[Linuxtrent] Re: Log e garante per la protezione dati personali
- From: "Giuliano Natali" <diaolin@xxxxxxxxxxx>
- To: linuxtrent@xxxxxxxxxxxxx
- Date: Tue, 1 Dec 2009 16:19:42 +0100 (CET)
On Mar, Dicembre 1, 2009, 4:07 pm, Roberto Resoli wrote:
> Il 01 dicembre 2009 15.54, Roberto Resoli <roberto.resoli@xxxxxxxxx> ha
> scritto:
>> Il 30 novembre 2009 17.48, Gilberto Osler <gibo@xxxxxxxxxxx> ha scritto:
>>> Era già iniziata una discussione a riguardo in lista ma non ho più
>>> visto niente..
>>
>> Di recente l'argomento è stato riproposto anche su sikurezza.org;
>> forse conviene guardare anche li:
>> http://www.sikurezza.org/ml/10_09/msg00129.html
>
> e magari le FAQ predisposte dal Garante:
> http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499#FAQ
Leggiamo...
5) Cosa si intende per operato dell'amministratore di sistema soggetto a
controllo almeno annuale?
È da sottoporre a verifica l'attività svolta dall'amministratore di
sistema nell'esercizio delle sue funzioni. Va verificato che le attività
svolte dall'amministratore di sistema siano conformi alle mansioni
attribuite, ivi compreso il profilo relativo alla sicurezza.
e gia' qui siamo in ambito di conoscenza del sistema da parte di chi
verifica...
solo che chi verifica non e' tenuto a conoscere cosi a fondo il sistema
passiamo oltre....
7) Cosa si intende per descrizione analitica degli ambiti di operatività
consentiti all'ADS? [Rif. comma 2, lettera d]
Il provvedimento prevede che all'atto della designazione di un
amministratore di sistema, venga fatta "elencazione analitica" degli
ambiti di operatività consentiti in base al profilo di autorizzazione
assegnato, ovvero la descrizione puntuale degli stessi, evitando
l'attribuzione di ambiti insufficientemente definiti, analogamente a
quanto previsto al comma 4 dell'art. 29 del Codice riguardante i
responsabili del trattamento.
che viene puntualmente disatteso dal punto successivo
8) Oltre alla job description si deve andare più in dettaglio? Si devono
indicare i singoli sistemi e le singole operazioni affidate?
No, è sufficiente specificare l'ambito di operatività in termini più
generali, per settori o per aree applicative, senza obbligo di
specificarlo rispetto a singoli sistemi, a meno che non sia ritenuto
necessario in casi specifici.
per poi cadere nel suicidio mentale di:
9) Cosa si intende per access log (log-in, log-out, tentativi falliti di
accesso, altro?...) [Rif. comma 2, lettera f]
Per access log si intende la registrazione degli eventi generati dal
sistema di autenticazione informatica all'atto dell'accesso o tentativo di
accesso da parte di un amministratore di sistema o all'atto della sua
disconnessione nell'ambito di collegamenti interattivi a sistemi di
elaborazione o a sistemi software.
Gli event records generati dai sistemi di autenticazione contengono
usualmente i riferimenti allo "username" utilizzato, alla data e all'ora
dell'evento (timestamp), una descrizione dell'evento (sistema di
elaborazione o software utilizzato, se si tratti di un evento di log-in,
di log-out, o di una condizione di errore, quale linea di comunicazione o
dispositivo terminale sia stato utilizzato?).
Passiamo poi alla ciliegina sulla torta con relativa risposta:
12) Come va interpretata la caratteristica di inalterabilità dei log?
Caratteristiche di mantenimento dell'integrità dei dati raccolti dai
sistemi di log sono in genere disponibili nei più diffusi sistemi
operativi, o possono esservi agevolmente integrate con apposito software.
Il requisito può essere ragionevolmente soddisfatto con la strumentazione
software in dotazione, nei casi più semplici, e con l'eventuale
esportazione periodica dei dati di log su supporti di memorizzazione non
riscrivibili. In casi più complessi i titolari potranno ritenere di
adottare sistemi più sofisticati, quali i log server centralizzati e
"certificati".
che viene miseramente cassato dal testo successivo:
È ben noto che il problema dell'attendibilità dei dati di audit, in
genere, riguarda in primo luogo la effettiva generazione degli auditable
events e, successivamente, la loro corretta registrazione e manutenzione.
Tuttavia il provvedimento del Garante non affronta questi aspetti,
prevedendo soltanto, come forma minima di documentazione dell'uso di un
sistema informativo, la generazione del log degli "accessi" (login) e la
loro archiviazione per almeno sei mesi in condizioni di ragionevole
sicurezza e con strumenti adatti, in base al contesto in cui avviene il
trattamento, senza alcuna pretesa di instaurare in modo generalizzato, e
solo con le prescrizioni del provvedimento, un regime rigoroso di
registrazione degli usage data dei sistemi informativi.
In pratica la questione viene risolta con questo testo:
È ben noto che il problema dell'attendibilità dei dati di audit, in
genere, riguarda in primo luogo la effettiva generazione degli auditable
events e, successivamente, la loro corretta registrazione e manutenzione.
Tuttavia il provvedimento del Garante non affronta questi aspetti,
prevedendo soltanto, come forma minima di documentazione dell'uso di un
sistema informativo, la generazione del log degli "accessi" (login) e la
loro archiviazione per almeno sei mesi in condizioni di ragionevole
sicurezza e con strumenti adatti, in base al contesto in cui avviene il
trattamento, senza alcuna pretesa di instaurare in modo generalizzato, e
solo con le prescrizioni del provvedimento, un regime rigoroso di
registrazione degli usage data dei sistemi informativi.
e il successivo paragrafo:
13) Si individuano livelli di robustezza specifici per la garanzia della
integrità?
No. La valutazione è lasciata al titolare, in base al contesto operativo
(cfr. faq n. 14).
Ed il tutto si quantifica in:
18) Il regime di conoscibilità degli amministratori di sistema è da
intendersi per i soli trattamenti inerenti i dati del personale e dei
lavoratori?
Si.
19) La registrazione degli accessi è relativa al sistema operativo o anche
ai DBMS?
Tra gli accessi logici a sistemi e archivi elettronici sono comprese le
autenticazioni nei confronti dei data base management systems (DBMS), che
vanno registrate.
--------------------------------------------------------
Io non so chi sia il consulente del garante ma la cosa che mi preoccupa
e' che non lo sa neanche il garante.
A cosa serve tutto sto ambaradam????????
Diaolin
--
a che ve servirài tuti 'sti argàgni
se pò, séo come ragni
presoneri de na tela
el nono del Corado
--
Per iscriversi (o disiscriversi), basta spedire un messaggio con OGGETTO
"subscribe" (o "unsubscribe") a mailto:linuxtrent-request@xxxxxxxxxxxxx
Other related posts:
