Manuale di gestione del protocollo informatico, dei documenti e dell'archivio

Transcript

1 Unione Terra di Mezzo Provincia di Reggio Emilia Bagnolo in Piano Cadelbosco di Sopra Castelnovo di Sotto Manuale di gestione del protocollo informatico, dei documenti e dell'archivio Area Organizzativa Omogenea utm Approvato con deliberazione della Giunta dell'unione n. 36 del

2 INDICE 1. PRINCIPI GENERALI Premessa 1.2. Ambito di applicazione del manuale 1.3. Definizioni e norme di riferimento 1.4. Aree Organizzative Omogenee 1.5. Servizio per la gestione informatica del protocollo 1.6. Conservazione delle copie di riserva 1.7. Firma digitale 1.8. Tutela dei dati personali 1.9. Caselle di Posta Elettronica Sistema di classificazione dei documenti Formazione Accreditamento dell'aoo all' IPA 2. ELIMINAZIONE DEI REGISTRI DI PROTOCOLLO DIVERSI DAL REGISTRO UFFICIALE DI PROTOCOLLO INFORMATICO PIANO DI SICUREZZA Obiettivi del piano di sicurezza 3.2. Contesto di riferimento 3.3. Formazione dei documenti - aspetti di sicurezza 3.4. Gestione dei documenti informatici - aspetti di sicurezza Componente organizzativa della sicurezza Componente fisica e infrastrutturale della sicurezza Componente logica della sicurezza Gestione delle registrazioni di protocollo e di sicurezza Criteri di utilizzo degli strumenti tecnologici 3.5 Trasmissione e interscambio dei documenti informatici - aspetti di sicurezza 3.6. Accesso ai documenti informatici

3 3.7. Politiche di sicurezza adottate dall Ente 4. MODALITÀ DI FORMAZIONE DEI DOCUMENTI I documenti dell'unione Terra di Mezzo 4.2. Formazione dei documenti - aspetti diplomatici Elementi informativi essenziali dei documenti prodotti 4.3. Formazione dei documenti - aspetti operativi generali 4.4 Formazione di documento analogico 4.5 Formazione del documento informatico e del documento amministrativo informatico La firma digitale La marcatura temporale Tipologie di formato del documento informatico 5. MODALITÀ DI UTILIZZO DI STRUMENTI INFORMATICI PER LO SCAMBIO DI DOCUMENTI Documenti ricevuti 5.2. Documenti inviati 5.3. Documento interno formale 5.4. Documento interno informale 5.5 Requisiti degli strumenti informatici di scambio 5.6 Verifica delle firme nel SdP per i formati.p7m 5.7 Uso della posta elettronica certificata 6. DESCRIZIONE DEL FLUSSO DI LAVORAZIONE DEI DOCUMENTI Flusso dei documenti in ingresso alla AOO flusso dei documenti interni formali Provenienza esterna dei documenti Provenienza di documenti interni formali Ricezione di documenti informatici sulla casella di posta certificata istituzionale Ricezione di documenti informatici su caselle di posta elettronica non certificate istituzionali

4 Ricezione di documenti informatici su supporti rimovibili Ricezione di documenti cartacei a mezzo posta convenzionale Errata ricezione di documenti digitali Errata ricezione di documenti cartacei Attività di protocollazione dei documenti Rilascio di ricevute attestanti la ricezione di documenti informatici Rilascio di ricevute attestanti la ricezione di documenti cartacei Conservazione dei documenti informatici Conservazione delle copie per immagine di documenti cartacei Assegnazione, presa in carico dei documenti e classificazione Conservazione dei documenti nell'archivio corrente Conservazione dei documenti e dei fascicoli nella fase corrente 6.2. Flusso dei documenti in uscita dalla AOO Sorgente interna dei documenti Registrazione di protocollo e segnatura Trasmissione di documenti informatici Inserimento delle ricevute di trasmissione nel fascicolo 7. REGOLE DI ASSEGNAZIONE DEI DOCUMENTI Regole disponibili con il SdP 7.2. Attività di assegnazione 7.3. Corrispondenza di particolare rilevanza 7.4. Assegnazione dei documenti ricevuti in formato digitale 7.5. Assegnazione dei documenti ricevuti in formato cartaceo 7.6. Modifica delle assegnazioni 8. ELENCO DEI DOCUMENTI ESCLUSI DALLA REGISTRAZIONE DI PROTOCOLLO E DOCUMENTI SOGGETTI A REGISTRAZIONE PARTICOLARE Documenti esclusi 8.2. Documenti soggetti a registrazione particolare

5 9. SISTEMA DI CLASSIFICAZIONE, FASCICOLAZIONE E PIANO DI CONSERVAZIONE Protezione e conservazione degli archivi pubblici Premessa Misure di protezione e conservazione degli archivi pubblici 9.2. Titolario o piano di classificazione Titolario Classificazione dei documenti 9.3. Fascicolazione 9.4. Serie archivistiche e repertori 10. MODALITÀ DI PRODUZIONE E DI CONSERVAZIONE DELLE REGISTRAZIONI DI PROTOCOLLO INFORMATICO Unicità del protocollo informatico Registro giornaliero di protocollo Registrazione di protocollo Documenti informatici Documenti analogici (cartacei e supporti rimovibili) Elementi facoltativi delle registrazioni di protocollo Segnatura di protocollo dei documenti Documenti informatici Documenti cartacei 10.6 Annullamento e modifica delle registrazioni di protocollo Livello di riservatezza Casi particolari di registrazioni di protocollo Circolari e disposizioni generali Documenti cartacei in uscita con più destinatari Protocollazione di un numero consistente di documenti cartacei Fatture

6 Protocollazione di documenti inerenti gare di appalto confezionati su supporto cartaceo Documenti non firmati Protocollazione dei messaggi di posta elettronica ordinaria Protocollazione di documenti digitali pervenuti erroneamente Ricezione di documenti cartacei pervenuti erroneamente Differimento delle registrazioni Integrazioni documentarie Registrazioni di protocollo Attribuzione del protocollo Registro informatico di protocollo 11. MODALITÀ DI UTILIZZO DEL REGISTRO DI EMERGENZA APPROVAZIONE E AGGIORNAMENTO DEL MANUALE, REGOLE TRANSITORIE E FINALI Modalità di approvazione e aggiornamento del manuale Regolamenti abrogati Pubblicità del presente Manuale ALLEGATI: Allegato 1 - Individuazione Area Organizzativa Omogenea Allegato 2 - Organigramma Unione Terra di Mezzo Allegato 3 - Titolario di classificazione Allegato 4 - Documenti esclusi dalla registrazione di protocollo Allegato 5 - Documenti soggetti a registrazione particolare Allegato 6 - Modello del Registro di emergenza

