16 Marzo 2011 Luca Pierro Responsabile per la normativa sulla Sicurezza Informatica

Transcript

1 Gli strumenti della digitalizzazione: Posta Elettronica Certificata, Firma Digitale, Validazione Temporale Normativa di riferimento Valore legale e utilizzo efficace degli strumenti di certificazione 16 Marzo 2011 Luca Pierro Responsabile per la normativa sulla Sicurezza Informatica

2 PEC Posta Elettronica Certificata Firma Digitale Marca Temporale 2

3 Posta Elettronica Certificata: Introduzione La posta elettronica certificata (PEC) è un sistema di posta elettronica in grado di superare le debolezze della posta elettronica e di poter essere utilizzata in qualsiasi contesto nel quale sia necessario avere prova opponibile dell invio e della consegna di un documento elettronico La posta elettronica certificata si presenta come un innovazione capace di generare enormi risparmi sul piano economico nei settori pubblici e privati La normativa, ha stabilito il formato e le caratteristiche tecniche di funzionamento. Il sistema di posta elettronica certificata risolve alcune carenze della raccomandata tradizionale L utente abituato all utilizzo della posta elettronica non dovrà cambiare abitudini operative o installare particolari software e potrà inviare o ricevere raccomandate elettroniche in una qualunque ora e giorno dell anno da un qualunque dispositivo collegato ad una rete telematica. 3

4 Posta Elettronica Certificata Principale Normativa di Riferimento DPR 11 febbraio 2005, n. 68 (G.U. 28 aprile 2005, n. 97) D.Lgs 30 Giugno 2003, n.196 D.Lgs 30 Dicembre 2010, n. 235 DM 2 Novembre 2005 (G.U. del 15 novembre 2005, n. 266) Circolare CNIPA n.51 del 7 Dicembre 2006 Regolamento recante disposizioni per l utilizzo della posta elettronica certificata Definizione dei soggetti [art. 2]: Mittente; Destinatario; Gestore; Ridefinisce la definizione di documento informatico e il relativo procedimento di invio e ricezione (art 14 co.1dpr 445/2000) Obbligo per i gestori di tenere traccia delle operazioni svolte, in un apposito log, per una durata di trenta mesi garantendone la riservatezza, la sicurezza, l integrità e l inalterabilità [art. 11, commi 2 e 3]; regole per la gestione dei messaggi contenenti virus [art. 12]; Obbligo per i gestori di garantire livelli minimi di servizio [art. 13]; e garantire l integrità del messaggio trasmesso [art. 11, comma 1] 4

5 Posta Elettronica Certificata Principale Normativa di Riferimento DPR 11 febbraio 2005, n. 68 (G.U. 28 aprile 2005, n. 97) D.Lgs 30 Giugno 2003, n.196 D.Lgs 30 Dicembre 2010, n. 235 DM 2 Novembre 2005 (G.U. del 15 novembre 2005, n. 266) Circolare CNIPA n.51 del 7 Dicembre 2006 Codice in materia di protezione dei dati personali Le finalità del D. Lgs. 196/03 consistono nel riconoscimento del diritto del singolo sui propri dati personali e, conseguentemente, nella disciplina delle diverse operazioni di gestione (tecnicamente trattamento ) dei dati, riguardanti la raccolta, l'elaborazione, il raffronto, la cancellazione, la modificazione, la comunicazione o la diffusione degli stessi. Lo scopo della legge non è quello di impedire il trattamento dei dati, ma di evitare che questo avvenga contro la volontà dell avente diritto ovvero secondo modalità pregiudizievoli. 5

