Newsgroup: it.diritto.internet
Titolo: Monitoraggio e privacy

Ciao a tutti. La mia domanda non riguarda proprio internet, ma ha
comunque a che fare con trasmissione dati e diritto, per cui spero che
qualcuno competente in materia possa darmi un parere legale.
Recentemente si parlava di monitoraggio del traffico di una rete dati
aziendale per la ricerca di anomalie come ad esempio traffico anomalo
proveniente da pc infettati da virus, peer to peer, ecc
Tecnicamente la cosa non sarebbe neanche troppo complicata da
implementare, andando a monitorare i punti di passaggio principale del
traffico, ivi comprese le connessioni ad internet, consentendo di
tracciare un rapporto che leghi ogni computer (indirizzo ip interno)
al traffico effettuato (suddiviso per tipo) ed ai computer (indirizzo
ip esterno) con i quali questo è stato effettuato.
Il contenuto di questo traffico non sarebbe soggetto a nessun tipo di
analisi oltre all'individuazione del tipo (es HTML, DNS, MAIL) in base
al protocollo od alle porte utilizzate e l'entità dello stesso.
L'oggetto della contesa è, manco a farlo apposta, la legalità della
cosa in un ambiente aziendale. Per cui la mia domanda è: quali sono,
legalmente parlando, gli obblighi e le modalità di attuazione di una
simile azione? Cosa può essere loggato? A quali leggi si dovrebbe fare
riferimento?
Grazie a tutti
				Cristian

 
Che bella domanda da 1.000.000 di Euro!
Ci sono studi legali e aziende di consulenza (noi inclusi) che vivono di
queste domande, ti auguro che qualcuno si avventuri a darti una risposta
nel NG....
No, a parte gli scherzi... il problema è davvero complesso. Da un lato ci
sono leggi che "invitano" al monitoraggio (il recente pacchetto Pisanu, la
196/2003 sulla Privacy, per alcuni versi lo stesso Codice Civile) ed altre
che naturalmente e giustamente tutelano i diritti dei lavoratori e dei
cittadini a non essere monitorati (Statuto dei Lavoratori, Codice Civile e
Penale, etc.).
Non ci sono risposte "a taglia unica" per ogni tipo di organizzazione.
Dipende chi sei, come sei organizzato, che tipo di dati tratti, che tipo di
collaboratori hai, che obblighi normativi si applicano; è un lavoro col
"bilancino da farmacista" da fare fra esperti di sicurezza (organizzativa e
tecnologica e più la prima che la seconda), ufficio legale e ufficio del
personale. Risposte generiche possono solo portare a guai seri....
l'implementazione è un fatto molto delicato, passare dal "monitoraggio"
alla "intercettazione" è questione di un attimo se non si sta attenti!
-- 
AB

alla "intercettazione" è questione di un attimo se non si sta attenti!
Monitoraggio, per come la vedo io, è la raccolta di dati a scopo
statistico, come ad esempio l'ammontare del traffico generato e la
suddivisone per tipologia. Il contenuto del traffico rimarrebbe del
tutto sconosciuto e quindi riservato, in quanto non verrebbe
registrato in nessun modo. Se venisse registrato il contenuto delle
trasmissioni allora sì che sarebbe intercettazione.
O un semplice report del tipo:
IP	totale traffico   %tipo1  %tipo2
con la possibilità di sapere quali sono al più gli ultimi, non tutti,
host contattati potrebbe passare per intercettazione?
Ciao
		Cristian


