Pc lavoro... quanto è insicuro?

[aleale984]

Lavoro come dipendente pubblico nel settore sanità, trattiamo dati sensibili di migliaia (decine di migliaia? centinaia di migliaia? lavoro in una grande città) di utenti e abbiamo diversi pc con installato windows 10 SENZA alcun aggiornamento... installati nel 2018 e rimasti come tali... per effettuare gli aggiornamenti servirebbe la password di amministratore, quindi non possiamo farlo noi dipendenti... come antivirus non ricordo quale, ma niente di buono, e comunque non aggiornato da anni. Per l'antivirus subentra il discorso di bandi e appalti, non possiamo certo cambiarlo noi... ma almeno gli aggiornamenti di windows...

Vi sembra normale?

 

[BAT]

Vi sembra normale?

certo che è normale, siamo in Italia ?
i dirigenti che si occupano di sicurezza lo sanno che sono penalmente responsabili per le falle che non vengono coperte? sarebbe il caso di ricordarglielo perché la lègge parla chiaro, ci sono sentenze che hanno addossato la responsabilità a responsabili IT per violazioni derivanti dall'aver ignorato le norme di sicurezza più elementari, a partire dall'aggiornamento dell'antivirus. Sorvolo sul non aggiornamento del sisetma operativo, roba da martellate sui denti di chi si occupa di IT

 

[Kelion]

Ti parlo della mia esperienza nella giustizia. Operiamo sulla rete unica giustizia che è una rete chiusa nella quale ci sono collegati pc di tutti i tipi ma tutti hanno in comune gli aggiornamenti del sistema operativo e dei pacchetti Microsoft che giungono via distribuzione automatica negli orari di chiusura degli Uffici trasparenti all'utente che non ha poteri di amministrazione sui pc. Stesso discorso per antivirus con protezione in tempo reale e firewall. L'AGID ha emanato delle regole alle quali devono sottostare le Amministrazioni pubbliche che attribuisce precise responsabilità ai reparti IT. In particolare per la gestione del fascicolo sanitario elettronico pubblicate in gazzetta ufficiale l'11 luglio 2022:

Fascicolo Sanitario Elettronico 2.0: pubblicate le Linee Guida per l’attuazione | Agenzia per l'Italia digitale

Sono state pubblicate nella Gazzetta Ufficiale dell’11 luglio 2022 le Linee Guida di attuazione del Fascicolo Sanitario Elettronico (FSE), previste dal Decreto del 20 maggio 2022.

www.agid.gov.it

 

[Andretti60]

…

Vi sembra normale?

Non è normale.
Dimostra incompetenza e magari pigrizia perché ormai il responsabile IT non deve più andare in giro e installare dischetti su ogni computer, lo fa banalmente connettendosi in remoto dal proprio computer (per chi non lo voglia fare in automatico)
Il fatto che in Italia non si sia bersaglio di attacchi cibernetici dimostra proprio quanto poco valga come nazione, la multinazionale dove lavoro io è ogni giorno bersaglio di dozzine di attacchi (non ho il numero preciso, non viene divulgato)

 

[sp3ctrum]

Ma qui c'é un problema di fondo, nella mia azienda i pc si autoaggiornano senza richiedere la pass di amministratore, basterebbe impostare Windows a dovere.

 

[Kelion]

Ma qui c'é un problema di fondo, nella mia azienda i pc si autoaggiornano senza richiedere la pass di amministratore, basterebbe impostare Windows a dovere.

Ma infatti basta amministrare le impostazioni dei criteri di sicurezza e politiche di accesso.

 

[Andretti60]

Ma qui c'é un problema di fondo, nella mia azienda i pc si autoaggiornano senza richiedere la pass di amministratore, basterebbe impostare Windows a dovere.

Non tutte le aziende vogliono gli aggiornamenti automatici, per esempio dove lavoro io il dipartimento IT preferisce prima provare gli aggiornamenti per assicurarsi che non ci siano problemi di incompatibilità con le nostre reti (è già successo che abbiano dovuto fare un frettoloso “roll over”)

 

[Kelion]

Non tutte le aziende vogliono gli aggiornamenti automatici, per esempio dove lavoro io il dipartimento IT preferisce prima provare gli aggiornamenti per assicurarsi che non ci siano problemi di incompatibilità con le nostre reti (è già successo che abbiano dovuto fare un frettoloso “roll over”)

E' vero infatti è uno dei cambiamenti imposti dalla DGSIA del Ministero lo scorso primo luglio. Gli aggiornamenti partono in remoto solo dopo qualche decina di giorni di test su macchine pilota. Mi sembra una buona pratica.

 

[Moffetta88]

E' vero infatti è uno dei cambiamenti imposti dalla DGSIA del Ministero lo scorso primo luglio. Gli aggiornamenti partono in remoto solo dopo qualche decina di giorni di test su macchine pilota. Mi sembra una buona pratica.

Esatto, serve per evitare le falle 0day che molte volte fanno davvero grossi casini.
Siam sicuri però che questi windows 10 siano versioni classiche e non LTSC che non ricevono aggiornamenti di funzionalità ma solo di sicurezza ed il rilascio degli aggiornamenti non sia gestito centralmente da un eventuale server windows (WSUS)?