LA CONSERVAZIONE SOSTITUTIVA DEI DOCUMENTI CONTABILI E FISCALI: Tecnologie Processi Organizzazione Il Responsabile della conservazione Sostitutiva

Transcript

1 LA CONSERVAZIONE SOSTITUTIVA DEI DOCUMENTI CONTABILI E FISCALI: Tecnologie Processi Organizzazione Il Responsabile della conservazione Sostitutiva Dott. Alberto Bobbo Elitec Group Nuove Tecnologie e Qualità del Software

2 Il Documento Informatico Legge N 59 del 1997 Art. 15 stabilisce che: gli atti, dati e documenti, formati dalla PUBBLICA AMMINISTRAZIONE NE e dai PRIVATI con strumenti informatici o telematici,, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici, sono validi e rilevanti a tutti gli effetti di legge Il DPR 445 del 28/12/2000 ha fissato i requisiti che il documento informatico inteso come la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti deve rispettare per avere pieno valore legale.

3 Il Documento cartaceo Per documento cartaceo si intende sia il supporto che il contenuto che in esso viene rappresentato La sottoscrizione autografa sancisce l autenticità ed il sottoscrittore si assume la paternità del contenuto del documento Il Documento informatico Un documento informatico, per sua natura, può essere modificato e riprodotto infinite volte, ottenendo copie identiche all originale. Il suo contenuto è svincolato dal supporto. Per renderlo simile al documento cartaceo occorre autenticarlo, cioè modificare gli attributi di volatilità tramite l apposizione di una firma digitale per: garantire la segretezza dei contenuti del documento dichiarare la paternità del sottoscrittore assicurare l integrità dei contenuti del documento garantire il non ripudio quindi assicurare la validità legale del documento

4 Firma digitale di un documento informatico La firma digitale GARANTISCE, in un documento informatico, la stessa valenza della firma autografa nei documenti cartacei. La tecnologia a chiavi pubbliche garantisce inoltre: l integrità del contenuto del documento la certezza della provenienza del documento I formati dei documenti informatici La firma digitale deve essere applicata a documenti informatici STATICI ovvero redatti in modo tale per cui il contenuto non risulti alterabile durante le funzioni di accesso e di conservazione generalmente documenti informatici in formato PDF o TIFF.. con beneficio di inventario.. Gli elementi dinamici (macro, funzioni, script) possono provocare la visualizzazione di contenuti differenti al momento della sottoscrizione e della successiva verifica

5 Alle fondamenta della Firma Digitale: la crittografia La crittografia è la scienza matematica (utilizza algoritmi matematici denominati cifrari ) che costituisce fondamento scientifico per la tecnologia della firma digitale e persegue l obiettivo di garantire: la segretezza di informazioni riservate (formalizzate in genere in documenti) autenticità della sorgente e quindi non ripudiabilità dell autore l integrità del contenuto Alcuni definizioni strumentali: Crittologia: - Lo studio della crittografia e della crittanalisi. Crittografia: - Studia metodi per proteggere le informazioni riservate, metodi per garantirne l'autenticità e l'integrità. Sono questi gli aspetti su cui si fonda la firma digitale. Crittanalisi: - Si occupa del procedimento inverso delle crittografia, cioè studia possibili modi per forzare gli algoritmi crittografici verificandone così la robustezza.

6 Alle fondamenta della Firma Digitale: la crittografia Ogni cifrario si basa su due operazioni di base e loro combinazioni: Sostituzione : i simboli del testo mutano di identità ma non di posizione Trasposizione : i simboli del testo mutano di posizione ma non di identità Sopracifratura: combinazioni di sostituzione e trasposizione La sostituzione (esempio di procedimento):

7 La trasposizione (esempio di procedimento): La trasposizione, è un'operazione mediante la quale gli elementi di un testo in chiaro vengono cambiati di posto, ossia trasposti, secondo una regola stabilita in modo che la ricostruzione del testo in chiaro non sia possibile a chi non conosca quella regola..

8 La sopracifratura (esempio di procedimento): Le possibili permutazioni, ovvero combinazioni tra le operazioni di sostituzione e trasposizione sono diverse, ne esmplifichiamo qualcuna..