7 1. PRINCIPI GENERALI 1.1. Premessa II decreto del Presidente del Consiglio dei Ministri 3 dicembre 2013 concernente le Regole tecniche per il protocollo informatico, all'articolo 3, comma 1, lettera d), prevede l'adozione del manuale di gestione per tutte le amministrazioni di cui all'articolo 2, comma 2, del decreto legislativo 7 marzo 2005, n. 82, Codice dell Amministrazione Digitale. Il manuale di gestione "descrive il sistema di gestione anche ai fini della conservazione, dei documenti informatici e fornisce le istruzioni per il corretto funzionamento del servizio per la tenuta del protocollo informatico, della gestione dei flussi documentali e degli archivi. In questo ambito è previsto che ogni amministrazione pubblica individui una o più Aree Organizzative Omogenee, all'interno delle quali sia nominato un responsabile del servizio per la tenuta del protocollo informatico, della gestione dei flussi documentali e degli archivi, ai sensi dell articolo 50 del Testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa (decreto del Presidente della Repubblica n. 445 del 28 dicembre 2000). Obiettivo del Manuale di gestione è descrivere sia il sistema di gestione documentale, a partire dalla fase di protocollazione della corrispondenza in ingresso e in uscita e di quella interna, sia le funzionalità disponibili per gli addetti al servizio e per i soggetti esterni che a diverso titolo interagiscono con l'amministrazione. Il protocollo informatico, anche con le sue funzionalità minime, costituisce l'infrastruttura di base tecnico-funzionale su cui avviare il processo di ammodernamento e di trasparenza dell'attività dell'amministrazione. Il protocollo fa fede, anche con effetto giuridico, dell'effettivo ricevimento e della spedizione di un documento. Il manuale è destinato alla più ampia diffusione interna ed esterna, in quanto fornisce le istruzioni complete per eseguire correttamente le operazioni di formazione, registrazione, classificazione, fascicolazione e archiviazione dei documenti. Il presente documento, pertanto, si rivolge non solo agli operatori di protocollo, ma, in generale, a tutti i dipendenti e ai soggetti esterni che si relazionano con l'amministrazione Ambito di applicazione del manuale II presente manuale di gestione del protocollo, dei documenti e degli archivi è adottato ai sensi dell'articolo 3, comma 1, lettera d) del decreto del Presidente del Consiglio del 3 dicembre 2013 concernente le "Regole tecniche per il protocollo informatico. Esso descrive le attività di formazione, registrazione, classificazione, fascicolazione ed archiviazione dei documenti, oltre alla gestione dei flussi documentali ed archivistici in relazione ai procedimenti amministrativi dell Unione Terra di Mezzo. Le modalità di formazione, implementazione e gestione dei fascicoli informatici, delle aggregazioni documentali informatiche e della relativa conservazione presso il 1

8 conservatore individuato (ParER - Polo Archivistico della Regione Emilia Romagna), nonché le modalità di conservazione, gestione e movimentazione dell'archivio corrente, di deposito e storico, e il piano di conservazione saranno definite, a seguito di un periodo di sperimentazione della nuova Suite Sicr@web, con successiva integrazione del presente manuale Definizioni e norme di riferimento Ai fini del presente manuale si intende per: "Amministrazione", l Unione Terra di Mezzo "Testo Unico", il decreto del Presidente della Repubblica 20 dicembre 2000, n Testo unico delle disposizioni legislative e regolamentari in materia di documentazione amministrativa; "Regole tecniche", il decreto del Presidente del Consiglio dei Ministri 3 dicembre 2013 concernente le "Regole tecniche per il protocollo informatico ; "Codice", il decreto legislativo 7 marzo 2005, n Codice dell'amministrazione digitale. AOO - Area Organizzativa Omogenea; MdG - Manuale di Gestione del protocollo informatico, gestione documentale e degli archivi; RPA - Responsabile del Procedimento Amministrativo - il dipendente che ha la responsabilità dell'esecuzione degli adempimenti amministrativi relativi ad un affare; RSP - Responsabile del Servizio per la tenuta del protocollo informatico, dei documenti e dell'archivio; SdP Servizio di protocollo informatico; UOP - Unità Organizzative di registrazione di Protocollo - rappresentano gli uffici che svolgono attività di registrazione di protocollo accentrate; UOR - Uffici Organizzativi di Riferimento - un insieme di uffici che, per tipologia di mandato istituzionale e competenza, di funzione amministrativa perseguita, di obiettivi e di attività svolta, presentano esigenze di gestione della documentazione in modo unitario e coordinato. Ai fini del presente manuale, gli UOR corrispondono alle articolazioni organizzative di massima dimensione, denominate Aree, presenti nell Ente, come individuate dall'organigramma dell'unione Terra di Mezzo (Allegato 2 Organigramma Unione Terra di Mezzo. UU - Ufficio Utente - un ufficio dell'aoo che utilizza i servizi messi a disposizione dal servizio di protocollo informatico; ovvero il soggetto, destinatario del documento, così come risulta dalla segnatura di protocollo nei campi dedicati. 2

