Newsgroup: it.diritto.internet
Titolo: 196/2003: un paio di domande sugli archivi elettronici e i sistemi operativi

Apro un topic che mi auguro generi interesse.
1) Alla luce della compliancy alla 196/2003 è possibile utilizzare sistemi 
operativi ormai obsoleti (ad esempio, windows 9X, NT4 o Me) per la 
registrazione/gestione di dati personali (anche se non sensibili o 
giudiziari). Da quanto ho capito leggendo la Norma (cfr. articolo 31 
Obblighi di sicurezza e art. 34 Trattamenti con sistemi elettronici) 
l'impiego di sistemi operativi "non al passo coi tempi" per attività di 
trattamento dei dati personali NON dovrebbe essere permesso.
2) Il DPS va redatto anche se i dati trattati tramite archivio elettronico 
non sono sensibili o giudiziari? Mi pare che ci sia un'incongruenza tra 
quanto riportato nella Norma e nel Disciplinare Tecnico. Pareri?
Grazie per le vostre risposte!
Ciao
MD 


Mah personalmente, visto anche l'atteggiamento che emerge in alcuni 
pareri del Garante, ritengo che il DPS sia da redigere solo in caso di 
dati sensibili. Tuttavia la norma in se è effettivamente di dubbia 
interpretazione (art. 34 punto g e punto 19 dell'all. B).

 trattamento dei dati personali NON dovrebbe essere permesso.
Occhio che Win9X e Me non permettono la gestione dei dati con
tutti i parametri di sicurezza imposti dall'allegato tecnico (ad esempio
si può accedere al pc senza password). Qusto al di là o meno del
supporto del produttore per hot fix e patch.
Fra

 all'11/01/2007. NT mi risulterebbe ancora supportato.
Dal punto di vista prettamente legislativo al punto 17 dell'All. B si parla 
di "aggiornamento almeno semestrale" nel caso di trattamento di dati 
sensibili ed almeno annuale negli altri casi.
Per quanto riguardo il termine del supporto per gli OS 9X e ME  è stato 
spostato al 11/07/2006, già trascorso 
(
http://support.microsoft.com/gp/lifean18
).
Riporto da questa stessa pagina: "Microsoft terminerà il supporto per questi 
prodotti perchè questi sistemi operativi potrebbero esporre i clienti a 
rischi di sicurezza. Raccomandiamo ai clienti che utilizzano ancora Windows 
98 o Windows Me di aggiornare, al più presto, il PC con un nuovo e più 
sicuro sistema operativo Microsoft come Windows XP."
E' poi ovvio che i termini degli aggiornamenti proposti dal legislatore (6 o 
12 mesi) mal si applicano all'ambito informatico: ogni giorno vengono alla 
ribalta nuove vulnerabilità e virus informatici.
Tenendo anche in considerazione i rischi legati al trattamento dei dati 
(parificato ad attivita pericolosa ex art. 15 196/2003 e 2050 c.c. solo per 
restare in ambito di responsabilità civile) ritengo che un sistema operativo 
non più supportato non possa essere ritenuto sicuro, indipendentemente dal 
tipo di dati personali trattati. Che ne pensate? 

 indipendentemente dal tipo di dati personali trattati. Che ne pensate?
Sono completamente d'accordo
Fra

 quanto riportato nella Norma e nel Disciplinare Tecnico. Pareri?
No, il dps è obbligatorio solo per dati sensibili trattati
elettronicamente.
-- 
 Candido - 
http://candido2k.blogspot.com/

Fra ha scritto:

Se però i dati non risiedono sul pc ma su un server che permette l'accesso 
solo con user e pass ben precisi?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
New York!  Grande citta'!  Venite a visitarla: vi arresteranno!
		-- Michael Keaton

 solo con user e pass ben precisi?
Appunto. E se crittografo tutti i dati?
Ma ci pensate a quanti ancora usano il dos perché hanno gestionali che
funzionano solo con quello? :-)


> Appunto. E se crittografo tutti i dati?
Sě ok, č chiaro che prendendo misure AGGIUNTIVE si puň
fare tutto. Io parlavo del semplice e nativo sistema operativo.
Fra

