Amministratori di sistema
Aureliano Buendìa
titolari (pubblici e privati) del trattamento di dati in forma
elettronica dovranno adottare le prescrizioni del Garante della Privacy
(provvedimento del 28/11/2009 - si veda anche pagina 9 del Sole 24 Ore
di oggi). A titolo di curiositￜ personale mi interessa sapere se nelle
vostre scuole:
a) ￜ gia individuata formalmente (spero) la figura dell'amministratore
di sistema; se sￜ in base a quali criteri ￜ stata individuata tale
figura ed a chi ￜ stato assegnato l'incarico (docente, non docente ...);
b) se ￜ previsto un compenso per tale figura;
c) se sono presenti strumenti o sistemi di registrazione e conservazione
degli accessi al sistema da parte dell'amministratore di sistema
conformemente alle prescrizioni del Garante;
d) in ordine al punto c) a quali suggerimenti pratici o esperienze
attingere per conformarsi al dettato normativo.
Nella mia scuola:
a) l'ultimo CD ha formalmente assegnato l'incarico ad un docente, giￜ
webmaster, in quanto l'unico disponibile ad accettarlo;
b) sￜ, per 400 - diconsi 400 - euro lordi l'anno (!)
c) no
Grazie anticipatamente a chi vorrￜ rispondere.
A.B.
Arkannen
> a) è gia individuata formalmente (spero) la figura dell'amministratore
> di sistema;
Mah! Io un anno fui responsabile per la sicurezza informatica.
Dovetti redarre un documento di una trentina di pagine.
Poi cadde tutto nell'oblio.
..
Aureliano Buendìa
> Dovetti redarre (redìgere) un documento di una trentina di pagine.
>
Chissà perchè, in questo strano paese, ad un problema reale (nel caso di
specie: la sicurezza ed il corretto e legittimo accesso ad informazioni
in forma elettronica) si risponde spesso con la produzione di documenti,
pur importanti, ma ...
> Poi cadde tutto nell'oblio.
>
> ..
>
Luca Sasdelli
> Dovetti redarre un documento di una trentina di pagine.
"Redigere" :-)
Comunque il dispositivo in questione richiede in buona sostanza che i
log degli accessi degli amministratori vengano memorizzati
periodicamente su supporti read-only (es. CD), cosa che si puo' in gran
parte automatizzare. I supporti andranno poi conservati secondo la
normativa vigente circa i dati sensibili, poiche' correlati con essi.
Ciao
Luca
Arkannen
> Arkannen ha detto questo lunedì :
>
>> Dovetti redarre un documento di una trentina di pagine.
>
> "Redigere" :-)
Sono il presidente del comitato "usiamo redarre al posto di redigere".
..
Luca Sasdelli
> Sono il presidente del comitato "usiamo redarre al posto di redigere".
:-)
Ciao
Luca
Earendil
@mid.individual.net:
> Comunque il dispositivo in questione richiede in buona sostanza che i
> log degli accessi degli amministratori vengano memorizzati
> periodicamente su supporti read-only (es. CD), cosa che si puo' in gran
> parte automatizzare. I supporti andranno poi conservati secondo la
> normativa vigente circa i dati sensibili, poiche' correlati con essi.
Hai detto nulla...
La questione � che i log degli accessi non devono essere modificabili
nemmeno dagli amministratori (cosa che � abbastanza difficile con i S.O.
attuali).
Risultato: sta fiorendo un business nel campo dei security log appliance
Roba tipo questi, per intendersi:
http://www.atscom.it/ita/prodotti/prod_bc/log_appliance_f.htm
http://www.hsm.it/servizi/hsm-log-sentry.php
Earendil
Gioachic
news:4b1d500b$0$703$5fc...@news.tiscali.it...
> Il Mon, 07 Dec 2009 18:31:43 +0100, Luca Sasdelli ha scritto:
>
>>
>>> Dovetti redarre un documento di una trentina di pagine.
>>
>> "Redigere" :-)
>
> Sono il presidente del comitato "usiamo redarre al posto di redigere".
>
> ..
Gioachic
Luca Sasdelli
> La questione ￜ che i log degli accessi non devono essere modificabili
> nemmeno dagli amministratori (cosa che ￜ abbastanza difficile con i S.O.
> attuali).
Se vengono scritti su CD-ROM sono immodificabili.