9 1.4. Aree Organizzative Omogenee Per la gestione dei documenti l'amministrazione ha istituito un unica Area Organizzativa Omogenea (AOO) dove è istituito un unico servizio per la tenuta del protocollo informatico, la gestione dei flussi documentali e degli archivi. L'area Organizzativa Omogenea é stata formalmente definita con deliberazione della Giunta dell'unione (Allegato 1 - Individuazione Area Organizzativa Omogenea ). All'interno dell'amministrazione il sistema archivistico è unico. L'Area Organizzativa Omogenea è denominata utm. All'interno della AOO viene utilizzato un unico sistema di protocollazione totalmente centralizzato per la registrazione della corrispondenza in entrata, decentrato per la registrazione della corrispondenza in uscita ed interna in quanto consente l'autonomia, per queste operazioni, di ogni UOR. I permessi relativi all'utilizzo delle funzionalità del sistema sono definiti in esito ad una procedura di confronto con i Responsabili degli UOR, coordinata dal Segretario Generale/Responsabile dei Sistemi informatici e delle tecnologie dell'informazione Servizio per la gestione informatica del protocollo Nella AOO, è stato istituito, all'interno dell'area Amministrativa e Finanziaria, il servizio/ufficio per la tenuta del protocollo informatico, la gestione dei flussi documentali e degli archivi. Al suddetto servizio è preposto il Responsabile del servizio di protocollo informatico, della gestione dei flussi documentali e degli archivi (di seguito RSP). Il Responsabile del Servizio, che, a norma dell art. 61, comma 2, del DPR 445/2000, è definito come un dirigente, ovvero un funzionario, comunque in possesso di idonei requisiti professionali o di professionalità tecnico archivistica acquisita a seguito di processi di formazione definiti secondo le procedure prescritte dalla disciplina vigente, è individuato dalla Giunta dell'unione. Non essendo presente, nella dotazione dell'ente, alcun dirigente/funzionario in possesso dei requisiti professionali previsti dalla norma, le funzioni di RSP sono assegnate al Responsabile dell'area Amministrativa e Finanziaria, supportato, nell'esercizio delle attività, dal Segretario Generale/Responsabile dei Sistemi informatici e delle tecnologie dell'informazione e dal Vicesegretario. In relazione alla modalità di fruizione del servizio di protocollo adottata dalla AOO, è compito del Responsabile del servizio: predisporre lo schema del manuale di gestione del protocollo informatico con la descrizione dei criteri e delle modalità di revisione del medesimo, di concerto con il Segretario Generale/Responsabile dei Sistemi informatici e delle tecnologie dell'informazione; provvedere alla pubblicazione del manuale sul sito istituzionale dell'amministrazione; garantire il rispetto delle disposizioni normative durante le operazioni di registrazione e di segnatura di protocollo; garantire la corretta conservazione della copia del registro giornaliero di protocollo; 3

10 sollecitare il ripristino del servizio in caso di indisponibilità del medesimo; garantire il buon funzionamento degli strumenti interni all'aoo e il rispetto delle procedure concernenti le attività di registrazione di protocollo, di gestione dei documenti e dei flussi documentali, incluse le funzionalità di accesso dall'esterno e le attività di gestione degli archivi; autorizzare le eventuali operazioni di annullamento/modifica della registrazione di protocollo; vigilare sull'osservanza delle disposizioni delle norme vigenti da parte del personale autorizzato e degli incaricati; curare l'apertura, l'uso e la chiusura del registro di protocollazione di emergenza con gli strumenti e le funzionalità disponibili nel SdP. In funzione dell'organizzazione dell'ente, le suddette attività possono essere svolte anche dal Segretario Generale e dal Vice Segretario Conservazione delle copie di riserva Nell'ambito del servizio di gestione informatica del protocollo, al fine di garantire la non modificabilità delle operazioni di registrazione, al termine della giornata lavorativa (ore 23,00), il contenuto del registro informatico di protocollo, viene trasmesso al Sistema di conservazione. L'attività di conservazione dei documenti informatici per l'unione Terra di Mezzo è svolta da ParER (Polo archivistico dell'emilia Romagna). Il registro di protocollo è generato in modo automatico attraverso l estrazione dal sistema documentale di un insieme di dati, secondo una struttura predeterminata, trasferita in forma statica in un sistema di conservazione, come indicato all'art. 3, comma 1, lettera d), del DPCM 13 novembre Tale modalità di formazione del registro di protocollo non rende necessaria la sua sottoscrizione con firma digitale né ai fini di garantirne le caratteristiche di immodificabilità ed integrità né, eventualmente, allo scopo di assicurarne la provenienza e l autenticità, in quanto il registro di protocollo è comunque riferibile al pubblico ufficiale da cui è formato, cioè il responsabile della gestione documentale o responsabile del servizio per la tenuta del protocollo. Il pacchetto di versamento viene generato secondo le modalità stabilite nella Scheda descrittiva del SIP per la tipologia documentaria Registro di protocollo/repertorio redatto dal ParER Firma digitale Per l'espletamento delle attività istituzionali l'amministrazione fornisce la firma digitale agli utenti interni che, in relazione alle proprie attribuzioni/competenze, sono legittimati a sottoscrivere documenti amministrativi quale esplicazione dell'attività dell'ente Unione Terra di Mezzo Tutela dei dati personali L'amministrazione titolare dei dati di protocollo e dei dati personali, comuni, sensibili e/o giudiziari, contenuti nella documentazione amministrativa di propria competenza, ottempera al dettato del 4

11 decreto legislativo 30 giugno 2003, n.196 con atti formali aventi rilevanza interna ed esterna 1.9. Caselle di Posta Elettronica L'AOO è dotata di una casella di posta elettronica certificata istituzionale per la corrispondenza, sia in ingresso che in uscita Tale casella costituisce l'indirizzo virtuale della AOO e di tutti gli uffici (UOR) che ad essa fanno riferimento. Le ulteriori caselle di posta elettronica certificata in uso all'interno dell'ente, non istituite in corrispondenza di specifici obblighi normativi o di iniziative di razionalizzazione organizzativa, saranno progressivamente dismesse. La denominazione e il dominio della casella di posta elettronica certificata istituzionale potranno essere modificati, senza che ciò comporti obbligo di aggiornamento del presente manuale. In attuazione di quanto previsto dalla Direttiva del Ministro per l Innovazione e le Tecnologie 18 novembre 2005 sull'impiego della posta elettronica nelle pubbliche amministrazioni, l'amministrazione munisce tutti i propri dipendenti compresi quelli per i quali non sia prevista la dotazione di un personal computer di una casella di posta elettronica convenzionale Sistema di classificazione dei documenti Con l'inizio dell'attività operativa del protocollo informatico viene adottato un unico titolario di classificazione per l'archivio centrale unico dell'amministrazione. Si tratta di un sistema logico astratto che organizza i documenti secondo una struttura ad albero definita sulla base dell'organizzazione funzionale dell'aoo, consentendo di organizzare in maniera omogenea e coerente i documenti che si riferiscono ai medesimi affari o ai medesimi procedimenti amministrativi. La definizione del sistema di classificazione è stata effettuata prima dell'avvio del sistema di protocollo informatico. (Allegato 3 - Titolario di classificazione ) Formazione Nell'ambito dei piani formativi richiesti a tutte le amministrazioni sulla formazione e la valorizzazione del personale delle pubbliche amministrazioni, l'amministrazione stabilisce percorsi formativi specifici e generali, in ambito di digitalizzazione dei processi amministrativi, che coinvolgono tutte le figure professionali Accreditamento dell'aoo all' IPA L'AOO si è dotata di una casella di posta elettronica certificata attraverso cui trasmette e riceve documenti informatici soggetti alla registrazione di protocollo. L'amministrazione, nell'ambito degli adempimenti previsti, si è accreditata presso l'indice delle pubbliche amministrazioni (IPA), fornendo le informazioni che individuano l'amministrazione e l'articolazione della AOO. Il codice identificativo dell'amministrazione (utm) è stato generato e attribuito autonomamente dall'amministrazione. L'indice delle pubbliche amministrazioni (IPA) è accessibile tramite il relativo sito internet da parte di tutti i soggetti pubblici o privati. L'amministrazione comunica tempestivamente all' IPA ogni successiva modifica delle proprie credenziali di riferimento e la data in cui la modifica stessa sarà operativa, in modo da garantire l'affidabilità dell'indirizzo di posta 5

