Newsgroup: it.diritto.internet
Titolo: custode password

Domanda precisa a cui molti hanno tentato di rispondere ma nessuno in 
maniera completa. Ho letto
i vecchi post ed è una selva di teorie. In definitiva il capo che si assume 
anche il compito di custode delle
password può leggersele e tenerle in un file personale per consultarlo a suo 
piacimento? 

"nielj" <cecc...@NOSPAMvirgilio.it> ha scritto nel messaggio 
news:b4jMf.9558$A83.2...@twister1.libero.it...

Troppo generico, la figura di "custode delle password" non mi risulta 
definita in alcuna norma.
IMO la password dovrebbe essere personale fatta salva la possibilità di 
accedere a dati di proprietà aziendale in caso di necessità.
Se precisi un po meglio la situazione potrebbero venir efuori risposte meno 
generiche. 

 meno generiche.
a me risulta invece che il custode delle password sia definito proprio nel 
DPS
assieme anche all'incaricato. 

[21:48, domenica 26 febbraio 2006] - nielj scrive:

dove?
io non ne vedo traccia.
cmq, per quel che mi rigurarda (mia interpretazione), le password sono
personali, quella di administrator/root è delle responsabile
informatico (o figure simili), sia per la manutenzione delle macchine,
sia per poter accedere ai dati aziendali in caso di mancanza
dell'utilizzatore della macchina stessa.
le passwd devono avere scadenza almeno semestrale, non devono essere
semplici o fare riferimento a nomi di parenti, etc etc, come da DPS.
-- 
I videogame  non influenzano  i bambini: infatti  se da  piccoli fossimo
stati  plagiati  da  Pac-man,  adesso   passeremo  il  nostro  tempo  in
ambienti semibui, mangiando pillole  magiche, ed ascoltando della musica
elettronica ripetitiva.             Kristian Wilson, Nintendo Inc., 1989

 semplici o fare riferimento a nomi di parenti, etc etc, come da DPS.
chiarissimo. 


Non ha tutti i torti.
Vediamo di chiarire comunque alcuni punti per quanto riguarda le password 
(per Codice intendo D. LLgs. 196/03).
Queste possono essere conosciute solamente dall'Incaricato al quale e' stata 
attribuita assieme all'identificativo proprio (Codice - allegato B punto 2). 
Si richiede infatti che sia lo stesso Incaricato a cambiarla non appena gli 
e' stata assegnata (Codice - allegato b punto 5).
E richiesto inoltre di mettere in atto un sistema tale per cui vi sia la 
possibilita' di accesso ai dati in caso di prolungata assenza 
dell'Incaricato (Codice - allegato B punto 10).
Questo non significa che le password debbano essere palesate a qualcuno. Per 
esempio e' possibile adottare il sistema "busta chiusa"; l'Incaricato chiude 
in una busta la password da lui scelta e consegna la busta al "custode delle 
password"; dovesse essere necessario, in sua assenza un Incaricato 
specificamente dal Titolare potra' procedere all'apertura della busta per 
poter accedere ai dati.
Affrontiamo ora il problema del cosidetto "amministratore di sistema".
Nello stesso momento nel quale costui fosse in grado di accedere ai dati 
personali allora deve essere Incaricato.
Pero' distinguiamo con un esempio.
1)    i dati personali dei dipendenti sono registrati in un data base 
gestito da un'apposita procedura; l'accesso al database inteso come file(s) 
senza l'utilizzo della procedura (p.e. con un qualsiasi editor) NON rivela 
nessun dato leggibile; il contenuto dei file(s) e' codificato
2)    i dati personali dei dipendenti sono registrati in un data base 
gestito da un'apposita procedura; l'accesso al database inteso come file(s) 
senza l'utilizzo della procedura (p.e. con un qualsiasi editor) rivela il 
contenuto in forma leggibile
Nel caso 1) l'Amministratore di sistema non richiede alcuna lettera di 
Incarico al trattamento perche' nello svolgere il suo lavoro (p.e. 
salvataggio e ripristino) non ha possibilita' di venire a conoscenza di dati 
personali.
Nel caso 2) l'Amministratore di sistema dovra' essere Incaricato 
opportunamente (Codice art. 30).

 personali.
L'Amministratore di sistema normalmente ha la possibilità di eseguire 
tutte le "procedure" non fosse altro che per ragioni di diagnostica e 
manutenzione del software. Quindi ha comunque accesso ai dati anche se 
codificati.
W.