Ovviamente e' possibile farlo prima, ma tecnicamente ci sono limiti
attualmente non superabili. Lo scopo e' impedire che un utente con
diritti amministrativi possa accedere a file contenenti dati sensibili,
pertanto secondo la legge e' sufficiente un log degli accessi: il che,
a mio parere, non significa proprio nulla; ad esempio, se i dati
sensibili sono contenuti su un server con un server http vulnerabile e
si sfrutta un exploit del medesimo, i dati si ottengono lo stesso e nel
log degli accessi al server non ci sara' nulla. Se poi
contemporaneamente un ignaro amministratore entra legittimamente per
fare operazioni di routine, avra' la colpa dell'abuso, dato che non e'
precisato di loggare anche tutte le azioni compiute da
quell'amministratore.
Come al solito, la legge e' stata scritta senza interpellare qualche
esperto serio e, in una materia complessa come la sicurezza
informatica, e' un buco nell'acqua. Tornando pero' agli adempimenti di
legge, dovrebbero bastare uno script per salvare i file di log di
Linux, e c'e' gia' qualche utility per farlo in Windows.
> Risultato: sta fiorendo un business nel campo dei security log appliance
Come sempre. Si sfrutta l'urgenza da un lato e l'incompetenza
dall'altro per guadagnarci sopra; il che non e' sbagliato, s'intende,
ma crea difficolta' e preoccupazione laddove si potrebbe lavorare in
modo piu' semplice e lineare.
(Probabilmente a breve usciranno dei dispositivi "certificati" da bla
bla bla, ad un costo dieci volte il normale.)
Ciao
Luca
fm2766
C'ￜ troppa anarchia su questo ng! :-)
Luca Sasdelli
> C'ￜ troppa anarchia su questo ng! :-)
Giusto. Chiamiamolo Anarken.
Ciao
Luca
Earendil
>
> Se vengono scritti su CD-ROM sono immodificabili.
> Ovviamente e' possibile farlo prima, ma tecnicamente ci sono limiti
> attualmente non superabili.
Appunto. Non c'� la garanzia che l'amministratore (o qualcuno con
diritti amministrativi) non sia intervenuto prima.
> Lo scopo e' impedire che un utente con
> diritti amministrativi possa accedere a file contenenti dati
> sensibili, pertanto secondo la legge e' sufficiente un log degli
> accessi:
mi risultava che non bastasse l'accesso, ma anche il dettaglio (ovvero
"cosa ha fatto?").
> il che, a mio parere, non significa proprio nulla; ad
> esempio, se i dati sensibili sono contenuti su un server con un server
> http vulnerabile e si sfrutta un exploit del medesimo, i dati si
> ottengono lo stesso e nel log degli accessi al server non ci sara'
> nulla.
Se c'� un exploit, comunque nel log � registrata una query malformata.
Non mi risulta che il web server "non registri" nulla.
Il problema � che comunque la responsabilit� ricade sull'amministratore
che non ha tenuto la macchina aggiornata "all'ultima patch".
> Se poi contemporaneamente un ignaro amministratore entra
> legittimamente per fare operazioni di routine, avra' la colpa
> dell'abuso, dato che non e' precisato di loggare anche tutte le azioni
> compiute da quell'amministratore.
La cosa � ingarbugliata. Leggi le faq 11 e 15
http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499#11
http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499#15
> Come al solito, la legge e' stata scritta senza interpellare qualche
> esperto serio e, in una materia complessa come la sicurezza
> informatica, e' un buco nell'acqua. Tornando pero' agli adempimenti di
> legge, dovrebbero bastare uno script per salvare i file di log di
> Linux, e c'e' gia' qualche utility per farlo in Windows.
Speriamo.
>> Risultato: sta fiorendo un business nel campo dei security log
>> appliance
>
> Come sempre. Si sfrutta l'urgenza da un lato e l'incompetenza
> dall'altro per guadagnarci sopra; il che non e' sbagliato, s'intende,
> ma crea difficolta' e preoccupazione laddove si potrebbe lavorare in
> modo piu' semplice e lineare.
>
> (Probabilmente a breve usciranno dei dispositivi "certificati" da bla
> bla bla, ad un costo dieci volte il normale.)
stanno gi� uscendo :-(
Earendil
danzik
> stanno giￜ uscendo :-(
purtroppo sono giￜ usciti e fanno cagare come questo:
http://www.easy-mail.it/
Prezzo 2000-3000 euro per una macchina obsoleta, non modificabile, con
interfaccia webmail orrenda.
Senza contare che sei obbligato a prenderti in blocco anche il
consulente che te la installa (ￜ tutto un giro).
A me ￜ capitata di vederla durante una presentazione in comune. C'erano
presenti anche dei responsabili delle scuole che scalpitavano per
acquistarla. Ho fatto presente che era semplicemente una distro
camuffata e pure male ma sono stato zittito. Dentro c'ￜ semplicemente
una debian che anche un ragazzino potrebbe customizzarsi.
