Newsgroup: it.diritto.internet
Titolo: Re: D. lgs. 196 - 2003 (lungo)

 prevenire la vulnerabilità e a correggerne i difetti".
Un'altra interpretazione è che i 
programmi-per-elaboratore-volti-a-prevenire-la-vulnerabilità-di-strumenti-elettronici-e-a-correggerne-difetti 
(sistemi operativi) siano soggetti ad aggiornamenti periodici; avrebbe 
anche più senso, visto che non tutti i programmi influiscono sulla 
vulnerabilità (OOo per primo, visto che utilizza formati aperti).
Ciao
DOCstone
Xpost su it.diritto.internet 

 vulnerabilitŕ (OOo per primo, visto che utilizza formati aperti).
Mi sembra una giusta osservazione. Grazie.
Wip
-- 
___________________________________________________
www.tuttoericsson.com
http://www.freeforumzone.it/viewdiscussioni.aspx?f=1070&idc=9
___________________________________________________ 

 vulnerabilità (OOo per primo, visto che utilizza formati aperti).
Ho già letto questa interpretazione.
Cioè che il punto 17 sia rivolto solo al sistema operativo.
Mi faresti un piacere se la motivassi meglio perchè ho difficoltà a capirla.
In altre parole se io dovessi definire un "sistema operativo" non lo 
appellerei: 
"programma-per-elaboratore-volto-a-prevenire-la-vulnerabilità-di-strumenti-elettronici-e-a-correggerne-difetti".
Avrei mille altre definizioni ma quella sopra proprio ... no.
Va da se che se il legislatore si riferiva al sistema operativo forse questa 
volta faceva meglio a chiamarlo "sistema operativo".
Non voglio polemizzare sia ben chiaro ... ma mi sfugge però l'origine di 
questa interpretazione.
Insomma vorrei capire.
Ciao Ezio

Mi viene un dubbio.
Siccome dalla tua interpretazione il punto 16 è rivolto al solo anti virus 
(non è che ho approfondito ... sono un po pigro ... faccio un atto di fede) 
non è che il punto 17 sia rivolto proprio al firewall.
Cioè mi sentirei, anche se è un po' cervellotico, di definire il firewall un 
"programma-per-elaboratore-volto-a-prevenire-la-vulnerabilità-di-strumenti-elettronici-e-a-correggerne-difetti" 
e invece avrei grosse difficoltà a dare la stessa definizione al sistema 
operativo.
Che ne dici?
Ciao Ezio

 Avrei mille altre definizioni ma quella sopra proprio ... no.
Se è per questo il 196/03 definisce la user-id come "codice per 
l'identificazione" ;-)

 ha scritto

imho, non si riferisce all'o.s., ne tantomento ai wp, ma ad a/v e compagnia.
in un corso abbastanza denso di un paio di anni fa che verteva su questi
temi, tenuto da qualcuno di un team in alto nella gerarchia
politico-amministrativa, ci hanno detto di badare molto a:
- aggiornamenti del s.o.
- aggiornamenti dell'a/v
- efficienza e tempestivita' nell'eventuale sostituzione di fw hw e
famiglia. quindi contratti di assistenza ecc.
inoltre tutto quello che concerne il disaster recovery.
degli applicativi interessa _relativamente_ poco. certo, se un anagrafica e'
accessibile a un guest user, possono essere cavoli. ma li' ci sarebbero le
policies.
quanto alla sicurezza, almeno fino a poco fa un qualunque .doc conteneva
anche un bello stock di dati presi a caso (spero) dal pc. compresi, visto
coi miei occhi, login e pass vari.
mi sono arrivati doc in cui 'mostra revisioni' visualizzava tutta la storia
del doc.
dubito che writer arrivi a tali abissi.
e comunque la situazione generale e' tale (pubblico e privato, per quel che
ho potuto vedere) che gia' una raddrizzata a livello sistemistico sarebbe
gia' un bel passo avanti. gran parte di utenti e anche sysdmin il problema
dell'autenticazione -- sapere chi ha fatto cosa e quando -- se lo sono posti
ora...
se alla polizia postali mostri che hai ms office 2010 con tutti i wupdate
del caso, ma non sai dire con ragionevole certezza chi era su un determinato
pc in un determinato momento, li' possono esserci problemi molto seri.
ripeto, oo2 è linkato sull'hp centrale della mia vpn.
grazie comunque del thread che mi sta mettendo altri necessari peperoncini
sulla sedia... :)
imho, a.

