Grande fratello in rete windows.

[prometeo79]

Scusate, mi sfugge qualcosa.
Per lo stesso motivo allora dovrebbe essere anche illegale un semplice proxy con autenticazione. Ma mi sembra che molte aziende ce l'abbiano...
Non credo che la legge sulla privacy dica: "È vietato associare l'indirizzo ip ad un utente", almeno, all'interno di una lan l'amministratore ha il diritto di sapere.
E poi... Non tutte le aziende hanno il DHCP, quindi molte volte è l'amministratore di rete che associa indirizzi ip e utenti.

Allora io non so esattamente quali siano i limiti. In questo forum ci sono diverti IT che magari potrebbero chiarire la cosa. Però so che non puoi controllare quello che io faccio col pc, perchè potrebbe ledere la mia privacy, anche se il pc che uso non è mio ma in comodato dall'azienda

[ZeroByte]

Non lo sapevo. C'è qualche legge particolare in merito? Sai dove si può trovare documentazione a riguardo?

Come già detto, dovrebbe essere la legge sulla privacy http://www.cert.garr.it/legislazione/675_96.html, articolo 11:

Codice: Seleziona tutto

Il trattamento di dati personali da parte di privati o di enti pubblici economici è ammesso solo con il consenso espresso dell'interessato. 

e poi ancora, art. 22, dati sensibili:

Codice: Seleziona tutto

I dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale, possono essere oggetto di trattamento solo con il consenso scritto dell'interessato e previa autorizzazione del Garante.

Io purtoppo di Legge non ne capisco nulla, ma lavoro nell' ambito della sicurezza informatica, e ti assicuro che in ufficio questa è sempre stata la condotta ufficiale (Se non sbaglio proprio sotto consiglio di Andrea Monti...).

ZeroByte

[Raistlin84]

Una cosa che mi sono scordato di scrivere nel post prima...

E' vero ci sono leggi sulla privacy, e non essendo un esperto in materia posso dire poco, ma consideriamo che qualcuno trova qualcosa di compromettente su di un pc... Ora l'admin potrebbe far finta di niente, denunciare la persona, ed poi arriva la postale coi permessi per accedere al pc. Questo in caso di reati gravissimi.
Tutto dipende, se è un controllo di routine così per fare, oppure perchè si è scoperto che degli utenti fanno attività illegali e li stanno cercando...

[ZeroByte]

Cercando di tornare in topic, non c'erano anche dei file index.dat da eliminare? Ricordo che se provavi a cancellarli, Windows ti bloccava perché diceva che erano in uso. Mi sbaglio?? Ora sono un affezionato pinguino, non ricordo come funzionano le finestre

ZeroByte

[notsafe]

Le legge sulla privacy non equivale ad anonimato.

Sfatiamo il mito sull'illegalità di "associazione IP-utente". E' vero invece il contrario, esempio classico un ISP *deve* per legge tenere uno storico di username-IP per ogni accesso a internet. Non può ovviamente rivelare,se non in caso di richiesta di procedure giudiziarie, il referente di quell'utenza ( qui interviene la legge sulla privacy)

In ambito lavorativo,la questione è decisamente dibattuta: da una parte il datore *non* può controllare in modo "occulto" sul utilizzo piu o meno illecito dei mezzi lavorativi utilizzati dal dipendente, dall'altra parte però il dipedente *non* può utilizzare i mezzi messi a disposizione dall'azienda per questione che esulano l'ambito lavorativo. Ci sono sentenze che danno ragione sia una sia l'altra parte.Molte aziende proprio per protegersi da casi del genere, implicano nel contratto l'informazione di possibili controlli ( in questo caso del tutto legale in caso di firma da parte del dipendente)

Mi sembrava che la condivisione forzata a suon di $ fosse possibile fino all'NT. Sei sicuro che si possa fare con XP?

Si.di default Windows XP condivide c$ d$ etc.
vedi http://support.microsoft.com/kb/314984/it

Una piccola nota a margine: se la rete è un dominio 2003, le policy di accesso e utilizzo del terminale vengono definiti dal domain controller, quindi le impostazioni di installazione e/o esecuzione di software "di protezione" (o anche di sw in generale ) può essere tranquillamente inibito dall'amministratore di sistemi.

