ACCORDO DI PROGRAMMA QUADRO

Transcript

1 Ministero dello Sviluppo Economico Regione Umbria Presidenza del Consiglio dei Ministri Ministro per le Riforme e le Innovazioni nella Pubblica Amministrazione Centro Nazionale per l Informatica nella Pubblica Amministrazione I N T E S A I S T U Z I O N A L E D I P R O G R A M M A T R A I L G O V E R N O D E L L A R E P U B B L I C A I T A L I A N A E L A R E G I O N E U M B R I A ACCORDO DI PROGRAMMA QUADRO IN MATERIA DI E-GOVERNMENT E SOCIETA DELL INFORMAZIONE NELLA REGIONE UMBRIA III ATTO INTEGRATIVO Allegato 1 RELAZIONE TECNICA Roma,

2 INDICE PAG. 1. Le strategie regionali per la Società dell Informazione Quadro delle azioni di e-government regionale Coerenza con gli atti di programmazione settoriale 4 di riferimento (regionale, comunitaria, nazionale) 2. Analisi e diagnosi della situazione attuale 5 3. Criteri e Priorità 8 4. La concertazione 8 5. Il presente accordo Finalità e obiettivi Le schede d intervento Sistema Federato per la Gestione dell Identità Digitale e dell Autenticazione degli Enti della Regione Umbria (FEDUmbria) 9

3 1. Le strategie regionali per la Società dell Informazione 1.1 Quadro delle azioni di e-government regionale L Accordo di Programma Quadro in materia di e-government e Società dell Informazione, siglato in data 25 ottobre 2004, il relativo I Atto Integrativo, siglato in data 16 dicembre 2005, ed il successivo II Atto Integrativo, siglato il 17 maggio 2007, hanno rappresentato lo strumento di programmazione regionale per la realizzazione di interventi in materia di Società dell Informazione per il raggiungimento degli obiettivi prefissati, per questo specifico settore, dall Intesa Istituzionale di Programma siglata tra lo Stato Italiano e la Regione dell'umbria nel marzo Gli accordi fanno inoltre riferimento al Patto per lo sviluppo dell Umbria (27 giugno 2002) che costituisce il presupposto logico e strategico del successivo Piano regionale per la Società dell Informazione e della Conoscenza (approvato con D.G.R. n.1177 del 30 luglio 2003) e ricostruisce una visione organica e integrata dei molti programmi e progetti di potenziamento dei sistemi informatici e telematici sia pubblici che privati nonché delle molte azioni di animazione e di sensibilizzazione che stanno pervadendo, secondo modalità e direzioni molto variegate, la società e le Istituzioni Umbre. Obiettivi Le linee di intervento contenute nel Piano intendono : migliorare i servizi digitali e mobili per i giovani, gli anziani, i disabili, in particolare i servizi sanitari e sociali; garantire un accesso collettivo ad Internet, alle applicazioni digitali e alle risorse multimediali (ad esempio, concetto di posto pubblico di accesso ad Internet); promuovere presso le PMI il commercio elettronico quale elemento della loro strategia di sviluppo; migliorare le conoscenze dei dipendenti pubblici e privati nel campo dell informatica; sperimentare tecnologie digitali avanzate (ad esempio, accesso radiosatellitare ad Internet) a beneficio di zone rurali, isolate o difficilmente raggiungibili. Quattro le azioni specifiche previste: e-gov progetti pubblici per la modernizzazione del PA; e-business interventi e progetti per il sistema produttivo; e-welfare terzo settore e nuove collaborazioni pubblico-privato; e-education - azioni e interventi per la alfabetizzazione informatica e telematica. Il Piano regionale per la Società dell Informazione è coerente con il Piano di e- Government della Regione Umbria 2002 (approvato con D.G.R. n.606, del 16 maggio 2002, con un periodo di vigenza di tre anni) prevede interventi per la realizzazione di infrastrutture di telecomunicazione, di cooperazione e gestione associata, sistemi informativi per il decentramento amministrativo, integrazioni delle anagrafi e carta di identità elettronica gestione elettronica dei flussi documentali e protocollo informatico, e- procurement e formazione. Il Piano di e-government regionale s inserisce nel più ampio disegno di governo del territorio definito dal Docup Ob.2 ( ), suddiviso in 4 assi d intervento. Il Docup

