DPS - documento programmatico per la sicurezza

[lubga]

Qualcuno si è interessato e sa qualcosa a riguardo?

Salvo altri rinvii, da fine anno studi ed imprese dovranno vedersela con il DPS


In parole povere è un documento che andrà redatto ogni 31 marzo al fine di dimostrare di essere a norma per quanto riguarda la sicurezza dei dati sensibili.


A me interessa sapere se serve una firma di una figura particolare (società iscritte a particoari albi, personale con titoli specifici, ragione sociale quale srl o spa) per stilare tale documento o se basta una società d'informatica qualsiasi che faccia assistenza (come una sas o una società individuale)


Esiste una lista di componenti hardware accettati o consigliati (tipo sistema dischi in raid1, router, etc...)?

Quali sono i programmi (tipo antivirus, firewall, s.o., etc...) a "norma"?

Quale è la configurazione minima per garantnire tale livello di sicurezza? (intendo nel complesso: HW, SW, aggiornamenti da fare, controlli con quali scadenze, password, etc...)

Ciao a tutti.

[lubga]

nessuno sa niente? :(

[lubga]

forse era meglio postare in "sicurezza"...

cmq strano che nessuno sappia nulla... :rolleyes:

[chrisdaloa]

faccio il programmatore in una società informatica e di recente abbiamo realizzato un software proprio per questo fine.

Se posso esserti utile non esitare a chiedere

icq 157937602
msn [email protected]
email [email protected]


Preciso che sono un dipendente e non ci guadagno nulla :D

[lubga]

grazie mille... le mie perplessità sono quelle che ho scritto sopra.

[chrisdaloa]

non so rispondere a queste domande

io mi sono occupato dello sviluppo, dell'analisi se ne è occupato il mio titolare

Bisognerebbe leggere la normativa, cosa che io non ho fatto, ma non credo che ci siano hardware e software piu' a norma di altri.

Semplicemente ci vuole un archivio dove indicare per ogni pc chi ha l'accesso, l'hardware e il software installato, le varie password, i dati che vi risiedono, eventuali problemi verificatisi (attacchi, intrusioni etc...)

Poi ci vogliono delle lettere di incarico che appunto "incaricano" una persona fisica della sicurezza dei dati. La questione è complessa, ci sono titolari del trattamento, incaricati etc...

E poi alla fine di tutto ci sono appunto queste stampe che sintetizzano un po' tutto.

a me personalmente sembra tutta una cagata :D

Cmq se ti interessa posso vedere se riesco a procurarti la normativa.

Ciao.

[Bizkaiko]

http://www.garanteprivacy.it/garante/navig/jsp/index.jsp?docName=materiale

Segui il link "in evidenza-Codice della privacy" e in fondo alla pagina che ti si apre puoi scaricarti il pdf del decreto

[lubga]

grazie mille ragazzi... gentilissimi.:)

[sycret_area]

scadenza rimandata al 30/6/05

[chrisdaloa]

ma per il 2004?

a me pareva di aver capito che per il 2003 fosse da presentare entro il 31.12.04 e per il 2004 entro il 31.03.05 (che probabilmente ora hanno prorogato fino al 30.06.05

non vorrei aver detto stupidaggini

[sycret_area]

Originariamente inviato da chrisdaloa
ma per il 2004?

a me pareva di aver capito che per il 2003 fosse da presentare entro il 31.12.04 e per il 2004 entro il 31.03.05 (che probabilmente ora hanno prorogato fino al 30.06.05

non vorrei aver detto stupidaggini


il DPS è uno, e tra posticipi vari.. è arrivato al 30/06/05

[lubga]

in che senso è uno? va redatto ogni 31 marzo di ogni anno.

[sycret_area]

Originariamente inviato da lubga
in che senso è uno? va redatto ogni 31 marzo di ogni anno.


spero proprio di no...
da quel che so io, va reddato 1 volta e aggiornato nel caso ci siano rilevanti modificazioni.. nell'accesso ai dati, nelle gestione degli stessi. etc etc..

[shingo]

Il DPS và redatto entro il 30/06/05 ed aggiornato annualmente.

Quale è la configurazione minima per garantnire tale livello di sicurezza? (intendo nel complesso: HW, SW, aggiornamenti da fare, controlli con quali scadenze, password, etc...)

Non è tanto un problema di HW quanto di SW. Per esempio Win95 e win98 non rispondono alle richieste minime di sicurezza, mentre W98SE e WinME si (oltre chiaramente a NT,2000,XP).

A me interessa sapere se serve una firma di una figura particolare (società iscritte a particoari albi, personale con titoli specifici, ragione sociale quale srl o spa) per stilare tale documento o se basta una società d'informatica qualsiasi che faccia assistenza (come una sas o una società individuale)

non è necessario che venga stilato da una società specializzata, lo può fare anche l'utente finale, purchè sappia cosa deve segnare e come.

Semplicemente ci vuole un archivio dove indicare per ogni pc chi ha l'accesso, l'hardware e il software installato, le varie password, i dati che vi risiedono, eventuali problemi verificatisi (attacchi, intrusioni etc...)

