) Ma
ripigliati dai! Senza entrare in merito alla veridicita' o meno di
quello che dici, il punto e': AZZO C'ENTRA SCUSA?? :-) :-) :-)
Adesso si' che si spiegano i tuoi messaggi :-) :-)

passati da papà, nella vita. 
P.S.: ma dove ca%%o lavori tu, dove c'hai i dirigenti illuminati,
talmente illuminati che non si parano nemmeno il culo di fronte ai
rischi di venir denunciati da tutte le parti dai dipendenti?? :-) :-)
:-)
Ammazza che "DIRIGENTI"!!! E poi vanno falliti gli altri, secondo te!!

 che non si pongono neanche il problema.
Dov'è che mi smentisci?
Io dico che dove si fanno i soldi si pensa ai soldi, e si lasciano certe 
fisime e pignolerie ai tecnici pieni di burofissazioni che vorrebbero un 
mondo modellato secondo i loro pessimi gusti.
Non ho detto altro.
Io vorrei vedere giovine e lorenzodes (che quando si parla di soldl 
diventano iene, e ci sarà un motivo) a fare marketing tribale con i loro 
ordini di servizio.
La corretta gestione delle risorse umane prevede una dose contenuta di 
cazzeggio e la gestione di una percentuale fisiologica di errori. I 
perfettini non sanno neppure come si calcola la produttività individuale o 
di gruppo e cercano di supplire con le fisime. Pensi che la tentata vendita 
di fisime migliori l'economia? 

di fisime migliori l'economia? 
Si' si', bello, vallo a raccontare al dipendente quando t'ha
denunciato! Vedi se riesci ad addormentarlo con tutte queste genialate
:-) :-)