4 prevede la misura 1.4 Sviluppo della società dell informazione articolata nelle seguenti azioni: Azione Impiego dell Information & Communication Technology presso la Pubblica Amministrazione per migliorare l offerta di servizi ai cittadini ed al sistema produttivo; Azione Aiuti alle PMI per l utilizzo degli strumenti dell Information & Communication Technology; Azione Attività di sensibilizzazione, animazione e alfabetizzazione. Nel POR ob.3 si ravvisano interventi direttamente rivolti alla società dell informazione anche nelle seguenti Misure: Misura A2 per l inserimento e reinserimento nel mercato del lavoro di giovani e adulti attraverso la formazione multimediale e l e-learning; Misura A3 con la promozione del telelavoro; Misura D3 che vede nella nascita e nel consolidamento di piccole e medie imprese nel settore delle tecnologie dell informazione e della comunicazione una priorità della misura da realizzarsi attraverso il sostegno a processi di natalità imprenditoriale, il consolidamento del tessuto delle PMI e il supporto alla creazione di impresa da processi di innovazione tecnologica e di spin-off aziendale;5 Misura D4 che prevede azioni di sensibilizzazione, informazione, formazione e consulenza per la creazione d impresa e/o l avvio di attività autonome con particolare riguardo allo spin-off accademico e della ricerca. 1.2 Coerenza con gli atti di programmazione settoriale di riferimento (regionale, comunitaria, nazionale) - Coerenza programmatica con il Piano Regionale di e-government approvato dalla Giunta Regionale con delibera n.606, del 16/05/2002 che prevede interventi per la realizzazione di infrastrutture di telecomunicazione, di cooperazione e gestione associata, sistemi informativi per il decentramento amministrativo, gestione elettronica dei flussi documentali e protocollo informatico, e formazione; - coerenza con la destinazione territoriale degli interventi che individua la Regione Umbria come area depressa del territorio nazionale ad eccezione dell area relativa al Comune di Perugia. - coerenza con il Piano di Cablaggio Regionale e di diffusione della Larga Banda - coerenza programmatica con le politiche regionali di sviluppo del Documento annuale di programmazione (DAP) per gli anni della Regione dell Umbria dove : individua lo sviluppo dell automazione per i servizi territoriali come l obiettivo strategico della programmazione regionale per lo sviluppo dei servizi territoriali in rete e l accesso alle informazioni da parte di cittadini e imprese. Coerenza con l obiettivo di realizzazione di una rete telematica che collega tutti gli EELL della Regione Umbria attuando i prerequisiti necessari all erogazione di servizi integrati. Programma di legislatura coerenza programmatica con il Piano Regionale della Società dell Informazione in quanto:

5 - gli interventi sono coerenti e vanno a completamento di un disegno d insieme con la linea di azione e-gov inerente a progetti ed interventi per la modernizzazione del P.A; - gli interventi sono coerenti con la linea e-business che riguarda interventi e progetti per il sistema produttivo; - gli interventi sono conformi all obiettivo di potenziare i sistemi informatici e di miglioramento nell erogazione dei servizi e di garantire un accesso collettivo ad internet realizzare infrastrutture di telecomunicazione, di cooperazione e gestione associata, di erogazione di servizi. - Coerenza programmatica con il piano d azione eeurope 2005 che definisce un insieme di misure e azioni che gli Stati devono adottare al fine di trarre il massimo vantaggio dalle opportunità che le nuove tecnologie dell informazione mette a disposizione. - Coerenza programmatica con il Piano nazionale di e-government del 2000 per quanto riguarda le modalità di cooperazione applicativa, i servizi erogati, per favorire la cooperazione amministrativa e l integrazione degli EELL nella erogazione di servizi; - Coerenza con il documento Linee programmatiche di indirizzo del Ministro per le Riforme e le Innovazioni nella Pubblica Amministrazione, del 4 luglio 2006; - Coerenza con il documento Verso il sistema nazionale di e-government Linee strategiche del Ministro per le Riforme e le Innovazioni nella Pubblica Amministrazione, pubblicato a marzo 2007; - Coerenza con il documento Progetto PAESE Patto per l Attuazione del Sistema Nazionale di egovernment nelle Regioni e negli Enti Locali, approvato dalla Conferenza Unificata il 20 settembre 2007; - Coerenza con le strategie regionali per l innovazione e con la programmazione comunitaria con il Docup Ob approvato dalla CE il 07/09/2001 per l Asse 1 per quanto attiene allo sviluppo della Società dell informazione, per migliorare l accesso alla P.A. e all acquisizione di sistemi anche per il sistema produttivo - Coerenza con le strategie di programmazione comunitaria con il Docup Ob per quanto riguarda la Misura D. 2 relativamente all adeguamento delle competenze dalla Pubblica Amministrazione - Coerenza con il QSN e con il POR Umbria Analisi e diagnosi della situazione attuale Descrizione della situazione attuale, problemi ed opportunità Le rilevazioni e le indagini effettuate negli ultimi anni restituiscono un quadro che mostra i cittadini più coinvolti rispetto al passato nei processi di cambiamento, ma ancora insoddisfatti dei propri rapporti con la pubblica amministrazione. Per la maggior parte dei cittadini e dei professionisti, infatti, le amministrazioni sembrano ancora lente e complicate, distratte e lontane dalle loro esigenze di utenti. Gli sforzi di comunicare un amministrazione che cambia sono stati apprezzati, ma hanno anche generato notevoli attese. I numerosi progetti di e-government avviati devono concentrare gli sforzi su una innovazione che veda nei cittadini e nelle imprese i diretti beneficiari del cambiamento dopo una fase di investimenti rivolti componenti tecnologiche. Si sente quindi l esigenza di azioni di coordinamento ed integrazione tra i vari progetti in quanto il cambiamento, e le innovazioni che comporta, è possibile se si interviene contemporaneamente su una molteplicità di leve, ovvero se si adotta un atteggiamento