Se avviene questo, cioe' se l'Amministratore ha possibilita' di accedere ai 
dati attraverso le "procedure" informatiche che quindi gli consentono un 
trattamento, anche di sola consultazione sui dati personali, allora deve 
avere le opportune lettere di incarico firmate da chi ne ha titolo (il 
Titolare oppure i diversi Responsabili). 

 opportunamente (Codice art. 30).
grazie! sei stato chiarissimo. 

 busta per poter accedere ai dati.
Normalmente l'amministratore di sistema è in grado di reimpostare la 
password degli utenti sia a livello di sistema operativo che di singolo 
applicativo, a mio parere deve essere _sempre_ incaricato all'accesso ai 
dati personali e/o sensibili per scopi connessi all'amministrazione del 
sistema (che non fa solo il backup).
Il sistema della password scritta in busta chiusa può essere previsto come 
procedura scritta per il recupero delle informazioni in caso di emergenza 
sempre che ne sussista la _necessità_ (vedi sopra).
A proposito: come si verifica la rispondenza agli obblighi di legge per 
quanto riguarda le caratteristiche delle credenziali di accesso? Ne occorre 
un archivio storico? E chi ne assicura la veridicità?

 busta per poter accedere ai dati.
ma il titolare puň essere incaricato per tutti i computer dell'azienda? e un 
computer
puň avere piů incaricati? Certo sono domande "strane" ma sta succedendo 
qualcosa
del genere. Il capo per avere il controllo completo di tutto non potendo 
entrare in possesso
delle passwords di tutti i dipendenti ha deciso di "saltare" la legge 
nominandosi incaricato
per tutti i computer. In questa maniera potrebbe avere accesso a tutto 
risultando
amministratore in ogni pc. Chiaramente questo č un po' in contrasto con il 
punto 10 dal momento
che si capisce chiaramente che nel caso ci sia bisogno dell'accesso ad un 
determinato computer
si puň ovviare alla cosa grazie agli "incarichi" e aprendo eventualmente la 
busta dell'incaricato dopo
averne data pronta comunicazione. Infatti nell'allegato c'č scritto che "il 
titolare puň..." quindi questo fa
supporre che il titolare non deve avere sempre accesso a tutto ma solo 
quando ve n'č strettamente bisogno.
Altrimenti che senso avrebbe tutta la storia delle buste sigillate e degli 
incarichi?
D'altronde perché quando uno č fuori a pranzo il titolare dovrebbe andare a 
sgarfare fra le cose private?
adesso succede cosě...il capo č stato beccato in flagrante mentre visionava 
il pc di un dipendente che si
era dimenticato di metterlo in blocco mentre era andato al gabinetto. Il 
titolare si č "scusato" dicendo che
pensava che quel dipendente avesse un documento che a lui serviva 
immediatamente e che non poteva aspettare!

nielj wrote:

La risposta semplice e' NO.
La risposta articolata e':
Il "Custode delle password" non esiste piu'. E' un retaggio della vecchia
normativa. Dal 1/1/2004 col nuovo Codice, si prevede solo che ci siano
idonee procedure per poter accedere a dati personali quando un solo
incaricato sia l'unico che abbia le "credenziali" (tipicamente user-id +
password) per accedere ad un set di dati o ad un intera base dati. Questo
per salvaguardare il diritto di poter proseguire i trattamenti anche se
l'unico incaricato che poteva accedere fugge in Sud-America con la vincita
al superenalotto o similia...
Di fatto e' raro essere in questa situazione in una azienda. Al foglio excel
(o al database Oracle o Sql) "dipendenti" o "fornitori" o "clienti" o
"fatture" che sia su un server o sia su un PC e poi condiviso via rete ci
accedono "alex", "anna" e "sergio" e anche il grande capo. Che tutti e
quattro nello stesso giorno abbiano uno una vincita al superenalotto,
l'altro finisca sotto il tram, l'altra una crisi mistica percui si ritira
in Tibet e l'altro fugga con la segretaria alle Cayman... e' improbabile e
la legge non ti richiede che nessuno di loro depositi la propria password
da alcuna parte. Se uno non c'e' gli altri accederanno a quei dati e
continueranno i trattamenti con le proprie credenziali.
Il capo / il sistemista non ha bisogno (se la cosa e' ben strutturata) delle
password dei suoi collaboratori / assistiti. Basta che abbia i permessi per
accedere alle risorse di rete e di calcolo dell'azienda con le sue
credenziali personali. Perche' disturbarsi ad avere le credenziali altrui?
E' contro il d.lgs.196/2003, e' una rogna e se qualcuno fa qualcosa di
illecito con quelle credenziali lui/lei rientra fra i sospettati. Che
ognuno si tenga le sue di credenziali!
-- 
AB

 ognuno si tenga le sue di credenziali!
Esiste la possibilità da parte dell'azienda di proibire l'uso personale dei 
computer e di controllare che queste direttive (di cui i dipendenti debbono 
essere informati) siano rispettate.
Questo controllo, secondo il Garante, deve essere fatto con mezzi non 
spopositati rispetto agli obiettivi (es. se non è consentito navigare su 
Internet basta dimostrare che il dipendente lo abbia effettivamente fatto 
senza esibire il listato di tutti i collegamenti).
D'altra parte se ne era già parlato nel thread "Vietato spiare cosa fanno i 
dipendenti in rete" su questo stesso ng. 

 i dipendenti in rete" su questo stesso ng.
bene invece il titolare pretende che nessuno sia informato dei controlli e 
di saltare
da un computer all'altro come amministratore per leggere quello che fanno i 
dipendenti
che in realtà qui non sanno quasi manco cosa sia internet se non per 
scaricare la posta
aziendale. Nell'ultimo controllo del log dei siti visitati dai dipendenti il 
sito più visitato sapete
qual è stato???? il sito dell'azienda poi in successione uno di legge e poi 
quello della posta interna.
Quindi la figura di me*** l'ha fatta il titolare e non i dipendenti. Ecco 
vorrei capire come poter
difendere i dipendenti da questi sopprusi ingiustificati. Non trovo giusto 
che il titolare abbia accesso
come amministratore su ogni computer perché non ne vedo il motivo. I dati 
aziendali risiedono nel
server...che bisogno c'è di avere un accesso "capo" per ogni computer? 


Si certo, ma questa e' un'altra storia e non richiede di avere le
credenziali di accesso (tipicamente userid + password) di tutti ed ognuno.
Non mischiamo mere e pere.
Davvero un'altra storia da gestire prima di tutto sul piano amministrativo e
organizzativo e poi sul piano tecnico, ma *NON* avendo le password altrui!
Anzi, avere le password altrui e' controproducente e si puo' ritorcere
contro il mio capo. Se mi si accusa di aver usato il PC aziendale per fare
spionaggio industriale, mandare mail minatorie, andare su un sito politico
o pornografico o sportivo in ore lavorative io gli rispondo "la mia
password ce l'hai anche tu boss ed il capo del personale... come fai a dire
che c'ero io dietro a quel PC???" :-(
-- 
AB


