Certyfikat z ZUS - na jak długo?

Każdy dzień przynosi coś nowego :)

Do tej pory, jeżeli klucz ZUSu uległ kompromitacji (został skasowany, ukradziony), to Zakład wydawał nowy, na okres 1 roku. I wydawało mi się, że jest tak do tej pory.

Otóż nie do końca.

Szczerze zawiodłem się wypowiedzią p. Mikołaja Skorupskiego, rzecznika prasowego ZUS na łamach http://www.rp.pl/. Link

– Nie są odnawiane ważne certyfikaty, tzn. te, których termin ważności jest dłuższy niż do 20 lipca. W razie unieważnienia certyfikatu, którego data ważności przypada po 20 lipca, wystawiany jest duplikat z nowymi kluczami, ale z tą samą datą ważności – wyjaśnia Mikołaj Skorupski, rzecznik prasowy ZUS.

Czyli, jeżeli firma miała klucz ważny do 15 sierpnia, to w przypadku kompromitacji przed 21 lipca, dostanie nowy - ale z datą ważności do 15 sierpnia. W sumie nie opłaca się na tak krótki okres biec do ZUS, lepiej wystąpić od razu o podpis kwalifikowany.

Ale...

Ale pracownicy infolinii ZUS informują zupelnie o czymś innym. :)

Pan po drugiej stronie druta (nawet sie przedstawił), stwierdził, że nowy klucz (po kompromitacji), będzie wystawiony na nowy okres 1 roku, nawet jeżeli pierwotnie data ważności kończyła sie 15 sierpnia. :) Co więcej, swojej wersji trzymał się nawet po przytoczeniu wypowiedzi p. rzecznika wydrukowanej w rzeczce. :)

Jak to jest? Rzecznik sobie, a reszta sobie?

Droga ustawy po zatwierdzeniu przez Senat

Ponieważ nie jestem prawnikiem i nie za bardzo znam proces legislacyjny, to zadałem na Goldenline.pl, na grupie prawo pytanie, co się dzieje dalej z ustawą.

Odpowiedź padła bardzo szybko (dziekuję bardzo Łukaszowi):

Regulamin Sejmu mówi:

Art. 56

Niezwłocznie po ustaleniu tekstu ustawy w wyniku rozpatrzenia uchwały Senatu albo po uzyskaniu informacji o przyjęciu ustawy przez Senat bądź po bezskutecznym upływie terminu do podjęcia uchwały Senatu Marszałek Sejmu przesyła Prezydentowi tekst ustawy, potwierdzony swoim podpisem.

W tym momencie Prezydent może:

ustawę podpisać i zarządzić ogłoszenie w Dzienniku Ustaw (ma na to 21 dni)

ALBO

skierować ustawę do Trybunału Konstytucyjnego (orzeczenie o zgodności = obowiązek podpisania ustawy)

ALBO

zgłosić do niej veto - wtedy nad vetem głosuje Sejm (odrzucenie większością 3/5 głosów = obowiązek podpisania ustawy)

No to czekamy, co i kiedy wykona p. prezydent.

Ceny e-podpisu - zmowa cenowa?

Przy okazji zamieszania z pracami Senatu nad nowelizacją, przeleciałem się po stronach trzech dostawców.
No i co zobaczyłem? Oczywiście skończyły się promocje. Ceny podpisów wróciły do normy. Ale co jest normą?
Rzućmy okiem na cenę netto zestawu (karta, czytnik, program) na rok:
KIR - 296PLN
Sigillum - 298PLN
CERTUM - 296PLN.
Bardzo podobne? Tak się zastanawiam, jakim cudem trzy firmy mają takie same koszty prowadzenia firmy i jakim cudem (tak zupełnie przypadkiem) identyczne ceny zapewniaja próg opłacalności.
A teraz cena zestawu na 2 lata:
KIR - 348PLN
Sigillum - 348PLN
CERTUM - 359PLN.
Czy przypadkiem nie ma tutaj miejsca zmowa cenowa? Przecież i tak firmy będą musiały kupić podpisy elektroniczne, więc po co walczyć o klienta ceną - rynek podzieli się sam i każdy dostanie kawałek tortu.
Smacznego.

CERTUM dostępne w sklepach Germanos (Play)

Z informacji na stronach Certum (Unizeto) i Play wynika, że firmy te podpisały umowy na dystrybucje zestawów podpisu kwalifikowanego Certum poprzez sieć sklepów Germanos.
Ceny nie są niższe. ;(

Klauzula w rekrutacji

Hmm... stanąłem wczoraj po drugiej stronie barykady w procesie rekrutującym :) Prowadziłem rozmowę rekrutującą na stanowisko informatyka (administracja siecią i podstawowe zadania z oprogramowaniem i obsługą sprzętu). To było straszne.
Pomijam znajomość poruszanych zagadnień (podstawową!!). Pomijam sposób udziału w rozmowie. Pomijam to, że w CV wpisywane są rzeczy z kosmosu, o których rekrutowany nie ma pojecia (bo jak tu podejść do kandydata, który w CV ma wpisaną znajomość C++, a nie wie co to jest klasa, a przecież nikt nie wymagał znajomości żadnego języka programowania)
Na 4 kandydatów (3 z kilkuletnia praktyką), żaden nie wiedział nic o zabezpieczeniach sieci (po co są firewalle, po co stosowane jest szyfrowanie w sieciach publicznych i do czego stosuje sie VPNy). Przepraszam - jeden miał mgliste pojęcie. Ale wszystkich pobił człowiek, który z dumą opowiedział, jak to u klientów pracuje zdalnie przy pomocy darmowego VNCa (brak szyfrowania), a klient ma modem neostrady podłączony bezpośrednio do komputera przez USB (bo koszty). No i oczywiście otwarte są odpowiednie porty. Boże chroń Królową. ;)