6 sistemico, modificando la situazione di più aspetti collegati la cui trasformazione influenza congiuntamente le criticità rilevate. La definizione di innovazione che qui adottiamo è quella proposta dalla Funzione Pubblica: un cambiamento intenzionale che comporta miglioramenti duraturi nei risultati e negli effetti delle politiche pubbliche, capaci di rendere affidabili le amministrazioni nei confronti dei cittadini e delle imprese. Cerchiamo di fare una quadro della situazione attuale, dei problemi più rappresentati da cittadini ed imprese nei confronti della P.A. e quindi delle opportunità di intervento che emergono. I cittadini segnalano la mancanza di integrazione degli sportelli e la necessità di ridurre il numero di contatti, soprattutto personali, con gli uffici pubblici. L insoddisfazione è inoltre frequentemente legata alla scarsa compatibilità degli orari degli uffici con le esigenze e i ritmi di vita degli utenti. Uno dei principali motivi di reclamo dei cittadini è proprio il doversi spostare da uno sportello all altro per ottenere le informazioni e i servizi richiesti e a ciò si aggiunge la frequente mancanza di modalità alternative di accesso tra cui scegliere (sportello fisico, telefono, internet, ). Le iniziative giudicate più utili per migliorare la relazione sono quelle che riguardano la semplificazione del linguaggio. Infatti riguardo la conoscenza dei servizi delle amministrazioni pubbliche, i motivi di insoddisfazione dei cittadini riguardano la qualità e l utilità delle informazioni disponibili. I cittadini avvertono l esigenze di avere informazioni più utili, comunicate in maniera più efficace e più chiara, semplice e comprensibile anche a chi possiede un livello di istruzione medio o basso e non ha dimestichezza con il linguaggio burocratico. E chiara anche la difficoltà di URP e Call Center di dare informazioni quando queste non sono disponibili in forma elettronica. Anche le imprese segnalano un rapporto difficile con le amministrazioni pubbliche, spesso ritenute indifferenti alle loro necessità. Le principali ragioni di insoddisfazione riguardano i costi occulti del sistema, dovuti a tempi lunghi e alla imprevedibilità/complessità dei procedimenti, con la necessità di dover frequentemente ricorrere ad intermediari. L art.58 del Codice dell'amministrazione digitale esprime il diritto a trovare on-line tutti i moduli e i formulari validi e aggiornati. Entro due anni i cittadini e le imprese avranno diritto a trovare in rete tutti i moduli e i formulari e tutti i documenti rilevanti per qualsiasi pratica verso le pubbliche amministrazioni. I moduli, i formulari e i documenti che non fossero disponibili in via telematica non saranno più giudicati validi, o almeno non saranno più necessari. Il Codice fissa anche altri nuovi diritti digitali chiamando le amministrazioni ad un nuovo sforzo collettivo verso i servizi on line. Negli ultimi anni sono stati realizzati consistenti investimenti, finalizzati sia a dotare il personale di attrezzature informatiche e programmi applicativi, sia a sviluppare infrastrutture di rete all interno degli enti e di collegamento tra i diversi enti. Tuttavia rimangono ancora notevoli margini di miglioramento in particolare per ciò che riguarda l integrazione tra sistemi diversi e tra amministrazioni diverse. Emerge

7 chiaramente che non è stata sufficientemente sviluppata la capacità delle amministrazioni di utilizzare la leva tecnologica all interno di strategie integrate di cambiamento. L introduzione delle tecnologie va ormai considerata come una leva irrinunciabile del cambiamento per qualunque amministrazione. Anche nell P.A. il ruolo dell ICT sta diventando sempre più pervasivo e propulsivo, e le competenze non sono più confinate nelle funzioni tecniche di supporto strumentale, ma vengono distribuite in tutta l organizzazione, compreso il management, che ha bisogno di comprendere le implicazioni dell utilizzo delle tecnologie e di utilizzarle in chiave strategica. Occorre però porre attenzione alle modalità organizzative che consentono alla tecnologia di raggiungere i risultati desiderati. E evidente che gli investimenti tecnologici e gli interventi normativi non sono, da soli, sufficienti per garantire la cosiddetta pubblica amministrazione digitale. L introduzione delle nuove tecnologie infatti, come avviene per altri cambiamenti, necessità di una adeguata gestione, capace anche di superare le resistenze al cambiamento che inevitabilmente vengono prodotte in processi di questo tipo. L integrazione tra le amministrazioni, per facilitare l accesso dei cittadini ai servizi, attraverso l interoperabilità dei sistemi informativi richiede che nelle amministrazioni si sviluppino orientamenti, atteggiamenti e comportamenti finalizzati alla cooperazione e alla condivisione delle informazioni. Occorre quindi lavorare non solo sulla piattaforma tecnologica che abilita alla cooperazione ma anche sugli aspetti organizzativi, normativi e regolamentari. E quanto mai necessario promuovere azioni finalizzate a costituire le condizioni di contesto favorevoli per facilitare le amministrazioni a progettare, attuare e sostenere gli interventi. Il tutto deve partire dallo stimolo/addestramento rivolto in primo luogo alle amministrazioni e al personale coinvolto, essendo chiaro che questo è chiave essenziale per l effettiva digitalizzazione di informazioni e servizi della P.A. E necessario che le persone che operano siano competenti, motivate e abbiano consapevolezza della centralità del loro ruolo. I servizi della P.A. non richiedono di solito impianti o tecnologie costose, e la componente intangibile è quella dominante, quindi il fattore lavoro diviene la variabile decisiva del successo del servizio. Verso l esterno invece, occorre inoltre che le amministrazioni contribuiscano a creare modalità evolute nelle relazioni tra il settore pubblico e gli attori del mercato dei servizi all innovazione. L innovazione tecnologica ha prodotto dei radicali mutamenti nella capacità di riprodurre, distribuire, controllare e pubblicare le informazioni, permettendo la nascita di un mercato dei contenuti digitali. Il processo di digitalizzazione ha permesso di ridurre non solo i testi, ma anche immagini e suoni in una forma digitale che può tranquillamente viaggiare sulla rete e questo ha radicalmente cambiato le modalità di acquisizione e riproduzione, con diminuzione dei relativi costi. Ma oltre a questo, la rapida ed ampia diffusione della rete offre oggi nuove straordinarie opportunità di distribuzione, permettendo di raggiungere, con costi di trascurabili o nulli, un numero

