Newsgroup: it.diritto.internet
Titolo: DPS e ente locale ''impreparato''

 Salve a tutti.
Pongo un problema di non facile soluzione, chiedendo lumi.
-OGGI- sono stato contattato da un ente locale quale Legale, per porre in
essere il DPS e gli altri adempimenti per il decreto. Da zero.
Recatomi presso la sede, ho trovato una situazione rasentante l'incubo, con
sistemi con Windows '98, 3.1, dos... (Sic!), accessi a Internet più o meno
''liberi...'' con modem linea analogica, adsl, isdn come capita, priva di
qualsiasi margine di sicurezza, dati abbandonati a se stessi, ma ancora più
grave: la più totale mancanza di qualsiasi previsione di sicurezza di
qualsiasi tipo per i dati sensibili.
Addirttura uno dei dipendenti si è lamentato con ME di avere il terminale
bloccato da un virus... non potendo accedere in internet e scaricarsi la
guida del garante (per almeno dargli modo di capire il caos in cui sono...)
cui avevo fornito il link... Il virus era ovviamente un Trojan.
Benchè mi intenda di questa materia, sono francamente nella necessità di
chiedere un consiglio su questo ng, a questo proposito:
Mi pare sia -possibile- preparare semplicemente un atto ''preparatorio'' al
DPS al posto di quest'ultimo (che per tempistica e situazione sarebbe o
mendace o ridicolo) più o meno ''sostenendo'' quali misure immediate si
vogliano adottare per la conservazione dei dati, atta a impedire
l'aggravarsi dei problemi in essere, e le misure per la preparazione del DPS
entro il 31/3/2005. Motivando il tutto per oggettive mancanze ''tecniche'' o
organizzative, se ben ho capito. Documentate ovviamente... (e non ho idea di
cosa consigliare al proposito: mancanza di fondi per l'aggiornamento dei
sistemi? Cosa a quanto ho capito, reale...)
La strada è percorribile? Tenete conto che, in attesa della delibera (fine
settimana...) non ho alcun modo di muovermi all'interno dell'ente e che, su
mia richiesta, l'incarico mi dovrebbe essere affidato a partire dal 1°
luglio.
Sono un legale, di informatica mi intendo, ma non arrivo certo ad essere un
programmatore, e il concetto di ''informatica'' da me trovato sul posto è
''winmine''...
In sostanza: partito per fornire un parere retribuito, dovrò probabilmente
dire loro financo come, cosa, dove conservare i dati, aggiornarli sui mezzi
per la conservazione fisica dei medesimi, specificare il concetto di
crittazione dei dati, di cui non avevano idea, il problema delle password,
che non usano affatto nella rete locale, insomma... sconvolgente. E su tale
punto chiedo lumi: ho su due piedi consigliato che un paio di dipendenti
fossero ''spostati'' alla conservazione e riprostino dei dati... dopo aver
loro spiegato che roba è, ovviamente  (e ancora: toccherà a me spiegarglielo
dal livello 0) per quello che ne so (non sono un ingegnere...)
Ergo, necessito di un ampio e quanto possibile preciso consiglio su come
muovermi in una simile situazione, non vorrei servire da capro espiatorio,
francamente.
Taccio, ovviamente, l'identità dell'ente medesimo per motivi meramente
deontologici.
In ultimo: ho saputo che TUTTI gli enti dell'area geografica del primo, sono
nella medesima situazione, se non peggiore. Loro, rivolgendosi a me, si
sentivano d'avanguardia... gli altri, semplicemente, non sanno neanche cosa
sia il DPS.
I miei ringraziamenti per la lettura.
-- 
 qu
 q_u[levami]@
despammed.com
 (elimina [levami] per scrivermi)
''se la gente che inculatasi reciprocamente formasse un anello, la Terra
sarebbe Saturno"