Ale nie o tym miało być.
Każdy z panów z którym się spotkałem mial na końcu CV piekną klauzulkę, że zgadza się na przetwarzanie swoich danych osobowych zgodnie z bla bla bla... Na pytanie dlaczego, zawsze padała odpowiedź bo tak zawsze trzeba. Na pytanie, czy przeczytał ustawę na którą się powołuje widziałem oczy jak 5PLN. ;) W dodatku dopiski te wyglądały jakby były poklecone z różnych źródeł (jedno zdanie z jestej strony WWW, drugie z CV kolegi - całość wyglądała komicznie).
Ale czy taka klauzula jest potrzebna? To zależy.
Podejrzewam, że klauzule te wzięły się z firm rekrutacyjnych, które przy okazji prowadzą bazy danych CV kandydatów, którzy złożyli swoje dokumenty w celu jednej rekrutacji, a ich dane będą wykorzystane dla innego klienta (proces rekrutacji, na który wyraziliśmy zgodę może trwać baaaardzo długo ;)).
No dobrze. Przypadek wczorajszy. Rekrutacja prowadzona jest dla potrzeb jednej, konkretnej firmy przez tą samą firmę.
Znajduje w tym wypadku zastosowanie art. 23, więc:
1. Przetwarzanie danych jest dopuszczalne tylko wtedy, gdy:
[ciach]
3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest
jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem
umowy na żądanie osoby, której dane dotyczą,
[ciach]
5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych
przez administratorów danych albo odbiorców danych, a przetwarzanie
nie narusza praw i wolności osoby, której dane dotyczą.

Co to nam daje. Ni mniej, ni więcej zapisy te pozwalają na przetwarzanie danych osobowych w zakresie rekrutacji, w celu podjęcia działań przed zawarciem umowy.
W tym wypadku dane przetwarzane są przez podmiot, któremu zainteresowany sam udostępnił dane (przesłał, przyniósł CV) w celu przeprowadzenia procesu, którego skutkiem będzie zatrudnienie kandydata. Oczywiście dane kandydatów, którzy nie zostali zatrudnieni, wraz z końcem procesu rekrutacyjnego ulegają zniszczeniu, czyli kończy się proces przetwarzania danych osobowych.
Oczywiście, zastosowanie klauzuli powoduje, że dodatkowo uzyskujemy zgodę na przetwarzanie tych danych, ale jest to niepotrzebna asekurcacje. Co można pomyśleć o firmie, która żąda takiej klauzuli? To, że albo ABI nie czuje się pewnie na stanowisku, albo brak jest w firmie ABI z prawdziwego zdarzenia :)
Powstaje pytanie, co w przypadku, gdy firma chce pozostawić dane do późniejszych rekrutacji. Klauzula standardowo stosowana, czyli pozwolenie na "przetwarzanie danych osobowych na potrzeby rekrutacji" nie pozwala na przetwarzanie danych po zakończenie procesu. Można podejść do tematu na dwa sposoby:
- założyć, że proces rekrutacji nie kończy się :) i dane przechowywane są w dalszym ciągu,
- zmienić zapis w klauzuli na "przetwarzanie danych osobowych w obecnym i przyszłych procesach rekrutacji" (lub coś w tym stylu).

No i senatorowie popracowali...

No i stało się. Nie trzeba od 21 lipca posiadać kwalifikowanego podpisu elektronicznego, żeby wysyłać dokumenty do ZUSu. Senatorowie przyjęli poprawkę posłów. Link

Śmieszy mnie natomiast tekst z Gazety Prawnej, która dla mnie do tej pory była wyrocznią. Teraz zaczynam postrzegać ją jako gazetę, która goni za sensacjami.

http://www.gazetaprawna.pl/tagi/e-podpis

Czuję się zniesmaczony tonem artykułow, gdzie nie opisuje się dokładnie i rzetelnie problemu, tylko np. zarzuca się ZUSowi, że podaje obecny stan prawny, a nie informuje co może się stać, jak parlament zdąży. :)

No ale wszelkie bariery głupoto zostały przekroczone w artykule Państwo premiuje lekceważących prawo. Proszę wybaczyć pani Bożeno Wiktorowska, ale rozmowa z dyrektorem KIRu, czyli dyrektorem jednej z trzech firm zainteresowanych sprzedażą jak największej ilości certyfikatów w jak najkrótszym czasie, jest biciem piany. Nie chce mi sie uwierzyć, że KIR był zainteresowany nowelizacją i przeniesieniem daty wymagalności podpisu. Dlaczego? Proponuję przeczytać artykuł na ipsec.pl link i komentarz do niego link. Jakoś trzeba było w końcu zacząć zarabiać.

Czy ZUS winien informować?

Gazeta Prawna opublikowała następującą notkę:

http://praca.gazetaprawna.pl/artykuly/23471,firmy_nie_musza_miec_e_podpisu_od_lipca.html
Poruszony jest problem, czy ZuS powinien informować o prowadzonych pracach legislacyjnych?
Moim zdaniem pani rzecznk ma rację. Powinni informować tylko o obecnych przepisach. A co będzie jak sejm i senat nie zdąży? Albo p. prezydent zapomni podpisac (bo przecież chyba musi odpisać - a w pewnym wieku zapomina sie o różnych rzeczach). Jeżeli przedsiębiorca nie wyrobi podpisu, bo pani z ZUSu powie, że bedzie nowela, a nie będzie, to kto będzie winien?
A swoją drogą, to posłom należy się żółta kartka. Nowelizacja powinna być uchwalona już rok temu, a nie na kilka dni przez końcowym gwizdkiem. Co z przesiębiorcami, którzy już wykupili podpisy, tylko ze względu na ZUS i zapłacili np.1000 PLN (za 3 osoby). Kto im zwróci pieniądze?
Po nowelizacji ustawy możemy oczekiwać kolejek w okienkach zusowskich, w których wydawane są niekwalifikowane podpisy :) Wszyscy raptem będą wyrabiać, żeby jak najdłużej mieć ważny.
Pozdrowienia paniom z ZUS. ;)