 anche client di posta e instant messaging, software di crittografia, ecc.
Un attimo ...
Se siamo troppo generici perdiamo il filo.
Il problema è determinare il soggetto della frase.
(Perdonatemi non sono per natura pedante ma, purtroppo, sono un po' abituato 
ad interpretare le leggi per altri motivi ... diciamo professionali).
Diamo per buono che l'articolo 16 si riferisce solo all'antivirus (si badi 
bene che molte interpretazioni comprendono antivirus e firewall ... diciamo 
che conviene approfondire).
Il soggetto del punto 17 è "aggiornamenti periodici di 
programmi-per-elaboratore-volti-a-prevenire-la-vulnerabilità-di-strumenti-elettronici-e-a-correggerne-difetti".
Il  problema è : quali sono questi programmi?
Diciamo che un SO fa principalmente il SO.
(non è volto eplicitamente a quanto sopra)
Il client di posta è volto a fare il client di posta.
Il software di crittografia è volto a fare il software di crittografia.
Ma se il firewall non è compreso nel punto 16 allora è l'unico programma che 
può essere definito 
volto-a-prevenire-la-vulnerabilità-di-strumenti-elettronici-e-a-correggerne-difetti 
( che schifo di definizione) è il firewall (cioè il suo solo scopo è questo 
... è "volto" a questo e non ad altro).
Forse oltre al firewall vanno compresi i programmi anti spy (non so si 
chiamano così ... tipo ad-aware per capirci).
Quindi potrebbe essere che il decreto richiede aggiornamento semestrale 
antivirus e annuale firewall e annessi e connessi ma non degli applicativi 
e del SO ecc. ecc.
Sembra perfino logico.
Il mio errore (difficile definirlo tale ... va approfondito e comunque 
parliamo di interpretazioni) e di tanti altri era pensare che il punto 16 
comprendesse tutti i programmi relativi alla sicurezza.
Ciao Ezio

 "programma-per-elaboratore-volto-a-prevenire-la-vulnerabilità-di-strumenti-elettronici-e-a-correggerne-difetti".
Ma infatti sono ''gli aggiornamenti'' il soggetto della frase, ''dei 
programmi'' e' complemento di specificazione. :-)
E infatti sono ''gli aggiornamenti'' che sono ''volti a'':
1. ''prevenire la vulnerabilità di strumenti elettronici'' (es. 
aggiornamenti firme antivirus, patch di sicurezza)
''e a''
2. ''correggerne difetti'' (patch per bug che non influiscono sul 
fattore sicurezza)
Rimangono fuori dal 17 le patch che aggiungono funzioni agli ''strumenti 
elettronici'' (definizione in cui immagino rientrino sia software che 
hardware).
--
Pongo

new.tin.it
 da i numeri come al solito ... non riesco più a seguire la 
discussione ... che mi interessa assai.
A presto ... spero.
Ciao a tutti. Ezio

 giudiziari (punto 20 all B DLgs 196/03)
Ok mi sono letto gli articoli del codice penale.
Hai ragione senza ombra di dubbio.
Il punto 16 riguarda solo l'antivirus.
Grazie
Ciao Ezio 

 e del SO ecc. ecc.
Mi rispondo da solo.
Poichè il punto 20 recita così:
20 I dati sensibili o giudiziari sono protetti contro l'accesso abusivo, di 
cui all' art. 615-ter del codice penale, mediante l'utilizzo di idonei 
strumenti elettronici
Che è il riferimento al firewall.
Ci si chiede perchè  non venga citato l' art. 615-ter anche al punto 17 .
Ne consegue che il punto 17 non è riferito al firewall anche perchè al punto 
venti non viene citata alcuna frequaenza di aggiornamento.
Quindi ritorno alla mia posizione iniziale ovvero che il punto 17 vada letto 
nel seguente modo (parafrasando):
 17- Gli aggiornamenti  periodici volti a prevenire la vulnerabilità di 
strumenti elettronici e a correggere difetti dei programmi per elaboratore 
sono effettuati almeno annualmente. In caso di trattamento di dati sensibili 
o giudiziari l'aggiornamento è almeno semestrale.
E qui si possono trarre conclusioni disastrose e tecnicamente inattuabili 
anche perchè nel decreto stesso non c'è nel glossario una definizione di 
"programma".
questo è il testo originale:
17- Gli aggiornamenti periodici dei programmi per elaboratore volti a
prevenire la vulnerabilità di strumenti elettronici e a correggerne
 difetti sono effettuati almeno annualmente. In caso di trattamento di
 dati sensibili o giudiziari l'aggiornamento è almeno semestrale.
Ma non esiste una circolare esplicativa?
Ciao Ezio