 (
http://support.microsoft.com/gp/lifean18
).
[snip]
Per win 98 e ME posso esser d'accordo, per OS 9 no perché non mi
risultano esistenti rischi di sicurezza.
E' indicato forse da qualche parte nella legge o negli allegati il nome
dei sistemi operativi?
Gabriele

 Candido - 
http://candido2k.blogspot.com/
Allora il disciplinare tecnico ha valore legislativo quanto la norma?
Ho sentito pareri contrastanti a questo riguardo...
Grazie
MD 


Concordo appieno.
MD 

 Gabriele
Ciao
MD 

 tipo di dati personali trattati. Che ne pensate? 
Penso che la legge da delle misure "minime" che devono essere *comunque* 
osservate, poi è ovvio che un antivirus aggiornato ogni 3 mesi è una 
grandissima c***ta. All'opposto: un sistema operativo supportato fino 
all'11/07, il 12/07 diventa insicuro? E' chiaro che un termine va 
comunque definito anche perchè le dichiarazioni del produttore possono 
essere dettate da considerazioni di varia natura al limite in contrasto 
con la sicurezza (esempio per assurdo: XP è uno schifezza peggio di 
Windows ME ma ci guadagno molto di più per ogni copia che vendo).
D'altra parte la legge ti dice esplicitamente che devi fare quanto 
possibile per evitare danni (art. 31).
Però fai attenzione: solo le misure *minime* sono sanzionabili anche in 
assenza di danno.
Il resto dipende dalla tua posizione: sei il titolare? Sei un incaricato?
Poi posso essere d'accordissimo con te che in Italia le leggi le 
scrivono persone che sembrano avere un livello culturale ed una capacità 
intellettuale al di sotto della media: occorre rilevare, purtroppo, che 
è comune arrivare alla laurea con grosse difficoltà al livello di 
ortografia (te lo dico per esperienza personale).

 fare tutto. Io parlavo del semplice e nativo sistema operativo.
Ma la norma non tutela i sistemi informatici, ma i dati..
Non perdiamo di vista il punto della questione... :)


 Ho sentito pareri contrastanti a questo riguardo...
Se ne č parlato in lungo e in largo, la soluzione č quella che ti ho
riportato (ed č anche la piů logica). :)


 dei sistemi operativi?
No, sarebbe un grave errore farlo.


 Non perdiamo di vista il punto della questione... :)
Il punto è che chi tratta dati sensibili con Windows98
deve cambiare OS oppure prendere misure aggiuntive.
Win98 non è conforme all'allegato tecnico del DPS.
Fra

> Parla per il *tuo*.
Allegato tecnico o Windows98?
Mi sa che non li conosci (entrambi)
Fra

 deve cambiare OS oppure prendere misure aggiuntive.
Esatto, sono i dati il punto principale, non il sistema operativo. Win98
puň andare bene, come puň andare bene il dos o una distribuzione di
linux o anche OS2, purché i dati siano al sicuro.


 linux o anche OS2, purché i dati siano al sicuro.
Vi è però da considerare che fra le misure minime, la cui mancata 
applicazione è sanzionabile anche in assenza di danno, è indicato 
esplicitamente l'obbligo di aggiornare il software utilizzato per i 
trattamenti.

 trattamenti.
Appunto: il software, non specificatamente il sistema operativo.


 Ma vai a trollare da un'altra parte ignorantello.
PLONK
imbecille
Fra

 ha scritto nel messaggio 
news:1hkklak.tcqt731ue9iu6N%cand...@gmail.com...

MMhhh..Scusatemi ma allora mi sono perso in qualche dettaglio normativo o 
comunque qualcosa mi sfugge.
Fintantochè l'art. 31 indica la necessità di "misure di sicurezza idonee e 
preventive"  atte a ridurre al minimo i rischi sui dati, come è possibile 
ridurre il problema della sicurezza dei dati stessi al solo problema del 
software utilizzato per il trattamento dei dati?
Per chi conosce un minimo di teoria della sicurezza informatica è palese che 
il livello di sicurezza (prettamente applicativo) non è il solo ad essere 
coinvolto nella sicurezza del trattamento: anzi è proprio il sistema 
operativo con le proprie caratteristiche di configurazione e sicurezza a 
caratterizzare la solidità di un sistema (informatico) e a garantire la 
PROTEZIONE dei dati. Per questo motivo a mio giudizio non ritengo comunque 
adeguate le caratteristiche di sicurezza di Windows 9X/Me e rimango 
dell'opinione che l'analisi del "software" da impiegare per il trattamento 
dei dati non può limitarsi al solo programma di gestione dei dati personali.
Ditemi dove sbaglio ;)
Ciao e grazie a tutti
MD

 MD
Se io prendo uno win 98, ci installo sopra un client di desktop remoto e 
quindi lavoro fisicamente su un win 98 ma realmente su un 2003 server perché 
win 98 dovrebbe essere un problema?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
I cappellini di mia moglie non passeranno mai di moda.
Saranno sempre buffi.
		-- Jack Klugman

 Ditemi dove sbaglio ;)
Tu puoi installare sopra Windows 98 un tool di terze parti che permetta
la criptazione dei dati (ad esempio) e l'accesso sicuro e tracciato da parte
di singoli utenti (sempre gestiti dal software stesso). In questo modo i 
dati
sarebbero tecnicamente al sicuro.
Fra

 Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Piů di un desktop remoto forse con una virtual machine il tuo ragionamento 
offrirebbe maggiori garanzie di protezione.
http://www.oxid.it/downloads/rdp-gbu.pdf
 Il desktop remoto non *SEMPRE* č una soluzione "sicura" ;)
Ciao
MD 

 Fra
Forse: attenzione a non farsi ammaliare dalla "security by obscurity": 
quanti keyloggers sono in grado di intercettare le credenziali per stabilire 
connessioni protette? Leggete se vi va il numero di PC prof. di agosto per 
qualche esempio...
Ciao e grazie per le risposte!
MD 

 agosto per
Un keylogger te lo trovi anche su Linux, Windows XP o Mac. Sta a
te, ovviamente, proteggerti da key logger con appositi strumenti (antivirus,
firewall, ecc.)
Fra

 
Dal punto di vista tecnico, per esempio, perchè username e password per 
il link al desktop remoto possono essere memorizzate nella cache secondo 
modalità tali per cui sono recuperabili, perchè posso facilmente 
installare sistemi di registrazione delle sessioni ecc. ecc.
Dal punto di vista legale c'è una normativa che impone l'aggiornamento 
del software (software sono anche i device driver ed il s.o.) può anche 
essere discussa ma va osservata e *fatta osservare* e questo significa 
che se sei al corrente che qualcuno la viola saresti tenuto a denunziarlo.

 riportato (ed è anche la più logica). :)
E' una tua, peraltro rispettabile, opinione non è *la soluzione* e non è 
*la più logica*

 che se sei al corrente che qualcuno la viola saresti tenuto a denunziarlo.
Ma no, nessun obbligo di denuncia, ci mancherebbe altro... :-)


 Ditemi dove sbaglio ;)
Semplicemente vedi le cose dalla prospettiva dell'informatico, che però
è leggermente diversa da quella legale. :-)
La legge prevede una serie di misure minime senza riferirsi al sistema
operativo, quindi non è corretto stabilire che un sistema operativo a
priori sia fuori norma (per quanto sia altamente consigliabile non
utilizzarlo).
Tu giustamente come tecnico sconsigli l'uso di quel sistema perché
facilmente può mettere a rischio i dati, se non vengono prese le
opportune precauzioni.
Questo, però, non significa che sia l'unico modo lecito di agire.
Posso immaginare il casino che verrebbe fuori se tutti quelli che hanno
licenze di win95/98 fossero obbligati a comprare le nuove licenze di
winxp... :-)


 *la più logica*
No no, non è mica mia! :-)
Riporto solo quanto è emerso in questi anni di discussioni!
Ti dico che la soluzione è assolutamente pacifica, per questo sono
sicuro di quanto affermo.
Poi, se uno deve "vendere" dps è più facile che ti dica che è comunque
obbligatorio, o che è "meglio" farlo... Per questo gira ancora la teoria
del "dps sempre"... :)


Candido ha scritto:

Premesso che non vendo DPS, sono d'accordo con te.
Solo che avevo perduto il filo del thread e cedevo ti riferissi 
all'obsolescenza dei s.o.