[Luci0]

In definitiva se c' é un proxy trasparente, i dipendenti lo debbono sapere ed essere avvisati altrimenti chi controlla passa dalla ragione al torto...
I dipendenti ovviamente non debbono scaricare i pornazzi o mettere un server eMule o peggio ... se vogliono i filmetti se li scaricano a casa .... ( gli unici esentati sono i capi o il CAPO che ovviamente ha sempre ragione e che può scaricare tutto il troiaio che vuole ... anche troian dialer virus etc . etc.. e impestare la rete [... ma questa é un altra storia ])

.... per le cronologie se puoi utilizza opera o firefox ... non credo che tu possa riavviare il PC e far partire una knoppix durante l' orario di lavoro così non lasceresti tracce ...

[aschenaz]

Non pensavo di suscitare tanto interesse...
Comunque si è innescata una discussione davvero interessante.

Io, come accennavo, penso che stiano correndo ai ripari dopo che, in un ufficio della stessa regione, sono stati compiuti dei veri illeciti e, quindi, non credo vadano a guardare qualche mp3 o qualche connessione a internet in più.

In ogni caso, come connessione ad internet abbiamo già grosse limitazioni: i siti contenenti materiale pornografico, software pirata etc. sono bannati già sul proxy e il p2p non è possibile. Inoltre, il proxy sta a livello centrale (si tratta di una pubblica amministrazione) e l'accesso viene consentito in base alle credenziali di dominio su active directory (quindi hanno già l'associazione utente-siti visitati).

Io sto consigliando ai colleghi di eliminare principalmente l'eventuale sw pirata (io non ne ho mai avuto, per principio) ed eventuale roba che si fossero portati da casa o avessero ricevuto via mail.

Altre cose (attacchi e roba simile) non si possono proprio fare: abbiamo un firewall potentissimo (pur ammettendo che ci fosse qualcuno in grado di farlo...). E' per lo stesso motivo, credo, che non si riesce più ad accedere con $ (io pensavo non fosse possibile con XP...), mentre con NT..., ne ho girate di macchine!

Sicuramente avranno qualcosa da ridire sulle tonnellate di sw libero che ho installato (apache, php, mysql, python, free-pascal, gtk, gimp, openoffice, firefox, opera, inkscape, ...), ma, in effetti, ho pur realizzato diverse applicazioni web, anche ufficializzate. E' vero pure che mi sono spesso esposto in prima persona a favore dell'open-source ed ho avuto scambi coloriti (alcuni pubblicati nella intranet) con i dirigenti della comunicazione interna e della sicurezza informattica e che, quindi, potrei temere ritorsioni...

In ogni caso, penso che la cosa fondamentale sia che sono inattaccabile per quanto riguarda quantità e qualità del lavoro svolto.

E poi, ho già litigato di brutto con tre ispettori e diversi direttori. Fatto 30, facciamo 31.

Ciao,
nino

[ZeroByte]

Continuo a sostenere la mia tesi. L'associazione IP-utente in ambito lavorativo è illegale.
Certo che un ISP debba mantenere traccia di tutto il traffico effettuato da un certo indirizzo IP ed associare a quell'indirizzo IP un nome e un cognome (tra l'altro ora è tenuto per legge anche a mantenere i log per tre anni se non mi sbaglio).
La differenza sta nel fatto che tu compri dall'ISP la connettività. In azienda tu utilizzi la connettività per lavorare. Ovvio che se l'amministratore della rete vede che metà del traffico è di tipo p2p e l'altra metà sono siti porno, deve prendere provvedimenti. Ma, ripeto, l'associazione IP-utente resta illegale (e ripeto ancora una volta, sempre che non si siano firmati documenti "strani"). I controlli vanno fatti solo per statistiche sui vari indirizzi.

ZeroByte

[francogdn]

Scusa ZeroByte...
Ma se nella mia azienda ho a disposizione una classe di indirizzi ip da distribuire a tot. utenti, è normale che mi faccia un foglio Excel con l'associazione ip/utente.
Se poi la mia policy di sicurezza prevede che non ci sia DHCP perché voglio evitare che il primo che entri in azienda si colleghi alla mia LAN, allora è ancora più normale.
Io amministratore ho il diritto/dovere di sapere come viene utilizzata la mia rete... Credo che nessuno possa accusarmi di violazione della privacy per questo.

[notsafe]

Continuo a sostenere la mia tesi. L'associazione IP-utente in ambito lavorativo è illegale.

a me non risulta proprio.Secondo questa idea,in italia non dovrebbero esistere reti interne con proxy, con dns "dinamici" intranet o qualsiasi sistema a credenziali.Cosa che invece la famosa legge sulla privacy impone ( ogni utente di una rete *deve* avere un suo accesso personale e univoquo )

Privacy NON equivale ad anonimato.

La differenza sta nel fatto che tu compri dall'ISP la connettività. In azienda tu utilizzi la connettività per lavorare.