12 elettronica certificata; con la stessa tempestività l'amministrazione comunica la soppressione, ovvero la creazione di una AOO. 6

13 2. ELIMINAZIONE DEI REGISTRI DI PROTOCOLLO DIVERSI DAL REGISTRO UFFICIALE DI PROTOCOLLO INFORMATICO In coerenza con quanto previsto e disciplinato dal presente manuale, tutti i documenti inviati e ricevuti dalla AOO sono registrati all'interno del registro ufficiale di protocollo informatico. Pertanto, tutti gli eventuali registri di protocollo, interni agli UOR e/o agli UU, diversi dal registro ufficiale di protocollo informatico, sono aboliti ed eliminati con l'entrata in vigore del manuale stesso. 7

14 3. PIANO DI SICUREZZA Il presente capitolo, ai sensi dell art. 7 del DPCM 3 dicembre 2013, riporta le misure di sicurezza adottate per la formazione, la gestione, la trasmissione, l interscambio, l accesso e la conservazione dei documenti informatici, nel rispetto delle misure minime di sicurezza previste nell allegato B del D.lgs. 196/ Obiettivi del piano di sicurezza Il piano di sicurezza garantisce che: i documenti e le informazioni trattati dall'unione Terra di Mezzo siano resi disponibili, autentici e integri; i dati personali, i dati sensibili e quelli giudiziari vengano custoditi in modo da ridurre al minimo, mediante l adozione di idonee e preventive misure di sicurezza, i rischi di distruzione o perdita, anche accidentale, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta, in relazione alle conoscenze acquisite in base al progresso tecnico, alla loro natura e alle specifiche caratteristiche del trattamento Contesto di riferimento Il piano di sicurezza, basato sui risultati dell analisi dei rischi a cui sono esposti i dati (personali e non), e/o i documenti trattati e sulle direttive strategiche stabilite dal vertice dell amministrazione, definisce: - le politiche generali e particolari di sicurezza da adottare all interno dell'unione Terra di Mezzo - le modalità di accesso al sistema di protocollo e gestione documentale - le misure di sicurezza operative adottate sotto il profilo organizzativo, procedurale e tecnico - le modalità con le quali deve essere effettuato il monitoraggio periodico dell efficacia e dell efficienza delle misure di sicurezza. Al fine di garantire la sicurezza dell'impianto tecnologico, la riservatezza delle informazioni registrate nelle banche dati, l univoca identificazione degli utenti interni ed esterni, l'unione Terra di Mezzo ha adottato le misure tecniche e organizzative di seguito specificate: 8 protezione periferica della Intranet dell amministrazione attraverso sistemi IPS protezione dei sistemi di accesso e conservazione delle informazioni impiego e manutenzione di un adeguato sistema antivirus applicazione periodica degli aggiornamenti correttivi e di sicurezza patch rilasciati dal fornitore del sistema operativo assegnazione ad ogni utente del sistema di gestione del protocollo e dei documenti, di una credenziale di identificazione pubblica (user ID), di una credenziale riservata di autenticazione (password) e di un profilo di autorizzazione

15 cambio delle password con frequenza almeno trimestrale durante la fase di esercizio utilizzo di sistemi server collocati in DataCenter regionali dotati di idonee misure di sicurezza impiego di politiche di backup attraverso l'utilizzo di sistemi, sempre collocati nei DataCenter regionali, con retention dei dati di 15 giorni. I dati personali registrati nel log del sistema operativo, del sistema di controllo degli accessi e delle operazioni svolte con il sistema di protocollazione e gestione dei documenti utilizzato saranno consultabili in caso di necessità dalle forze dell ordine Formazione dei documenti - aspetti di sicurezza Le risorse strumentali e le procedure atte a garantire la sicurezza nella formazione dei documenti informatici, con particolare riferimento alla loro immodificabilità e integrità, sono descritte nel capitolo 4 Modalità di formazione dei documenti Gestione dei documenti informatici - aspetti di sicurezza I documenti dell'unione Terra di Mezzo vengono gestiti attraverso il sistema di protocollo e gestione documentale Suite Sicr@web J-Iride, conforme alle specifiche previste dalla classe ITSEC F-C2/E2 o a quella C2 delle norme TCSEC e loro successive evoluzioni. Il server che ospita i file utilizzati come deposito dei documenti è un DataCenter regionale. Il sistema di gestione informatica dei documenti: garantisce la disponibilità, la riservatezza e l integrità dei documenti e del registro di protocollo assicura la corretta e puntuale registrazione di protocollo dei documenti in entrata ed in uscita fornisce informazioni sul collegamento esistente tra ciascun documento ricevuto dall amministrazione e gli atti dalla stessa formati al fine dell adozione del provvedimento finale consente il reperimento delle informazioni riguardanti i documenti registrati permette, in condizioni di sicurezza, l accesso alle informazioni del sistema da parte dei soggetti interessati, nel rispetto delle disposizioni in materia di privacy con particolare riferimento al trattamento dei dati sensibili e giudiziari garantisce la corretta organizzazione dei documenti nell ambito del sistema di classificazione d archivio adottato Componente organizzativa della sicurezza Tale componente consiste nella definizione di una struttura operativa dedicata alla gestione della sicurezza nell ambito delle attività svolte dal sistema informatico Sicr@web J-Iride. In tale contesto 9