8 elevatissimo di persone. La rete ha anche radicalmente cambiato l economia ed il carattere della pubblicazione. La riproduzione e la distribuzione mettono le informazioni direttamente a disposizione di quanti vogliano accedervi a patto di sapere dove tali informazioni risiedono e che queste siano accessibili/comprensibili. Se da un lato il mercato dei contenuti digitali offre nuove possibilità di business ai privati, sono ancora ampiamente trascurate le nuove prospettive sui contenuti che si aprono anche per la P.A. (e per la collaborazione tra aziende private e P.A.). Per quanto riguarda quello che possiamo definire il mercato dei contenuti digitali pubblici è ipotizzabile in futuro lo sviluppo di: servizi di mediazione (ovvero servizi che si occupino di trasformare in termini più semplici il linguaggio tipicamente burocratico della P.A.); servizi di tutorship (assistenza sociale per facilitare l accesso delle categorie deboli e combattere il digital divide ); servizi di supporto alla P.A. nella gestione dei contenuti e della cooperazione applicativa; servizi di intermediazione on line verso la P.A. rivolti a cittadini e imprese; iniziative di digitalizzazione dei giacimenti culturali pubblici che non sono quasi mai accessibili in rete. 3. Criteri e Priorità Le politiche di sviluppo della Società dell Informazione fin qui portate avanti dalla Regione dell Umbria sono state impostate ed in parte realizzate secondo schemi e valori strategici condivisi oltre che a livello regionale anche a livello nazionale com è d altra parte naturale per la natura stessa dell obiettivo di integrazione ed omogeneizzazione che perseguono. In particolare le politiche di sviluppo della Società dell informazione regionale trovano conferma ed amplificazione nel recente documento Progetto PAESE Patto per l Attuazione del Sistema Nazionale di e-government nelle Regioni e negli enti Locali approvto dalla Conferenza Unificata il 20 Settembre 2007 Conformemente gli elementi prioritari (non gerarchicamente organizzati) che emergono sono i seguenti: 1. Interoperabilità dei sistemi informativi e realizzazione del Sistema Pubblico di Connettività; 2. Riuso delle soluzioni di e-government; 3. Infrastrutture per l identificazione e l accesso alla rete (CIE, CNS, Tessera Sanitaria); 4. Banda larga come servizio universale e infrastruttura per la riduzione del digital divide; 5. Centri Servizio Territoriali per l e Government e la società dell informazione. Relativamente ai criteri di scelta progettuali vengono messi in campo in via prioritaria interventi che possano dare continuità e sviluppo alle scelte progettuali già fatte. 4. La concertazione L amministrazione regionale, in base a quanto previsto al punto 2.6 della delibera CIPE n.14/06, ha provveduto a dare informazione al partenariato economico e sociale circa le scelte programmatiche effettuate, in occasione della seduta del 22 maggio 2007 del Tavolo generale del Patto per lo sviluppo e l innovazione dell Umbria. Considerato, infatti, che il Tavolo generale del Patto per lo sviluppo dell Umbria è l organo di espressione del

9 livello di rappresentanza delle Parti economiche e sociali e la sede del confronto politico istituzionale si è provveduto ad informare tale organo in merito al riparto programmattico per settori e ai criteri e le modalità utilizzate per definire tale riparto. 5. Il presente accordo 5.1 Finalità e obiettivi In diretta prosecuzione della strategia espressa nel precedente Accordo di Programma Quadro in materia di e-government e Società dell Informazione sottoscritto il , e nel I e II Atto integrativo, il presente III atto integrativo - in conformità ai relativi obiettivi - è finalizzato ad ampliare il quadro degli interventi in materia di e-government e società dell informazione. 5.2 Le schede d intervento Sistema Federato per la Gestione dell Identità Digitale e dell Autenticazione degli Enti della Regione Umbria (FEDUmbria) Codice intervento: SX1 Amministrazione proponente Regione Umbria Persona da contattare per informazioni Dr. Francesco Mosiello Dirigente del Servizio Sistema Informativo Direzione Regionale alle Risorse Finanziarie Umane e Strumentali fmosiello@regione.umbria.it Settore o Area di intervento Società dell informazione (Servizi per la PA e la collettività) Programma di riferimento Accordo di programma quadro in materia di e-government e società dell informazione Titolo intervento Sistema Federato per la Gestione dell Identità Digitale e dell Autenticazione degli Enti della Regione Umbria (FEDUmbria) Tipo di intervento Intervento nuovo Localizzazione L intervento riguarderà l intero territorio della Regione Umbria. Ente realizzatore