Obłęd ;)

Co to jest obłęd?
Obłęd jest to sytuacja, w której wykonując te same czynności oczekujemy innego rezulatu.
Nie wiem skąd to znam, ale bardzo dobrze oddaje ten mechanizm. ;)

Ku przestrodze :)

Po co komu loginy i hasła? cz. 2

No dobra, dostałem przy okazji po głowie, za te długie loginy i za zmianiające się hasła. Pozdrowienia dla bijacego ;)
Padło podczas bicia pytanie:
Co zrobić ze starymi systemami napisanymi np. w Clipperze i przechowujacymi dane osobowe w niezaszyfrowanych bazach.dbf?
UODO, art. 7, ust. 2a
Ilekroć w ustawie jest mowa o:
[ciach]
2a) systemie informatycznym - rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych,

Wiec, skoro system nie ma możliwości automatycznej zmiany haseł co 30 dni, to można opisać w procedurze, że (system informatyczny, to także procedury) np. wyznaczona osoba, raz na 30 dni dokonuje zmiany haseł dla użytkowników. Oj przepraszam - dokladnie opisujemy, że uprawniona osoba "wchodzi" w funkcję zmiany haseł i odwraca głowę, a osoba zainteresowana sama zmienia sobie hasło. Przyznam, że interpretacja jest trochę na siłę, bo nie zazdroszczę takiemu ABI, co wymyśli takie cudo - ale jest to możliwe. ;)
Jakie jest inne wyjście. Dzisiaj mało która firma używa systemy Windows95, Windows98, lub innych systemów opartych na systemach plików, które nie oferują zabezpieczeń. Standardem są odmiany NTFS lub EXTy. Nawet jeżeli gdzieś stoją jeszcze te zabytki, to i tak nie można na nich przetwarzać danych osobowych. Dlaczego: link - szukam linku do orzeczenia.

Skoro system informatyczny, to zespół współpracujących ze sobą programów, to można uznać, że częścią chroniącą dostęp do danych jest system operacyjny (Windows 200, Windows xp, Windows Vista) lub system sieciowy (Windows 200 serwer, Windows 2003, lub Windows 2008) z wdrożonymi, opisanymi przez rozporządzenie i załącznik, zabezpieczeniami (loginy, długość i rotacja haseł, regulacja dostępu do obszarów danych na podstawie uprawnień).
Natomiast o odnotowywanie loginów w przypadku wprowadzenia danych osobowych musi zadbać właściwy program, do którego wpisujemy te dane. Tu też potrzebny jest login, ale nie musimy matwić się o długość haseł i ich rotację. Oczywiście hasła muszą też być utrzymywane przez pracowników w tajemnicy.
Takie jajo, w którym skorupka, to system operacyjny lub sieciowy, a żółtko, to program przetwarzający dane. :)
Podobnie sprawa wygląda w przypadku systemów terminalowych, gdzie użytkownik loguje się do systemu operacyjnego, a potem, często innym loginem i hasłem, loguje się właściwego systemu.

Dalej problem z nieszyfrowanymi bazami. Tu trzeba zdać się na kontrolerów z GIODO, którzy w zależności od wielu czynników (zakresu przechowywanych danych, potncjału firmy, rodzaju działalności firmy) uznają czy można używać baz dbf, czy należy zmienić system przechowywania danych na bezpieczniejszy.
Rozporządzenie z załącznikiem określa "podstawowe warunki techniczne i organizacyjne, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych". Inaczej kontrolerzy podejdą do zabezpieczeń stosowanych przez małą firemkę, a inaczej przez wielką korporację. Inna skala, inna ilość, inne możliwe do poniesienia nakłady. ;)

Zakup od d&%$ strony

Nie należę do tzw. grupy fachowców zajmujących się prowadzeniem projektów, ale staram się jakoś normalizować prowadzone działania. Bo to wychodzi szybciej, taniej i łatwiej.
Ostatnio zostałem poproszony o pomoc przy małym wdrożeniu.
Zadanie wyglądało to w sposób następujący: klient chce coś kupić żeby coś tam wdrożyć, a najlepiej, żeby potem się nie wtopił, bo jak kupi za mało, to będzie problem z dokupieniem, ale jeszcze najlepiej, żeby zarząd nie dostał zawału od wysokości nakładów, które musi ponieść. ;)
Nie wiadomo dokładnie, co klient będzie wdrażał, nie wiadomo na ilu stacjach roboczych, nie wiadomo w ilu lokalizacjach...
Więc jak tu określić potrzeby klienta, kiedy nic nie wiadomo ;)
Co więcej, na spotkaniu z klientem okazało się, że klient też do końca nie wie co musi wdrożyć. To znaczy, wie jakie oprogramowanie będzie wdrażane, ale nie wie, jakie wymagania stawia ono sprzętowi i sieci. Cudownie. I jak tu zaoferować coś, co spełni oczekiwania klienta, a jednocześnie nie położy finansowo jego firmy?

Więc jakbym to widział?
1. Ustalenie celu głównego i celi (celów) 2 poziomu.
2. Ustalenie wymagań dla sprzętu i sieci (często rozległych) stawianych przez wdrażane oprogramowanie. Nie obędzie się tu bez pomocy firm drażających dane rozwiązanie, ponieważ z reguły wiedzą co sprzedają i mają doświadczenie.
3. Wycena sprzętu, oprogramowania i licencji przez dostawcę.
4. Analiza przez klienta kosztów do osiągniętych korzyści i odrzucenie/przyjęcie celów 2 poziomu.
5. Zakup i wdrożenie...

Jak na razie czekamy na ruch klienta... ;)

Po co komu loginy i hasła?

Często zdaża się, że w firmie kilka osób wprowadza dane na jednym loginie i jednym, znanym ogólnie haśle. Przecież wszyscy się znają, ufają sobie, a w dodatku system jest stary... i zawsze pracowało się na jednym loginie, bo to łatwiej i szybciej.

