Amministratori di Sistema:
Adeguamento
al Garante Privacy
Roma, Sabato 24 ottobre 2009

Agenda Il programma del talk

Perchè?

Quando?

Cosa?

Come?

Ma?

Perchè perchè dobbiamo adeguarci

è un decreto…

…ci sono sanzioni

in ogni caso
può essere utile

Quando Entro quando adeguarsi?

Tux – by Larry Ewing, Simon Budig and Anja Gerwinski

1260831600

15 dicembre 2009

Cosa dobbiamo fare
Cosa e quali sono le aree di intervento

Procedurale: Processi, Contratti, Deleghe, Designazione, Albi…

Tecnica: User & Password Management, Log Management

Utenti Password Log
L’utenza deve avere Deve essere sicura:
una corrispondenza più di 8 caratteri e non I log devono essere
univoca con riconducibile inalterabili
l’incaricato all’incaricato
Deve essere Deve essere cambiata
disattivato dopo un al primo accesso e
Conservati per almeno
cambio di incarico o ogni sei mesi, ogni tre
6 mesi
dopo 6 mesi di se sono presenti dati
inutilizzo sensibili
Lo schema rappresenta una sintesi e non ha alcuna pretesa di completezza

Come fare ad adeguarci con linux,
Come alcuni consigli dal BOFH

utenti

“incaricati dotati di credenziali di
autenticazione [...] un codice per
l'identificazione dell'incaricato associato a una
parola chiave riservata conosciuta solamente
dal medesimo oppure in un dispositivo di
autenticazione in possesso e uso esclusivo […]
oppure in una caratteristica biometrica […] ”
Allegato B

http://www.openldap.org/

password

“una parola chiave riservata conosciuta
solamente dal medesimo […] composta da
almeno otto caratteri oppure […] pari al
massimo consentito; essa non contiene
riferimenti agevolmente riconducibili
all'incaricato ed è modificata […] al primo
utilizzo e […] almeno ogni sei mesi […] ogni tre
mesi”
Allegato B

/etc/default/passwd

Pluggable
Authentication
Modules
(PAM)

log

“raccolta dei log centralizzata e l'utilizzo di
dispositivi non riscrivibili o di tecniche
crittografiche per la verifica dell'integrità delle
registrazioni.”
FAQ

http://www.balabit.com/network-security/syslog-ng/opensource-logging-system/

http://www.gnupg.org

Conclusioni, Domande e Riferimenti
Ma

-
essere conformi è
essere…?

+
logging e correlazione

domande?

Riferimenti
DL 196/2003: http://www.garanteprivacy.it/garante/doc.jsp?ID=1311248
Allegato B: http://www.garanteprivacy.it/garante/doc.jsp?ID=488497
FAQ: http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499
Semplificazione: http://www.garanteprivacy.it/garante/doc.jsp?ID=1412271

Grazie
Simone Onofri
simone.onofri@techub.it
http://www.techub.it