Newsgroup: it.diritto.internet
Titolo: archiviazione password

Ho una discussione in corso con dei colleghi...
Secondo voi gli utenti di una rete aziendale, ognuno dotato di utente e
password, devono comunicare i cambiamenti della propria password
personale all'amministratore di rete?
Secondo me no in quanto l'accopiata username+password e' il mezzo con
cui l'utente accede in modo sicuro alla rete/workstation e viene
identificato. In pratica voglio dire: se comunico a qualcuno la mia
password poi non mi si puo' piu' imputare azioni anche dolose fatte con
quell'utente. 
Altra domanda: e se le password fossero consegnate in busta chiusa e
l'amministratore di sistema non le aprisse?
  ciao
--------------------------------------
 Fabrizio Accatino
 Email: 
fht...@geocities.com
 
http://www.geocities.com/fhtino
--------------------------------------

 quell'utente.
C'è una ricca normativa al riguardo. Mi sembra di ricordare che anche per
motivi legati alla legge sulla privacy e sulla tutela dei sistemi di
sicurezza gli amministratori/responsabili della sicurezza sono tenuti a
conservare tutte le password del sistema.

 conservare tutte le password del sistema.
Due osservazioni:
- legge privacy: cosa c'entra la legge sulla privacy? Se io
amministatore non conservo le password non ho nessun obbligo al riguardo
di quelle passord (proprio perche' non le ho).
- sicurezza: non capisco perche' un admin dovrebbe registrarsi le
password. Se tizio accede al sistema e fa casini, piglio tizio e lo
sculaccio. Non mi interessa la sua password. Inoltre, come ho detto
nell'altro messaggio, la password e' *mia*. Se potenzialemente
qualcun'altro la conosce  non mi si puo' piu' accusare di nulla.
Sbaglio?


 Sbaglio?
Il punto non è capire cosa è logico ma capire a cosa pensava il legislatore.
Nella fattispecie, devi considerare che qualsiasi attacco a un sistema non
adeguatamente protetto diventa praticamente impossibile da perseguire per
legge. Ergo, è possibile che la legge richieda che tutti le password siano
conservati da un responsabile che ne è, appunto, responsabile. Su uno dei
motori di ricerca legali italiani dovresti comunque trovare tutte le
informazioni. Anzi, su 
deja.com
 puoi spulciare i post vecchi del NG: se
n'era già parlato.

 personale all'amministratore di rete? <snip>
No, per vari motivi:
1) la password e' 'strettamente personale', e non va data a nessuno,
amministratori compresi. Prima regola di sicurezza delle reti aziendali.
2) Un amministratore ha i previlegi per accedere ai tuoi dati comunque,
anche senza bisogno della tua password.
3) La comunicazione dei dati strettamente personali e' soggetta ad
approvazione di chi quei dati li possiede, e il soggetto che li richiede
deve motivare la richiesta stessa. Nel caso in esame, l'amministratore
non e' in grado di fornire una giustificazione valida per quel tipo di
richiesta, potendo egli accedere ai dati dell'utente senza usarne la
password. L'utente quindi puo' rifiutare il comunicare la propria
password all'amministratore; nel caso tale rifiuto comporti sanzioni nei
confronti dell'utente, egli puo' contestare tali sanzioni in quanto
comminate/commesse "senza giustificato motivo".
Andrea
--------------------------+-------------------+------------------
 ('<   Andrea             |  arimicci   @@    |     Internet
 /V\        Rimicci       |   aritaly . com   | Abuse Department
<(_) 
http://andrea.3q.to/
 |  (I'm male, uh!)  |     AR Italy
--~~----------------------+-------------------+------------------
 /__ /\    The Italian Job Market      Il Mercatino del Lavoro
](__=_`)apx       
http://www.aritaly.com/ita/mer/index.hts
-----------------------------------------------------------------