16 la gestione della sicurezza si realizza con specifici interventi tecnici e organizzativi finalizzati a prevenire, contrastare o ridurre gli effetti relativi ad una specifica minaccia e con attività di controllo e verifica essenziali ad assicurare l efficacia nel tempo del sistema informatico. Nella conduzione del sistema informativo sono responsabili del trattamento dei dati i Responsabili preposti ad ogni Area dell'unione Componente fisica e infrastrutturale della sicurezza La sicurezza fisica (infrastrutturazione degli edifici) dei luoghi in cui sono custodite le risorse del sistema informatico (DataCenter di LepidaSpA) è garantita, relativamente alla gestione energetica, al condizionamento, alla sicurezza logica e fisica, alla connettività e reti, al monitoraggio e misurazione, dalla Regione Emilia-Romagna Componente logica della sicurezza La componente logica della sicurezza garantisce i requisiti di integrità, riservatezza, disponibilità e non ripudio dei dati, delle informazioni e dei messaggi. Tale componente, nell ambito del sistema di protocollo informatico e di gestione documentale Suite Sicr@web J-Iride, è stata realizzata attraverso: identificazione e autenticazione utente (firma debole) profilazione degli accessi (ACL) politica antivirus (sulla rete) firma digitale integrata monitoraggio sessioni di lavoro disponibilità del software e dell hardware. Nello specifico, la Suite Sicr@web J-Iride, è un applicativo client server che utilizza Java. Il software è progettato e sviluppato secondo l'architettura a due livelli che prevede la suddivisione dell'applicazione in due diversi moduli (livelli): 1. interfaccia utente 2. logica funzionale/business logic, DB server (dati persistenti) e repository documentali. Le possibili interazioni fra i livelli sono vincolate secondo quanto segue: interfaccia utente logica funzionale logica funzionale dati persistenti. Il livello interfaccia utente non può quindi relazionarsi direttamente con il livello dati persistenti (e viceversa). Gli utenti (clients) usufruiscono dell'applicazione interagendo con l'interfaccia utente per mezzo del client di Java installato nella propria postazione di lavoro (PdL). Il software (logica funzionale) e le informazioni gestite (dati persistenti) risiedono in un sistema 10

17 centralizzato presso il DatacentER Lepida. Un application server è una tipologia di server che fornisce l'infrastruttura necessaria all'esecuzione di un software in un contesto distribuito mediante la rete. All'interno dell'application server sono presenti una serie di applicazioni e procedure-funzioni, che vengono rese disponibili contemporaneamente (distribuite) a più client mediante i protocolli standard previsti per la tecnologia. L'application server è in sintesi il servizio di rete che ospita il software Suite Sicr@web J-Iride ed è quindi responsabile della pubblicazione ed esecuzione delle funzioni previste. I client richiedono l'esecuzione di una determinata funzione per mezzo dell'interfaccia utente. Tali richieste giungono al server attraverso la connessione internet dell'unione e dei Comuni aderenti. Un database (DB) permette la memorizzazione di un insieme di informazioni in modo strutturato ed integro costituendo in tal modo un archivio di dati (base di dati). Il Database Management System (DBMS) è il software che permette la creazione, manipolazione e interrogazione di un DB. La scrittura ed l'interrogazione del DB avviene da parte dell'application server interagendo con il DBMS attraverso la connessione internet dell'unione e dei Comuni aderenti. Un repository di file è una struttura attraverso la quale vengono memorizzati e gestiti i file (documenti digitali). L'application server effettua l'accesso al repository dei file attraverso la connessione internet dell'unione e dei Comuni aderenti. L'utilizzo delle PdL e della rete internet è garantito ai soli utenti dotati di apposite credenziali d'accesso (user ID + password) al sistema informatico dell'unione. L'operatore può accedere unicamente al livello interfaccia utente e solamente se dotato di specifiche credenziali e autorizzazioni al sistema operativo. L'interfaccia viene generata in funzione delle autorizzazioni in possesso dell'utente connesso; funzioni e dati ai quali l'utente non è autorizzato ad accedere non vengono resi disponibili. Agli utenti generici non è quindi consentito: interrogare direttamente il DBMS interagire direttamente con il repository dei file accedere direttamente ai server fisici e virtualizzati Le precedenti operazioni sono possibili ai soli soggetti autorizzati ed appartenenti all'area Sistemi Informatici e delle tecnologie dell'informazione, per le sole attività sistemistiche di amministrazione, aggiornamento e manutenzione delle componenti di sistema Gestione delle registrazioni di protocollo e di sicurezza Le registrazioni di sicurezza sono costituite da informazioni di qualsiasi tipo (ad esempio: dati, transazioni), presenti o transitate sul SdP che occorre mantenere, sia dal punto di vista regolamentare, sia in caso di controversie legali che abbiano ad oggetto le operazioni effettuate sul SdP, sia al fine di analizzare compiutamente le cause di eventuali incidenti di sicurezza. 11

18 Le registrazioni di sicurezza sono costituite: dai log dei dispositivi di protezione periferica del sistema informatico (intrusion detection system-ids, sensori di rete e firewall), dalle registrazioni dell'applicativo SdP Le registrazioni di sicurezza sono soggette alle seguenti misure di sicurezza: l'accesso alle registrazioni è limitato, esclusivamente, ai sistemisti o agli operatori di sicurezza addetti al servizio di protocollo, come previsto dalle norme sul trattamento dei dati personali i log di sistema sono accessibili ai sistemisti l'operazione di scrittura delle registrazioni del SdP, è effettuata direttamente dagli applicativi le registrazioni sono soggette a copia giornaliera su sistema di backup in DataCenter Criteri di utilizzo degli strumenti tecnologici Il sistema informatico garantisce agli utenti interni dell'unione Terra di Mezzo l accesso ai servizi previsti, mediante l adozione di un insieme di misure organizzative e tecnologiche. Gli utenti interni autorizzati ad utilizzare il software Suite Sicr@web J-Iride, saranno chiamati ad operare nel rispetto delle disposizioni di apposito regolamento, in corso di elaborazione, concernente le regole di utilizzo degli strumenti informatici e telematici dell'unione Terra di Mezzo. 3.5 Trasmissione e interscambio dei documenti informatici - aspetti di sicurezza L'Unione Terra di Mezzo predilige l utilizzo di tecnologie di trasmissione sicure. Le modalità previste, all'interno del presente manuale, per la trasmissione dei documenti informatici, hanno il seguente livello di sicurezza: Tipologia di trasmissione Caratteristiche Livello di sicurezza Posta elettronica Certificata Canali Web - Istanze online identità sicura e accertata del titolare della casella / mittente transito del messaggio attraverso il protocollo SMTP che garantisce la piena riservatezza sicurezza dell accettazione e consegna del messaggio attraverso l utilizzo delle ricevute tracciamento delle attività nel file di Log a carico del gestore del servizio e conservazione dei registri accesso ai servizi previa autenticazione sicura del Alto Alto 12