10 Regione Umbria Ente gestore Regione Umbria

11 Descrizione dell intervento Obiettivi, analisi dei bisogni e presupposti dell intervento. L attuale contesto delle soluzioni informatiche relative alla gestione delle identità e dell autenticazione in dotazione alla Pubblica Amministrazione della Regione Umbria presenta uno scenario caratterizzato da scelte autonome. Tenendo conto dell ineluttabile passaggio da soluzioni isolate a soluzioni connesse in rete e cooperanti, non è più rinviabile la progettazione di un infrastruttura standard in grado di definire delle regole e di uniformare la gestione dei sistemi di autenticazione. Oggi infatti la maggior parte dei servizi offerti al pubblico o dei servizi di back-office utilizzati presso i vari Enti richiedono l autenticazione dell utente che vi accede tramite l inserimento di credenziali, quali per esempio username e password, in possesso esclusivo dell utente stesso. Da una parte è quindi fondamentale arginare la proliferazione di sistemi di autenticazione differenti che non garantiscono il riconoscimento reciproco, con il risultato che uno stesso dipendente pubblico, cittadino, professionista o impresa è costretto ad utilizzare credenziali diverse in base al servizio al quale deve accedere. Dall altra, la diffusione di servizi telematici di tipo transazionale rende necessaria l adozione di strumenti di riconoscimento dell utenza in grado di tutelare in modo forte le diverse parti in causa: si rende cioè necessario l adozione di strumenti fisici in grado di abilitare un autenticazione di tipo forte, ossia affidabile e certificata a norma di legge, tramite CNS (Carta Nazionale dei Servizi) o CIE (Carta di Identità Elettronica). Ovviamente, vista l evoluzione tecnologica in atto, si dovrà tenere conto di alcuni nuovi contesti caratterizzati da strumenti innovativi di riconoscimento (ad esempio cellulari) senza altresì trascurare quanto già in possesso a cittadini e dipendenti della Pubblica Amministrazione per ciò che concerne le credenziali di accesso già utilizzate. Sarà quindi necessario innovare senza sconvolgere le organizzazioni ed i sistemi già presenti. Il sistema per la Gestione dell Identità Digitale e dell Autenticazione in ambito federato renderà più efficiente la distribuzione di nuove credenziali e metterà a disposizione degli enti della Pubblica Amministrazione dei potenti strumenti per l amministrazione e l autenticazione delle Identità Digitali. Stabilirà inoltre una serie di regole per meglio organizzare tali processi. Sinergie con altri progetti e riferimenti a standard europei e nazionali Il progetto è coerente con la strategia adottata dalla Regione dell Umbria per la società dell informazione e si integra con tutti progetti in corso. Tale strategia è stata quella di acquisire e predisporre servizi attraverso varie fasi con caratteristiche di scalabilità e di integrazione da raggiungere ed implementare gradualmente nel tempo, in modo da conseguire dei risultati ed essere prerequisito alle fasi successive. Nella prima fase, che ha portato alla presentazione del Multiprogetto e-gov, si sono raggiunti i risultati di:

12 - omogeneità e fruizione. Gli enti (Regione, Province, Comuni, Comunità Montane) che hanno partecipato in modo massiccio hanno garantito a tutti cittadini dell Umbria, la stessa capacità di fruizione di servizi e lo stesso livello di coinvolgimento istituzionale indipendentemente dalla dimensione e dalla capacità tecnica degli Enti; - coerenza e accessibilità. E stata offerta una dimensione regionale, coerente e condivisa che ha coperto le aree tematiche più significative: la rete, i servizi e le infrastrutture attraverso: o i progetti per l accesso ai servizi - PITS e C-C o i progetti infrastrutturali - COMNET ed INTERPA o i progetti di gestione dei servizi ASSIST, VBG e SAC. Per operare con gradualità, e per utilizzare le migliori tecnologie e modalità operative di interscambio ed interoperabilità, si è deciso di agire prevalentemente sul potenziamento e sull integrazione. Questo ha consentito di ricondurre a sistema i domini informativi già esistenti presso gli enti piuttosto che costituire nuovi sistemi. La fase successiva, con il progetto del C.S.R.Ca (DGR 1091 del 28/07/2004) e con il progetto di Digitalizzazione Mappe Ecografico Catastali (DGR 1059 del 19/07/2004), ha fatto si che i progetti e le esperienze nei vari ambiti regionali, fra queste la sperimentazione di Cooperazione Applicativa e i progetti del Piano di e-gov, assumessero una logica più ampia ed integrata, cioè una logica di sistema. Come nella prima fase, gli interventi progettuali hanno riguardato tematiche infrastrutturali e progetti applicativi per l erogazione di servizi. Ma l infrastruttura erogata in questa fase, come pure la rete regionale nella prima fase, si costituisce come base imprescindibile per attuare il collegamento logico e la cooperazione applicativa fra gli enti onde preservare i domini informativi e le caratteristiche dei sistemi informativi già esistenti. Il progetto FEDUmbria, oltre ad integrarsi perfettamente con i progetti citati, contribuisce ad aumentarne il livello di integrazione agendo su quella parte, spesso trascurata e pochissimo oggetto di integrazione, che è la sicurezza informatica. In questo caso il progetto farà riferimento in pieno al D.L. 196/2003 che individua il sottoinsieme minimo di contromisure di sicurezza che tutti i titolari del trattamento, siano essi soggetti privati o pubblici, devono adottare, per non incorrere nelle sanzioni previste dal Codice. Il progetto inoltre farà riferimento alla normativa collegata: Direttiva del Ministro per l innovazione e le tecnologie 21 dicembre 2001, punto Linee guida in materia di digitalizzazione dell amministrazione. G.U. 5 febbraio 2002, n. 30 Direttiva del Ministro per l innovazione e le tecnologie 16 gennaio Sicurezza informatica e delle telecomunicazioni nelle pubbliche amministrazioni. G.U. 22 marzo 2002, n. 69 Decreto del Presidente del Consiglio dei Ministri 11 aprile Schema nazionale per la valutazione e la certificazione della sicurezza delle tecnologie dell informazione, ai fini della tutela delle informazioni classificate, concernenti la sicurezza interna ed esterna dello Stato. G.U. 6 giugno 2002, n. 131 Decreto del Ministro delle comunicazioni e del Ministro per l innovazione e le tecnologie 24 luglio Istituzione del Comitato tecnico nazionale sulla sicurezza informatica e delle telecomunicazioni nelle pubbliche amministrazioni.