A więc trochę przepisów:
Rozporządzenie MSWIA z dnia 29 kwietnia 2004r. w sprawie dokumentacji przetwarzania....
Par. 2
Ilekroć w rozporządzeniu jest mowa o:
[ciach]
2) identyfikatorze użytkownika - rozumie się przez to ciąg znaków literowych, cyfrowych lub innych jednoznacznie identyfikujący osobę upoważnioną do przetwarzania danych osobowych w systemie informatycznym
3) haśle - rozumie się przez to ciąg znaków literowych, cyfrowych lub innych, znanych jedynie osobie uprawnionej do pracy w systemie informatycznycm
[ciach]

Par. 7
ust1
Dla każdej osoby, której dane osobowe sąprzetwarzane w systemie informatycznym - za wyjątkiem systemów służących do przetwarzania danych osobowych ograniczonych wyłącznie do edycji tekstu w celu udostępnienia go na piśmie - system ten zapewnia odnotowywanie:
1) daty pierwszego wprowadzenia danych do systemu;
2) identyfikatora użytkownika wprowadzajaćego dane osobowe do systemu, chyba że dostęp do systemu informatycznego i przetwarzania w nim danych posiada wyłącznie jedna osoba;
[ciach]
ust. 2
Odnotowywanie informacji, o których mowa w ust. 1 pkt 1 i 2, następuje automatycznie po zatwierdzeniu przez użytkownika operacji wprowadzania danych.

Czyli rozporządzenie nakazuje założenie loginów dla każdego pracownika wprowadzającego dane i nakazuje użytkownikom zachowanie w tajemnicy używanych haseł. Co więcej rozporządzenie nakazuje logowanie wprowadzania danych, więc nie ma to tamto (jak to się pisze?) - trzeba mieć pozakładane loginy i odpowiednie pola w bazie danych, do który wpisywane są informacje o loginach i czasie wpisania danych osobowych.
W czasie "pertraktacji" spotkałem się z próbą "usprawiedliwienia" braku loginów - "przecież mamy tylko jednego pracownika, który wprowadza te dane". No dobra, ale czy ten pracownik pracuje cały rok na okrągło? Nie chodzi na urlopy i zwolnienia lekarskie? Jeżeli jednak chodzi, to ktoś go musi zastąpić i czasem wprowadzić dane do systemu - i wtedy potrzebny jest dodatkowy login. ;) A nawet, jeżeli pracownik jest jak robot... to kiedyś będzie musiał pójść na emeryturę i wtedy pojawi się drugi pracownik... i nowy login. :) Jak nie patrzeć...

Dalej długość haseł... na czort komu tak dłuuuuugie hasło i na czort komu zmieniać je co 30 dni (np. taki nieszczęsny Płatnik, co to bezczelnie wymusza zmianę). Tu też pojawia się rozporządzenie, które mówi o trzech poziomach zabezpieczeń systemu (podstawowy, podwyższony i wysoki). Na dzień dzisiejszy, kiedy w prawie każdej firmie istnieje dostęp do internetu i prawie każdy komputer ma do niego dostęp (szczerze mówiąc nie znam firmy, która ma wydzielony i odcięty od świata kawałek sieci przetwarzający dena osobowe) - to prawie każdy system podlega pod poziom wysoki (par 6 ust. 4). Dokładnie kwestie związne z długością haseł reguluje załącznik do tego rozporządzenia i nakazuje ustalenie minimalnej długości hasła na 8 znaków i zawierające małe i wielkie litery, oraz cyfry i znaki specjalne oraz nakazuje zmianę hasła nie rzadziej niż 3o dni.

Ot i cała filozofia. To nie ABI wymyślił te udręki ;)

Nod32 nagrodzony

Z pewną dozą nie... no czegoś tam na nie, podchodzę do wszelkich nagród przyznawanych systemom antywirusowym. Why? Ponieważ. ;)
Ponieważ testy te i nagrody są często sponsorowane po cichu przez firmy produkujące oprogramowanie antywirusowe (to tak jak nasza liga piłkarska) ;)
No ale zdażają się wyjątki... szczególnie jeżeli.
Według firmy Eset, jesj produkt otrzymał właśnie prestiVirus Bulletin prestiżową nagrodę VB100, dla ESET File Security dla Linuks. Ponieważ nie zajmuję się linuksami, moją uwagę zwrócił tekst w artykule:
Ostatni certyfikat VB100% przyznany ESET File Security dla Linuks potwierdza skuteczność technologii ThreatSense oraz rozwijanego od lat heurystycznego silnika antywirusowego, na których oparto najnowsze rozwiązania ESET NOD32 Antivirus oraz ESET Smart Security.
Ni mniej, ni więcej, nagroda była za skuteczność silnika heurystycznego wykrywania wirusów, który jest też stosowany w rodzinie produktów dla Windows.
Dlaczego ta technologia jest tak ważna. Jak działają antywirusy, tak w największym skrócie?
Pojawia się wirus.
Specjalne serwery utrzymywane przez producentów oprogramowania antywirusowego starają się jak najszybciej pozyskać informacje o nowym wirusie.
Producent oprogramowania antywirusowego analizuje nowego śmiecia i uaktualnia sygnatury.
Sygnatury rozsyłane są do użytkowników antywirusów.
Program u użytkownika wie, że ma chronić komputer od jeszcze jednego śmiecia i wie, jak tego śmiecia znaleźć.
Dlatego tak ważne jest posiadanie ważnej licencji na anywirusa (płaci się za niąna okres roku) i regularne uaktualnianie sygnatur antywirusowych. Antywirus bez nowych sygnatur jest połową antywirusa.

A co się dzieje, jeżeli firma antywirusowa nie wypuściła jeszcze nowych sygnatur? W tym wypadku program antywirusowy powinien przeanalizować kod potencjalnego wirusa, wysłać informacje do producenta antywirusa i podjąć działanie mające na celu zapobieżenie infekcji komputera. I za to właśnie odpowiedzialna jest technologia, która w produktach firmy ESET nazywa się ThreatSense.

