[LEGGE] Documento Programmatico sulla Sicurezza (DPS)

[ValeriaVitolo]

Ancora nessun post:..... vuolsì così colà dove si puote e + non dimandare....

Faccio da sola.

Vabbè vediamo il caso 2: cioè più utenti si collegano al database dei dati, in Lan, accesso ad Internet di uno o più pc.

Qui l'ipotesi di un gestionale che accede o che contiene (se il DB è interno) ai dati riservati è molto plausibile, ma per ignoranza tecnica non risolverò questo caso: se qualcuno può o sa.... posti pure.
Inoltre non parliamo di sicurezza assoluta ma di buona.

Rispetto al caso 1 ci sono due problematiche:
1- Accesso ad internet;
2- Multiaccesso ai dati riservati (e in più con diversi privilegi).

Vediamo cosa partorisce questo cervellino bacato che ho... (qualcuno ha una patch?)


Soluzione CASO2 (aggiunte rispetto al CASO1):

Rattoppiamo innanzitutto INTERNET....

1- Anche se altamente improbabile che ogni pc abbia un modem, la prima cosa da fare è utilizzare un GATEWAY, cioè un dispositivo con due IP uno pubblico (quello che il provider assegna per accedere a Internet) ed uno privato (cioè compatibile con gli IP della rete interna): a meno che non si voglia implementare un nuovo PC, credo che un ROUTER ADSL funga allo scopo e probabilmente già è presente (costo/beneficio);

2 - Occorre un firewall. La SP2 contiene un buon firewall (per un utilizzo previsto dal caso 2... e comunque se ci fossero i mezzi si potrebbe sempre prenderne uno HW) useremo quello;

3 - Occore un Antivirus e un anti spyware: supponiamo il Norton Antivirus (o altri secondo le preferenze) e magari Ad-Aware (o similari).

Questa soluzione rappresenta il livello minimo accettabile di sicurezza su internet (anche in termini di costo)... facciamo un passettino avanti.

4 - Per alzare di un QUID la sicurezza io proporrei:
a) di configurare su ogni macchina un primo account (con privilegi limitatissimi) solo per la navigazione in Internet e per la posta, ed un secondo account con ampi privilegi (ma non quelli di accesso a internet: se non fosse possibile impostare questa protezione a livello di Sistema Operativo, potremo appoggiarci a una delle tante utility);
b) inoltre di rendere PRIVATE (cioè accessibili e visibili solo dall'utente principale) le cartelle più importanti.

Adesso veniamo al nocciolino: il multiaccesso ai dati riservati: ovvero più utenti possono connettersi ai dati ma con diversi privilegi.

5 - Qui non possiamo lesinare quindi opteremo per un piccolo server DB, magari un PIII dismesso dallo stesso ufficio, con MySQL (server).
Ovvero esporteremo i dati del db precedente in MySQL (server), mentre tutti i client accederanno ai dati attraverso il client mysql.

6 - In questo modo terremo traccia delle operazioni fatte sul db e potremo impostare i privilegi del caso.

7 - A voler essere zelanti potremmo creare due Vlan (virtual lan) distinte in cui una contiene tutte le macchine che possono accedere ai dati e nell'altra quelli che non possono.


Credo sia proprio tutto.
Passo la parola a Babbo Natale.... visto che qui......

[thomas]

Alla fine stamperemo e rilegheremo un libro...

Io personalmente sono sotto le feste e chissà perché il lavoro aumenta sempre... mi spiace

[thomas]

A distanza di un anno, e a poche settimane dal termine ultimo, mi piacerebbe discutere con voi di alcune cose.

Soprattutto sull'utilizzo di tecnologie open source o free software in ambito aziendale e se queste sono contemplate nel DPS: infatti, ogni software utilizzato e che manipola dati sensibili (mi viene in mente un server MySQL) deve avere una certificazione che dice che quello che fa, è conforme al DPS.

Ma soprattutto, in casi di controversie, a chi mi rivolgo "per dare la colpa" al funzionamento non conforme di MySQL? Dietro non c'è un rappresentante legale, ma una community!

Siamo costretti ad utilizzare software proprietario?

[xela23]

A distanza di un anno, e a poche settimane dal termine ultimo, mi piacerebbe discutere con voi di alcune cose.

Soprattutto sull'utilizzo di tecnologie open source o free software in ambito aziendale e se queste sono contemplate nel DPS: infatti, ogni software utilizzato e che manipola dati sensibili (mi viene in mente un server MySQL) deve avere una certificazione che dice che quello che fa, è conforme al DPS.

Ma soprattutto, in casi di controversie, a chi mi rivolgo "per dare la colpa" al funzionamento non conforme di MySQL? Dietro non c'è un rappresentante legale, ma una community!

Siamo costretti ad utilizzare software proprietario?

se non c'è nessuno che garantisce il corretto funzionamento del software, allora la responsabilità è tua.

quest'estate ho dovuto organizzare la privacy di uno studio così strutturato:

C'è una società A che affitta l'immobile ad una società B, la quale è proprietaria di tutto il sistema informatico, dei mobili ecc.


La società B, però, "accoglie" all'interno del sistema informatico varie situazioni:

-una società C che ha una dipendente che svolge compiti di segretaria per conto di D,E,F,G,H

-una società D che si occupa di contabilità (un Centro Elaborazione dati Contabili) che ha 4 dipendenti

-una società E che è un'associazione tra professionisti (avvocati, commercialisti)

-un professionista F

-un professionista G

-un professionista H che ha come collaboratori (quindi dipendenti) altri 3 soggetti.


Provate a dirmi chi deve mandare le nomine di chi e gli avvisi, che vediamo se ho fatto giusto...