quello che hai or ora descritto è solo la punta dell'iceberg
non hai menzionato infatti la situazione delle singole macchine dal punto di
vista formale (licenze o programmi installati)
in contesti in cui la provenienza da scuole umanistiche comporta una atavica
repulsione alle tecnologie, delegate a caste dichiarate inferiori , provoca
ignoranza su tutti i fronti e un procedere inerziale all'oscuro delle minime
nozioni di semplice sopravvivenza informatica
stringendo in poche parole
studi legali di illustri principi del foro affidati a praticanti praticoni
il cui dominus evita anche il semplice contatto con la tastiera abituati ad
essere soffocati da fascicoli senza nessuna forma di controllo ne dei dati
ne del contunuto delle macchine, acquistate o a volte nemmeno questo ,
ottenute quale pagamento di prestazioni
in cui l'approssimazione e il menefreghismo regna sovrano , dove praricanti
mai pagati condividono risorse informatiche con segretarie rigorosamente a
nero che fanno di tutto in orari impossibili senza soluzione di continuità
(altro che orari di lavoro come definito nel DPS)  dove tra l'altro le
macchine non servono solo a far andare avanti l'ufficio ma soratutto ad uso
personale e anche ludico dei praticantio, che considerato il fatto che non
vedono una lira o un cent assumono tale uso quale parziale rimborso del
lavoro svolto (perchè di lavoro si tratta)
e che al solo pronunciare la frase "obblighi da documento programmatico" ti
rispondono "falli venire qui e poi vedranno con chi hanno a che fare"
l'ordine degli avvocati di Brescia ha trovato una simpatica soluzione per
simili situazioni
http://www.ordineavvocatibrescia.it/print.php?id=90&funky=print

A me è successo una cosa diametralmente opposta ma per altri versi
emblematica.
Sono intervenuto presso un comune bloccando una determina di 4500 euro
per l'adeguamento al DPS, nulla di problematico per un centinaio di
macchine. Unica particolarità è che la rete è stata completamente
rifatta nell'ultimo anno, sostituite le macchine client, tutte con
W2000 e XP, tutti gli utenti sono utenti normali che non possono
installare una virgola, la rete è segmentata da SWITCH, c'è un
firewall, un proxy e posta su Linux nella DMZ, un server Windows nuovo
con cartelle/share con diritti specifici, effettuati corsi all'utenza,
fatto aprovare le policy di utilizzo e sicurezza ai sindacati, backup
centralizzati & so on
Dobbiamo solo cambiare la policy di  scadenza delle password e per i
dati personali ci siamo. Di sensibile in digitale c'è pochissimo e già
protetto. 
Come molti comuni gran parte dei dati "sensibili" sono sulla carta,
perché gran parte fanno parte di procedure più che di banche dati.
In italia solo qualche punto percentuale dei comuni ha adottato il
protocollo informatico, e anche in quel caso siamo a posto perché il
bando è per un servizio in modalità ASP.
Questo non vuol dire che non si sono bisogni di adeguamento, peccato
che nascano gran parte dall'art 27/28/29 sui trattamenti non
elettronici, che hanno bisogno di ben altre misure.
Siamo quindi partiti dall'elenco delle procedure interne, abbiamo
identificato i compiti e identificato i sistemi per gli incarichi
(emissione, comunicazione, archiviazione). Elencati sistemi e
procedure per la sicurezza fisica e organizzativa.
Porre l'accento sulla separazione delle informazioni e la
circoscrizione di quelle sensibili ha permesso risparmi e
semplificazioni. Abbiamo integrato le policy sulla posta e utilizzo di
Internet con nuove raccomandazioni. Stiamo aggiungendo qualche
distruggi documenti, procedure per la distruzione delle copie e stampe
temporanee. Abbiamo previsto corsi e incontri sul tema privacy.
A consuntivo debbo dire che gran parte del lavoro l'abbiamo fatto per
la carta e l'organizzazione e solo attività elencativa per
l'informatica. 
Dopo vari lavori mi sembra che in molte realtà si è operato in maniera
troppo informatico centrica, una visione con una maggiore componente
legale/organizzativa permette un approccio più equilibrato e con
migliori risultati.
Andrea

 I miei ringraziamenti per la lettura.
 