19 mittente utilizzo del protocollo HTTPS che garantisce la piena riservatezza Interoperabilità meccanismo di trasmissione attraverso la Posta elettronica certificata con funzionalità interoperabili. Alto Posta elettronica ordinaria Fax server identità del titolare della casella non accertata da un ISP (Internet server provider) accreditato. transito del messaggio attraverso un protocollo SMTP che non garantisce la riservatezza della trasmissione meccanismo di trasmissione che utilizza la tecnologia della posta elettronica ordinaria. Basso Basso 3.6. Accesso ai documenti informatici Il controllo degli accessi è assicurato utilizzando le credenziali di accesso (pubblica e privata) ed un sistema di autorizzazione basato sulla profilazione degli utenti in via preventiva. Per le specifiche relative alla sicurezza per l accesso al sistema di protocollo e di gestione documentale Suite Sicr@web J-Iride, si fa riferimento al paragrafo Componente logica della sicurezza Politiche di sicurezza adottate dall Ente Come previsto dal provvedimento 393, 2 luglio 2015 del Garante della protezione dei dati personali, le amministrazioni pubbliche sono tenute a comunicare al Garante le violazioni dei dati personali (data breach) che si verificano nell ambito delle banche dati (qualsiasi complesso organizzato di dati personali, ripartito in una o più unità dislocate in uno o più siti, art. 4, comma 1, lett. p del Codice in materia di protezione dei dati personali 196 del 2003) di cui sono titolari, secondo la compilazione del modulo predisposto dal Garante. Il riesame delle politiche di sicurezza è conseguente al verificarsi di incidenti di sicurezza, di variazioni tecnologiche significative, di modifiche all architettura di sicurezza che potrebbero incidere sulla capacità di mantenere gli obiettivi di sicurezza o portare alla modifica del livello di sicurezza complessivo. 13

20 4. MODALITÀ DI FORMAZIONE DEI DOCUMENTI 4.1. I documenti dell'unione Terra di Mezzo I documenti dell'unione Terra di Mezzo (d ora in poi chiamati semplicemente documenti) sono quelli prodotti in uno dei modi previsti dalla normativa vigente, dagli organi ed uffici dell'unione medesima, nello svolgimento della loro attività istituzionale. In ottemperanza a quanto indicato dal Codice dell Amministrazione Digitale, che prevede l uso delle tecnologie dell'informazione e della comunicazione per organizzare la propria attività amministrativa, l'unione sta progressivamente evolvendo verso la formazione, gestione, e trasmissione dei documenti informatici. Ciò premesso, il documento amministrativo va distinto in: documento analogico documento informatico Tutti i documenti originali, indipendentemente dal loro supporto, sono tra loro connessi da speciale vincolo originario, necessario e determinato e costituiscono l archivio dell'unione Formazione dei documenti - aspetti diplomatici I documenti prodotti dall'unione, indipendentemente dalla forma nella quale sono redatti, devono sempre riportare gli elementi essenziali, elencati di seguito. Le regole per la determinazione dei contenuti e della struttura dei documenti informatici sono definite dai responsabili dei singoli UOR, nel rispetto delle disposizioni di cui al presente capitolo. Deve essere curata, per quanto possibile, la standardizzazione della forma e dei contenuti dei documenti, attenendosi a formulari tipici Elementi informativi essenziali dei documenti prodotti I documenti in uscita devono riportare le seguenti informazioni, organizzate per blocchi logici: 1. Individuazione dell autore del documento - Stemma dei Comuni dell'unione/logo dell'unione e dicitura Unione Terra di Mezzo nelle forme stabilite dall amministrazione - Unità Organizzativa Responsabile (denominazione AREA come da organigramma), con eventuale indicazione del servizio e dell ufficio che ha prodotto il documento solo laddove la relativa istituzione sia prevista nell'ambito di atti organizzativi - Indirizzo completo della sede legale dell'unione: via/piazza, numero civico, cap, comune - Codice fiscale/partita IVA - Numero di telefono (centralino) ed eventuale fax (centrale) della sede legale - Indirizzo di posta elettronica certificata 2. Individuazione e descrizione del documento: - Data (giorno, mese, anno) della sottoscrizione (per gli atti amministrativi digitali, creati all'interno del sistema Sicr@web, la data della sottoscrizione è prodotta automaticamente dal sistema) 14

21 - Numero di protocollo, la data di protocollo (giorno, mese, anno), l'indice di classificazione: titolo/classe/numero di fascicolo (nel documento digitale i suddetti valori sono riportati nel file di segnatura xml che viene prodotto secondo le direttive di AGID) -Numero del repertorio (eventuale e per i documenti analogici); nei documenti digitali, registrati nell'ambito di repertori digitali, il numero del repertorio è associato al documento tramite sistemi di segnatura xml - Numero degli allegati, se presenti - Oggetto - Numero e data del documento cui si risponde (eventuale) - Firma debole (attraverso le credenziali di identificazione del sistema dell'istruttore) - Firma digitale (se trattasi di documento digitale ) sottoscrizione autografa (se trattasi di documento analogico) del RPA/Responsabile di Area. 3. individuazione del destinatario del documento (se è un documento in uscita): - Cognome e nome (per le persone fisiche)/ Denominazione (per le persone giuridiche) / UOR (per i documenti interni) -A seconda dei casi: 4. individuazione del RPA: - Indirizzo completo: via/piazza, numero civico, cap, città - Indirizzo informatico (Pec ) - n. fax in caso di trasmissione via fax -Cognome, nome e qualifica del Responsabile del procedimento amministrativo/responsabile di Area - Sottoscrizione (firma autografa o digitale) 4.3. Formazione dei documenti - aspetti operativi generali I documenti dell'unione sono prodotti generalmente con adeguati sistemi informatici o, in alternativa, in modalità analogica. Ogni documento amministrativo: tratta un unico argomento, indicato in maniera sintetica ma esaustiva, a cura dell autore, nello spazio riservato all oggetto è riferito ad un solo protocollo fa riferimento ad uno o più fascicoli Le firme (e le sigle se si tratta di documento analogico), necessarie alla redazione e perfezione sotto 15

