30 dicembre 2010, n.235)

Transcript

1 Master in Sicurezza ed in governance DIPARTIMENTO DI INFORMATICA UNIVERSITA DI ROMA LA SAPIENZA Le novità in materia di Codice dell amministrazione digitale. (Dlgs 30 dicembre 2010, n.235) GIOVANNI MANCA 1

2 AGENDA Le definizioni. Le firme elettroniche. La conservazione digitale. Business continuity e sicurezza ICT. Conclusioni. 2

3 Le definizioni 3

4 Le definizioni (1/2) Numerose le nuovi definizioni ai fini del presente codice. Autenticazione del documento informatico; al fine di eliminare ambiguità con il classico termine autenticazione utilizzato per l accesso l ai servizi in rete (tipicamente: autenticazione forte). Copia per immagine su supporto informatico di documento analogico. Copia informatica di documento informatico (Es.: passaggio tra un.doc a un.pdf). Duplicato informatico (la creazione di una ulteriore istanza di un file). 4

5 Le definizioni (2/2) Documento analogico complementare al documento informatico. Firma elettronica avanzata; dalla Direttiva 1999/93/CE. Firma digitale; forse c èc un refuso? Firma elettronica qualificata. Le tre firme sono connesse a matrioska rispetto al precedente ordinamento che le considerava a catena. Identificazione informatica (invece che autenticazione informatica). Un paio di definizioni di inquadramento sulla PEC; cos è la PEC e chi è un gestore. 5

6 Le firme elettroniche 6

7 Le firme elettroniche La nuova definizione di firma elettronica avanzata è cruciale in quanto definisce per essa una nuova efficacia pari a quella prevista dal 2702 del codice civile. A livello europeo si parla di AdES (Advanced Electronic Signature). Essa consente l identificazione l del firmatario del documento con connessione univoca ad esso. Viene creata con mezzi sui quali il firmatario può conservare un controllo esclusivo. Sono rilevabili le modifiche successive al documento informatico. 7

8 La firma elettronica avanzata I dati per la creazione della firma sono univocamente assegnati a un titolare. Devono garantire l identificabilitl identificabilità del titolare; ci sarà un certificato digitale? Certamente non è un certificato qualificato. Deve essere gestito il controllo esclusivo anche perché l utilizzo del dispositivo di firma si presume riconducibile al titolare, salvo che questi dia prova contraria. Per garantire l integritl integrità si può continuare ad applicare gli standard CADES, XADES e PADES (già presenti nelle vigenti regole tecniche). 8

9 La firma grafometrica E basata sulle caratteristiche comportamentali del titolare (ritmo, pressione, velocità,, movimento, etc.) che firma con uno stilo elettronico su una tavoletta grafica ad alta sensibilità. Di per sés rappresenta una firma elettronica. Adeguatamente connessa ad un sistema documentale può divenire una firma elettronica avanzata. Se utilizzata a a sportello soddisfa anche i requisiti di sicurezza richiesti della firma elettronica avanzata. Nei prodotti di mercato viene reso disponibile uno strumento di tipo forense per l analisi l grafologica della sottoscrizione. In tal modo nulla cambia in caso di contestazione della sottoscrizione. 9

10 La conservazione digitale 10

11 La conservatoria digitale Viene introdotta nella norma primaria la figura del responsabile della conservazione dei documenti informatici. Questa nuova figura professionale è un professionista che deve esprimere numerose competenze professionali. Giuridiche, tecniche, gestionali e organizzative. Viene anche introdotto il conservatore accreditato; questi possiede almeno di capitale sociale. Le regole per l accreditamento l dovranno seguire quelle del certificatore di firma digitale compresa la vigilanza da parte di DigitPA sui soggetti accreditati. L accreditamento è volontario ma si ritiene che i soggetti medio grandi si vorranno accreditare, così come nel passato per l ISO l 9000 e

12 La gestione del documento informatico Nuove regole per le copie, i duplicati e le attestazioni di conformit ormità nella copia. Si attendono i decreti per le regole tecniche nei quali dovremmo trovare indicazioni per l eliminazione l della carta prodotta nel passato. Fatte salve le esigenze dei Beni Culturali. Al fine di assicurare la provenienza e la conformità all originale, sulle copie analogiche di documenti informatici, è apposto a stampa, sulla base di criteri definiti con linee guida emanate da DigitPA, un contrassegno generato elettronicamente, formato nel rispetto delle le regole tecniche stabilite ai sensi dell articolo 71 e tale da consentire la verifica automatica della conformità del documento analogico a quello informatico.. (Art. 23-ter, comma 5). Nasce l anello l di congiunzione tra cartaceo e digitale. La totale eliminazione della carta seppur da perseguire con forza è di difficile realizzazione. Soprattutto quando ci sono comuni cittadini. Si rimane in attesa delle regole tecniche, anche per la certificazione dei processi di conservazione digitale. 12

13 Business continuity e Sicurezza ICT 13

14 Continuità operativa Già il primo comma dell articolo 50-bis spiega tutto. In relazione ai nuovi scenari di rischio, alla crescente complessit sità dell attivit attività istituzionale caratterizzata da un intenso utilizzo della tecnologia dell informazione, le pubbliche amministrazioni predispongono i piani di emergenza in grado di assicurare la continuità delle operazioni indispensabili per il servizio e il ritorno alla normale operatività à. Tutte le pubbliche amministrazioni definiscono i piani sulla base e di appositi e dettagliati studi di fattibilità tecnica. Sugli studi è obbligatoriamente acquisito il parere di DigitPA. Attenzione: la conservatoria digitale non è continuità operativa. 14

15 Sicurezza ICT avanzata Finalmente vengono previste regole tecniche per la sicurezza dei dati, dei sistemi e delle infrastrutture delle pubbliche amministrazioni. Con tali regole tecniche vengono individuate le modalità che garantiscono l esattezza, l la disponibilità,, l accessibilitl accessibilità,, l integritl integrità e la riservatezza dei dati, dei sistemi e delle infrastrutture. L organizzazione già presente su molti dei temi da regolamentare crea il rischio di conflitti di competenze e di veti incrociati. Un tavolo tra amministrazioni coordinato dalla Presidenza del Consiglio che porti a regole nuove ma coordinate con il passato è indispensabile. DigitPA continua a svolgere il ruolo di CERT (Computer Emergency Response Team) nell ambito delle regole della rete SPC. 15

16 Conclusioni 16

17 Conclusioni Modifiche significative rispetto alle regole previgenti. Forte coordinamento con le regole della riforma della pubblica amministrazione. Catena virtuosa tra regole, tempi di attuazione e sanzioni. Quadro veramente completo solo dopo l emanazione l di tante regole tecniche, linee guida, e decreti ad hoc. 17

18 Contatto del relatore 18