6 Posta Elettronica Certificata Principale Normativa di Riferimento DPR 11 febbraio 2005, n. 68 (G.U. 28 aprile 2005, n. 97) D.Lgs 30 Giugno 2003, n.196 D.Lgs 30 Dicembre 2010, n. 235 DM 2 Novembre 2005 (G.U. del 15 novembre 2005, n. 266) Circolare CNIPA n.51 del 7 Dicembre 2006 Codice dell'amministrazione digitale Il Codice dell Amministrazione Digitale rappresenta uno strumento giuridico volto a fornire un quadro normativo coerente, omogeneo ed unitario all applicazione delle nuove tecnologie nella PA. Il Codice, relativamente alla posta elettronica certificata, prevede: Il diritto all uso delle tecnologie [art. 3]; Indicazioni circa l utilizzo della posta Elettronica certificata per la PA [art.6]; Obbligo di istituire almeno una casella di posta elettronica certificata, per ciascun registro di protocollo [art. 47]; L utilizzo della posta elettronica certificata nei casi per i quali è necessaria l evidenza dell avvenuto invio e ricezione di un documento informatico [art.48]. 6

7 Posta Elettronica Certificata Principale Normativa di Riferimento DPR 11 febbraio 2005, n. 68 (G.U. 28 aprile 2005, n. 97) D.Lgs 30 Giugno 2003, n.196 D.Lgs 30 Dicembre 2010, n. 235 DM 2 Novembre 2005 (G.U. 15 novembre 2005, n. 266) Circolare CNIPA n.51 del 7 Dicembre 2006 Regole tecniche per la formazione, la trasmissione e la validazione, anche temporale, della posta elettronica certificata Approfondisce parte dei contenuti proposti dal DPR e prevede come allegato l insieme dei requisiti tecnico/funzionali necessari alla realizzazione di una piattaforma software per l erogazione del servizio. In particolare, introduce nuovi elementi di dettaglio relativi: All obbligo per il gestore di acquisire la certificazione ISO 9001:2000 relativamente a tutti i processi connessi al servizio di posta elettronica certificata [art. 20]; Definizione dei requisiti organizzativi dei gestori [art. 21/22/23]. 7

8 Posta Elettronica Certificata Principale Normativa di Riferimento DPR 11 febbraio 2005, n. 68 (G.U. 28 aprile 2005, n. 97) D.Lgs 30 Giugno 2003, n.196 D.Lgs 30 Dicembre 2010, n. 235 DM 2 Novembre 2005 (G.U. del 15 novembre 2005, n. 266) Circolare CNIPA n.51 del 7 Dicembre 2006 Disciplina attività di vigilanza e di controllo svolta dal CNIPA nei confronti dei gestori di Posta Elettronica Certificata La circolare di vigilanza fornisce elementi di dettaglio in relazione alle modalità con le quali il CNIPA esercita la vigilanza nei confronti dei gestori iscritti nell elenco pubblico e prevede: Lo svolgimento dei test di interoperabilità Il monitoraggio, da parte del CNIPA, delle modalità di vendita dei servizi PEC La comunicazione periodica al CNIPA delle statistiche relative al traffico gestito ed ai livelli di servizio erogati e la tempestiva segnalazione al CNIPA di malfunzionamenti gravi al proprio servizio di posta elettronica certificata La sospensione del servizio erogato dal gestore in caso di malfunzionamenti gravi. 8

9 La PEC diventa obbligatoria Art. 16, commi da 6 a 10, DL n. 185/2008 convertito dalla Legge n. 2/2009 Nota Unioncamere , prot. n Il DL n. 185/2008, nell ambito dell art. 16 rubricato Riduzione dei costi amministrativi a carico delle imprese, ha introdotto l obbligo di dotarsi di una casella di PEC per: Le imprese costituite in forma societaria (l obbligo riguarda esclusivamente le società, di persone e di capitali, mentre non interessa le imprese individuali) I professionisti iscritti in Albi ed elenchi istituiti con legge dello Stato Questi soggetti hanno l obbligo di dotarsi di una casella di posta elettronica certificata e di comunicare il relativo indirizzo rispettivamente al Registro delle Imprese, ai relativi Ordini/Collegi e al CNIPA. L adempimento in esame va effettuato entro termini differenziati a seconda del soggetto 9