Non è proprio così: per ogni utente devi segnare che tipo di dati usa
e che tipo di accesso dispone sui dati stessi, se li comunica a terzi, se sono considerati sensibili. Sicuramente non devi segnare le password che usa, piuttosto devi dire come vengono gestite (se attraverso server, se le cambiano manualmente, ogni quanto, che lunghezza minima devono avere, ecc).

Ora devo andare, se avete altre domande postate pure.....

[Bizkaiko]

Originariamente inviato da shingo
non è necessario che venga stilato da una società specializzata, lo può fare anche l'utente finale, purchè sappia cosa deve segnare e come.


Occhio però, perchè chi lo firma diventa garante della sicurezza, ed in caso di problemi è lui che rischia (e pure parecchio, a quanto ho capito)

[shingo]

Chi lo firma è il Titolare del Trattamento, che di solito è il titolare/amm. delegato dell'azienda. Se ci si affida ad una società esterna, questa non ti firmerà mail il DPS.

[lubga]

interessante... ma per sapere redigere questo documento alla perfezione cosa bisogna fare? Non c'è una vera e propria guida o un modello da seguire?

per adesso ho trovato molte info su i requisiti minimi di sicurezza ma nulla che spieghi come va redatto il dps...

[shingo]

Un modello in internet non l'ho trovato e non posso passarti una copia di un DPS che compiliamo qui da noi......

[Bizkaiko]

Originariamente inviato da shingo
Chi lo firma è il Titolare del Trattamento, che di solito è il titolare/amm. delegato dell'azienda. Se ci si affida ad una società esterna, questa non ti firmerà mail il DPS.


Te lo firmano, te lo firmano.
Solo che è molto costoso

[fulged81]

Ciao ragazzi, siete sicuri che il 98se abbia le misure minime di sicurezza? Ho letto che tutti i sistemi windows9x non hanno tali criteri, e che solo tramite la formazione di un dominio questi possono essere utilizzati..... E' scritto in un documento Microsoft sull aprivacy, a chi interessa lo spedisco


Infatti io pensavo di fatre un dominio nt con windows nt4 server.

Inoltre so che bisogna mettere un apassword allo screensaver giusto? Ma il tempo minimo in cui deve andare in esecuzione lo screensaver quanto è ? Posso impostare 30 minuti o nell alegge è specificato un tempo, io non l ho trovato nella legge.....

[shingo]

Alla prima parte non sò risponderti con sicurezza, per lo screensaver il tempo è relativo. Per quel che ne sò se l'utente lascia incustodito il piccì non deve aspettare l'intervento dello screen saver ma bloccare immediatamente la wks.

[Webflyer]

Un saluto a tutti e a lubga che ha aperto questa discussione molto interessante :)

Per quanto riguarda le misure minime di sicurezza e la redazione del Dps vi consiglio di leggere e partecipare le discussioni su www.sikurezza.org (http://www.sikurezza.org) , in particolar modo la sezione Lex.

Per la redazione del Dps, tanto per farvi un'idea sarà utile leggere la Guida operativa alla redazione del Dps - 11 giugno 2004 (http://www.garanteprivacy.it/garante/navig/jsp/search_result.jsp) pubblicata sul sito ufficiale del Garante.

Basta poi fare una ricerca con google per trovare molte informazioni. Purtroppo nessuna persona o società vi farà visionare il suo Dps, proprio perchè devono essere investiti tempo e soldi per raggiungere un buon risultato.

E in effetti mi ero chiesto come mai nessuno avesse già proposto questo argomento...

[Erro]

Originariamente inviato da fulged81
Ciao ragazzi, siete sicuri che il 98se abbia le misure minime di sicurezza? Ho letto che tutti i sistemi windows9x non hanno tali criteri, e che solo tramite la formazione di un dominio questi possono essere utilizzati..... E' scritto in un documento Microsoft sull aprivacy, a chi interessa lo spedisco


Infatti io pensavo di fatre un dominio nt con windows nt4 server.

Inoltre so che bisogna mettere un apassword allo screensaver giusto? Ma il tempo minimo in cui deve andare in esecuzione lo screensaver quanto è ? Posso impostare 30 minuti o nell alegge è specificato un tempo, io non l ho trovato nella legge.....

L'assistenza Microsoft per windows Nt4 server finisce a fine Dicembre di quest'anno, non uscendo più aggiornamenti la piattaforma non è più in regola con il dps, dunque non ti conviene proprio fare un dominio nt4.
Windows 98 mantiene le password di sistema in chiaro dunque non và proprio bene.
Lo screen saver deve essere impostato in modo tale la protezione intervenga su un allontanamento dalla macchina da parte dell'utente, il tempo non viene specificato, ma 30 minuti sono sicuramente troppi.
Nella azienda dove lavoro io ho scelto come tempo per 9 minuti, è già un tempo abbondante se vogliamo vedere, il tutto dipende da che dati sono trattati dall'utente e che tipo di lavoro svolge.
comunque lo screen saver è solo ceh un sistema per aggirare la negligenza dell'utente medio che dovrebbe di sua iniziativa bloccare la workstation appena alza il suo sedere dalla sedia.
Il problema è che magari settiamo le policy per mettere lo screensaver a un minuto e poi l'utente lascia scritta la password con un post-it sul monitor...alla faccia del DPS:)