L'ideale, IMHO, sarebbe di lavorare a fianco di qualcuno che faccia 
consulenza informatica, che possa fornire hardware e software adatto, 
nonche' possa fare la necessaria formazione.
Pero' sarebbe una spesa in piu', me ne rendo conto...
In bocca al lupo, sinceramente...
-- 
Candido - ICQ 10334649 - 
candido2k.splinder.it

Ci sono una marea di aziende in questa situazione, con pc vecchi, win
98, virus ecc...
Gab ;))


 sistemi? Cosa a quanto ho capito, reale...)
Penso tu ti riferisca all'art 180...in qs caso, però, il termine non è il
31/03/05...infatti si parla di "un anno dall'entrata in vigore del
Codice", quindi il 1/01/05...
Ciao...
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 
http://www.ordineavvocatibrescia.it/print.php?id=90&funky=print
Trattandosi di un ente locale, la scrittura che mi gentilmente segnali è
adattabile allo scopo?
Grazie :)
qu

 Ciao...
ciao
:)
qu

 Senza chiavi...
Anche io mi sono reso conto di come il cartaceo sia sottovalutato
(soprattutto da sedicenti "esperti" in privacy, che si sono gettati nel
businnes senza saperne un acca)...l'unica cosa è che i problemi relativi
agli archivi sono risolvibili con un minor esborso di denaro rispetto a
quelli relativi alla rete informatica...


francamente.
Gli aspetti normativi introdotti dal D. Lgs. 196/03 per la protezione
dei dati personali, con successivo provvedimento impone la scadenza
del 30/6.
Questa scadenza ha generato una significativa eccitazione per timore
di inadempienza, come se il documento DPS fosse il fulcro, l'essenza,
il cuore del problema "privacy".
Coloro che hanno analizzato la legge con attenzione hanno sicuramente
notato che non vi e' indicato alcun tipo di sanzione diretta per chi
non avesse redatto il DPS. L'attenzione, invece, andava posta sulla
sanzione penale per omessa adozione delle Misure Minime (art. 169), di
cui il DPS e' parte, ma valendo un solo punto su 29. Questo
adempimento non ha alcuna scadenza, anzi deve essere adottato nello
stesso momento in cui si inizia un qualsiasi trattamento di dati
personali.
Il DPS non puo' essere altro che l'ultimo atto, certificativo e
sintetizzante, del processo di formalizzazione organizzativa cioe'
della redazione ed applicazione di procedure ed istruzioni idonee a
consentire un efficace sistema di protezione dei dati personali.
Se uno non ha adottato tutte le 29 misure minime dell'allegato B, non
vedo proprio come possa redigere il DPS.
Viceversa, qualora avesse adottato 28 delle misure minime, ad
eccezione del DPS, sono sicuro che non incorrerebbe in alcuna sanzione
rilevante.

 rilevante.
Io non ne sarei cosě sicuro...almeno sulla base della mia limitatissima
esperienza sugli interventi del Garante in seguito a segnalazioni di
comportamenti illeciti...
Quello che invece voglio sottolineare č l'importanza fondamentale, in
materia di privacy, dell'informativa ex art 13...a mio parere č
l'adempimento piů importante posto in capo al titolare, anche se quasi
nessuno se ne rende conto...di tutte quelle viste, neanche il 2/3% dlle
informative rispetta il dettato del codice...


 Senza chiavi...
Mai entrato in una qualsiasi cancelleria di un Tribunale qualsiasi?

> Pongo un problema di non facile soluzione, chiedendo lumi.
Giusto per consolarti:
"Non c'è nessuna speranza, nessuna".
Come dice qualcuno in questi ng di diritto.
L'altra settimana sono stato in un comune per fare prensente lo che
nel loro sistema informativo circa 150 applicativi necessitavano
adeguanto in base alla nuova legge.
Ci hanno dato l'ok per adeguarne 6, per gli altri "vedremo".
Da una stima fatta, gli enti di  PA che abbiamo come clienti di
adegueranno
alla normativa fra il 2010 ed il 2015 (forse, e se si muovono in
fretta).
Il problema non si pone per la PA, come dici tu il 98% degli enti non
sa neppure della nuova legge, i più sensibili solitamente sono gli
ospedali che cominciano oggi a darci il mandato per adeguare una parte
del software.
E' una legge talmente distante dalla realtà, soprattutto da quella
della pubblica amministrazione, che rimarrà inapplicata.
Come soluzione organizzativa, e non tecnologica, direi che cominciare
ad avere una lista delle persone che accedono a dati sensibili e
personali, con una politica di revisione degli account secondo nuova
legge è già non male.
Poi creare una politica di svecchiamento dei dati all'interno
dell'ente, nelle procedure e nelle teste di le procedure dovrebbe
seguirle.
Poi si passa all'adeguamento delle postazioni, la pubblica
amministrazione usa al 98% come postazioni personali sistemi windows,
e proporre di passare a linux spesso equivale a farsi cacciare a calci
in culo.
Quindi è consigliabile il porting a windows 2003 server ed active
directory, con client adeguati (xp)
copre un'altra parte delle disposizioni del decreto.
Poi c'è  l'adeguamento dei sistemi sviluppati ad hoc, è lì si apre un
mondo senza fine...
ciao

