On 16/nov/2009, at 20.07, Claudio Criscione wrote: > Scusatemi, ma il garante non dice che i dati devono essere tenuti garantendo > la immodificabilità, inaccessibilità e la loro inalterazione? > Io ricevo tramite degli agent le informazioni e le metto in un DB centrale. > Quindi non li sto tenendo nella sua forma nativa.
> Il clusit in una sua presentazione ha fatto una riflessione su questi punti. > Da quando i log devono essere immodificabili, inaccessibili ed inalterabili. > Dopo di che quando metto i log all'interno di un DB per la loro > ottimizzazione questi non sono stati alterati? Non dovrei invece tenere il > log cosi come in formato raw in un repositori che mi garantisce la loro > inalterabilità, inaccessibilità e immodificabilità? > Una mia riflessione. > Grazie e buon lavoro. > -- > Claudio Criscione > > Secure Network S.r.l. Buongiorno, Il garante parla di "ragionevole sicurezza", già questo dovrebbe bastare a dirimere qualsiasi controversia. Aggiungo che le parole "immodificabilità", "inalterabilità" e "inaccessibilità" sono pressoché di impossibile applicabilità reale e integrale in ambito informatico. Invito chiunque a: - dimostrare scientificamente il contrario; - leggere, letteralmente, le FAQ disponibili sul sito del Garante Privacy, in particolare la numero 12, che per comodità di chi legge questo thread riporto qua sotto (fonte: http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499#12). --- 12) Come va interpretata la caratteristica di inalterabilità dei log? Caratteristiche di mantenimento dell'integrità dei dati raccolti dai sistemi di log sono in genere disponibili nei più diffusi sistemi operativi, o possono esservi agevolmente integrate con apposito software. Il requisito può essere ragionevolmente soddisfatto con la strumentazione software in dotazione, nei casi più semplici, e con l'eventuale esportazione periodica dei dati di log su supporti di memorizzazione non riscrivibili. In casi più complessi i titolari potranno ritenere di adottare sistemi più sofisticati, quali i log server centralizzati e "certificati". È ben noto che il problema dell'attendibilità dei dati di audit, in genere, riguarda in primo luogo la effettiva generazione degli auditable events e, successivamente, la loro corretta registrazione e manutenzione. Tuttavia il provvedimento del Garante non affronta questi aspetti, prevedendo soltanto, come forma minima di documentazione dell'uso di un sistema informativo, la generazione del log degli "accessi" (login) e la loro archiviazione per almeno sei mesi in condizioni di ragionevole sicurezza e con strumenti adatti, in base al contesto in cui avviene il trattamento, senza alcuna pretesa di instaurare in modo generalizzato, e solo con le prescrizioni del provvedimento, un regime rigoroso di registrazione degli usage data dei sistemi informativi. --- Spiace ripetermi, ma ritengo che far leva su concetti informatici, alquanto discutibili, di sicurezza, sia assolutamente controproducente. Le aziende possono, con mirati investimenti (anche soltanto in "tempo"), adeguarsi facilmente alle semplici richieste del Garante. E' rimandato alla sensibilità delle persone coinvolte sfruttare o meno l'opportunità per estendere il dominio ed i criteri di raccolta e conservazione delle informazioni censite. E' invece auspicabile che vendor e consulenti aiutino le aziende a comprendere come trarre informazioni e valore dai log, che fino a qualche mese fa erano considerati da molti poco più che spazzatura informatica. Buona giornata a tutti. Luca Caldiero Consoft Sistemi S.p.A. www.consoft.it www.splunk.it ________________________________________________________ http://www.sikurezza.org - Italian Security Mailing List
