Privacy, le misure di sicurezza

di Luca Giacopuzzi (LucaGiacopuzzi.it) - Chi accede ai database? Con quali strumenti? Come proteggersi dalle minacce informatiche, dai virus e dai cracker? Perché il documento programmatico? Come e perché investire in sicurezza

Roma - Albert Einstein ebbe modo di affermare che "l'uomo e la sua sicurezza devono costituire la prima preoccupazione di ogni avventura tecnologica". Evidentemente il grande scienziato non aveva in mente né computers né reti telematiche. Eppure il monito poc'anzi citato è quanto mai attuale!

D'altronde, oggi tutti utilizzano - o, per lo meno, conoscono - Internet.
L'impatto tecnologico sulla vita sociale ed economica non è oggetto di scelte, ma è inevitabile, nel bene e nel male. Limitarsi soltanto a subire questo radicale ed ineluttabile processo di trasformazione della società corrisponde all'incapacità di coglierne compiutamente gli aspetti vantaggiosi, che sono molti.

In questo senso la scelta fra essere produttori o consumatori di tecnologia non è libera o opzionale. Chi non investe in sviluppo tecnologico con tutta probabilità sceglie una via non solo di declino economico, ma anche sociale e culturale. E', insomma, un dato di fatto - oltre che un dato di comune esperienza - che dall'impiego delle tecnologie tutti noi non possiamo (più) prescindere, pena una irreversibile perdita di competitività, un gap che poi sarebbe molto difficile colmare.
Ecco spiegato, dunque, perché dobbiamo confrontarci con la sicurezza informatica, dato che le nuove tecnologie - oltre ai benefici, straordinari, che esse portano agli utenti - spesso racchiudono in sé potenziali pericoli per i dati personali e la riservatezza della vita privata dei fruitori delle tecnologie stesse.

Le misure minime
Esaurita questa doverosa premessa, di carattere introduttivo, addentriamoci in un contesto più strettamente giuridico ed osserviamo, da subito, che il Testo Unico sulla privacy affronta il tema della sicurezza al Titolo V della Parte Prima.
Due, in particolare, le misure di sicurezza che vengono in rilievo: quelle cosiddette "minime" e quelle cosiddette "idonee".

Le prime, previste in via generale dagli artt. 33 e ss. T.U., sono in concreto individuate dal disciplinare tecnico di cui al c.d."allegato B" (che sostituisce il sistema delle "misure minime" del d.P.R. 318/99, ora abrogato, emanato in attuazione dell'art.15 della L.675/96) e sono volte ad assicurare un livello (appunto) minimo di protezione dei dati personali. Un livello al di sotto del quale non si può scendere: il mancato rispetto di dette misure, infatti, ai sensi dell'art. 169 T.U. costituisce reato, punito con l'arresto fino a 2 anni o con l'ammenda da 10.000 a 50.000 Euro.

Le misure minime si suddividono in due categorie, a seconda che il trattamento dei dati personali avvenga "con" o "senza" strumenti elettronici.

Per quanto concerne la prima ipotesi, va rilevato che l'art. 34 T.U. elenca ben otto misure minime. Nell'individuazione di esse, alcuni concetti ricorrono più di altri.

Sotto questo profilo, pare così opportuno segnalare la particolare attenzione che il Legislatore riserva alla nozione di "autenticazione informatica" (art.34, lett.a): la definizione è nuova (ossia sconosciuta alla L.675/96) e comprende i mezzi - siano essi programmi informatici o componenti hardware - deputati alla verifica ed alla convalidazione dell'identità di un dato soggetto.

E'una misura di particolare importanza, dato che essa, se correttamente posta in essere, garantisce il controllo di chi accede agli elaboratori. L'autenticazione informatica, infatti, ha il compito di verificare l'identità di chi andrà a trattare i dati personali, e di convalidarla dopo averla verificata.

Ciò è possibile grazie all'utilizzo delle c.d. "credenziali di autenticazione", prescritte alla successiva lettera b) del medesimo art. 34, le quali consistono in quei "dati e dispositivi, in possesso di una persona, da questa conosciuti o ad essa univocamente correlati, utilizzati per l'autenticazione informatica".

Al di là della definizione poc'anzi citata (art.4, comma 3, lett.d), va detto - semplificando - che le moderne tecnologie informatiche, per il riconoscimento dell'identità, adoperano i tradizionali codici di accesso e le parole chiave oppure altri dispositivi non mnemonici, i quali ultimi, peraltro, già oggi sono largamente utilizzati.