 Mai entrato in una qualsiasi cancelleria di un Tribunale qualsiasi?
Questa cosa mi ricorda una puntata di Striscia (se non sbaglio) dove
l'inviato entrava ed usciva tranquillamente da vari uffici giudiziari,
dimostrando di poter prendere/sostituire fascicoli a volontà !
Gabriele

 ebbe l'ardire di dire:

Eccome: ma sono fatti loro, mica mi hanno nominato :)
ognuno bada a quel che puň, cercando di fare del proprio meglio.
ciao
:)
qu

 rispetto a quelli relativi alla rete informatica...
Già, almeno quello...
Comunque, l'idea che mi sono fatto è: io redigerò un ''parere'' come
richiestomi, punto.
Il DPS è fuori discussione: nelle condizioni in cui si trovano sarebbe una
semplice ''confessione'', quasi una autodenuncia.
Partendo dal presupposto che un rinvio dovrebbe esserci (se ne sarebbe
dovuto parlare oggi, se non erro...) dirò loro di cominciare ad adeguare la
loro struttura, chessò, intanto comprando TUTTE le licenze necessarie (se
propongo linux, come minimo mi chiedono cos'è, e non ho la voglia di stare a
spiegarglielo...) poi, magari, metter su un server con 2003... datacenter
meglio, che faccia da ''server centrale'' (ergo, tutti i dati restano solo
sul server, ipoteticamente...) criptato... dal SO come meglio sarà
possibile.
Poi, se ne parla.
Nel frattempo: non esistendo le condizioni minime per assolvere ALCUNA delle
condizioni minime, gli consiglierò di far finta di nulla e di cominciare ad
''aggiornare la struttura''.
Io, di sicuro, in queste condizioni non firmerei ne farei firmare niente a
nessuno...
ciao
:)
qu

Come dice qualcuno in questi ng di diritto.
Ciao a tutti.
Scusate se mi intrometto nella  discussione, io non sono nè avvocato
nè esperto di diritto, mi occupo di un'azienda che fà  e-commerce e
stavo leggendo il NG per informazioni sul DPS.. Proprio leggendo la
Vs. discussione mi è venuta una riflessione: 
Capisco la difficoltà del legislatore nei nuovi settori tecnici
(informatica, internet,etc..) e capisco che comunque  sono necessarie
nuove leggi specifiche... vedo però che vengono emanate leggi che sono
spesso inadeguate e addirittura inapplicabili. Nonostante questo si
continua ad emanare altre leggi.. non so come si chiama questa cosa in
giurisdizione (se ha una definizione) ma si sta distruggendo la
credibilità della legge... oltretutto in un settore "giovane" ma di
fondamentale importanza. Non voglio fare previsioni catastrofiche...
Ma mi riesce facile vedere all'orizzonte una sorta di pericolosa
"anarchia informatica"...
Ciao,
Pietro

elettronici... o la pensi come Lisi?
Le misure minime sono relative a qualsiasi trattamento di qualsiasi
tipo. In allegato B dal punto 1 al 26 per i trattamenti elettronici e
dal punto 27 al 29 per quelli non elettronici. Il punto 19 (DPS) e'
sottoposto a condizione (dati sensibili e trattamento elettronico).
Vedi anche artt. 33-34-35. 
Inoltre dice il Garante nell'ultimo parere del 22 marzo in merito al
Documento Programmatico (testuale).
"In base al nuovo Codice, la misura minima del DPS deve essere ora
adottata dal titolare di un trattamento di dati *sensibili* o
giudiziari effettuato con strumenti elettronici".