10 La PEC diventa obbligatoria Art. 16, commi da 6 a 10, DL n. 185/2008 convertito dalla Legge n. 2/2009 Nota Unioncamere , prot. n Soggetto Obbligato Società Costituita ante Costituita dal Comunicazione dell indirizzo PEC Termine Entro il All atto di iscrizione al Registro delle Imprese Soggetto destinatario Registro delle imprese Registro delle imprese Albo Professionisti Entro il Albo/ Collegio Amministrazioni Pubbliche Dal CNIPA 10

11 La PEC diventa obbligatoria Art. 16, commi da 6 a 10, DL n. 185/2008 convertito dalla Legge n. 2/2009 Nota Unioncamere , prot. n Per le società, l iscrizione dell indirizzo PEC nel Registro delle Imprese, nonché delle sue variazioni, è esente dall imposta di bollo e dai diritti di segreteria CCIAA. Società di nuova costituzione Per le società di nuova costituzione l indirizzo PEC va riportato nel riquadro 5 del mod. S1 utilizzato ai fini dell iscrizione nel Registro delle Imprese. Come precisato nella Nota Unioncamere , Prot. n. 2453, la mancata comunicazione dell indirizzo PEC determina la sospensione del procedimento di iscrizione e l assegnazione di un congruo termine per provvedervi. Decorso tale termine, senza che la società abbia comunicato il predetto indirizzo, l iscrizione potrà essere rifiutata. Società già costituite Per le società già costituite al , ai fini della comunicazione dell indirizzo PEC va utilizzato il mod. S2 del Registro delle Imprese, compilando l apposito riquadro 5. Medesimo modello va utilizzato da parte delle società che hanno presentato la domanda di iscrizione al Registro delle Imprese successivamente al senza riportare l indicazione dell indirizzo PEC. Tali soggetti dovranno verificare presso la competente CCIAA l eventuale termine per l effettuazione di tale adempimento. 11

12 PEC - Soggetti Coinvolti L UTENTE MITTENTE: colui il quale ha l esigenza di inviare un documento informatico L UTENTE DESTINATARIO: il soggetto al quale sarà destinato l oggetto dell invio IL GESTORE DEL MITTENTE: il soggetto con il quale il mittente mantiene un rapporto finalizzato alla disponibilità del servizio di PEC IL GESTORE DEL DESTINATARIO: il soggetto con il quale il destinatario mantiene un rapporto finalizzato alla disponibilità del servizio di PEC LA RETE DI COMUNICAZIONE, che tipicamente può essere considerata internet IL DOCUMENTO INFORMATICO, realizzato dal mittente ed oggetto dell invio verso il destinatario (testo, immagine o altra risorsa multimediale). 12

13 PEC Come funziona? MITTENTE CEDACRI VERIFICA DEL MESSAGGIO RICEVUTA ACCETTAZIONE GESTORE DESTINATARIO INVIA RICEVUTA BUSTA DI DI PRESA TRASPORTO INCARICO AL VERIFICA DEL GESTORE MITTENTE MESSAGGIO RICEVUTA DI AVVENUTA GESTORE CONSEGNA DESTINATARIO DESTINATARIO 13

14 PEC - Struttura del Messaggio Il messaggio PEC può essere visualizzato accedendo alla casella webmail del proprio gestore di posta mediante le proprie credenziali di Il messaggio PEC può essere ATTENZIONE: visualizzato mediante client di posta (ad es. accesso Microsoft Outlook, Mozilla Thunderbird ). CONTENUTO postacert.eml IL MESSAGGIO RICEVUTO SEMBRA NON CONTENERE NULLA, MA NON E COSI! IL CONTENUTO E ALL INTERNO DEL FILE POSTACERT.EML CONTENUTO daticert.xml Esempio Esempio di messaggio di busta nella di posta casella certificata PEC 14