In linea di principio vero. Ed è per questo che occorre essere molto chiari
sulle finalità del monitoraggio, perchè esistono naturalmente anche
tecniche deduttive. Per esempio cosa dedurresti da un log come questo dal
mio PC fra le 10:00 e le 11:00 di stamattina:
IP      target_host     protocol        bytes
my_pc   
wild_teens.org
  nntp            100 MB
my_pc   
redwives.com
    ftp             1000 MB
my_pc   
sukme.com
       https           250 MB
Ora tu sei il l'Amministratore. O ti è chiaro cosa ci fai di queste tre
righe di LOG (compreso il non farci nulla, che purchè ti sia chiaro va bene
anche il nulla) o (ti assicuro film già visto specie quando non c'è
separazione dei ruoli) l'amministratore che si sente autorizzato a fare lo
sceriffo va qualche ca___ta (leggi cavolata, naturalmente) che 1 volta su 3
finisce (male per l'azienda) davanti ad un giudice:
1) perchè l'amministratore di norma non ha la competenza giuridica per dire
le cose giuste (al di la delle apparenze qui l'unica cosa che si potrebbe
contestare --forse-- è che la stazione di lavoro con IP my_pc ha fatto
traffico non aziendale fra le 10 e le 11: dimostrare chi c'era a quella
stazione di lavoro a quell'ora è un'altra storia).
2) 9 su 10 il povero amministratore non è supportato da tutta l'impalcatura
organizzativa e di policy aziendali che gli servono per raccogliere quelle
tre righe di log, per leggerle e per farci deduzioni -- men che meno per
poi andare in giro a cazziare chichessia. Finisce col doversi difendere
lui, anzichè il contrario come dovrebbe essere!
-- 
AB

 cantate e ve la suonate".
in quanto spesso e volentieri chi fa l'amministratore di rete (specie in
realtà piccole e comunque tali da non sopportare l'assunzione di un Security
Manager), è tenuto anche ad intervenire prontamente in caso di situazioni di
rischio ed anche (e da qui la lettura dei log appunto), a controllare il
normale funzionamento dei servizi ed apparati di rete.
Quindi l'amministratore di rete "può" effettuare questi tipi di controlli
che sono intrinseci nel suo genere di lavoro.
Occorre semplicemente formalizzare il tutto.(e, ripeto, accordo sindacale
tra le parti)
my 2 cents
ale

 cosa in un ambiente aziendale.
Non sono un esperto, però posso dirti che, secondo me, la cosa è
sicuramente fattibile, a patto di implementare una policy di utilizzo
delle risorse aziendali di rete.
L'importante è che i dipendenti sappiano bene cosa possono fare, e
sappiano anche che esistono dei controlli per il buon funzionamento
della rete stessa.
L'importante, insomma, è non fare le cose di nascosto.
-- 
 Candido - 
http://candido2k.blogspot.com/

 host contattati potrebbe passare per intercettazione?
Un'azienda che intercetta se stessa?
Le risorse di rete sono _aziendali_ non del dipendente.


 Occorre semplicemente formalizzare il tutto.
mi rendo conto che ci sono realtà troppo piccole per permettersi di separare
i ruoli in due persone fisicamente separate. Ma almeno sia chiaro che la
stessa persona porta due (se non più) capellini e cosa fa quando indossa
quello di amministratore e cosa fa quando indossa quello di security
manager. Come dici giustamente tu "formalizzare" -- cosa che nelle
organizzazioni italiane è sempre difficile...
Poi ti dirò, giusto per allargare il discorso, che comincio in linea
generale ad essere sempre meno tenero con questa storia che sento da quando
sono entrato nel mondo del lavoro (e fanno 23 anni!) che siamo una economia
fatta di piccole realtà imprenditoriali, di piccoli geni disorganizzati ma
capaci e creativi, poi tutte le volte che ci va bene vedo gli imprenditori
(o presunti tali)  pavoneggiarsi di quanto il "modello italiano" che loro
rappresenterebbero funzioni, e quando vanno male è colpa del dollaro (che
salga o che scenda è indifferente, è sempre colpa sua), del petrolio (idem
come il dollaro) del governo (irrilevante di che colore).
Poi arriva qualcuno con modelli organizzativi tali che in 25 fanno quello
che loro non sanno fare con 250 dipendenti e si disperano... 
OK più OFF TOPIC di cosi' non ci potevo finire e chiedo scusa, ma questa
storia del siamo piccoli, siamo indifesi, che ci possiamo fare... mi
ricorda tanto una piccola italia fine fine 800 / inizio 900 col piattino in
mano che mi fa girare le gonadi a mille. Chiedo ancora scusa.
-- 
AB