Nella moderna accezione del controllo degli accessi, pertanto, le credenziali sono costituite da qualcosa che il soggetto incaricato "conosce" (ad esempio: un codice identificativo o una parola chiave), "possiede" (ad esempio: una smart card, un token), oppure "è" (ad esempio: una caratteristica biometrica, come l'impronta di un dito, del volto, della retina).
TAG: italia
31 Commenti alla Notizia Privacy, le misure di sicurezza
Ordina
  • Come faccio a programmare il backup settimanale dei dati del mio portale (ospitato su macchine non di mia proprieta' e magari distanti chilometri) se questi sono presenti in uno spazio su cui non ho i permessi per amministrare il server? Dovremo forse, d'ora in poi, dotare i portali di qualche strabiliante tool server-side aggiuntivo per il download programmato della base di dati?
    E poi, il proprietario delle macchine su cui e' ospitata la mia base di dati, la societa' che offre l'hosting, cos'e'? Titolare? Responsabile? Tecnico? Niente?
    Sotto che veste rientra questa figura (e gli strumenti che mette a disposizione) nel mio Documento Programmatico?
    La societa' di hosting e' responsabile per la sicurezza e il ripristino dei dati altrui che ospita nelle sue macchine?

    Insomma fino a che punto rispondo personalmente di una situazione che non e' completamente in mio controllo?

    Come faccio a rispettare i criteri di sicurezza, ripristinabilita', ecc.?

    In fine, ricordo, a chi sostiene che basta non dare le password agli amministratori del server di hosting per evitare che questi accedano ai propri database, che questi ultimi, in quanto Administrator, Root ecc. possono accedere a qualsiasi cosa presente nel loro computer e, volendo, possono modificare o cancellare tutto quello che gli pare, comprese quelle password che dovrebbero impedire loro l'accesso. Sono o non sono gli amministratori del computer?

    A conti fatti sembrerebbe una situazione in cui l'accesso controllato e pianificato non e' proprio configurabile, salvo far rientrare queste figure nel proprio programma di sicurezza!!!
    non+autenticato
  • Ciao ,

    se i dati che hai sono cosi' importanti e fondamentali per il tuo lavoro , passa in housing.

    Usare l'hosting mi sembra un controsenso..

    Ciao
    non+autenticato
  • Non si tratta di dati importanti per il mio lavoro!
    Non ho bisogno dell'housing.
    Si tratta di un normale portale che fino a ieri potevi metterlo dove ti pareva, ma oggi con questa nuova legge crea infiniti problemi di sicurezza. Questi problemi non sono impliciti nel tipo di dati trattati, sorgono solo in relazione a tutte queste nuove restrizioni che ci hanno imposto!
    Visto che anche memorizzare il carrello di un utente, con i dati per la fatturazione e' diventato un problema, come faccio a tutelarmi e a tutelare i diritti degli utenti del mio sito?

    Non credo si tratti di trovare una soluzione tecnica alternativa, visto che comunque anche nel caso dell'housing parte della sicurezza, almeno quella fisica delle macchine, e' per forza di cose in mano a chi ti ospita il server.

    Si tratta solo di appurare come certe figure, diciamo tipiche dell'outsourcing, possano rientrare nel documento programmatico del titolare di un portale.

    Come dimostro che chi ospita fisicamente i dati fa tutto quello che la legge prevede? Non tocca forse a lui dimostrarlo per me? Non e' forse lui l'unico responsabile diretto verso i miei utenti?
    non+autenticato
  • Hai mille + una ragioni! Poi l'housing ha costi molto più elevati dell'hosting condiviso.
    non+autenticato
  • Facile dire "usa l'housing", ma chi paga i maggiori costi che una tale soluzione comporta?
    non+autenticato
  • Riprendo la mia risposta data nel simile thread:

    La legge prevede (e lo prevedeva gia' la precedente 675) che tu nomini formalmente per iscritto le società che trattano (o amministrano) i dati per tuo conto. Occorre inviare una lettera al legale rappresentante della soc. di hosting, dove menzioni il fatto che i database installati presso di loro contengono determinate tipologie di dati (personali e sensibili) e che tu nomini la loro società responsabile per la custodia dei medesimi, nell'ambito degli impegni contrattuali esistenti (per es. spetta a loro, per contratto, fare il backup?).