22 il profilo giuridico, del documento in partenza, devono essere apposte prima della sua protocollazione. 4.4 Formazione di documento analogico Per documento analogico si intende un documento amministrativo formato utilizzando una grandezza fisica che assume valori continui, come le tracce su carta (esempio: documenti cartacei), come le immagini su film (esempio: pellicole mediche, microfiche, microfilm), come le magnetizzazioni su nastro (esempio: cassette e nastri magnetici audio e video) su supporto non digitale. Di seguito si farà riferimento ad un documento amministrativo cartaceo che può essere prodotto sia in maniera tradizionale (come, ad esempio, una lettera scritta a mano o a macchina), sia con strumenti informatici (ad esempio, una lettera prodotta tramite un sistema di videoscrittura o text editor ) e poi stampata. In quest'ultimo caso si definisce "originale" il documento cartaceo, nella sua redazione definitiva, perfetta ed autentica negli elementi sostanziali e formali, in possesso di tutti i requisiti di garanzia e d'informazione del mittente e del destinatario, stampato su carta intestata e munito di firma autografa. Un documento analogico può essere convertito in documento informatico tramite opportune procedure di conservazione sostitutiva. 4.5 Formazione del documento informatico e del documento amministrativo informatico Per documento informatico si intende la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti. Gli atti formati dalle pubbliche amministrazioni con strumenti informatici, nonché i dati e i documenti informatici detenuti dalle stesse, costituiscono informazione primaria ed originale da cui è possibile effettuare, su diversi o identici tipi di supporto, duplicazioni e copie per gli usi consentiti dalla legge. Il documento informatico viene formato mediante una delle seguenti principali modalità: redazione tramite l utilizzo di appositi strumenti software acquisizione di un documento informatico per via telematica o su supporto informatico, acquisizione della copia per immagine su supporto informatico di un documento analogico, acquisizione della copia informatica di un documento analogico registrazione informatica delle informazioni risultanti da transazioni o processi informatici o dalla presentazione telematica di dati attraverso moduli o formulari resi disponibili all utente generazione o raggruppamento anche in via automatica di un insieme di dati o registrazioni, provenienti da una o più basi dati, anche appartenenti a più soggetti interoperanti, secondo una struttura logica predeterminata e memorizzata in forma statica. Le caratteristiche di immodificabilità e di integrità sono determinate da una o più delle seguenti operazioni: sottoscrizione con firma digitale, ovvero con firma elettronica qualificata 16

23 apposizione di una validazione temporale trasferimento a soggetti terzi con posta elettronica certificata con ricevuta completa memorizzazione su sistemi di protocollo e gestione documentale che adottino idonee politiche di sicurezza versamento ad un sistema di conservazione La firma digitale La sottoscrizione dei documenti informatici, quando prescritta, è ottenuta con processi di firma elettronica conformi alle disposizioni dettate dalla normativa vigente. Per l apposizione della firma digitale, l'unione si avvale dei servizi di una autorità di certificazione iscritta nell elenco pubblico dei certificatori accreditati tenuto dall'agenzia per l Italia Digitale. I documenti informatici prodotti dall'aoo, indipendentemente dal software utilizzato per la loro redazione, prima della sottoscrizione con firma digitale, sono convertiti in uno dei formati standard previsti dalla normativa vigente in materia di archiviazione al fine di garantirne l'immodificabilità (vedi Decreto del Presidente del Consiglio dei Ministri 13 novembre 2014). La firma digitale viene utilizzata come forma di sottoscrizione per garantire i requisiti di integrità, riservatezza e non ripudiabilità nei confronti di entità esterne. Le verifiche delle firme digitali dei documenti prodotti o ricevuti avviene attraverso l utilizzo di software rilasciati, secondo la normativa, da enti certificatori La marcatura temporale Per tutte le casistiche per cui la normativa prevede l apposizione di un riferimento o validazione temporale, l'unione adotta almeno una delle seguenti modalità di marcatura: registrazione di protocollo posta elettronica certificata eventuale sistema di marcatura temporale, nei casi in cui non sia possibile utilizzare uno di quelli precedenti Tipologie di formato del documento informatico L'Unione, in considerazione di quanto previsto dal DPCM 3 dicembre 2013 in materia di conservazione, al fine di garantire le caratteristiche di apertura, sicurezza, portabilità, funzionalità, supporto allo sviluppo e diffusione, adotta i seguenti formati: FORMATO ESTENSIONE STANDARD DI RIFERIMENTO PDF - PDF/A.pdf ISO (PDF) ISO :2005 (vers. PDF 1.4) ISO :2011 (vers. PDF 1.7) 17

24 TIFF.tif ISO ISO JPG.jpeg,.jpg ISO/IEC 10918:1 Office Open XML (OOXML).docx,.xlsx, doc, xls.pptx ISO/IEC DIS 29500:2008 Open Document Format XML.odt,.ods,.odp,.odg,.odb.xml derivati da XML:.svg ISO/IEC 26300:2006 UNI CEI ISO/IEC ISO SGML Specifiche W3C TXT.txt / formati messaggi di posta elettronica AutoCAD DXF.eml.dxf RFC MIME RFC S/MIME proprietario ma con specifiche rilasciate da Autodesk M4a.m4a,.m4b,.mp4 ISO/IEC MP3.mp3 ISO/IEC ISO/IEC WAV.wav rilasciato da IBM e Microsoft. estensione del Resource Interchange File Format (.RIFF) Eventuali integrazioni al presente elenco vengono definite in considerazione di specifiche previsioni normative o tecniche. 18