 che loro non sanno fare con 250 dipendenti e si disperano...
guarda che concordo su tutto :)
semplicemente mi tocca di lavorare con aziende che ricalcano purtroppo
queste realtà.
Ti diro' di piu'... lavoro anche con aziende che hanno personale intorno
alle 2-300 unità e che operano per parte della loro struttura, in ambito
informatico. Bene.... li a volte trovo situazioni peggiori che non in
piccole realtà da 4-5 dipendenti "smaliziati".
E anche molti, moltissimi, troppi direi, enti pubblici versano nelle stesse
condizioni. (e non parlo di comunelli da 2000 abitanti... purtroppo sto
parlando di realtà anche intorno ai 20.000)
Domanda: perchè i piani di e-government non puntano su progetti "reali" di
formazione del personale e invece puntano "sempre" su gestioni tali da
obbligare gli enti a rivolgersi ad appalti affidati esternamente?
Perchè il Ministero dell'Interno oltre a fornire un piano di sicurezza CIE
(infarcito di strafalcioni ortografici e tecnici) non mette a disposizione
un semplicissimo applicativo web che permetta di autocompilare agli enti
questi piani? (e - ripeto - semplicissimo).
Perchè non forma gli enti che dovranno presentare questi piani? (non sono
complessi, e mi trovo nella situazione di doverli redarre per un gran numero
di enti).
Come libero professionista ovviamente la cosa che ho scritto sopra è una
zappa sui piedi, ma come cittadino di questo stato pretendo che gli enti
facciano cio' che sono preposti a fare: erogare servizi in situazione di
sicurezza reale e non semplicemente "scritta" e garantire la gestione del
territorio.
ale
p.s. AB: a proposito vi occupate anche di CIE oltre che di Privacy? mi
piacerebbe uno scambio di idee.


Il buon senso vorrebbe cosi'. Per esempio, la legge / giurisprudenza /
diritto (che non sono necessariamente sinonimi di buon senso... anzi...
boccaccia mia statti zitta!) dice pero' che l'email aziendale e' in certe
condizioni equiparata alla posta cartacea con tutte le garanzie di
segretezza della corrispondenza del caso...
-- 
AB


O my God! Pensaci un attimo, dai che puoi arrivarci e non e' un motivo
stupido... E' esattamente lo stesso motivo per cui non lo ha fatto il
Garante della Privacy per il DPS (per fortuna! Cosi' lo abbiamo fatto
noi...).
Risposta al tuo PS: no, non abbiamo avuto fisicamente il tempo di occuparci
di CIE, presi come eravamo dall'applicativo DPS. Ma proprio ieri una
Amministrazione Regionale che usa il ns. applicativo DPS ci chiedeva
"perchè no?" (e sinceramente non ho una risposta...) -- ne vogliamo
parlare? 
-- 
AB

 parlare?
why not?
ti lascio una email di comodo per non fare pubblicità della mia ditta nel NG
alessandro1968 at 
google.com
ale

 
_Credevo_ di parlare di sicurezza... :-(
-- 
AB

 
ho provato, ma forse è già "expired"? (sono uscito dall'ufficio e ho potuto
risponderti solo ora). In ogni caso se guardi bene hai tutto quello che ti
serve per scrivere tu a me.... ;-)
-- 
AB

 serve per scrivere tu a me.... ;-)
fatto :)
ale

 segretezza della corrispondenza del caso...
Certo, ma dice anche che la mail aziendale č una risorsa dell'azienda,
non un "regalo" al dipendente, salvo il contratto preveda altrimenti.
Quindi con una policy di utilizzo che informi il dipendente sull'uso di
quelle risorse, IMHO un controllo da parte dell'azienda č legittimo.



Si. Questo è vero. Una "acceptable use policy" è ormai un pezzo di
letteratura. Per farla bene servono appunto (come dicevo qualche step prima
in questo thread) competenze organizzative, legali, di gestione del
personale. In venti anni di carriera ne ho viste poche (italiane e non), di
queste poche una minoranza erano fatte bene (italiane e non), pochissime
quelle italiane e quasi nessuna fatta bene (comprese quelle a cui ho
collaborato, perchè frutto di troppi compromessi!!!).
-- 
AB