Strona na dziś:
Wirusowy radar

Kurs jako videokonferencja

Chwila wolnego podczas instalowania Windowsa 2008 na VirtualPC. A ponieważ sprzęt ma tylko 2GB RAMU, to troche zajmie :) Cóż - wiedza wymaga poświęceń ;)

Swego czasu natknąłem się na firmę szkoleniową Project Management Consulting (pmc.edu.pl). W sumie nie natknąłem się na samą firmę, ale na jednym z portali społecznościowych spotkałem bardzo dobrą ofertę na weekendowe szkolenie z PRINCE2. Jakoś jednak nie było mi uczestniczyć w tym szkoleniu (notoryczny brak czasu).

Dobrze jest jednak co jakiś czas zajrzeć na ich stronę. No i opłacało się :)
W ofercie firmy pojawiły się szkolenia on-line, ale nie w formie ćwiczeń, zadań, czy przezentacji ale w formie videokonferencji.
Jak to działa.
Narzędziem jest Adobe Acrobat Connect Pro. Demo dostępne jest tutaj.
Jest to bardzo ciekawa alternatywa dla szkoleń stacjonarnych. Zaoszczędzamy na dojazdach, czasie traconym na pobyt w innym (często) odległym mieście. Możemy obniżyć koszty (słynne obiadki serwowane podczas szkoleń) ;)

Dobra czas na wady/zalety.
Zalety:
- obniżenie kosztów po stronie organizatora i uczestnika
- oszczędność czasu
- w przypadku szkoleń korporacyjnych - oszczędność czynnika ludzkiego i zwiększenie wdajności (ale żem powiedział)
Wady:
- brak fizycznego kontaktu z trenerem - czasem lepiej widzieć człowieka w jednej sali
- zaangażowanie uczestników w zajęcia - częsty mankament szkoleń stacjonarnych, jakim są dzwoniące komórki, w przypadku szkoleń on-line wymyka się spod kontroli.
Mam nadzieję, że w najbliższym czasie przetestuje na sobie to roziwązanie :)

Wyścigu z czasem, ciąg dalszy

Wszystko wskazuje na to, że nasi parlamentarzyści zdążą ze nowelizacja ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne i że odwleczony zostanie nakaz wyrobienia sobie podpisu kwalifikowanego do kontaktów z ZUSem.
Stan na dzisiaj:
Sejm uchwalił nowelizację w dniu 13 czerwca 2008r.
Ustawa została przekazana do Senatu w dniu 16 czerwca 2008r. Link
Marszałek Senatu przekazał ustawę do Komisji Gospodarki Narodowej w dniu 16 czerwca 2008r.
Posiedzenie Komisji Gospodarki Narodowej 19 czerwca 2008 r. Komisja zaopiniowała pozytywnie zmiany i wnosi o przyjęcie ustawy bez poprawek. Link
Ustawa wejdzie pod obrady Senatu na 14 posiedzenia w dniach 25-26 czerwca 2008r. Link

Zdążą ;)

Czy wiesz dlaczego?

Czy wiesz dlaczego Twój szef jest głąbem?
Pytanie wcale nie jest podszyte złośliwością. :) Odpowiedź jest prosta: Zasada Petera, która brzmi:
W organizacji hierarchicznej każdy awansuje aż do osiągnięcia własnego progu niekompetencji.
I cóż to oznacza? Ni mniej ni więcej, że człowiek przestaje awansować na następny stopień kariery w momencie, kiedy na zajmowanym stanowisku jest już niekompetentny. ;) To, że firma jeszcze funkcjonuje, zawdzięcza to tym młodym i kompetentnym pracownikom, którzy właśnie pną się szczeblach kariery. ;)

Czy wiesz dlaczego zawsze brakuje czasu w projekcie?
A ten problem właśnie tłumaczy Prawo Parkinsona, które brzmi:
Wykonywanie zadań wydłuża się, wypełniając cały czas pracy.
Czyli... robota zawsze zajmie Ci zawsze cały zaplanowany czas i że zadanie zostanie zakończone w ostatnim momencie. Oczywiście, jest to reguła, którą potwierdzaja wyjątki. Porządne i pracowite wyjątki.

Strona na dzisiaj:
Prawo Parkinsona, czyli w pogoni za postępem

Szybko, tanio, dobrze?

Tekst kopiowany, ale bardzo dobry. Znalazłem tutaj: link.

1. Dobrze i tanio nie znaczy szybko.

2. Dobrze i szybko nie znaczy tanio.

3. Szybko i tanio nie znaczy dobrze.

Proste zależności, które powinny być przedstawiane tzw. kadrze zarządzającej na samym początku edukacji :)

I to nie tylko w odniesieniu do IT.

Bo nie wiadomo, kto zainstalował ;)

Ciekawy news znalazłem na vagla.pl odnośnie pirackiego oprogamowania w policji. ;) Link
Były sobie piracki Windows i Office w Komendzie Wojewódzkiej w Poznaniu. Jakoś tam zostały namierzone i... śledztwo w sprawie zostało umorzone, ponieważ prokuratura nie ustaliła osoby, która zainstalowała owe pirackie oprogramowanie.
Fajnie.
Mnie się wydawało, że za legalność oprogramowania odpowiada szef jednostki i administrator sieci oraz użytkownicy, którzy podpisali papier, że nie będą instalować nic na komputerach.
Jeżeli nie jest możliwe ustalenie, któ z użytkowników mógł zainstalowac nielegalne oprogramowanie, to po tyłku winien dostać właśnie szef i administrator.
W tym wypadku szefa jednostki i administratora sieci nic nie usprawiedliwia, ponieważ o ile można nie zauważyć filmow lub mp3, to jak można nie dostrzec, że użytkownicy pracują na sprzęcie na którym nie powinno być ŻADNEGO oprogramowania i który NIE POWINIEN. Bo jaki komputer pracuje bez systemu operacyjnego?
Podejście do tematu przez prokuraturę jest bardzo ciekawe. Skoro nie podejmuje się kroków prawnych w przypadkach gdy NIE WIADOMO KTO ZAINSTALOWAŁ, to praktycznie piractwo w firmch może szerzyć się bez ograniczeń, ponieważ nigdy nie wiadomo KTO ZAINSTALOWAŁ. :)
A może to prawo działa tylko dla policji.?