M D ha scritto:

Il keylogger c'è anche da mettere nella tastiera, quindi non puoi usare una 
tastiera per il pericolo di keylogger?
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
Perche' mai dovrei desiderare di essere Flaubert quando ho la fortuna di
essere Aldo Busi?
		-- Aldo Busi


Mettiamola così: visto che esistono software maligni di tipo malware in 
grado di installare i keyloggers, e per l'appunto anche piccolissimi (ed 
economici) dispositivi hardware, in grado di intercettare le pressioni dei 
tasti o perfino software capaci di catturare addirittura i click del mouse 
(con coordinate del puntatore sullo schermo e snapshots!), a mio parere non 
è sufficiente stabilire una connessione protetta per considerarsi "al 
sicuro" e occorre (in primo luogo, ma non solo!, v. problematiche di 
sicurezza del perimetro fisico, ad esempio) usare sistemi operativi 
regolarmente aggiornati per mantenere un livello di sicurezza adeguato ai 
rischi da fronteggiare.
Ecco perchè, malgrado la normativa non sia cristallina a questo proposito 
(v. risposte in merito alla mia seconda domanda ad inizio thread) ritengo 
che un'analisi dei rischi non sia fuori luogo se bisogna identificare i 
rischi gravanti sul trattamento dei dati eseguito tramite archivi 
elettronici e stabilire quali contromisure implementare per garantire la 
protezione dei dati e l'affidabilità di un servizio, *indipendentemente 
dalla tipologia di dati personali trattati*.
Ciao
MD 

 Candido - 
http://candido2k.blogspot.com/
Chiarisco subito che nemmeno io vendo DPS ;).
Sono però un "appassionato di sicurezza informatica" e per questo ci tengo 
in primis a responsabilizzare chi mi chiede consigli o suggerimenti su come 
proteggere la propria infrastruttura informativa: in questo caso (la 
problematica della conformità alla legge sulla privacy) il DPS è la maniera 
migliore per mettersi di fronte alla realtà delle cose.
Altre motivazioni per cui ritengo sarebbe importante farlo sono descritte in 
un altro post di questa mattina su un altro ramo del thread.


 dalla tipologia di dati personali trattati*.
Il punto è dimostrare di aver fatto tutto il possibile per la tutela del 
dato.
Cioé se hai Windows98 significa dimostrare che hai usato software per
criptare i dati, chiavi di accesso univoche, antivirus aggiornati, firewall
sulla connessione Internet, ecc. Se poi qualcuno decide di attaccarti e
scrivere dei malware apposta per te... bé..... Windows98 o no c'è poco
da fare, eh? :-)
Fra


Ciao MD

 una tastiera per il pericolo di keylogger?
Non è questo il punto: il punto è che la legge ti impone di aggiornare 
il software, non è una questione di interpretazione e lasciamo perdere 
lo "spirito della legge" se non è suffragato da documentazione.
Quando arriva la finanza da chi la mando?
"Signor finanziere c'è un tipo su un newsgroup che mi ha detto che si 
può usare anche il DOS..."

 questo avviso all'articolo 31).
Non tieni conto di molti fattori, non da ultimo quello economico.
Spesso costa meno sopportare il rischio di un danno piuttosto che
mettere in piedi un popò di sistema ultra sicuro, senza contare la
possibilità di stipulare un'apposita assicurazione...
La sicurezza estrema conviene proprio quando il danno economico sarebbe
più elevato della spesa per evitarlo.


 migliore per mettersi di fronte alla realtà delle cose.
Ma dai, è solo un'altra scartoffia che si aggiunge alle altre...
Anzio, c'è il rischio che il dps venga visto come misura sufficiente...


 Quando arriva la finanza da chi la mando?
Ti pare che venga la finanza a controllare che tu abbia il dos
installato? :)
Dai, cerchiamo di essere seri... :)


 ha scritto nel messaggio 
news:1hkms1a.1bihdip1fv73pcN%cand...@gmail.com...