lui, anzichè il contrario come dovrebbe essere!
E su questo hai pienamente ragione. Purtroppo la maggioranza delle
volte i controlli si ritorcono contro chi li fa anche con fini
perfettamente legittimi.... ed è per questo che, fortunatamente,
l'idea è stata abbandonata prima ancora di essere messa in atto: chi
sarebbe mai in grado di dimostrare che una volta attivato, il
controllo perfettamente legale, dati mezzi tecnici a disposizione, non
si possa trasformare in un mezzo di "spionaggio" e repressione??
Ciao e grazie per la consulenza
					Cristian

quelle risorse, IMHO un controllo da parte dell'azienda è legittimo.
Sì, potrebbe essere legittimo il sapere chi scrive a chi e quando (e
questo è già insito nei log di sistema dei mailserver) ed
eventualmente (previo avviso, come dici tu) andare a caziare chi abusi
di queste risorse. Come dimostrare che quelle e-mail sono traffico
personale però è un altro paio di maniche.
Il contenuto delle mail dovrebbe però restare assolutamente
confidenziale e riservato, a garanzia della segretezza della
corrispondenza; una violazione in tal senso sarebbe equivalente dal
punto di vista del lavoratore a se il datore di lavoro si facesse una
fotocopia di tutta la tua corrispondenza prima di consegnartela.
Ed proprio questo il punto nel monitoraggio del traffico: analizzando
il traffico, più è dettagliato il report, più sei vicino all'effetto
fotocopia. E vai a dimostrare che controlli solo le anomalie....
Ciao
	Cristian

L'importante, insomma, è non fare le cose di nascosto.
Non ho mai parlato di fare le cose di nascosto, ma della possibilità
di implementare un sistema di monitoraggio con tutti i dovuti crismi.
Concordo pienamente con te comunque sulla necessità di informare gli
utenti della possibilità dei controlli e del tipo di controlli che
vengono effettuati.
Ciao
		Cristian


Separare il "chi fa" dal "chi controlla" è un principio fondamentale in
sicurezza. Indipendentemente dal contesto, questo ti rassicura di non
doverti fidare troppo del tuo amministratore e neanche del tuo
auditor/security manager :-) 
Il problema, semmai sono i criteri con cui distingui le "stranezze" dalle
"non stranezze", anche perchè se cominci a tentare di distinguere il
traffico buono da quello cattivo, la volta che quello cattivo ti sfugge
corri il rischio che (almeno in sede civile, perchè naturalmente la
responsabilità penale rimane personale) l'azienda diventi responsabile del
traffico "cattivo" che gli è sfuggito (questo almeno nei sistemi giudiziari
common-law -- qualche giurista italiano dica la sua nel sistema nostrano)
Io poi ho sbagliato in parte a proporti un log di materiale porno; troppo
facile/scontato--questo ha fuorviato la discussione; pensa anche a traffico
un po' più dubbio / più difficile da valutare, dove l'ipotesi è la
violazione di licenze software, del diritto d'autore, del copyright, della
privacy, degli accordi bilaterali ITALIA-YUCON sull'importazione dei
salmoni :-) o di qualche altra oscura normativa/regolamento che
l'organizzazione vorrà in policy prendersi a cuore per qualche suo
legittimo motivo...
-- 
AB

 di implementare un sistema di monitoraggio con tutti i dovuti crismi.
Figurati, non era rivolto a te :) Però capita spesso che il boss chieda
un controllo "segreto"...


 collaborato, perchè frutto di troppi compromessi!!!).
La dura realtà...
Poi ci si domanda perché si finisce in giudizio... :)


 corrispondenza;
Essendo la mail aziendale una risorsa dell'azienda, l'azienda potrebbe
prenderne conoscenza, previo avviso (tramite policy) al dipendente. 
Che sia opportuno o meno č un altro discorso, ma che si lecito penso di
sě. Sono risorse dell'azienda o del dipendente?



