Newsgroup: it.diritto.internet
Titolo: Sito internet, dati e misure min.sicurezza

Salve,
    gestisco un sito web amatoriale di finanza dove, per fornire alcuni servizi in modo gratuito di newsletter & forum, ho raccolto
dati personali (anagrafici + interessi finanza + professioni) con i crismi della 675/96 (comunicazione al garante, mi sono nominato
responsabile, etc.etc.).
Ora c'č il discorso (prorogato al 31/12/2000) delle misure minime di sicurezza, ed ho i seguenti dubbi, dopo aver letto il dpr:
1) Il mio sito č un hosting virtuale negli USA (i dati sono fisicamente laggiů), piazzato su di una macchina con centinaia di altri
siti.Ovviamente i miei poteri sulla sicurezza della macchina in termini di amministrazione sono minimi e limitati al mio account
(non posso certo rufolare nella configurazione dei firewall od installare update di programmi, etc.). In pratica posso solo vedere
che i file, le cartelle e gli script non abbiano permessi "sballati" (banale e si fa una volta nella vita) e cambiare le password.
Come si concilia ciň con le misure minime di sicurezza (NB: Il 90% dei siti che raccolgono dati č nella mia situazione)?
2) Il DB (tra l'altro non ho nemmeno l'accesso "diretto" al file fisico del DB, che č in una cartella di sistema del server!!) con i
dati personali č un serio MySql sotto UNIX. Siamo in 3, 4 persone fidatissime ad avere accesso ai dati con privilegi praticamente
identici. Devo assegnare password diverse ad ogni soggetto, o mi conviene raccontare che sono l'unico ad avere accesso e mi cambio
la password ogni mese?
Sono ben gradite altre osservazioni in materia  -spinosa-.
Saluti e grazie.
Il Giustiziere

 Come si concilia ciň con le misure minime di sicurezza (NB: Il 90% dei
siti che raccolgono dati č nella mia situazione)?
In bocca al lupo. Quando abbiamo sentito l'ufficio del Garante per un
problema simile non era neanche stata presa in considerazione l'ipotesi che
i dati siano all'estero (se guardi il modulo da inviare te ne accorgi...).
Farebbe piacere anche a me sapere come č gestita la questione della
sicurezza per apparecchiature in remoto all'estero: spero qualcuno abbia
notizie aggiornate.

 dati personali è un serio MySql sotto UNIX. Siamo in 3, 4 persone


 Ti dirò... la risposta non è così semplice...
Grazie della risposta, ma forse non ci siamo capiti bene:
1) Non so se i dati sono sensibili, sono anagrafici + interessi professionali+informazioni  finanziarie
2) Il mio archivio è su un server in USA assieme ad altri 300 siti e DB sulla stessa macchina
3) Non posso aggiornare antivirus e programmetti vari (non  ho ovviamente l'autorizzazione di impestare con le mie manine un server
UNIX con 300 altri account di cui l'host è responsabile!), ciò viene fatto a discrezione della società di hosting (che ha ben donde
di fregarsene del DpR 318/99 italiano). Posso solo limitarmi a non fare cappellate nello spazio riservato al mio account (ad
esempio, lasciare script che danno accesso indiscriminato ai dati, etc.etc.), attribuire e revocare password per l'accesso al
backoffice del mio database e poche altre cose di rilievo.
4) C'è un documento sulla sicurezza da predisporre. Sicurezza che gestisco a livello di account, ma non certo di -vero e proprio-
amministratore. A proteggermi da infiltrazioni ci pensa il firewall gestito dalla società di hosting (che ha tutto l'interesse di
non far sfondare un server con 300 siti). Per quanto riguarda i virus, non hanno praticamente senso di esistere sotto UNIX.
Cosa direste voi nel documento? Che sono un bravo ragazzo e non regalo le password in giro?
5) A proposito, ovviamente l'amministratore (vero) americano, potrebbe teoricamente vedere tutti i dati ed accedere comunque a tutti
i miei files, come utente ROOT.
Grazie ancora.
Il Giustiziere.

In realta' qualche sviluppo in questo senso c'e'. Negli USA si tiene conto
del fatto che un servizio via Internet sia accessibile a users sul
territorio per rendere applicabili le leggi USA al responsabile del
servizio. Non importa dove sta il server.
Questo concetto si sta facendo largo anche in sede EU per quanto riguarda le
vendite fatte o i servizi prestati nell'unione con server non presenti
nell'unione, in particolare per quanto riguarda la applicazione dell'IVA. 
Non c'e'  ancora un normativa specifica pero'.
Attenzione perche'  se il servizio viene utilizzato da utenti italiani negli
USA si e' soggetti alla normativa USA ....
-- 
Posted from 
ns1.CTBTO.ORG
 [193.218.117.193] 
via Mailgate.ORG Server - 
http://www.Mailgate.ORG


 Non basta: devi compilare un'autocertificazione in cui  attesti sotto la
tua piena responsabilità che frequenti persone per bene, e comunque che tali
persone siano prive di capacità informatiche: naturalmente per nessun motivo
puoi frequentare esperti informatici.
Devi cambiare la PW almeno ogni 2 giorni, e ogni mattino quando ti svegli
devi aprire la finestra e urlare "BASTARDI PIRATI INFORMATICI NON AVRETE MAI
LA MIA PW, PERCHE' LA CAMBIO OGNI 2 GIORNI" Se la banca dati contiene dati
sensibili lo stesso annuncio deve essere pubblicato sulla G.U. una volta
alla settimana.
In ogni caso, mai e poi mai devi navigare in Internet, che, come è noto, ci
sono dentro solo pirati informatici e pedofili.
Devi compilare inoltre altra autocertificazione in cui attesti:
Che non mangi e non bevi davanti al computer (eventuali briciole o
versamenti di caffè o altri liquidi danneggiano il sistema e possono
provocare la perdita di dati).
Che usi il sistema informatico solo quando sei in perfette condizione di
salute (eventuale materiale organico proveniente da starnuti o colpi di
tosse potrebbe danneggiare il sistema informatico e conseguentemente
provocare la perdita di dati)
Che mentre usi il sistema informatico non ridi, nè scherzi, nè compi gesti
bruschi e/o inappropriati e/o che possano comunque essere potenzialmente
lesivi del sistema informatico, o che comunque, attraverso l'accidentale ed
anche involontaria pressione di un tasto, possano determinare la operdita
dei dati.
Che mentre usi il sistema informatico hai un atteggiamento cauto e
rispettoso nei confronti del sistema stesso, e che almeno una volta all'ora
ringrazi mentalmente il legislatore per la cura e l'attenzione che
attraverso questa scrupolosa legge, salvaguardano i dati di tutti noi,
sensibili o meno.
Il grande fratello non è solo una innocua e stupida trasmissione televisiva.
Cecco