A occhio e croce mi pare "inesigibile" tecnicamente (e a meno di miei
distrazioni non vedo questa richiesta nel 196/2003).
Dal momento che le password sono (si spera!) memorizzate con tecniche
crittografiche irreversibili (tecniche di hash), il sistema (se e' serio ed
e' configurato dall'amministratore per farlo) puo' forzare la complessita'
della password al momento della sua generazione; quindi chiedere all'utente
che sia lunga almeno 8 caratteri, contenga almeno una cifra, non contenga
il suo userid o il suo nome, etc. etc. -- ma una volta che questo e'
diventato un HASH tipo: 
        "92/uhH99h7yQ&3kmTYw876reO!$etyUi" 
se questo corrisponda alla password "alex" "pippo" "pluto80"
"nelM3zzoDelCammind1nostrAv1tA" non lo sapremo mai piu'.....
In altre parole, posso controllare la "password complexity" al momento della
scelta dell'utente. Non dopo. La cura, memorizzare in chiaro per motivi di
storicizzazione la password da qualche parte, sarebbe "assai molto piu'
peggiore" del male (mi si passi la licenza poetica).
-- 
AB

 molto piu' peggiore" del male (mi si passi la licenza poetica).
Potresti aggirarla in questo modo: Quando l'utente cambia la pass deve 
immettere quella vecchia come verifica. 
Se la verifica ha successo hai la vecchia pass. Se anche il cambio pass 
ha successo puoi salvarla in chiaro in uno storico. Comunque non avrebbe 
senso per un assalitore in quanto la pass vecchia non è già più attiva.
Questo ha i suoi limiti: non va bene se qualcuno perde la password e gli 
va resettata. Inoltre ti impone di usare password totalmente diverse ad 
ogni passata, se nello storico ci sono stefano01, stefano02 e stefano03 
non sarebbe molto difficile indovinare la 4° :)
-- 
Gerry@work - messaggi privati: 
http://www.gerry.it/serve/mail/
Ecco il mio segreto. E' molto semplice: non si vede bene che col cuore. 
L'essenziale è invisibile agli occhi. (Antoine de Saint-Exupery)
http://www.gerry.it/
 - 
http://spakkomatto.com/
 
http://members.xoom.it/ifmu2/
 - 
http://www.iscf.info/

 dovrebbe andare a sgarfare fra le cose private?
E non utilizzare il pc aziendale per le faccende private non è
venuto in mente a nessuno?
-- 
ValeRyo 

Ho seguito in questo peiodo un cliente proprio su questo agomento...
l'adeguamento al dps...
Sono a conoscenza delle passwod di amministazione del sistema soltanto
coloro che hanno accesso ai server (i cui nomi sono scitti nel
dps...firmato)...le password dei server devono essere comunque tenute
scritte in busta chiusa, sigillata e chiusa in cassafote...questa busta
deve essere custodita dal responsabile della privacy (che non deve per
forza essere l'amministatore della rete).
Le password dei client le conoscono soltanto gli operatori di tali pc.
Cambiamento obbligatorio di tale password massimo ogni 6 mesi
(consigliano 3), richiesto in automatico dal sistema.
Ogni client deve essere configuato soltanto con un utente
amministratore locale (l'utente utilizzatore del pc sarà configurato
in active directory), la quale password, è custodita, come le altre,
in busta chiusa (sempre data al responsabile)...
è un lavoraccio...e la cosa più difficile da far capire è proprio il
fatto che il datore di lavoro (il capo) non deve essere a conoscenza
delle password degli utenti e delle password di amministrazione (queste
ultime a meno che "il capo" non sia anche responsabile della password,
che comunque deve solo custodire la busta, non deve conoscere le
password).
Alcune cose le trovo giuste...ma altre, di questo decreto, le trovo
assurde...
un saluto a tutti

 venuto in mente a nessuno?
sì ma siccome questo non succede non vedo il nesso logico. Inoltre
se io per sbaglio lascio il taccuino sulla scrivania che diritto ha lui
di guardarci dentro ad esempio. Il desktop del pc dovrebbe essere più
o meno la stessa cosa. Ribadisco io non uso nessun pc della struttura sono
solo stato incaricato di informarmi su pratiche quanto mai inconsuete.
Siccome dai rilevamenti fatti risulta che nessuno ma proprio nessuno usi
il pc per scopi personali un comportamento del genere lo trovo immotivato
e immaturo. 

 aziendali mi sembra paradossale. 
Volendola pensare male: possibile furto d'identità.
Es: il datore di lavoro che esegue certe operazioni illecite usando gli 
account dei suoi dipendenti. In caso di problemi ci sarà il loro nome sui 
log dell'azienda.
Almeno, io da profano potrei vederla così. La login è la password servono 
per identificare un soggetto univocamente. Se le pass le sanno già più 
persone prede in parte il suo scopo.