13 Decreto del Presidente del Consiglio dei Ministri 30 ottobre Approvazione dello Schema nazionale per la valutazione e certificazione della sicurezza nel settore della tecnologia dell informazione, ai sensi dell art. 10, comma 1, del decreto legislativo n. 10/2002. Direttiva del Ministro per l innovazione e le tecnologie 18 dicembre 2003, punto 3, lettera f) - Linee guida in materia di digitalizzazione dell amministrazione per l anno G.U. 4 febbraio 2004, n. 28 Decreto del Ministro dell interno di concerto con il Ministro delle comunicazione ed il Ministro per l innovazione e le tecnologie 16 agosto Misure di preventiva acquisizione di dati anagrafici dei soggetti che utilizzano postazioni pubbliche non vigilate per comunicazioni telematiche ovvero punti di accesso ad Internet utilizzando tecnologia senza fili, ai sensi dell articolo 7, comma 4, del decreto-legge 27 luglio 2005, n. 144 convertito, con modificazioni, dalla legge 31 luglio 2005, n Direttiva del Ministro per l innovazione e le tecnologie 18 novembre 2005, punto 6 - Linee guida per la Pubblica amministrazione digitale. G.U. 20 gennaio 2006, n. 16 Documento Verso il sistema nazionale di e-government Linee strategiche del Ministro per le Riforme e le Innovazioni nella Pubblica Amministrazione, pubblicato a marzo 2007 Codice dell amministrazione digitale, D.Lgs. 7 marzo 2005, n. 82, pubblicato in G.U. del 16 maggio 2005, n S.O. n. 93 e aggiornato dal D.Lgs. n. 159 del 4 aprile Sintetica descrizione del progetto Linea di azione n. 1. Dotazione di una infrastruttura di Identity ed Access Management a livello Regionale. Si tratta di mettere a disposizione degli Enti della Pubblica Amministrazione una infrastruttura per la gestione dell Identità Digitale e dell autenticazione. L infrastruttura sarà collocata centralmente presso la Regione e potrà essere fruita da tutti gli Enti ciascuno secondo le proprie specificità. Linea di azione n. 2. Selezione ed Integrazione di alcuni sistemi con il sistema centralizzato di Identità ed Autenticazione. Questa linea d azione comprende tra l altro: - La definizione di un comitato tecnico per la concertazione ed il controllo puntuale degli obiettivi e la definizione degli attori (vedi il capitolo attori principali del progetto ); - Rilevazione sul territorio dei sistemi da integrare e loro classificazione secondo categorie di integrazione differenti; - Definizione di una progettazione di dettaglio; - Integrazione di almeno 3 sistemi tra quelli rilevati come potenziali candidati e possibilmente appartenenti a categorie di integrazione differenti. Linea di azione n. 3. Sperimentazione Questa linea d azione prevede la messa in esercizio a titolo sperimentale delle funzionalità del sistema una volta avvenuta l integrazione con i sistemi prescelti

14 Linea di azione n. 4. Piano di comunicazione Questa linea d azione punta a pubblicizzare il progetto in modo da favorirne l adozione e la diffusione Finalità ed obiettivi Obiettivo principale del Sistema di Autenticazione Federato FEDUmbria è garantire la circolarità all autenticazione permettendo che l'identità dell'utente venga riconosciuta da più sistemi interoperanti. Il Sistema FEDUmbria consentirà agli utenti con un unica credenziale di autenticazione e registrandosi una sola volta di accedere a tutti i servizi on-line disponibili. La disponibilità dei servizi può variare a seconda del livello di affidabilità delle credenziali usate, e potrebbe quindi essere necessario registrarsi più volte solo nel caso di necessità di rilascio di credenziali con un livello di sicurezza maggiore di quello in possesso dell'utente. FEDUmbria garantirà dove possibile il Single Sign-On (SSO) ovvero l autenticazione unica, evitando all'utente il reinserimento della propria credenziale di accesso qualora già collegato. Il Sistema FEDUmbria dovrà essere in grado di verificare i diversi tipi di credenziali forti di autenticazione di prossima distribuzione, in particolare la carta CIE nonché riconoscere credenziali di tipo username e password. Si verificherà la necessità prima e la possibilità poi di ammettere in alcuni contesti particolari strumenti innovativi di riconoscimento (ad esempio le SIM dei cellulari). L identità digitale nell ambito del sistema sarà unica anche se a tale identità potranno corrispondere, con molteplicità 1:N aspetti o versioni differenti della stessa identità. Il sistema di Identità dovrà, in questo senso, garantire la cosiddetta reconciliation tra le differenti versioni in modo da potersi ricondurre in modo assolutamente univoco ad una unica identità. Un ultimo obiettivo, non meno importante, è di tipo organizzativo ed investe tre linee di azione: La prima è il coinvolgimento, in fase di studio, dei rappresentanti degli Enti più coinvolti dagli aspetti dell autenticazione in modo da dare al progetto una filosofia di tipo bottom-up; La seconda azione, anche questa in fase di studio, atta a stabilire delle regole e delle convenzioni per la gestione dell identità. Queste regole dovrebbero gradualmente trovare riscontro nei sistemi di back end dei vari servizi informativi. Ad esempio sistematizzare l utilizzo del codice fiscale per garantire l interoperabilità dell identità di un utente; La terza azione è quella di promozione e diffusione del sistema presso tutti gli Enti in modo da definire una strategia per cui un nuovo sistema informativo o una nuova applicazione che si viene ad aggiungere a quelle esistenti non debba più ricorrere ad un proprio modulo per garantire autenticazione e gestione dell identità, ma utilizzi il sistema messo a disposizione dalla Regione.