15 PEC - Possibili applicazioni Per quanto riguarda le comunicazioni B2B, le aziende possono utilizzare la PEC con i propri fornitori, clienti, partner, canali di vendita ecc., per comunicazioni di tipo economico (es. l invio di fatture) e/o di tipo giuridico (es. l invio di un contratto) Tipologie di comunicazione come ad esempio l invio degli estratti conto, le assicurazioni potranno migrare sulla PEC con un notevole risparmio di costi e tempi da parte dell azienda, ma anche con una serie di significativi vantaggi, tra i quali: facilità di consultazione da ogni luogo in cui sia accessibile internet, possibilità di archiviare e ricercare i documenti, possibilità di ottenere una riduzione dei costi Anche le relazioni/transazioni delle aziende con la PA sono favorite, ad esempio si può ipotizzare l invio alla Camera di Commercio di comunicazioni sociali (variazioni dello statuto e degli Organi sociali), la consegna dei bandi di gara, la richiesta di atti/certificati, ecc. Allo stesso modo potranno essere interessati i rapporti con INAIL, INPS e i Fondi di previdenza. Anche gli studi professionali possono trarre vantaggio dall utilizzo della PEC per tutte le transazioni e comunicazioni nei confronti sia delle amministrazioni pubbliche che dei propri clienti. 15

16 PEC - I principali vantaggi Certificazione completa del contenuto delle comunicazioni (messaggio e allegati) Possibilità di allegare al messaggio qualsiasi tipologia di documento in formato digitale Archiviazione da parte del gestore delle ricevute di accettazione e consegna per 30 mesi Opponibilità a terzi delle ricevute in caso di contenzioso, come previsto dalla norma Velocità di consegna, economicità della trasmissione, inoltro, riproduzione, archiviazione e ricerca dei messaggi Possibilità di invio multiplo, quindi a più destinatari contemporaneamente Possibilità di consultazione ed uso anche da postazioni diverse da quelle del proprio ufficio o abitazione ed in qualunque momento Possibilità di firmare e crittografare i messaggi 16

17 PEC Raccomandata A/R VS PEC Principali Differenze Raccomandata A/R Posta Elettronica Certificata Costo invio 3.40 /documento cartaceo 0.00 / documento informatico (qualsiasi tipo di formato o allegato Costo casella iva/anno per casella da 1 GB Costo Gestione Carta Variabile in riferimento al volume di lettere inviate 0.00 Costo archiviazione carta Variabile in base al volume delle comunicazioni 0.00 Tempi di consegna 3-5 giorni lavorativi Immediato Possibilità di consultazione Modalità di invio Vincolata a determinati orari, giorni della settimana e disponibilità uffici postali Ovunque, in qualunque momento e da più soggetti Ovunque, in qualsiasi momento 17

18 PEC Servizi a valore aggiunto Servizio Descrizione Dominio Personalizzato Standard ( es. nome.cognome@postacert.cedacri.it) Interno (es. nome.cognome@nomeazienda.postacert.cedacri.it) Esterno (es. nome.cognome@pec.nomeazienda.it ) Alert mail e Funzionalità antispam Gestione di liste di distribuzione Gestione caselle multiutente Personalizzazione dimensione caselle, interfaccia web mail PEC Archiviazione storica dei messaggi di P.E.C Servizio di cripting/decripting dei messaggi P.E.C Gestione autonoma delle caselle di PEC Prevede la ricezione di un messaggio di posta ordinaria nel momento in cui arriva un messaggio nella casella di posta elettronica certificata Per inviare comunicazioni certificate a molti destinatari Consente di creare e gestire caselle multiutente. Fino a 50 oppure 100 utenti possono utilizzare la stessa casella con user e password di accesso distinte. Viene inoltre tenuta traccia per ogni utente delle operazioni svolte sulla casella Possibilità di richiedere la personalizzazione della pagina di accesso alla webmail,e, inoltre di gestire la dimensione della casella in base alle esigenze La funzionalità di archiviazione prevede lo spostamento automatico di tutti i contenuti presenti su determinate cartelle, su delle caselle archivio accessibili via interfaccia web, con le stesse modalità delle caselle di posta ordinaria La crittografia garantisce la riservatezza della corrispondenza Gestire autonomamente la creazione, modifica e cancellazione delle caselle 18