    Loro devono restituire copia firmata per accettazione dell'incarico (e lo fanno, anche se ad alcuni devi spiegare al telefono di cosa stai parlando, LOL!). A te resta l'obbligo di vigilare sul loro corretto comportamento e gestire in prima persona gli altri aspetti applicativi (per es. evitare che l'applicazione consenta a chiunque di leggere i dati dal database). Per esempio, chiedi di ricevere (anche solo via mail) conferma della riuscita settimanale del backup server e chiedi evidenza scritta dell'aggiornamento annuale di procedure e documento programmatico di sicurezza. Non tutto è banale, ma presto diventeranno normali componenti di ogni contratto.
    non+autenticato
  • Scusate... ma perchè buttare via questo s.o.

    Io lo butterei per mille ragioni di instabilità prima di tutto... ma non di certo per l'autenticazione.

    In azienda ho un parco macchine di cui alcune sono datate, ma più che sufficienti a svolgere il loro lavoro. Ovvio che le nuove montano 2000 dalla sua uscita, ma ne ho alcune con il 95... e fanno benissimo quello che devono fare.

    Problemi di autenticazione ? Nessuno. I dati non sono salvati in locale nei client 9x, ma sono in delle cartelle condivise in una macchina con windows2000 che è sempre accesa, e quindi chi accede al 9x con credenziali errate, o senza credenziali, potrà al massimo giocare col solitario o aprire word...

    I dati sono al sicuro !!!
    non+autenticato

  • - Scritto da: Anonimo
    > Scusate... ma perchè buttare via
    > questo s.o.
    >

    Il mondo e' pieno di gente che si fa delle illusioni!
    Il principe azzurro la strega cattiva...
    E' triste pero' vedere che qualcuno applica le illusioni al proprio lavoro invece che alle favole!
    non+autenticato
  • Beh anche il 98 può avere qualche utilità, ad esempio quest'estate quando venne fuori il blaster worm, non riuscivo a rimanere su Internet nella partizione dove tengo l'XP, quindi mi collegai dal 98 e scaricai la patch;) (bastava anche un firewall dall'XP e vabbè)...non sò in verità se il 98 abbia qualche utilità sul lavoro, è decisamente più instabile dell'XP, in un ambiente lavorativo mi sembra tutt'altro che ideale, la sua utilità si rivela casomai solo nel caso uno usi il PC per giocare, in questo caso l'uso modesto che fa di risorse va tutto a vantaggio della velocità generale.
  • usare sistemi operativi (e software) Open Source:
    si conosce il codice sorgente e non ci sono virus, spyware e backdoors !!!
    non+autenticato
  • Ciao ,

    perche' credi che gli utenti siano in grado di leggere ... ( scusa ) .. di capire il codice sorgente ?

    Non e' il software closed ... e' il cervello Sorride



    Ciao
    non+autenticato
  • > perche' credi che gli utenti siano in grado
    > di leggere ... ( scusa ) .. di capire il
    > codice sorgente ?
    >
    > Non e' il software closed ... e' il cervello
    >Sorride

    OVVIAMENTE il sorgente non lo dovrebbero "capire" gli utenti ma sarebbe "letto" dai numerosi sviluppatori opensource, che si accorgerebbero delle eventuali backdoor etc, ad es. vedi il caso Interbase:
    http://slashdot.org/articles/01/01/11/1318207.shtm...

    A me sembrava una cosa ovvie, non sara' che forse e' il tuo cervello ad essere un poco "closed" quest'oggi?
    Sorride
    non+autenticato

  • - Scritto da: Anonimo
    > usare sistemi operativi (e software) Open
    > Source:
    > si conosce il codice sorgente e non ci sono
    > virus, spyware e backdoors !!!

    in galera ti manderei!
    non+autenticato

  • - Scritto da: Anonimo
    >
    > - Scritto da: Anonimo
    > > usare sistemi operativi (e software)
    > Open
    > > Source:
    > > si conosce il codice sorgente e non ci
    > sono
    > > virus, spyware e backdoors !!!
    >
    > in galera ti manderei!

    Improbabile! piu' facile che ci finisca tu con le nuove norme se usi windows!A bocca aperta
    non+autenticato
  • Riporto:
    > "... Prendendo ora in esame le misure cosiddette "idonee", va osservato che esse sono disciplinate dall'art. 31 T.U., articolo che impone al titolare del trattamento dei dati personali di predisporre tutte le misure di sicurezza idonee a ridurre al minimo "i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta ..."