 sensibili o giudiziari l'aggiornamento è almeno semestrale.
Ammesso che sia questa la chiave di lettura ci si deve chiedere:
1) Il punto 17 richiede che l'utente scelga un fornitore che gli garantisca 
gli aggiornamenti?
2) Il punto 17 richiede invece che l'utente non può esimersi da aggiornare 
il programma (se e solo se l'aggiornamento esiste) per oltre un anno?
Se è vero il punto 2 (come appare più logico ...) può un utente utilizzare 
un programma non più manutenuto dalla casa madre?
OO2.0 è l'aggiornamento di OO1.5? (secondo me no!)
Analogamente Office XP è l'aggiornamento di Office2000?  (secondo me no!)
Un sincero e spassionato complimento ai nostri legislatori.
Ciao Ezio

> prevenire la vulnerabilità e a correggerne i difetti".
Significa semplicemente che antivirus, firewall, programmi 
anti-intrusione, devono essere aggiornati con quella cadenza.

Comunque posso dire che secondo me non faranno MAI un controllo di
questo genere? ;)
Se la gdf dovesse controllarti il pc, che ad esempio usi nella tua
attività commerciale, sai qual'è la prima (e unica) cosa che ti
controllano? La licenza di Windows? Noooo...! non sei mica il direttore
di un'azienda con 200 postazioni di lavoro, con ognuna installato
Xp...!!! Tu hai solo 1 Pc, con la tua contabilitalina e qualche stampa,
giusto? E allora vedrai che se ne fregano di tutto, dei software
installati, delle periferiche, ecc.
...tranne che SCANDAGLIARE A ZERO il tuo hard disk con appositi
programmi, in cerca di contabilità in "nero"...
Questa è l'UNICA cosa che cercano quando ti controllano il Pc! Parola
di uno che sa cosa e come fanno i finanzieri quando controllano un
single-pc aziendale... :)
Percui se sei a posto, non devi temere nulla.
Ciao
Ale

 Ma non esiste una circolare esplicativa?
sarebbe veramente necessaria.
Chiaro che la dovrebbe scrivere qualcuno completamente diverso rispetto a
chi ha scritto quel cumulo di idiozie contenute nel decreto e relativi
allegati.
Ma forse è meglio di no, perchè al peggio non c'è mai fine, e noi italioti
lo sappiamo bene :-)
ciao
pablo

 dati sensibili o giudiziari l'aggiornamento è almeno semestrale.
Secondo la tua disamina però io potrei dire che sw d'ufficio come 
OpenOffice, o come l'Agenda, o come qualsiasi altro sw atto ad un suo 
preciso scopo di lavoro non è identificabile come "programmi per elaboratore 
volti a prevenire la vulnerabilità di strumenti elettronici e a correggerne 
difetti". Io sarei d'accordo con te ma sulla disamina precedente, ovvero che 
solo i sw di sicurezza (AV, FW, AntiSpy, sw di cifratura, ecc ecc ecc) 
debbano avere l'obbligo di aggiornamento almeno semenstralo o annuale, anche 
pensando al fatto che buona parte di questi sw (AV, FW e Anti-Spy di sicuro) 
si basano su firme rilasciate con frequenza a volte giornaliera!


 frequenza a volte giornaliera!
Leggendo bene il modello B, per il trattamento di soli dati personali (es. 
n° di cellulare), il software antivirus è obbligatorio con aggiornamento 
semestrale (punto 16).
Il firewall non è neppure obbligatorio.
Lasciando per ora da parte gli anti-spy (che secondo me rientrano nella 
definizione di AV ,all'art. 615-quinquies del codice penale, e che quindi 
ricadono nel punto 16 ... io mi sto solo chiedendo cosa significa il punto 
17 (escludendo per il punto 17  AV, FW e Anti-Spy).
E' poi cosa certa che un computer con AV aggiornato ogni 6 mesi e senza 
firewall è un colabrodo.
Però se vogliamo violare bene la legge dobbiamo capire altrettanto bene cosa 
dice.
Ciao Ezio 