19 PEC Posta Elettronica Certificata Firma Digitale Marca Temporale 19

20 Firma Digitale Evoluzione del panorama normativo A partire del 1997, una serie di provvedimenti legislativi hanno conferito valore giuridico al documento informatico e alla firma digitale. La pubblicazione della Direttiva Europea 1999/93/CE, nel gennaio del 2000, ha dato ulteriori impulsi al processo legislativo, imponendo un quadro comune agli Stati dell Unione Europea. Il processo legislativo ha anche fornito delle indicazioni sulle tecnologie da impiegare per ottenere delle firme digitali che possano ritenersi equivalenti a quelle autografe. Gli atti, dati e documenti formati dalla pubblica amministrazione e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici sono validi e rilevanti a tutti gli effetti di legge L.59 del art. 15, comma 2 20

21 Firma Digitale GLOSSARIO (D.Lgs 30 Dicembre 2010 n.235) 1/2 Documento Informatico Dispositivo di firma Firma Elettronica Firma Elettronica Qualificata Certificatore È costituito da qualunque oggetto informatico (file) che contenga atti, fatti o dati giuridicamente rilevanti Insieme di dispositivi hardware e software che consentono di sottoscrivere con firma digitale documenti informatici L insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica Un particolare tipo di firma elettronica avanzata che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma Soggetto che presta servizi di certificazione delle firme elettroniche o che fornisce altri servizi connessi con queste ultime. Art. 1co. 1g) 21

22 Firma Digitale GLOSSARIO (D.Lgs 30 Dicembre 2010 n.235) 2/2 Firma Digitale Certificati Qualificati Un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici Rilasciati da certificatori che rispondono ai requisiti di cui all'allegato II della direttiva 1999/93/CE,.Art. 1co. 1f) il certificato elettronico conforme ai requisiti di cui all'allegato I della direttiva 1999/93/CE, rilasciati da certificatori che rispondono ai requisiti di cui all'allegato II della medesima direttiva 22

23 L evoluzione delle firme elettroniche Il nuovo Codice dell amministrazione digitale (CAD) del 2010 ha corretto ed integrato la definizione in materia di firme elettroniche, suddividendole, per caratteristiche in tre grandi gruppi. L art. 7. del DPCM30/3/09 pone le basi normative per il riconoscimento della Firma Digitale Remota, basata sull utilizzo di un dispositivo sicuro centralizzato (HSM) per la generazione e la conservazione delle chiavi di firma. HSM è l acronimo di Hardware Security Module, un dispositivo hardware contenente le chiavi crittografiche o di firma di una certa rilevanza che devono essere utilizzate per dati e documenti informatici. Un HSM è paragonabile ad una mega Smart Card con caratteristiche di sicurezza, resistenza ed efficienza estremamente elevate; inoltre non importano (o esportano) mai tali chiavi ma le generano o distruggono direttamente al loro interno. Quindi si ha una massima sicurezza nella gestione dell apposizione e verifica della firma digitale. Si può pertanto parlare di vera e propria evoluzione riuscendo a determinare due periodi ben distinti. Lo spartiacque è proprio lo stesso D.Lgs 235/

24 Caratteristiche dell evoluzione Firma elettronica qualificata Prima dell introduzione del D.Lgs 235/10 Introduzione del D.Lgs 235/10 Firma Remota La firma elettronica ottenuta attraverso una procedura informatica che garantisce la connessione univoca al firmatario e la sua univoca autenticazione informatica, creata con mezzi sui quali il firmatario può conservare un controllo esclusivo e collegata ai dati ai quali si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati, che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma, quale l'apparato strumentale usato per la creazione della firma elettronica Un particolare tipo di firma elettronica avanzata che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma 24

