Myka, lo scatolotto BitTorrent batte un colpo

Re: bhe
e se invece che Amministratore di Sistema sono Sys Admin o Responsabile IT ?

Re: Come spiegare di non fumare
- Scritto da: OldDog
Lavorare sulla sicurezza informatica in Italia,
soprattutto su concetti "evoluti" quali la
valutazione di rischio e impatto, la scelta di un
modello di sicurezza e di un piano di sicurezza,
la formazione del personale, ecc. è
inutile.

Peggio: è come tentare di spiegare ad un
adolescente perché farebbe bene a non fumare. Ci
si scontra con voglia di ribellarsi all'ordine
costituito, valutazioni di rischio che vanno dal
"tanto non toccherà a me" a "tanto tocca a tu",
"comincino gli altri / sono ben altri i problemi"
e alla via
così.
Il Garante dei dati personali parrebbe cercare da
anni di introdurre questi concetti di buon senso,
tra fatiche varie quali consulenti di parte,
traduzioni approssimative di quanto fatto
all'estero, faticosa rincorsa alle tecnologie,
disinformazione costante da parte di chi osteggia
la tutela della privacy - almeno finché non si
scopre nel mirino di intercettazioni, fotografi
ecc.
Non crediamo che reti di PC Zombie, frodi
costanti ai sistemi di pagamento (POS/carte di
credito), dilagare inarrestabile di malware e di
abusi ai sistemi, siano tutti curabili con la
"pastiglietta"
dell'antivirus.
Eppure si continua con il "frustare il cavallo
morente" del Garante della privacy", invece di
sfruttarne l'esistenza per insegnare ai direttori
delle aziende a "tenere in salute il cavallo".
Non monitorate quando un utente con diritti admin
ha guadagnato acXXXXX ai vostri sistemi?
Tranquilli, otterremo una nuova proroga, e tanti
simpatici intrusi apriranno i nostri sistemi e ci
faranno nido, come formiche al pic-nic, nella
nostra beata ignoranza.
Il punto è che il garante ha fatto i conti senza l'oste nel senso che ha introdotto una marea di norme e poi ha dovuto fare un passo indietro con le semplificazioni. La sicurezza informatica della quale parli sarà ancora più messa in difficoltà da queste norme perchè ci sono due modi di lavorare: bene o male. Chi lavorava male prima non farà altro che moltiplicare i suoi account amministrativi (visto che devono identificare la singola persona fisica), con password semplici, con accessi direttamente dal desktop, senza limitare i privilegi di chi magari deve solo fare il backup ecc. In più i log non saranno per niente affidabili visto che, come dice il garante, inalterabilità per lui potrebbe essere masterizzarli anche ogni tot di tempo quindi sarà normale avere delle "finestre temporali" durante le quali potranno esserci manomissioni, che bello, non solo avrò un account per entrare ma anche la possibilità di modificare i log così tutti si fideranno di quest'ultimi e io la passerò liscia.Io capisco la tua visione ottimistica della cosa, però parliamoci chiaro: qua non si tratta di adottare una ISO 17799 (e facevano prima e meglio!), si tratta di una normativa tirata su in poco tempo perchè hanno paura che qualche amministratore di sistema si va a copiare le mail o i tabulati o le registrazioni di qualche signore importante. Tanto è vero che si chiama "antidossieraggio", non vogliono essere schedati.Dal punto di vista politico è una presa in giro, ci chiedono di avere amministratori di rete di comprovata capacità e MORALITA' perchè non vogliono i dossier, però in parlamento ci vanno quelli che non vogliono essere intercettati, citati nei giornali, vogliono essere cancellati da internet e di dubbia moralità, in poche parole un amministratore di sistema deve dare più garanzie di un amministratore d'Italia (non parlo di destra o sinistra in particolare per carità non apriamo un flame sulla politica)Detto questo ribadisco: chi lavorava bene prima non avrà problemi ad allinearsi alla normativa, chi lavorava male si adatterà ma esponenendosi ancora di più a rischi di sicurezza.Concludo con la mia proposta (giusto per non essere solo disfattista): per le aziende sopra una certa dimensione obbligo della certificazione ISO 17799, per tutti invece DPS, acXXXXX minimo alle risorse, amministratori di comprovata capacità, anagrafe degli amministratori (anche in outsourcing), approvazione di un codice deontologico per amministratori di rete, creazione di una "albo" (senza requisiti minimi, solo iscrizione per chi vuole fare questo lavoro ed espulsione per chi viola il codice deontologico o non sa lavorare). Le norme tecniche già esistono e non devono spiegarcele loro.