Sono d'accordo con te: per questo parlo sempre di "contromisure adeguate" 
(al rischio). Sta a chi è il Titolare/Responsabile decidere se "accettare il 
rischio", attuare delle contromisure o al limite "trasferire il rischio" 
(assicurazioni).
MD 

 ha scritto nel messaggio 
news:1hkmu5d.1dprdjp1nrqsojN%cand...@gmail.com...

Non ci giurerei ma non potrei di certo escluderlo a priori!
Ti va meglio la polizia Postale? ;)
Ciao
MD 

 ha scritto nel messaggio 
news:1hkmsah.ei64t31za6u9N%cand...@gmail.com...

Non sono proprio d'accordo: dipende chi lo fa e come!
So che esistono programmi che lo fanno in pochi minuti: pensi che questi 
siano in grado di effettuare un'analisi dei rischi degna di tal nome? Io 
credo di no...
Poi si sa: siamo in Italia e spesso basta il pezzo di carta per sentirsi 
"sicuri"...
Ciao
MD 

 (assicurazioni).
In effetti, per quanto ne so io, molti professionisti girano la cosa al
commercialista e in più sono assicurati. Non che il commercialista sia
più qualificato, ma semplicemente perché in genere si prende ogni
responsabilità in caso di errore, visto che non gli conviene perdere un
cliente.


 Ti va meglio la polizia Postale? ;)
Dai, che hanno cose ben più gravi da controllare...
Questo tipo di controlli li fanno solo se nascono problemi con dei dati,
quando la frittata è già stata fatta, altrimenti penso sia ben raro che
si muovano solo per questo..


 credo di no...
Se (e sottolineo se) ti controllano, è sufficiente che tu ce l'abbia,
anche se copiato dal compagno di banco.
Se ci sono stati dei problemi, una volta che c'è il danno, dps o non dps
non cambia poi molto, no?
IMHO bisogna lavorare sulla "cultura" della sicurezza, non sulla
"sensazione" della sicurezza... Il dps lavora sulla sensazione di essere
sicuri, grazie a un pezzo di carta... Che poi è il massimo, avere un
pezzo di carta per implementare la sicurezza dei propri sistemi
digitali... Alla faccia della semplificazione e dell'eliminazione della
carta... ;)


 sufficiente...
Io voglio capire chi è che cura la sicurezza informatica senza mettere per 
iscritto come l'assicura.
Se non lo scrive significa che non se ne occupa, o che è meglio che non 
faccia l'imprenditore o il professionista.
Se vuoi assicurarti contro i relativi rischi, credi che l'assicurazione non 
chieda ben più che un misero DPS per quantificare il premio?
Lasciamo pure ad operare sul mercato qualsiasi bru-bru, ma poi non 
stupiamoci se ogni anno qualche milione di turisti va in Spagna o in Grecia, 
invece che tornare in Italia. 

 invece che tornare in Italia. 
Cosa centra il dps con i turisti? :P


 Dai, cerchiamo di essere seri... :)
1) Si, parlo x esperienza e sono una persona serissima.
2) proprio perché si tratta di argomenti molto seri e anche con 
implicazioni penali, è bene essere circostanziati nelle risposte e, ove 
si espongano opinioni personali, evidenziarlo.
Leggo le vostre eventuali risposte e poi chiudo il thread.
saluti

 Cosa centra il dps con i turisti? :P
Infatti. A francesi e tedeschi non frega niente, né della privacy, né della
professionalità, che comprende anche un uso trasparente e corretto dei dati
del cliente.
Come si vede che non hai girato il mondo. Ma almeno leggere le informative
della grandi multinazionali è alla tua portata. Forse potresti desumerne che
il cittadino medio occidentale non ha un approccio di tipo aumma-aumma alla
problematica.

 1) Si, parlo x esperienza e sono una persona serissima.
Puoi raccontarci qualcosa in proposito?


 problematica.
Scusa, non sono molto uomo di mondo quindi davvero non capisco cosa
centri il turismo con il dps, me lo spieghi in parole povere?