 credibilità della legge...
La legislazione europea tende a:
1) creare occupazione.
2) aumentare il grado di conoscenze incorporate nei prodotti finali.
3) incrementare la concorrenza ed espellere dal mercato le imprese
"approssimative".
4) tutelare il consumatore finale.
La legge italiana è praticamente identica a quella che oggi vige in Lituania
o a Cipro. E direi che contribuisce agli scopi che l'Unione tende a
raggiungere.
Francamente mi sembra inverosimile che un qualsiasi operatore economico non
si sia posto (negli ultimi 8 anni) le quattro domandine dello schema di DPS
proposto dal garante, o che non sappia mettere per iscritto le risposte.
Il difetto, casomai, di questa legge, è che riesce a dare lavoro a chi,
dovendo dare un parere sulla tutela dei dati sensibili, si preoccupa perché
trova Windows 3.1 su qualche macchina.
Mi chiedo se saresti contento se un addetto alle pulizie dell'ambulatorio
del tuo medico raccontasse a chicchessia il contenuto della tua cartella
clinica. Cioè se, per usare le parole del garante, il tuo medico non
valutasse i seguenti rischi: "Comportamenti degli operatori: furto di
credenziali di autenticazione, carenza di consapevolezza, disattenzione o
incuria, comportamenti sleali o fraudolenti, errore materiale".

clinica.
No non ne sarei contento. Hai ragione, ma credo che non sia la
compilazione del DPS a risolvere il problema. E in effetti anche la
legge dice che  il DPS è una misura minima.. diciamo pure che va nella
direzione giusta... ma ci sono molte cose che devono essere
migliorate. Mi riferisco soprattutto agli aspetti informatico
/tecnologici. 
E' indispensabile una legge che ci tuteli.. ma non per questo ogni
legge in tal senso è ben fatta. Io parlavo soprattutto in generale in
riferimento a tutte quelle leggi che hanno a che vedere con la
tecnologia.. mi pare, continuo a dirlo, che ci siano troppe leggi
inapplicabili e inadeguate che rischiano in realtà di creare un
"vuoto" e una specie di fantascientifica "anarchia discrezionale"
nella quale ogni individuo agisce come crede in base all,a sua etica
(già fra i giovani sta succedendo, basta guardare il fenomeno della
pirateria musicale e video). Un'altro esempio è quello della legge sui
contenuti dei siti Internet.
A firenze all'epoca del Savonarola un sacco di donne si fecero in
barba una rigida legge che descriveva in modo minuzioso ciò che non
era consentito indossare: dissero che le loro pellicce non erano tali
ma "zibellino", e così via per ogni capo di abbigliamento trovarono
definizioni alternative.
Se la cavarono e l'ispettore, uno stimato letterato dell'epoca, fece
fagotto e inviò una lettera (bellissima!) a Savonarola dichiarando
l'impossibilità a procedere e la propria inadeguatezza al compito
affidatogli.
Faremo questa fine?
Ciao,
Pietro

dal livello 0) per quello che ne so (non sono un ingegnere...)
vedi, hai la sfiga di non avere un ingegnere competente per la
sicurezza ad alto livello a tua disposizione. Se abitassi delle tue
parti potrei anche darti una mano e fornire all'ente un po' di
costosissima consulenza tecnica per il DPS ^___________________^ 
invece alla fine ci troviamo solo su IAC XD

 proposto dal garante, o che non sappia mettere per iscritto le risposte.
Fino a ieri, nei miei archivi ci sono 232 aziende per le quali abbiamo
fatto l'auditing sicurezza + trattamento dati personali / sensibili. 2
Aziende sono ok (quella per cui lavoro e che mi paga lo stipendio, ad
esempio, non lo è...) . 26 hanno un piano di rientro delle Non
conformità  entro il 1/1/2005, una 50 ina si sono poste il problema e
stanno cominciando ma non finiranno in tempo, le altre "vedremo".
Fra le "vedremo" una quantità imbarazzante di enti locali, comuni, una
procura,
il 60 % degli ospedali che abbiamo come clienti ed un intera parte dei
sistemi informativo di un ministero. Peraltro l'unico mistero che
abbiamo come cliente (non dico quale ;-) ) chissà gli altri...
Allucinante.