9 marzo Monitoraggio e controllo Il contesto normativo

I controlli sono leciti? Linee guida del Garante per posta elettronica e internet Gazzetta Ufficiale n. 58 del 10 marzo 2007 Informare con chiarezza e in modo dettagliato i lavoratori sulle modalità di utilizzo di Internet e della posta elettronica e sulla possibilità che vengano effettuati controlli Vieta poi la lettura e la registrazione sistematica delle così come il monitoraggio sistematico delle pagine web visualizzate dal lavoratore, perché ciò realizzerebbe un controllo a distanza dell'attività lavorativa vietato dallo Statuto dei lavoratori Raccomanda l'adozione da parte delle aziende di un disciplinare interno, definito coinvolgendo anche le rappresentanze sindacali, nel quale siano chiaramente indicate le regole per l'uso di Internet e della posta elettronica Il datore di lavoro è inoltre chiamato ad adottare ogni misura in grado di prevenire il rischio di utilizzi impropri, così da ridurre controlli successivi sui lavoratori Qualora le misure preventive non fossero sufficienti a evitare comportamenti anomali, gli eventuali controlli da parte del datore di lavoro devono essere effettuati con gradualità 9 marzo

Sentenze Il Corriere della Sera del 19 Dicembre 2007 Sentenza n della Cassazione Penale: non è reato consultare la posta elettronica del dipendente previa informativa I dirigenti dell'azienda accedono legittimamente ai computer in dotazione ai propri dipendenti, quando delle condizioni di tale accesso sia stata loro data piena informazione 9 marzo

Vietato spiare… ma La Repubblica del 13 Marzo 2008 "Vietato spiare chi scarica musica“ - Altolà del Garante della privacy Caso Peppermint: la società discografica ha svolto, attraverso una società informatica svizzera, un sistematico monitoraggio delle reti peer to peer I motivi addotti dal Garante: La direttiva europea sulle comunicazioni elettroniche vieta […] trattamenti di dati massivi, capillari e prolungati nei riguardi di un numero elevato di soggetti Violazione del principio di finalità: le reti p2p sono finalizzate allo scambio tra utenti di dati e file per scopi personali. L'utilizzo dei dati dell'utente può avvenire, dunque, soltanto per queste finalità e non per scopi ulteriori. Non sono stati rispettati i principi di trasparenza e correttezza, perchè i dati sono stati raccolti ad insaputa sia degli interessati sia di abbonati che non erano necessariamente coinvolti nello scambio di file. 9 marzo

I passi fondamentali 9 marzo Cosa si vuole monitorare EventiAttivitàChange Identificazione delle sorgenti ServerApplicazioniDevicesClient Dove sono contenute le informazioni necessarie Politiche di audit Politiche di trasporto e rotazione

… e solo dopo 9 marzo Architettura ricettorinormalizzatoricorrelatori Correlazione politicheregole Conservazione On-lineOff-line Gestione real-time alertingreportisticaanalisi e Debuggingalarming e alertinggestione incidenti

… e prima di rendere operativo 1. Coinvolgimento della rappresentanza sindacale (controllare ed accertare) 2. Definizione, divulgazione e sottoscrizione delle politiche di controllo (controllare) 3. Definizione, divulgazione e sottoscrizione delle politiche di utilizzo degli strumenti informatici (controllare) 4. Definizione, divulgazione e sottoscrizione delle politiche di accertamento e tracciamento (accertare) 9 marzo

Giro di discussione Monitoraggio in vigore Aspetti di log management Esperienze in merito a divulgazione/sottoscrizione Esperienze in merito agli aspetti investigativi 9 marzo