 Volendola pensare male: possibile furto d'identità.
Certo lo scopo finale è quello di evitare questa possibilità.
E' la formulazione attuale della norma (o della realizzazione pratica?)
che mi sembra un mezzo casino, tra buste chiuse, incaricati,
casseforti, etc. Nella maggior parte dei casi se scopro la password 
della
segretaria il peggior danno che possa causarle è cancellarle
i record del solitario di win.
Non so proporre di meglio, intendiamoci. Ma mi resta quel retrogusto
di 'perfettibilità'.
-- 
ValeRyo 

 genere lo trovo immotivato e immaturo.
Avete/hanno un capo immaturo oppure ci sono motivi per questo
comportamento che non sappiamo, ma se sta accedendo ai vari
PC come 'amministratore del sistema informatico' e i sistemi stessi
sono ad uso strettamente aziendale allora non mi risulta che stia
commettendo illeciti.
-- 
ValeRyo

 ha scritto nel messaggio 
news:1141208021.1...@i40g2000cwc.googlegroups.com...
Ho seguito in questo peiodo un cliente proprio su questo agomento...
l'adeguamento al dps...
Sono a conoscenza delle passwod di amministazione del sistema soltanto
coloro che hanno accesso ai server (i cui nomi sono scitti nel
dps...firmato)
...le password dei server devono essere comunque tenute
scritte in busta chiusa, sigillata e chiusa in cassafote...questa busta
deve essere custodita dal responsabile della privacy (che non deve per
forza essere l'amministatore della rete).
Le password dei client le conoscono soltanto gli operatori di tali pc.
Cambiamento obbligatorio di tale password massimo ogni 6 mesi
(consigliano 3), richiesto in automatico dal sistema.
Ogni client deve essere configuato soltanto con un utente
amministratore locale (l'utente utilizzatore del pc sarà configurato
in active directory), la quale password, è custodita, come le altre,
in busta chiusa (sempre data al responsabile)...
IMO queste affermazioni sono opinioni personali.
Ti spiacerebbe indicare dopo ogni frase a quale articolo di legge fanno 
riferimento? 

 'proprietari' di  entrare in ufficio.
non penso sia quello che intendo io. Non ci sono quote aziendali o soci
perché è una fondazione. 


In realta' il problema della "storicizzazione" non e' tale. Infatti quello 
che si richiede nel Codice e' (allegato B punto 6) la necessita' di non 
usare, anche in tempi diversi, lo stesso "codice di identificazione", non la 
password e nemmeno la combinazione che forma le "credenziali".
E' quindi una soluzione quella di tenere storia dei "codici di 
identificazione", in qualsiasi modo.
Diverso e' il problema della verifica degli adempimenti sulle password, in 
pratica sul cambio.
Non sempre il sistema informatico mette a disposizione qualcosa che consenta 
di porre scadenze e controlli (in questo caso non vi sarebbe alcun 
problema).
Una soluzione puo' essere quella di attribuire al "custode delle password" 
il compito di controllare il periodo di validita' per richiedere il cambio 
all'Incaricato, per esempio custodendo le buste delle password in ordine di 
scadenza (quando le riceve appone un timbro datario). Pero', se il sistema 
informatico non e' predisposto per farlo, nessuno potra' mai controllare che 
il cambio sia stato realmente effettuato (l'Incaricato consegna una nuova 
busta ma non ha fatto il cambio).