15 Descrizione tecnica del progetto Linea di azione n. 1. Dotazione di una infrastruttura di Identity ed Access Management a livello Regionale L azione prevede il rilascio di una infrastruttura comprendente dai seguenti macrocomponenti: Identity Provider IdP: è la struttura operativa che garantisce l'autenticazione dell'utente verificandone le credenziali. Ad oggi la maggior parte dei servizi non fanno uso di Identity Provider esterni, ma utilizzano sistemi di autenticazione con database delle utenze locale; solo alcuni servizi più recenti ed evoluti utilizzano Identity Provider esterni, già orientati verso una gestione più efficiente e standard dell autenticazione. L attuale ipotesi di progetto prevede quale fornitore del servizio di Identity Provider la Regione. Si tratta quindi di uno schema con IdP centralizzato; Access Manager: raccoglie le richieste di autenticazione provenienti dai vari Service Provider e le inoltra all Identity Provider centrale; Identity Auditor: consente la definizione e la gestione di tutte le attività tecnico/organizzative finalizzate al raggiungimento della conformità normativa alle disposizioni legislative e alle politiche di organizzazione aziendale; Directory Server: costituisce il vero e proprio repository delle identità e di tutti gli attributi collegati all identità Assertion Consumer, Policy Manager: sono componenti di integrazione che consentono ad IdP e AM di colloquiare con SP. Sono inoltre presenti i seguenti attori: Service Provider SP: è l'organizzazione o la struttura che eroga il servizio applicativo richiesto dall utente. Registration Authority - RA: è l'organizzazione o la struttura alla quale l'utente si rivolge per accreditarsi ed ottenere le credenziali di autenticazione. L attuale ipotesi prevede che il servizio di provisioning e di registration dell identità venga delegato dalla Regione ad una struttura tecnica o ad altre PA, opportunamente certificate dalla Regione a svolgere l attività, il tutto secondo regole concordate in fase di analisi congiunta; L'identità definita dall Identity Provider può essere usata dai diversi Service Provider e non sarà pertanto necessario replicare le credenziali. A tendere questa dovrebbe diventare la soluzione standard. Qualora, in via transitoria, si desideri mantenere localmente all SP degli utenti, questi possono venire riconciliati con l Identity Centrale in modo che: - Centralmente esista sempre l identità di riferimento

16 - Localmente, presso i vari SP, possano convivere diverse versioni della stessa identità, semanticamente però compatibili con l identità centrale. E ovvio che in questo caso è necessaria un opera di rilevazioni delle identità già presenti nei sistemi presenti sul territorio e riconciliarle con l IdP centrale. I Service Provider non dovranno più gestire le credenziali di accesso dei propri utenti in un repository locale, ma dovranno fare riferimento ad un Identity Provider centrale della Regione. I servizi applicativi già attivi che entrano a fare parte di FEDUmbria dovranno migrare gradualmente le proprie utenze nell IdP. Tra gli obiettivi del lavoro ci sarà anche quello di definite le specifiche tecniche e organizzative relative alla migrazione. I nuovi utenti di un servizio che non sono già in possesso di credenziali di autenticazione valide, ovvero già registrate nell IdP centrale, dovranno registrarsi; per farlo dovranno rivolgersi alla o alle Registration Autority che fanno capo all unico Identity Provider Centrale. E ipotizzabile ad esempio che ciascun Comune riceva in delega la possibilità di registrare i cittadini nell IdP, ad esempio all atto della consegna della CIE al cittadino. Rimane il fatto comunque che, pur essendo presente la delega ad altre PA, la Registration Authority è una sola e cioè la Regione Umbria. La Registration Autority rilascerà all'utente un identificativo globale, denominato per semplicità username globale, composto dal codice fiscale dell'utente e da un URN che identifica la Registration Autority. Ad esempio per Mario Giombini che richiede l account alla Regione Umbria la username globale potrebbe essere MROGBN59A30H223X@ra.regione.umbria.it. Sarà inoltre possibile definire alias per lo username globale, in modo da poter eventualmente rendere pubblico uno username globale senza rendere noto il codice fiscale. Ad esempio per Mario Giombini si potrebbe definire un alias mario.giombini.59a30@ra.regione.umbria.it. Linea di azione n. 2. Selezione ed Integrazione di alcuni sistemi con il sistema centralizzato di Identità ed Autenticazione Verrà effettuata una rilevazione sul territorio dei sistemi elegibili per l integrazione e per la successiva sperimentazione secondo categorie di integrazione differenti: a) sistemi che adotteranno completamente l IdP come sistema di autenticazione nativo esterno e loro caratteristiche (ambienti, informazioni utilizzate, caratteristiche di integrabilità) b) sistemi che adotteranno parzialmente l IdP mantenendo transitoriamente il proprio sistema di autenticazione ed il database utenti per scopi interni e loro caratteristiche (ambienti, informazioni utilizzate, caratteristiche di integrabilità) c) sistemi che adotteranno parzialmente l IdP mantenendo il proprio database utenti per scopi interni (ma non il sistema di autenticazione) e loro caratteristiche (ambienti, informazioni utilizzate, caratteristiche di integrabilità) Si prevede di integrare almeno tre sistemi tra quelli elegibili La tabella seguente mostra alcuni dei sistemi elegibili:

17 SISTEMA Note Tecnologia Portale SIIS della Permette l accesso ai seguenti sistemi: Varie SANITA - HCM (SAS) - Business Objects (Infoview) - ISESweb (sistema di prenotazione prestazioni sanitarie) - Applicazioni custom - SAS V9 Business Intelligence - ID Portal SAS - Oracle Portal Tutti questi sistemi hanno sistema interno di autenticazione/autorizzazione pressoché disgiunti tra loro. Si noti che il portale SIIS a sua volta vede ulteriori due portali (SAS e Oracle) che si connettono ad altrettanti sistemi verticali. SAC Portale dei servizi per i cittadini in Umbria VBG Portale sportello unico integrato per le attività produttive INTERPA Portale sistema di protocollazione e workflow amministrativo Portale Partecipattivo Portale PITS Gestore Eventi/ Porta Di Dominio Utilizza un sistema custom e non standard di autenticazione/autorizzazione con usr/psw e smartcard. Userà temporaneamente SIRAC (sistema di autenticazione del progetto PEOPLE) Utilizza lo stesso sistema del SAC e la base dati è condivisa. Userà temporaneamente SIRAC (sistema di autenticazione del progetto PEOPLE) Utilizza Domino che svolge le funzioni di autenticazione/autorizzazione basandosi su protocollo SSL e certificati X.509 v3 ognuno di proprietà dell utente. Non ha sistema di sicurezza proprio in quanto intende usare quello della Regione E il portale dei servizi informativi per i cittadini e le imprese. Attualmente utilizza un sistema di autenticazione/autorizzazione open dotato di SSO (JOSSO) non in grado di supportare SSO federato. Espone i servizi di e-gov fruibili dalla comunità. Trasporterà security token SAML per consentire la propagazione federata dell identità. Potrebbe svolgere alcune funzionalità per conto dei sistemi a cui si interfaccia (ad es. creazione/consumatore del token SAML e del portaolio di asserzioni) oppure limitarsi al trasporto dell token lasciando ai sistemi la sua creazione/consumo Microsoft Microsoft/J2EE Domino? J2EE J2EE In questa fase verrà condotta anche una progettazione di dettaglio mirante a : Definizione linee guida, standard, convenzioni e regole dell autenticazione federata regionale Definizione delle informazioni di dettaglio che costituiscono l identità e la sua rintracciabilità Definizione delle specifiche tecniche di comunicazione tra IdP, Access Manager e componenti esterni di integrazione con i SP. In particolare definizione delle informazione che consentono l interoperabilità tra SP diversi e popolamento del token di asserzione

18 Linea di azione n. 3. Sperimentazione La sperimentazione prevede la messa in esercizio per un tempo limitato (sei mesi) delle funzionalità previste. Linea di azione n. 4. Piano di comunicazione Questa linea prevede la realizzazione di un piano di comunicazione per la diffusione all uso della piattaforma da parte di tutti gli Enti della PA Umbra Standard tecnologici Il Sistema FEDUmbria adotterà inizialmente lo standard SALM 1.1 per la federazione dei sistemi. Successivamente FEDUmbria evolverà rendendosi compatibile con il sistema ICAR/INF3 e con il protocollo SAML 2.0 appena tali tecnologie saranno disponibili e consolidate. L infrastruttura di base adotterà la tecnologia J2EE/XML. Fattori critici di successo Per la progettazione di FEDUmbria sarà necessario tenere conto di quanto emergerà nelle emanande regole tecniche del CAD (art. 71, comma 1bis) in materia di federazioni di autorità fornitrici di ruoli ed attributi funzionali. Tempi e costi Il progetto prevede le seguenti macro-fasi (il tempo è espresso in mesi) e si fa riferimento ai risultati di progetto espressi al capitolo 7.1. Attività Attività preliminari 2 Rilevazione 3 Analisi di dettaglio 4 Acquisizione e rilascio infrastruttura FEDUmbria 5 Integrazioni comprensive di integrazioni dati 6 Formazione 7 Comunicazione 8 Sperimentazione I costi esposti sono compresi di IVA Attività Costo 1 Attività preliminari ,00 2 Rilevazione ,00 3 Analisi di dettaglio ,40 4 Acquisizione e rilascio ,00

19 infrastruttura FEDUmbria 5 Integrazioni comprensive di integrazioni dati ,62 6 Formazione 5.772,00 7 Comunicazione 2.866,98 8 Sperimentazione ,00 Totale ,00