25 5. MODALITÀ DI UTILIZZO DI STRUMENTI INFORMATICI PER LO SCAMBIO DI DOCUMENTI II presente capitolo fornisce indicazioni sulle modalità di utilizzo di strumenti informatici per lo scambio di documenti all'interno ed all'esterno dell'aoo. Nell'ambito del processo di gestione documentale, il documento amministrativo, in termini operativi, è così classificabile: ricevuto inviato interno formale interno informale. Secondo quanto previsto dall'art. 40 del decreto legislativo n. 82/2005 "1. Le pubbliche amministrazioni che dispongono di idonee risorse tecnologiche formano gli originali dei propri documenti con mezzi informatici secondo le disposizioni di cui al presente codice e le regole tecniche di cui all'articolo 71" e "2. Fermo restando quanto previsto dal comma 1, la redazione di documenti originali su supporto cartaceo, nonché la copia di documenti informatici sul medesimo supporto è consentita solo ove risulti necessaria e comunque nel rispetto del principio dell'economicità'. Pertanto, soprattutto nella fase transitoria di migrazione verso l'adozione integrale delle tecnologie digitali da parte dell'amministrazione, il documento amministrativo può essere disponibile anche nella forma analogica Documenti ricevuti La corrispondenza in ingresso può essere acquisita dalla AOO con diversi mezzi e modalità in base alla tecnologia di trasporto utilizzata dal mittente. Un documento informatico può essere recapitato: 1. a mezzo posta elettronica convenzionale o certificata 2. interoperabilità: la casella di interoperabilità dell'aoo è segreteria@unionepec.it 3. canali Web 4. eventuali canali informativi cooperativi 5. su supporto rimovibile quale, ad esempio, cd rom, dvd, floppy disk, tape, pen drive, consegnato direttamente alla UOP o inviato per posta convenzionale o corriere. Un documento analogico può essere recapitato: 1. a mezzo posta convenzionale o corriere; 2. a mezzo posta raccomandata; 19

26 3. per telegramma; 4. a mezzo fax (i documenti ricevuti tramite fax sono da considerarsi a tutti gli effetti analogici, poiché solo la loro modalità di trasmissione è telematica); 5. con consegna diretta da parte dell'interessato tramite una persona dallo stesso delegata alle UOP e/o agli UOR aperti al pubblico; 6. a mezzo notifica. A fronte delle tipologie descritte ne esiste una terza denominata "Ibrida" composta da un documento analogico (lettera di accompagnamento) e da un documento digitale che comportano diversi metodi di acquisizione Documenti inviati Documenti informatici I documenti informatici, compresi di eventuali allegati, sono inviati, di norma, per mezzo della sola posta elettronica certificata, se la dimensione del documento, e/o di eventuali allegati, non supera la dimensione massima prevista dal sistema di posta utilizzato dall'aoo, secondo quanto stabilito dal fornitore del servizio. In caso contrario, il documento informatico viene copiato, su supporto digitale rimovibile non modificabile e trasmesso al destinatario con altri mezzi di trasporto oppure caricato in uno spazio web, con le necessarie garanzie di sicurezza, accessibile dal destinatario a seguito di comunicazione dell'aoo. Ulteriori strumenti di trasmissione dei documenti informatici sono: Caselle di Posta elettronica Fax server Interoperabilità Eventuali canali informativi cooperativi Canali web Documenti analogici I documenti analogici sono trasmessi attraverso: 1. Posta convenzionale o posta raccomandata 2. Notifica 3. Fax (escluso nei rapporti con altre pubbliche amministrazioni) 4. Attraverso canali informatici e digitali di cui sopra Il documento analogico in uscita viene normalmente redatto in unico esemplare originale, sottoscritto, registrato nel sistema di protocollo e acquisito tramite scansione (in formato PDF/A) 20

27 nel sistema di protocollo. Se il documento analogico è inviato tramite posta elettronica certificata o canali digitali, viene redatto in un unico esemplare, sottoscritto, registrato, acquisito tramite scansione nel sistema di protocollo, dal quale viene inoltrato alla posta elettronica certificata del destinatario. Il documento originale è trattenuto presso il produttore e inserito nel fascicolo relativo all affare o al procedimento amministrativo trattato. Se il documento analogico è inviato tramite posta convenzionale o posta raccomandata, notifica o fax (escluso nei rapporti con altre pubbliche amministrazioni), una copia del documento originale è trattenuta, unitamente alla documentazione di comprova della trasmissione, presso il produttore e inserito nel fascicolo relativo all affare o al procedimento amministrativo trattato Documento interno formale I documenti interni, cioè i documenti prodotti e destinati all interno dell AOO si distinguono in formali e informali. I documenti interni formali si qualificano come documenti informatici di rilevanza amministrativa giuridico- probatoria. I documenti interni sono formati con tecnologie informatiche e lo scambio tra UOR/UU della AOO di documenti informatici di rilevanza amministrativa giuridico- probatoria non può avvenire, tranne che in casi eccezionali e motivati, in forma cartacea. La trasmissione tra UOR di documenti informatici formali avviene per mezzo del sistema di gestione documentale Suite Sicr@web J Iride. Il documento interno è registrato nel sistema di gestione documentale come protocollo interno dopo essere stato sottoscritto con firma digitale e viene trasmesso alla UOR destinataria tramite la funzione di assegnazione e non deve pertanto essere registrato dalla UOR destinataria. Dalla data della assegnazione alla UOR destinataria decorrono i termini del procedimento/subprocedimento amministrativo di relativa competenza Documento interno informale I documenti interni informali si qualificano come documenti informatici privi di rilevanza amministrativa giuridico- probatoria. Per questa tipologia di corrispondenza vale quanto illustrato nel paragrafo precedente ad eccezione della obbligatorietà dell'operazione di sottoscrizione e di protocollazione. La trasmissione tra UOR di documenti informatici informali ( attraverso la funzionalità del software documento generico ), che non devono essere registrati a protocollo, avviene per mezzo del sistema di gestione documentale Suite Sicr@web J Iride. 5.5 Requisiti degli strumenti informatici di scambio Scopo degli strumenti informatici di scambio e degli standard di composizione dei messaggi è garantire sia l'interoperabilità, sia i requisiti minimi di sicurezza di seguito richiamati: 21