 a correggerne difetti"
[...]
Wip, allora torniamo daccapo :-)
Come diceva martello, la cosa poco chiara è se "volti a prevenire..." è
riferito agli "aggiornamenti periodici" o ai "programmi per elaboratore"
L'interpretazione che sembra maggiormente condivisa qui, e cioè che si parli
di :
"programmi per elaboratore volti a prevenire la vulnerabilità di strumenti
elettronici e a correggerne difetti", quindi in sostanza di AV o Firewall,
a mio avviso fa acqua.
Se veramente il legislatore intendeva con questa frase definire firewall e
antivirus bisognerebbe dargli il premio per la definizione più idiota mai
coniata.
Prova invece a leggere l'articolo così:
17- Gli aggiornamenti periodici [...] volti a prevenire la vulnerabilità
[....] sono effettuati almeno annualmente [...]
In questo caso si parla di "aggiornamenti periodici (dei programmi) volti a
prevenire le vulnerabilità..." cioè non di un qualunque aggiornamento
periodico, ma di un aggiornamento specifico per la sicurezza.
- Aggiornamento di cosa? 
Ovviamente dei programmi.
- Quali?
tutti.
perchè tutti? 
Semplice, perchè qualunque programma installato può presentare
vulnerabilità.
Non è mica detto che il tentativo di prelevare dati sensibili avvenga per
forza da remoto!
E se fosse un normale operatore (diciamo un dipendente infedele) che sfrutta
un buffer overflow di un qualsiasi programma per poter guadagnare i diritti
di amministratore su una data macchina?
Conta qualcosa aggiornare l'antivirus o il firewall per evitare questo tipo
di attacco? no di certo!
L'unica difesa è tenere aggiornati _tutti_ i programmi della macchina con
l'ultimo bugfix disponibile.
Dal punto di vista pratico, usando una distribuzione linux magari sfruttando
il supporto professionale a pagamento e un buon sistema di aggiornamento
automatico con tanto di log, non vedo problemi a documentare che il
titolare del trattamento ha fatto tutto il possibile per mantenere i dati
riservati.
ciao
pablo

 che hai detto, non quella che ho quotato...
Analisi semantica ?
Supponiamo che sia vero quello che dici.
Però devi spiegare quali sono i "programmi per elaboratore volti (e 
sottolineo "volti") a prevenire la vulnerabilità di strumenti elettronici e 
a correggerne difetti" escludendo però anti virus, anti-spy, e firewall che 
sono già previsti dal punto 16 e dal punto 20 del modello B.
E qui già c'è qualche difficoltà.
In ogni caso il problema è più complesso.
Io ho già trovato nel web diverse interpretazioni corrispondenti alla mia 
(almeno 3 o 4 ... non le ho contate).
E ne ho trovata solo una che dice che il punto 17 sia riferito al solo 
sistema operativo.
E ne ho trovato tante altre che non si pronunciano.
Questo dice poco ... sarà colpa di google ...
Però la stessa microsoft si è attivata per aggiornare continuamente il 
prodotto office.
Pertanto è una interpretazione di cui ci si deve preoccupare ... per il 
semplice fatto che esiste.
E quindi può essere utilizzata da un verificatore e da un giudice anche se 
la pensa diversamente il tuo professore di italiano.
Ciao Ezio

 si basano su firme rilasciate con frequenza a volte giornaliera!
[lascio x-post anche f.i.c.s.o]
Però ci sono casi in cui non è possibile avere aggiornamenti semestrali,
ma non per questo il sistema è insicuro.
Ad es su macchine (anche server) con Mac OS 9 (dove in teoria il FW non
servirebbe neanche), se uno ha Intego NetBarrier, sono + di 6 mesi che
non c'è un aggiornamento, eppure sfido chiunque ad entrarci!
Secondo me, la legge non dovrebbe indicare un termine temporale, ma dire
che gli aggiornamenti vanno eseguiti man mano che escono (quindi anche
giornalmente, nel caso di antivirus). Sennò non serve a nulla...
Così si elimina la differenza fra sw "di sicurezza" e sw "operativo",
perché è pur giusto aggiornare anche i programmi che si usano per
lavorare e quindi se OO ha delle patch è giusto applicarle, così come
per MS Office e ogni altro sw.
Gabriele Polidori

 che gli aggiornamenti vanno eseguiti man mano che escono
Può essere che volessero dire questo:
Se esce un aggiornamento software hai un anno oppure sei mesi di tempo a 
seconda dei casi per eseguire l'aggiornamento.
Oltre è troppo e sei sanzionabile.
Può darsi ... ovviamente ... ma come vedi l'interpretazione è un po' 
difficile.
Ciao Ezio