La distro eBox ad esempio ￜ giￜ pronta e molto piￜ funzionale.
Avete presente le convention Amway o Erbalife? dove se ti azzardi a dire
che in erboristeria le stesse cose e di qualitￜ superiore costano un
quarto ti scuoiano vivo?
E' chiaro che queste cose fanno breccia dove c'ￜ tanta ma tanta
ignoranza. Quindi scuole e comuni.
Luca Sasdelli
> mi risultava che non bastasse l'accesso, ma anche il dettaglio (ovvero
> "cosa ha fatto?").
Il testo non dice con chiarezza questo, ma si limita a identificare gli
accessi dell'admin. E gia' cio' la dice lunga su chi l'ha scritto.
> Se c'ￜ un exploit, comunque nel log ￜ registrata una query malformata.
Mica facile: il testo parla di accesso ai dati personali. Se i dati
sono contenuti in un database, tutt'al piu' saranno coinvolti l'access
log di sistema e quello del database, ma non quello del server http,
che e' la porta d'accesso dell'esempio. Il testo non dice che debbano
essere salvati *tutti* i log della macchina.
Ciao
Luca
danzik
> Mica facile: il testo parla di accesso ai dati personali. Se i dati sono
> contenuti in un database, tutt'al piu' saranno coinvolti l'access log di
> sistema e quello del database, ma non quello del server http, che e' la
> porta d'accesso dell'esempio. Il testo non dice che debbano essere
> salvati *tutti* i log della macchina.
internet?
Luca Sasdelli
> quindi non ha senso che vengano loggati gli accessi degli studenti ad
> internet?
Quella legge non dice questo; si parla solo di conservazione dei dati
personali e di accesso agli stessi da parte degli amministratori di
sistema.
Vedi http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499#9
Credo che loggare gli accessi degli studenti a internet sia doveroso,
almeno per una struttura pubblica, ma gli stessi rientrano nei dati
sensibili e dovranno quindi essere trattati di conseguenza.
Ciao
Luca
Earendil
@mid.individual.net:
> Mica facile: il testo parla di accesso ai dati personali. Se i dati
> sono contenuti in un database, tutt'al piu' saranno coinvolti l'access
> log di sistema e quello del database, ma non quello del server http,
> che e' la porta d'accesso dell'esempio. Il testo non dice che debbano
> essere salvati *tutti* i log della macchina.
E un sysadmin non logga il server http? Maaahh ;-)))
Vuol dire cercar rogna...
Earendil
danzik
> Credo che loggare gli accessi degli studenti a internet sia doveroso,
> almeno per una struttura pubblica, ma gli stessi rientrano nei dati
> sensibili e dovranno quindi essere trattati di conseguenza.
Luca Sasdelli
> le pagine visitate dagli studenti rientrano nei dati sensibili?
Certamente: rientrano negli interessi e nelle inclinazioni personali.
Ciao
Luca
Luca Sasdelli
> E un sysadmin non logga il server http? Maaahh ;-)))
> Vuol dire cercar rogna...
Massi' che l'http server va loggato :-)
Il problema e' che, poiche' la legge non dice di salvare e conservare
tutti i log della macchina, ma solo quelli relativi all'accesso ai dati
personali, permette di definire casi come quello dell'esempio, in cui
si accede sfruttando una vulnerabilita' del sistema.
Del resto e' una legge relativa alla privacy, cioe' quella cosa che,
dalla sua introduzione, ha provocato un movimento impressionante di
carte, documenti e risorse, IMHO con discutibili benefici per la
popolazione.
Un mio vecchio collega inglese di lavoro, specialista in meccanica di
precisione, diceva "le serrature sono per le persone oneste".
Ciao
Luca
Nicola Bortolotti
news:7o7729F...@mid.individual.net...
> carte, documenti e risorse, IMHO con discutibili benefici per la
> popolazione.
piu' che benefici, ha portato autentici malefici.
Un esempio di come, da un ovulo di buone intenzioni, possano nascere (ed
essere fin troppo amorevolmente allevati) mostri.
Nella migliore delle ipotesi la normativa sulla privacy (e, soprattutto, gli
altezzosi pronunciamenti del garante pontifex maximus) non serve
assolutamente a nulla; di norma e' dannosa.
Aureliano Buendìa
> Del resto e' una legge relativa alla privacy, cioe' quella cosa che,
> dalla sua introduzione, ha provocato un movimento impressionante di
> carte, documenti e risorse, IMHO con discutibili benefici per la
> popolazione.
>
Del resto ciascuno di noi, dall'introduzione della Privacy, quante c.d.
"informative", dai piￜ disparati soggetti, ha ricevuto e immediatamente
cestinato ? :-(
A.B.