??
che centra??

Se un dipendente esegue azioni telematiche che ledono l'attività aziendale ( es: cancellazione o falsificazioni di dati in documenti o database interni), non può essere rintracciato, o, paradossalmente, se viene rintracciato passa nella ragione?

Uhmmm. No, non è cosi. Anzi, in ambito aziendale si tende sempre a rendere univoquo il chi/cosa/come/quando ( policy sul domain controller, ACL su file e/o directory, ACL su orario etc)

[ZeroByte]

Ragazzi, non vorrei mai che questo thread così interessante degenerasse in inutili polemiche. Però vi assicuro che è così, non perché io sia chissà chi, ma semplicemente perché lavoro proprio in questo campo. Provate ad esempio a leggere qui: http://www.infogiur.com/news/privacy_co ... ndenti.asp.
La questione è sempre la stessa: i controlli possono essere fatti dall'azienda per fini statistici o relativi alla sicurezza, ma non possono mai essere fatti controlli sull'attività dei singoli utenti. Nei casi più gravi, dove ad esempio si sono verificati crimini, le informazioni sensibili dovrebbero essere trattate esclusivamente da società esterne per garantire la massima trasparenza.
Che piaccia o meno, per ora è così, anche perché fino a quando non ci sarà una legislazione chiara, la linea di demarcazione tra il diritto alla privacy e il diritto dell'azienda di controllo sarà sempre più sottile.

ZeroByte

[notsafe]

Il testo riportato riguarda espressamente *il contenuto* della navigazione di siti WEB, non certo l'associazione IP-utente (che, anzi, nell'articolo, viene "consigliata" come norma per contestare l'indebito utilizzo)

cito il testo:

""Il datore di lavoro non può monitorare la navigazione in Internet del dipendente"

Anzi, viene precisato una cosa fondamentale:

"Per contestare l'indebito utilizzo di beni aziendali, afferma il Garante nel suo provvedimento, sarebbe stato in questo caso sufficiente verificare gli avvenuti accessi a Internet e i tempi di connessione senza indagare sui contenuti dei siti. Insomma, altri tipi di controlli sarebbero stati proporzionati rispetto alla verifica del comportamento del dipendente."

Quel "sarebbe stato in questo caso sufficiente verificare gli avvenuti accessi a Internet e i tempi di connessione" implica proprio quel univocità dell'associazione IP-utente: quell'IP, a cui si riferisce tale utente, a tale ora, sta navigando; questo tipo di controllo non è quindi proibito dalle direttive sulla provacy, le quali riguardando esclusivamente *il contenuto* della navigazione ( che possono rivelare dati sensibili dell'utente )

E' interessante anche quel "in questo caso", che implicitamente indica che in altri casi il controllo sul contenuto è possibile.

[/quote]

[ZeroByte]

notsafe, che dirti. rimaniamo di idee opposte. Potremo andare avanti per giorni a discutere, anche se non penso che questo porti giovamento a qualcuno. Io volevo apportare soltanto quella che è la mia esperienza, giusta o sbagliata che sia.

ZeroByte

[Galvano]

Vi stavo leggendo ritenendo il post molto interessante, comunque qualche mese fà la mia azienda ha ottenuto la certificazione e nella certificazione c'erano i minimi presupposti per la sicurezza ( a dir la verità l'ho chiesta io approfittando della certificazione, altrimenti in ditta nessuno se ne sarebbe preoccupato ).

Come già e stato fatto ravvisare, solitamente per chi non usa un dhcp viene tenuto un foglio con gli abbinamenti IP-Utente e il consulente non ha fiatato.

Non escludo si sia trattato di un ciarlatano con i costi di un consulente

[Raistlin84]

Anche da me è così...cioè IP statico, ma io penso non si possa definire un'associazione IP/Utente, ma IP/Macchina.
Cioè ammettiamo che ZeroByte abbia ragione [non è per darti nè a favore nè contro, siccome sono digiuno dell'argomento ipotizzo] e quindi non si possa fare l'associazione IP/Utente. Da me però [come ovunque penso] ognuno ha un utente e una password privati sul dominio interno, e tecnicamente può lavorare anche su di un altra postazione [cosa più unica che rara, però può accadere].
Quindi l'azienda ufficialmente associa l'IP alla macchina, e non all'utente che è "libero" di spostarsi su altre postazioni.
Penso che sia una cavillo importante per eludere tale legge nel caso Zerobyte abbia ragione.

Sempre che la tua rete sia così, ma di solito son così, hanno un dominio interno e gli utenti sono sul server e non in locale.