Podstawy prawne

Teksty na których można sie oprzeć.
1. Akty międzynarodowe:
http://www.giodo.gov.pl/147/
A tam:
- Powszechna Deklaracja (UNESCO) w sprawie genomu ludzkiego i praw człowieka z dnia 11 listopada 1997 r.
- Rezolucja 45/95 Zgromadzenia Ogólnego ONZ z 26 czerwca 1985 r.
- Rekomendacja Organizacji Współpracy Gospodarczej i Rozwoju (OECD) z dnia 23 września 1980 r., w sprawie wytycznych dotyczących ochrony prywatności i przekazywania danych osobowych pomiędzy krajami
- Rezolucja 34/169 Zgromadzenia Ogólnego ONZ
2. Akty europejskie
http://www.giodo.gov.pl/145/
A tam wszelkiej maści rozporządzenia, konwencje, rekomendacje. Np:
- Konwencja Rady Europy nr 108 o ochronie osób fizycznych w związku z automatycznym przetwarzaniem danych osobowych
- Dyrektywa nr 95/46/WE Parlamentu Europejskiego i Rady z 24.10.1995r. W sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu danych
3. Akty krajowe:
http://www.giodo.gov.pl/144/
- Konstytucja RP
- Ustawa o ochronie danych osobowych z dnia 29 sierpnia 1997r.
- Rozporządzenie Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004r. w sprawie przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych
4. Opinie GIODO
http://www.giodo.gov.pl/404/
5. Orzeczenia sądowe
http://www.giodo.gov.pl/150/
http://e-ochronadanych.pl/ - sekcja orzecznictwo
6. Decyzje GIODO
http://www.giodo.gov.pl/151/
http://e-ochronadanych.pl/ - sekcja decyzje GIODO
7. Wystąpienia GIODO
http://www.giodo.gov.pl/152/
8. Publikacje GIODO
http://www.giodo.gov.pl/411/

Przetwarzanie danych

Zapytałem pewnego pana, czy chroni swój zbiór danych osobowych, które przetwarza. A był to pan weterynarz, przechowujący dane właścicieli zwierząt (nazwiska, adresy, telefony).

W odpowiedzi usłyszałem, że on tych danych nie przetwarza, a jedynie trzyma na dysku, żeby w razie czego mieć kontakt z właścicielami.

Nie jest to tak do końca. Otóż według ustawy (art. 7 ust. 2), jako przetwarznie danych rozumie się "jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje sie w systemach informatycznych".

No więc idąc za tym zapisem, przetwarzanie danych zaczyna się już podczas ich zbierania, czyli podczas przepytywania klienta, zbierania informacji z formularzy internetowych. Dalej następuje wypełnianie druków firmowych, "wklepywanie" danych do systemów komputerowych, czyli utrwalanie. Następnie mamy całość procesów związanych z przechowywaniem (także archiwalnym). W trakcie "życia danych" dane są często opracowywane (prowadzone są analizy i zestawienia, przygotowywane oferty), a także poprawiane i zmieniane (także na życzenie osoby, której te dane dotyczą) oraz udostępniane osobom trzecim. Na koniec dane winny być usuwane.

Całość tego procesu musi być wykonywana z zachowaniem szczególnej staranności, w każdej z części życia danych.

