Newsgroup: it.diritto.internet
Titolo: ISP, Password delle mailbox

Ciao a tutti,
sono il gestore tecnico di un piccolo ISP con qualche migliaio di mailbox.
In ottemperanza al D.L.196/30 Giugno 2003 ho automatizzato l'avviso ai
clienti relativo al cambio password usando un programma chiamato
passwd_exp (sotto sistemi GNU/Linux). Due giorni fà sono arrivati i primi
avvisi di dover cambiare la password, pena disattivazione dell'account. Ed
ecco anche le prime lamentele da parte dei clienti che:
1) Non ricordano la password
2) Non vogliono cambiare la password
3) Non sapevano di avere una password
Molti di questi clienti sono, appunto, dipendenti di aziende che ospitano
le loro mailbox aziendali sui miei servers e le password sono sempre state
gestite dalle aziende. Da qualche anno ho irrigidito le regole inserendo
password casuali al posto di username:nomeazienda o simili. 
A questo punto mi domando cosa è giusto fare:
- Lascio perdere gli avvisi e la scadenza e chi se ne frega della legge
- Invio la password a tutti i clienti (tecnicamente impossibile)
- Me ne frego delle lamentele dei clienti
Consigliatemi voi ;-)
Oz
-- 
------
O-Zone ! (C) 2004
http://myphotos.zerozone.it
 << MyPHOTOS GPL Photo Blog ! Join now !

 
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
	Prima di parlare collegare la spina del cervello,
	 leggere e in caso di schermata blu riavviare.

 clienti.
Già fatto con una e-mail inviata a tutti i clienti circa 3 mesi addietro.
Ho anche approntato, secondo le disposizioni dell'allegato tecnico B, un
form via web dove il cliente può gestire autonomamente la password....
MA SEMBRA CHE IMPROVVISAMENTE TUTTI ABBIANO PERSO LA MEMORIA E LA
CAPACITA' DI LEGGERE !!!!!


 3) Non sapevano di avere una password
Secondo me te ne devi fregare. Non è responsabilità tua fare in modo che 
i tuoi clienti siano in regola con la legge sulla provacy ed inoltre uno 
potrebbe utilizzare la casella senza per questo ricadere nella legge 
sulla privacy (non tratta dati sensibili via mail) e quindi non è 
obbligato a cambiare la password. Questo secondo me vale per tutto il 
resto (es: accesso FTP al sito, accesso ad aree riservate..)
Al massimo li puoi informare della presenza di questa normativa.

 obbligato a cambiare la password. Questo secondo me vale per tutto il 
Errore ! L'allegato tecnico B del D.Lgs 196/30 parla di cambio password
ogni 180 giorni oppure, nel caso di dati sensibili, ogni 3 mesi (90 gg).
Tutti sono tenuti al cambio della password ogni max 6 mesi !


 Tutti sono tenuti al cambio della password ogni max 6 mesi !
Assolutamente no.
Dipende dall'uso che ne fai della casella di posta. Se non ci tratti 
dati sensibili o personali non devi.
Se usi la casella solo con gli amici che fai, cambi la password ogni 180 
? Ti sembra che la legge ti possa obbligare a fare una cosa del genere?
Tu mandi l'informativa a tutte le persone con cui scambi mail? Dipende 
dal contesto.

 ? Ti sembra che la legge ti possa obbligare a fare una cosa del genere?
Direttamente dall'allegato tecnico B del Dlg 196/30 Giugno 2003:
5. La parola chiave, quando è prevista dal sistema di autenticazione, 
è composta da almeno otto caratteri oppure, nel caso in cui lo strumento
elettronico non lo permetta, da un numero di caratteri pari al massimo
consentito; essa non contiene riferimenti agevolmente riconducibili
all'incaricato ed è modificata da quest'ultimo al primo utilizzo e,
successivamente, almeno ogni sei mesi. In caso di trattamento di dati
sensibili e di dati giudiziari la parola chiave è modificata almeno ogni
tre mesi.
Non vi è alcun riferimento al tipo della casella e della corrispondenza
che vi transita !!!


 Oz
Certo che no, ma hai perso il contesto. Come è titolato il testo unico? 
A che dati si riferisce? Le centinaia di articoli che precedono 
l'allegato B non servono a niente?

Topper wrote:

P.S. Ovviamente sei libero di fare quello che vuoi, puoi decidere di 
fare cambiare le password ogni 3 mesi, tanto meglio per la sicurezza. Il 
discorso è che per esperienza alla maggior parte degli utenti non glie 
ne frega niente di sicurezze e password. Fagli cambiare la password ogni 
3 mesi e rischi di renderli scontenti. Eviterei pertanto di imporre 
certe cose quando non sei obbligato.


fregatene, non sei obbligato a gestire la qualita delle password dei
clienti.