9 Ma. la cifratura dell informazione è più sicura utilizzando una CHIAVE esterna: Chiave - Codice segreto usato per parametrizzare un algoritmo di crittazione. La chiave usata per crittare si chiama chiave di crittazione, mentre la chiave per decrittare si chiama chiave di decrittazione. Chiave segreta e chiave pubblica - Negli algoritmi di crittazione a chiavi asimmetriche ogni soggetto dispone di due chiavi: quella segreta deve essere conservata e mantenuta scrupolosamente segreta dal proprietario; quella pubblica invece deve essere diffusa il più possibile, magari anche registrandola presso un key server o una Certification Authority

10 Ma. la cifratura dell informazione è più sicura utilizzando una CHIAVE esterna: Algoritmo di crittazione a chiavi simmetriche - Un algoritmo di crittazione dove la chiave di crittazione è uguale alla chiave di decrittazione. Due soggetti che vogliano scambiarsi messaggi crittati, dovranno preventivamente concordare una chiave segreta in comune ma sorgono alcuni problemi in relazione a: GENERAZIONE illimitata fiducia nel generatore CONSERVAZIONE esistono più copie della chiave SICUREZZA vulnerabilità dell archivio centrale DISTRIBUZIONE anche il canale sicuro è a rischio intercettazioni

11 Ma. la cifratura dell informazione è più sicura utilizzando una CHIAVE esterna: Algoritmo di crittazione a chiavi asimmetriche - Un algoritmo di crittazione dove la chiave di crittazione è diversa dalla chiave di decrittazione. Con questi algoritmi i due soggetti non hanno bisogno di concordare una chiave segreta in comune, perché la crittazione avviene usando la chiave pubblica della controparte, mentre la decrittazione richiede la conoscenza della chiave segreta, e non sarebbe altrimenti possibile usando la stessa chiave pubblica usata per la crittazione. Sistema univoco a doppie chiavi complementari: Una chiave privata o segreta, conosciuta solo dal suo titolare con la funzione di crittazione Una chiave pubblica, riferita sempre al suo titolare, ma conoscibile in quanto gestita da un ente terzo che ne garantisce l attendibilità

12 Chiave pubblica e Chiave Privata nella Firma Digitale Per la legge italiana la coppia di chiavi è generabile dal titolare, ma in questo caso deve avvenire all interno del dispositivo di firma, apparato elettronico programmabile solo all origine (SMARTCARD) La chiave privata non uscirà mai dal dispositivo sicuro (SMARTCARD), l altra è pubblica. Chiave Pubblica Chiave Privata

13 Cosa Firmare: la funzione di hash (impronta) La funzione di hash è un algoritmo matematico in grado di trasporre un documento informatico in un documento informatico compresso (lunghezza pari a 160 bit) L hashing produce una impronta digitale del documento informatico (message digest o hash code) opportunamente definita da standard internazionali (SHA-1 o RIPEMD- 160) a cui si applicherà la firma digitale Documento Informatico (n bit) Funzione di hash (SHA-1 o RIPEMD-160) Impronta (160 bit) La chiave privata verrà quindi applicata solo sull impronta consentendo una cifratura più veloce del documento informatico identificato univocamente dalla sua impronta

14 La crittografia a chiavi asimmetriche Viene definita idonea a scopi di segretezza e di autenticazione dal DPR 445/2000, quindi per garantire: Riservatezza Integrità Paternità Il processo di sottoscrizione elettronica consta della sequenza di tre operazioni: 1. Generazione dell impronta (hash) del documento da firmare 2. Generazione della firma mediante cifratura dell impronta 3. Apposizione della firma al documento Il processo di verifica della sottoscrizione (firma digitale) viene effettuato ricalcolando, con la medesima funzione di hash usata nella fase di sottoscrizione, il valore dell impronta (stringa risultante) e controllando che il valore così ottenuto coincida con quello generato per decodifica della firma stessa

15 Nell operatività.chiave privata cifra 1 Doc. Informatico N bit Ddgg ddgg 2 Funzione di HASH SHA-1 o RIPEMD-160 Creazione impronta Impronta del documento Informatico 160 bit 3 Passaggio dell impronta 160 bit alla smartcard per la crittografia con la chiave privata del sottoscrittore 6 Documento informatico con firma digitale - Documento informatico n bit - Impronta crittografata=firma DIGITALE 1024 bit - Certificato della chiave pubblica del sottoscrittore La smartcard contiene il certificato della CA 4 Crittografia RSA dell impronta con la chiave privata del sottoscrittore (min bit) 5 Restituzione dell impronta crittografata al computer PKCS#7

16 Nell operatività.chiave pubblica decifra Ddgg ddgg PKCS#7 2 Creazione locale dell impronta, tramite funzione di HASH sul documento informatico effetuata da SW di chi compie la verifica Impronta del documento Informatico 160 bit 4 Confronto delle 2 impronte (stringhe): se sono identiche il documento informatico non è stato alterato 1 Documento informatico con firma digitale e certificato della chiave pubblica del sottoscrittore: - Documento informatico n bit - Impronta crittografata=firma DIGITALE 1024 bit - Certificato della chiave pubblica del sottoscrittore Decrittografia RSA della impronta tramite la chiave pubblica contenuta nel certificato Impronta del documento Informatico 160 bit (calcolata dal sottoscrittore)