Aktorzy w tym przedstawieniu

Chwila na identyfikację aktorów biorących udział w sztuce pt. "Ochrona danych osobowych" :)
Zaczniemy od ADO, czyli Administratora Danych Osobowych.
Aktor ten pojawia się już w art. 7, gdzie jest opisany jako organ/podmiot/osoba prywatna, która decyduj o celach i środkach przetwarzania danych osobowych. Ha..., czyli jest to biedak, na którym ciąży cała odpowiedzialność za przetwarzane dane. ;) Według art. 36 ADO "jest zobowiązany zastosować środki techniczne i organizacyjne zapewniające ochronę danych osobowych odpowiednią do zagrożeń oraz kategorii danych" oraz "prowadzi dokumentację opisującą sposób przetwarzania danych".
Żeby się biedny ADO nie namęczył za bardzo, powinien mieć swoją "prawą rękę", czyli ABI - Administratora Bezpieczeństwa Informacji. Aktor ten pojawia się w art. 36 ust. 3 scenariusza (ustawy) jako osoba nadzorująca przestrzeganie zasad ochrony danych ;). Tu pojawia się problem interpretacji obowiązków i odpowiedzialności. Z ustawy wynika, że cała odpowiedzialność spoczywa na ADO. Nie ma jasno napisane, że w przypadku powołania ABI, to on przejmuje odpowiedzialność za uchybienia. Ale tak po ludzku, ABI jest odpowiedzialny za całokształ działań mających na celu zabezpieczenie procesu przetwarzania informacji w jednostce organizacyjnej. I to bez różnicy, czy przetwarzania dokonywane jest w systemach informatycznych czy w formie papierowej.
Skoro pojawia się system informatyczny (komputery, serwery, programy i sieć komputerowa), to pojawić się musi ASI, czyli Administrator Systemu Informatycznego. Jest to dość nietypowy aktor, ponieważ nie ma o nim mowy w scenariuszu, ale w momencie, kiedy dane są przetważane przy użyciu komputerów, zawsze pojawia się na drugim planie. Techniczny, często zamkniety w swoim pokoju, wsłuchany w szum wentylatorów i odpowiedzialny za bezpieczeństwo danych. ;) ASI jest nadzorowany przez ABI i podlega karom wynikającym ze stosunku pracy. No i oczywistość oczywista - ASI nie powinien być jednocześnie ABI. Bo jak tu kontrolować samego siebie?
A skoro dane są przetwarzane, to muszą być osoby przetwarzające dane osobowe. Zgodnie z art. 37, są to osoby dopuszczone do przetwarzania danych na podstawie upoważnienia wydanego przez ADO, który dodatkowo musi prowadzić rejestr tych osób (art. 39). W ustawie zapisanyc jest wymóg, że "osoby, które zostały upoważnione do przetwarzania danych obowiązane są zachować w tajemnicy te dane osobowe oraz sposoby ich zabezpieczenia". Niby krótki wpis, a jaki uciążliwy. Bo jak tu pracować i wpisywać z pamięci te długie hasła. I w dodatku nie można mieć ich zapisanych na kolorowych karteczkach na monitorze lub pod klawiaturą. ;) I zupełnie nie można poplotkować z koleżanką o tym, że Kowalski zmienił mieszkanie, albo że znowu firma musiała zmienić zamki, bo Krysia zgubiła klucze. ;) Może trochę przesadziłem z sarkazmem, ale jak tu wytłumaczyć, że nie należy zapisywać haseł na monitorze i w dodatku długiego hasła i to takiego, co się zmienia co 30 dni. :)
W ustawie pojawia się jeszcze odbiorca danych. Art. 7 opisuje tegoż aktora, poprzez negację. Odbiorcą danych na pewno nie jest:
- osoba, której te dane dotyczą (a wiec osoba, której dane są przetwarzane)
- osoba, która jest upoważniona do przetwarzania danych (a więc upoważniona przez ADO)
- przedstawiciel opisany w art. 31a, a więc osoba upoważniona przez ADO w przypadku przetwarzania danych poza granicami RP
- podmiot z art. 31, czyli podmiot przetwarzający dane na podstawie umowy (outsor)
- organ państwa lub samorządu, które otrzymały dane w związku z prowadzonym postępowaniem.
A więc kim jest odbiorca danych? Grom go wie ;)
No i mamy jeszcze szarego człowieczka, którego to dane są przetwarzane w systemach danych, czyli właściciel tych danych. To dla ochrony jego danych i wolności została napisana ustawa. To on jest winien tego całego zamieszania. Sam aktor nie pojawia się w scenariuszu, ale pojawiają się jego dane. W sumie jest to temat na oddzielny tekst. :)
A nad wszystki czuwa... GIODO, czyli Generalny Inspektor Ochrony Danych Osobowych. Jest to dość ważna persona w tej sztuce i poświęcony jej został cały rozdział 2 ustawy. Aktor ten powoływany jest przez Sejm za zgodą Senatu (art. 8) na 4 lata i musi być "czysty", "wyróżniać się wysokim autorytetem moralnym" i na stałe mieszkać na terenie RP, jako jej obywatel. To w skrócie. ;) Dalej rozdział 2 dokładnie opisuje sprawy związane z wymogami, przywilejami i zadaniami spoczywającymi na GIODO. Jest też mowa o jego zastępcy. Najwżniejsze (dla ADO i ABI) jest to, że GIODO lub jego namiestnik ma prawo kontrolować przetwarzających dane według ściśle okreslonego wzorca oraz nałożyć kary (art. 14 - 19). GooD ;)

Mam nadzieję, że trochę przybliżyłem role i obowiązki poszczególnych postaci. ;)

Kto rano wstaje...

... ten czasem zobaczy balon na niebie :)
Kurcze - ja wstaję o 5.30, żeby jechać do pracy, a ludziska już o 5.40 są w powietrzu. Doliczając czas na rozłożenie klamotów, to baloniarze muszą wstawać jeszcze w nocy :)
Może czas zmienić priorytety i zacząć traktować pracę jako narzędzie ;)
Dobra - robię ToDoSy i zaczynam je realizować. Może się uda.

IP jako dane osobowe

Według ustawy (art. 6), są to "wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej", ale "informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań". No i tu pojawia się ralatywność ustawy.
Co to są "nadmierne koszty" lub "nadmierny czas"?
Można często spotkać się z pytaniami poszkodowywanych osób, czy na podstawie adresu IP można namierzyć spamera, albo trolla? Nie jest to takie łatwe, ponieważ jako osoba prywatne, nie mamy dostępu do bazy adresów IP i providerów. Ale dla policji czy prokuratury, nie ma problemu z ustaleniem osoby, do której należy (należał przez jakiś czas - w przypadku zmiennego IP) dany adres. Pozostaje kwestia "nadmiernego czasu i kosztów". ;)
Więc póki co, według mnie, adres IPv4 nie jest stricte danymi osobowymi.
Troche innego zdania jest przedstawiciel UE, p. Peter Scharr. Pan Scharr zastosował podejscie bardzo prokonsumencki i stanął po stronie ochrony prywatności obywateli UE. Czy słusznie?
Zależy jak na to spojrzeć.
Jedno jest pewne - p. Scharr nadepnął na odcisk wielu firmom internetowym (dużym i małym). Ostro zareagowały Google i Yahoo, którym trochę komplikuje to prace marketingowe. ;)
Ale do rzeczy. Czym jest IPv4 - jest adresm komputera w sieci. Adres można mieć stały, albo przydzielany dynamicznie, ale i w tym przypadku dostawca posiada logi, komu i kiedy przydzielił dany adres. Dość często widoczny jest tylko adres bramki przez którą łączy się dany komputer, czasem widać też wewnętrzny IP.
Moim zdaniem
Więc sam adres IP nie powienien być zakwalifikowany jako dane osobowe - to tak jak ulica i numer bloku. Powiązanie jednak z możliwym do zidentyfikowania nazwiskiem i adresem już staje się danymi osobowymi. Tia... a kiedy można zidentyfikować dane? Jeżeli istnieje chociaż cień szansy, że można zidentyfikować osobę po jej numerze IP, to należy uznać ten adres jako dane osobowe... Pokręciłem, ale tak pokrecona jest ta pokręcona ustawa. ;) Przykład - ripe.net i adres IP dla DSL - istnienie możliwość namierzenia osoby, która wykupiła usługę prywatnie.
Koniec i kropka :)
A jak to jest zdaniem polskiego ustawodawcy.
Ponieważ ustawa (jak to ustawa) jest bardzo ogólna, należy opierać się na wystąpieniach i interpretacjach pracowników inspektoratu ochrony danych osobowych. Na stronie GIODO znalazłem taki link. Jest to opinia wygłoszona przez p. Michała Serzyckiego w redakcji Gazety Prawnej. Pada tam jednoznaczne TAK dla interpretacji, że adres IP jest częścią danych osobowych i jako taka podlega ochronie wynikającej z uodo. Trudno się zresztą dziwić takiej postawie GIODO, ponieważ organ ten został powołany, do ochrony danych osób fizycznych.