25 FIRMA REMOTA - Caratteristiche Principali Le principali differenze e novità rispetto alla vecchia firma sono: Non servono apparati hardware per per integrare il il sistema La vecchia tecnologia richiedeva obbligatoriamente al cliente di munirsi di apparecchi hardware per poter gestire i dispositivi di firma. La firma remota non richiede nessun aggiunta hardware, questo implica i seguenti vantaggi: Risparmio di gestione Nessuna installazione Nessun acquisto hardware Nessun problemi di compatibilità La firma remota è utilizzabile ovunque Emissione del Certificato e Gestione delle chiavi Il certificato veniva abbinato alla smartcard spedita per posta o consegnata direttamente all utente; ora il certificato è generato dall HSM su richiesta del proprietario. La vecchia tecnologia prevedeva che le chiavi di cifratura erano detenute dal proprietario. Ora le chiavi vengono generate dall HSM su richiesta del proprietario. 25

26 Differenze Operative Generazione e rilascio del Certificato: prima/dopo emanazione CAD 2010 Cliente Certification Authority e Registration Authority Processo di verifica identità Cliente Certification Authority e Registration Authority CA genera il Certificato, lo associa ad una SmartCard e la spedisce per posta al Cliente La chiave è costituita da Smartcard e certificato ed è in possesso del Cliente, per essere utilizzata deve essere verificata tramite un apparecchio hardware specifico Certificato viene generato dall HSM e abbinato ad un Token OTP, normalmente già in possesso del Cliente Le chiavi vengono sbloccate dal Cliente usando il Token (al quale è associato il certificato) e il PIN 26

27 PEC Posta Elettronica Certificata Firma Digitale Marca Temporale 27

28 MARCATURA TEMPORALE - Definizione Una marca temporale (timestamp) è una sequenza di caratteri che rappresentano una data e/o un orario per accertare l'effettivo avvenimento di un certo evento. La data è di solito presentata in un formato consistente, in modo che sia facile da comparare con un'altra per stabilirne l'ordine temporale. La pratica dell'applicazione di tale marca temporale è detta timestamping Il servizio di validazione, una volta ricevuta la richiesta di marcatura temporale genera una struttura di dati contenente, tra le varie informazioni, l impronta dell evidenza informatica e la data/ora corrente, ottenuta da una fonte esatta La marca temporale ha la stessa funzione di una marca da bollo tradizionale. Conferisce un ulteriore valore al documento informatico prolungando la validità del documento allo scadere del periodo di validità del certificato. 28

29 MARCATURA TEMPORALE - come funziona? Firma Digitale La validazione temporale dei documenti informatici firmati digitalmente, attraverso l apposizione di una marca temporale nel momento in cui il certificato digitale del sottoscrittore sia in corso di validità, permette di verificare e considerare valida la firma digitale apposta, anche quando il certificato andrà in scadenza o, eventualmente, verrà revocato o sospeso Posta Elettronica Certificata Tutti i log dei messaggi e i messaggi con virus che devono essere conservati per trenta mesi, sono salvati con l apposizione della Marca temporale, emessa dal TimeStamp Server. Così come predisposto dalla normativa vigente, tutti gli eventi (generazione di ricevute, buste di trasporto, log, ecc.) che costituiscono la transazione di elaborazione di un messaggio presso i punti di accesso, ricezione e consegna, impiegano un unico valore temporale rilevato all interno della transazione Conservazione sostitutiva Conservare digitalmente significa sostituire i documenti cartacei, con l'equivalente documento in formato digitale che viene bloccato nella forma, contenuto e tempo attraverso la firma digitale e la marca temporale. L unione di queste tecnologie permette di rendere immodificabile un documento informatico e di datare in modo certo il documento digitale prodotto 29

30 Gli strumenti della digitalizzazione Vicenza, 16 marzo 2011 Grazie dell attenzione 30