Noi su consiglio dell'avvocato abbiamo fatto firmare una lettera al 
dipendente che č quindi consapevole del fatto che le email sono 
strumenti aziendali e che quindi possono essere lette, fatte salve le 
garanzie dello statuto dei lavoratori
-- 
Roberto Tagliaferri-Linux user #30785 <-> r.tagliaferri@(forse)
tosnet.it
L'ospite e' come il pesce: dopo tre giorni nuota.
		-- Pubblicita' per "Il Gambero Rosso"

legittimo motivo...
Per valutare queste cose però dovrebbe essere analizzato il contenuto
del traffico e qui si ricadrebbe nell'intercettazione.
Un conto è il dire "il computer x ha fatto traffico verso i computer y
e z con kazaa per 500MB", un altro è dire "x ha trasferito i files a e
b, che parlavano di un qualcosa di poco lecito".
Poi all'atto pratico so benissimo che in ogni caso quando si parla di
sicurezza e di controllo si è sempre sul filo del rasoio tra il lecito
e la violazione della privacy e l'unica è sperare che non ti venga mai
chiesto di implementare alcunché!
Ti ringrazio per i tuoi preziosi consigli.
Ciao
			Cristian

un controllo "segreto"...
Salvo poi crocifiggere in sala mensa chi ha avuto l'onore/onere di
implementare il tutto se qualcosa va storto....
E personalmente ho paura dei chiodi......
Ciao
				Cristian

 garanzie dello statuto dei lavoratori
Questa mi sembra la soluzione migliore. :)


 E personalmente ho paura dei chiodi......
Esatto. Patti chiari e amicizia lunga...


 riferimento?
Legge 300/70 (statuto dei lavoratori) Art. 4:
" È vietato l'uso di impianti audiovisivi e di altre apparecchiature per
finalità di controllo a distanza dell'attività dei lavoratori. Gli
impianti e le apparecchiature di controllo che siano richiesti da
esigenze organizzative e produttive ovvero dalla sicurezza del lavoro,
ma dai quali derivi anche la possibilità di controllo a distanza
dell'attività dei lavoratori, possono essere installati soltanto previo
accordo con le rappresentanze sindacali aziendali, oppure, in mancanza
di queste, con la commissione interna. In difetto di accordo, su istanza
del datore di lavoro, provvede l'Ispettorato del lavoro, dettando, ove
occorra, le modalità per l'uso di tali impianti."
Quindi, siccome il tuo provvedimento può avere impiego di monitoraggio a
distanza ma NON è finalizzato a tale scopo (si tratta di un
provvedimento di sicurezza), è previsto che tu lo possa attuare previo
accordo con la rappresentanza dei lavoratori interessati.

 previo accordo con la rappresentanza dei lavoratori interessati.
** Il richiamo e' tutt'altro che sbagliato. Mi scuso se faccio le mie 
osservazioni senza aver letto tutta la discussione, ma devo confessarmi che 
anch'io ho molti dubbi.
Se puo' essere utile, riassumo, in termini molto generali, le distinte 
posizioni sul tema:
- tutto e' permesso per l'esercizio del diritto alla sicurezza aziendale;
- il monitoraggio e' consentito previa visione/sottoscrizione di una policy 
aziendale (attenzione: anche ai fini delle misure di sicurezza ex d.lgs. 
196/03 + Allegato B);
- il tutto deve necessariamente passare per l'art. 4 St. Lav.
Penso, personalmente, che la soluzione intermedia sia, appunto, un buon 
bilanciamento degli interessi (suggerirei di speculare sulle questioni di 
sicurezza informatica ;-), ma sulla disapplicazione dell'art. 4 St. Lav. non 
scommetterei una castagna baisata (come si dice dalle mie parti).
Un saluto.
-- 
-- 
Daniele Minotti
dan...@minotti.net
 

 scommetterei una castagna baisata (come si dice dalle mie parti).
IMHO la chiave di volta è costituita dall'accordo che deve esserci con i
rappresentanti sindacali (ovvero con i lavoratori). Il bilanciamento
degli interessi è nel fatto che, per avere l'accordo, deve fornire
giocoforza sufficienti garanzie che lo strumento non verrà usato come
"controllo" della attività dei lavoratori.
Poi nel mondo reale succede di tutto, ma questo è un'altro discorso :-)


** Dipende anche da cosa si controlla e, comunque, ricordiamoci che una 
certa sicurezza informatica (che si svolge anche in attivita' di 
monitoraggio) e' obbligatoria ai sensi del d.lgs. 196/03.


 monitoraggio) e' obbligatoria ai sensi del d.lgs. 196/03.
Eh, per non parlare della responsabilità dell'azienda per quello che può
combinare il dipendente...