Strona na dziś:
Link do artykułu

Stanie się cud...

... i posłowie zdążą?
Na stronie www.vagla.pl znalazłem taki oto link.
Czyżby zamiast cudu na euro2008 doczekamy się cudu w polskim ustawodastwie i posłowie zdążą i uchwaleniem poprawki dla ustawy o podpisie elektronicznym?
Jak widać prace posuwają się bardzo szybko i być może nagrodzeni zostaną przedsięiorcy w wężem w kieszeni i mocnymi nerwami. ;)
A co będzie, jak się nie uda?
Otóż możemy oczekiwać dłuuuugich kolejek w centrach wydających kwalifikowane podpisy i problemów z dostarczeniem dokumentów do ZUS. A tak przy okazji... czy firma, która nie zdąży zaopatrzyć się w kwalifikowany podpis, nie będzie mogła podpisać z innym podmiotem (biuro rachunkowe) umowy na przekazanie dokumentów do ZUS? Tak tylko na 1 miesiąc? ;)
A co będzie jak się uda?
Jak się uda, to może na rynek firm wydających certyfikaty wejdzie jeszcze jedna firma i ceny kwalifikowanych podpisów spadną?

Microsoft Technology Summit 2008

Rozpoczęła się rejestracja na MTS 2008.
Co to jest? Jest to największe spotkanie w Polsce ludzi, związanych z technologiami Microsoft.
Pierwsza edycja odbyła się w 2005r., nastepna w 2006r. (byłem). W 2007r. jakoś MS zrobił przerwę i w dniach 8-9 października 2008r. odbędzie się trzecia edycja tego spotkania.
Czy warto być?
Warto, żeby popatrzeć i posłuchać. Można kupić książki MSPressu, spotkać się z naprawdę ciekawymi ludźmi...
Koszt... 450PLN brutto dla zdecydowanych do 13 lipca. Potem będzie drożej.
Strona konferencji

Stona na dzisiaj2:
Wss

Szkolenie w Omni Modo

No i po 3 dniowych wakacjach w Warszawie :)
Nie znoszę tego miasta (czemu tam jest zawsze i wszędzie tak daleko).
Ale do rzeczy.
Szkolenie w Harendzie, blisko starowki, blisko centrum, dość blisko metra - ważne i przydatne. Zdażyło mi się kiedyś uczestniczyć w szkoleniu zorganizowanym na koszmarnym zadupiu Warszawy. Tu duży plus. ;)
Sam hotel spokojny, sala z klimatyzacją, kawa, troszke padle ciasteczka i smaczny lunch (no znaczy się obiad) ;) Duży plus. :)
A teraz merytryka:
Dzień pierwszy - prowadzący Tomasz Osiej. Były pracownik GIODO, obecnie konsultant. Glowa pełna praktycznych informacji z zakresu ochrony danych od strony prawnej. A tych właśnie zagadnień dotyczyły zajęcia w tym dniu. Na prawde duży plus za wiedzę i sposób prowadzenia zajęć (nie zasnąłem). Nie będę dalej się rozpływał, ale człowiek wart spotkania.
Dzień drugi - prowadzący Andrzej Ryrz. Były pracownik GIODO, obecnie praownik NBP w departamencie zajmującym się ochroną danych (a maja co chronić). Trochę brakowało mi spotkania z prawdziwym informatykiem (administratorem, zabezpieczeniowcem). Nie dało się ukryć, że p. Andrzej jest prawnikiem, a liczyłem na dzień bardziej techniczny. Ale nie ma tego złego... Spro informacji z zakresu kontroli, zabezpieczeń i dokumentów.
Podsumowując - szkolenie warte wydanych pieniędzy (a to byly moje własne i prywatne - żonie z portfela wyjęte). Dobry kontakt z dobrą firma. Polecam

Strona na dzisiaj:
Omni Modo

Miałem sen...

Miałem sen, w którym nasze dowody osobiste były od razu kartami do podpisu elektronicznego.
Skoro i tak obecne dowody osobiste wydawane są co 10 lat i skoro i tak za nie płacimy, to czemu nie można wdrożyć podpisu elektronicznego w MSWiA (czy jak to się teraz nazywa).
Okres 10 lat w przypadku elektronicznego ID nie jest chyba zbyt długi. Zakładając (a przecież jest to założenie trafne), że zgon jest od razu odnotowywany w bazach PESEL i że wszelkie zmiany też są na bieżąco odnotowywane, to można wydłużyć czas ważności certyfikatów, spada koszt prowadzenia infrastruktury kluczy, państwo ma pełną kontrolę nad kluczami... Po wdrożeniu koszt elektronicznego dowodu nie powinien być znacząco wyższy (nie będzie to koszt 250 PLN na początku i co roku ok. 90PLN) ;).
Miałem sen i przyszło się obudzić ;)