No, per vari motivi:
Scusate se intervengo... nel DPR 318 del 28/07/99 all'art. 2 comma a),
dove si parla di "parola chiave", ovvero password, si legge "prevedere
una parola chiave per l'accesso ai dati, fornirla agli incaricati del
trattamento e, ove tecnicamente possibile in relazione alle
caratteristiche dell'elaboratore, consentirne l'autonoma sostituzione,
previa comunicazione ai soggetti preposti ai sensi della lettera b)"
Ora, nella mia azienda la direzione ha applicato alla lettera il
decreto ed ha voluto le password. Ho provato a protestare ma non c'e'
stato nulla da fare, d'altra parte il DPR parla chiaro, no? (secondo
me no, e anche il direttore di InterLex pare d'accordo... c'e' una mia
lettera datata 31/05/2000 con sua risposta su
http://www.interlex.com/attualit/inb2000.htm
)
Jojo

 previa comunicazione ai soggetti preposti ai sensi della lettera b)"
Eccellente. Era la normativa a cui mi riferivo ma che non riuscivo a
reperire.

 stato nulla da fare, d'altra parte il DPR parla chiaro, no? <snip>
Sei andato OT:
La domanda originale era riferita ad una rete aziendale, dove veniva
chiesto di fornire la propria password a terzi, il tuo post invece e'
riferito nello specifico ambito del trattamento dei dati personali
mediante elaboratore. Spero che la differenza sia apprezzabile...
Nel tuo specifico, una attenta lettura del DPR evidenzia le seguenti:
- soggetti del dpr sono le entita' che trattano dati personali
- nell'ordine, una applicazione corretta del dpr fa si che:
  . l'azienda definisce i responsabili del trattamento
  . l'azienda dota di parola chiave i dati, e la fornisce ai 
resp.li
  . se i 
resp.li
 sono piu' di uno, e cosi' le parole chiave, allora si
    emette un documento scritto dove si elencano i loro nominativi
  . le variazioni delle parole chiavi vanno quindi notificate ai
    responsabili suddetti.
Quindi, per rispondere al tuo caso: se eri uno dei "responsabili del
trattamento" individuato ai sensi della lettera b) di tale dpr, allora
la tua azienda ha agito correttamente.
Se non sei uno dei "responsabili del trattamento" individuato ai sensi
della lettera b) di tale dpr, allora la tua azienda ha male interpretato
il dpr, ovvero lo ha applicato fuori dal suo campo di applicazione.


il dpr, ovvero lo ha applicato fuori dal suo campo di applicazione.
Io sono un *incaricato* al trattamento e ai sensi della lettera a) la
mia password deve essere conosciuta dai *responsabili* del
trattamento.
Il fatto che sia una stupidaggine non toglie che la mia azienda abbia
interpretato alla lettera il DPR-
Jojo

sostituire...
E dalle tue parti il "previa comunicazione ai soggetti preposti" che
significato ha?
Jojo

[mica c'č scritto che ti devo comunicare *anche* la password...]
Interpretazione che ho tentato di dare anch'io... risposta che ho
ricevuto (piu' o meno): "ma e' OVVIO che il punto a) dice di
comunicare *la password*!.. Che se ne farebbe altrimenti il soggetto
incaricato di sapere semplicemente che e' stata cambiata?"
La realta' e' che il DPR 318 e' scritto male da gente che non se ne
intende e nelle aziende altrettanto, chi ha l'incarico di seguire i
processi legali e giuridici non ha competenza tecnica.
Comunque io ho risolto comunicando una password completamente falsa.
Jojo

 del trattamento.
Il thread lo avevo aperto io e mi sembra che il "trattamento di dati
personali" non c'entri nulla.
Il mio caso e' abbastanza semplice:
- rete NT con dominio
- utenti del dominio NT
- ogni utente ha un username e password con cui accede 
  alle risorse di rete (stampanti, file, ecc.)
- gli utenti sono i dipendenti dell'azienda: impiegati, 
  segretarie, progettisti, consulenti, ecc.
In una situazione di questo genere non capisco perche' i singoli utenti
debbano comunicare la propria password all'amministratore di rete.
Secondo me ha ragione Andrea Rimicci quando parla di password come
"strettamente personale".


personali" non c'entri nulla.
Con atteggiamenti di questo tipo ogni discussione e' preclusa. Mi
limito ad un commento, anzi, ad una domanda che non richiede risposta:
hai idea della ragione per la quale l'amministratore della rete
vorrebbe le password?
Jojo
PS: f/up impostato

 PS: f/up impostato
Disattivato.
   saluti