    Ma allora se io gestisco un sito in host presso una società di hosting che mi offre la configurazione del mio spazio Web su Linux e sul quale ho diversi database Mysql contenenti anche dati sensibili, come faccio a garantire la protezione dei dati e l'accesso non autorizzato ai dati stessi dal momento che la società di hosting e chi per essa, essendo amministratrice del server, può benissimo accedere, come utente root, ai dati contenuti nei miei database ?
    non+autenticato

  • - Scritto da: Anonimo
    > Riporto:
    > > "... Prendendo ora in esame le misure
    > cosiddette "idonee", va osservato che esse
    > sono disciplinate dall'art. 31 T.U.,
    > articolo che impone al titolare del
    > trattamento dei dati personali di
    > predisporre tutte le misure di sicurezza
    > idonee a ridurre al minimo "i rischi di
    > distruzione o perdita, anche accidentale,
    > dei dati stessi, di accesso non autorizzato
    > o di trattamento non consentito o non
    > conforme alle finalità della raccolta
    > ..."
    >
    > Ma allora se io gestisco un sito in host
    > presso una società di hosting che mi
    > offre la configurazione del mio spazio Web
    > su Linux e sul quale ho diversi database
    > Mysql contenenti anche dati sensibili, come
    > faccio a garantire la protezione dei dati e
    > l'accesso non autorizzato ai dati stessi dal
    > momento che la società di hosting e
    > chi per essa, essendo amministratrice del
    > server, può benissimo accedere, come
    > utente root, ai dati contenuti nei miei
    > database ?

    Tienili cifrati (o su un filesystem cifrato) e non dare la chiave alla societa' di hosting Occhiolino
    non+autenticato
  • >Tienili cifrati (o su un filesystem cifrato) e non dare la chiave alla societa' di hosting

    Ma se il potere di configurare il mio spazio web è nelle mani della società di hosting spiegami come faccio ad installare un filesystem cifrato su server remoto.
    non+autenticato

  • - Scritto da: Anonimo
    > >Tienili cifrati (o su un filesystem
    > cifrato) e non dare la chiave alla societa'
    > di hosting
    >
    > Ma se il potere di configurare il mio spazio
    > web è nelle mani della società
    > di hosting spiegami come faccio ad
    > installare un filesystem cifrato su server
    > remoto.

    Non vedo perche' dovresti lasciargli quel potere gli SLA non sono mica fatti col fotocopiatore!

    Oppure se ti propongono solo SLA di quel tipo vuole dire che a supporto professionale sono scarsini...
    Che mi pare gia' da solo un ottimo motivo per cercare un fornitore migliore....
    Dice un vecchio proverbio... "chi si fa pecora il lupo se lo mangia".
    Questa sera quando vai nel tuo lettuccio pensaci prima di addormentarti!A bocca aperta
    non+autenticato

  • - Scritto da: Anonimo
    > Riporto:

    > Ma allora se io gestisco un sito in host
    > presso una società di hosting che mi
    > offre la configurazione del mio spazio Web
    > su Linux e sul quale ho diversi database
    > Mysql contenenti anche dati sensibili, come
    > faccio a garantire la protezione dei dati e
    > l'accesso non autorizzato ai dati stessi dal
    > momento che la società di hosting e
    > chi per essa, essendo amministratrice del
    > server, può benissimo accedere, come
    > utente root, ai dati contenuti nei miei
    > database ?

    La legge prevede (e lo prevedeva gia' la precedente 675) che tu nomini formalmente per iscritto le società che trattano (o amministrano) i dati per tuo conto. Occorre inviare una lettera al legale rappresentante della soc. di hosting, dove menzioni il fatto che i database installati presso di loro contengono determinate tipologie di dati (personali e sensibili) e che tu nomini la loro società responsabile per la custodia dei medesimi, nell'ambito degli impegni contrattuali esistenti (per es. spetta a loro, per contratto, fare il backup?).

    Loro devono restituire copia firmata per accettazione dell'incarico (e lo fanno, anche se ad alcuni devi spiegare al telefono di cosa stai parlando, LOL!). A te resta l'obbligo di vigilare sul loro corretto comportamento e gestire in prima persona gli altri aspetti applicativi (per es. evitare che l'applicazione consenta a chiunque di leggere i dati dal database). - Un dubbio: sei sicuro che i dati ricadano nella categoria che la legge definisce sensibili? (credo religioso, vita sessuale, appartenenza politica, informazioni razziali, dati sanitari...)
    non+autenticato
  • Grazie PI per l'articolo, mi sembra, SPERO, che i molti ignoranti in materia possano finalmente rimboccarsi le maniche, magari a partire proprio dai suggerimenti qui esposti.
    non+autenticato
CONTINUA A LEGGERE I COMMENTI
Successiva
(pagina 1/2 - 7 discussioni)