17 Nell operatività.chiave privata cifra Documento Informatico in chiaro Funzione di decrittografia RSA con chiave pubblica del sottoscrittore Funzione di crittografia RSA con chiave privata del sottoscrittore tramite smartcard Documento Informatico cifrato Documento Informatico in chiaro

18 Le Autorità di Certificazione (CA) delle chiavi pubbliche sono i garanti della procedura di certificazione e in quanto tali sono sottoposti a specifica autorizzazione, di competenza CNIPA, per l iscrizione in apposito registro mantenuto dalla medesima Autorità Hanno il compito di garantire l associazione univoca tra soggetto titolare e chiave pubblica in modo opponibile a terzi Emettono allo scopo un documento informatico firmato digitalmente CERTIFICATO che pubblicano in elenchi accessibili (consultazione telematica) di certificati validi, certificati revocati o sospesi. Il CERTIFICATO e la relativa coppia di chiavi a 1024 bit può avere validità massima di 2 anni, ma la sua validità è soggetta a disposizione del certificatore

19 La Marca Temporale: La marcatura temporale di un documento informatico consiste nella generazione, da parte di una terza parte fidata e certificata dal CNIPA (la certification autority) di una ulteriore firma digitale cui è associata l informazione relativa ad una data ed ora certa, che rende il riferimento temporale opponibile a terzi. Il tempo, cui fanno riferimento le marche temporali emesse dalla CA, è riferito al tempo universale coordinato (UTC) emesso e controllato in ambito nazionale dall Istituto Elettrotecnico Nazionale Galileo Ferraris I riferimenti per l esemplificazione delle procedure di firma: DIKE di Infocamere un esempio: L elenco dei certificatori accreditati: IT/Attivit%c3%a0/Certificatori_accreditati/Elenco_certificatori_di_firma_di gitale/

20 Il Responsabile della Conservazione Definisce le caratteristiche e requisiti di conservazione in funzione della tipologia dei documenti da conservare, organizza il contenuto dei supporti ottici e gestisce le procedure di sicurezza e tracciabilità che ne garantiscono la corretta conservazione Archivia e rende disponibili, relativamente ad ogni supporto di memorizzazione utilizzato, le seguenti informazioni: Descrizione del contenuto dell insieme dei documenti Estremi identificativi delle persone eventualmente delegate dal responsabile della conservazione, con l indicazione dei compiti alle stesse assegnate Indicazione delle copie di sicurezza Mantiene e rende accessibile un archivio dei programmi software in gestione nelle eventuali diverse versioni Verifica la corretta funzionalità del sistema e dei programmi in gestione

21 Il Responsabile della Conservazione Adotta le misure necessarie per la sicurezza fisica e logica del sistema preposto al processo di conservazione sostitutiva e delle copie di sicurezza Richiede la presenza di un pubblico ufficiale, nei casi in cui sia previsto il suo intervento, assicurando assistenza e risorse necessarie all espletamento del compito attribuitogli Definisce e documenta le procedure di sicurezza da rispettare per l apposizione del riferimento temporale Verifica periodicamente, con cadenza non superiore a 5 anni, l effettiva leggibilità dei documenti conservati provvedendo, se necessario, al riversamento diretto o sostitutivo del contenuto dei supporti Può delegare ad una o più persone, in possesso di idonei reaquisiti, tutto o parte dell attività di competenza Il procedimento di conservazione sostitutiva può essere, in tutto o in parte, affidato a terzi.l outsourcing

22 Il Responsabile della Conservazione Dai compiti fin qui esaminati.deve avere più competenze: Finanziarie Fiscali Civilistiche Informatiche. In relazione alle dimensioni e complessità aziendale: Soluzione in house Soluzione in Outsourcing..per la gestione documentale

23 IL TEMPO CI E TIRANNO E VORREI GARANTIRVI UN PO DI SPAZIO ALLE VOSTRE DOMANDE DATA LA PRESENZA DI PRESTIGIOSI RELATORI PRIMA DI UN PICCOLO BUFFET RINGRAZIO VIVAMENTE TUTTI PER L ATTENZIONE! MA.

24 IN OGNI CASO LE INIZIATIVE DI ELITEC GROUP E CONSERVAZIONE-SOSTITUTIVA.IT NON FINISCONO OGGI: 1. Stiamo organizzando per il mesi di Giugno e Settembre dei corsi di formazione per Responsabili della Conservazione 2. Il presente Seminario verrà replicato in altre prestigiose sedi. 3. Vi inviteremo ad una dimostrazione operativa di archiviazione ottica e conservazione sostitutiva, attraverso la nostra piattaforma HYPER, presso la nostra sala corsi in Spinea (VE) così avremo modo di approfondire operativamente gli aspetti tecnologici ed operativi dell archiviazione e conservazione sostitutiva 4. Continueremo a essere un punto di riferimento con Conservazione-sostitutiva.it.per tenervi sempre aggiornati.