Nuove tecnologie (dematerializzazione e conservazione sostitutiva): scenari e rischi per la sicurezza

Transcript

1 S.A.F. SCUOLA DI ALTA FORMAZIONE Nuove tecnologie (dematerializzazione e conservazione sostitutiva): scenari e rischi per la sicurezza DAVIDE GRASSANO Membro della Commissione Informatica 1 dicembre Milano

2 Agenda 1 Premessa 2 Quadro normativo di riferimento 3 La conservazione sostitutiva 4 Gestione dei rischi e sicurezza 2

3 Premessa Conservazione Sostitutiva & Fatturazione elettronica Gli studi professionali e le aziende generano tipicamente un elevato quantitativo di documentazione in formato cartaceo, con conseguenti problematiche di gestione ed archiviazione. Gran parte delle organizzazioni aziendali non utilizza la conservazione sostitutiva per paura dei rischi o per non conoscenza e dubbi sulla normativa che disciplina la conservazione sostitutiva. La definizione del processo di dematerializzazione nella sua accezione più completa dematerializzazione ab-origine è complesso ed ha impatti rilevanti sulle componenti tecnologiche e organizzative e di gestione della sicurezza. Di contro l innovazione della dematerializzazione, se ben applicata con un approccio adeguato,è una leva che abilita la riduzione dei rischi e l efficientamento dei processi con conseguente riduzione dei costi. 3

4 Premessa Conservazione Sostitutiva & Fatturazione elettronica L evoluzione normativa è il driver, ma emerge ancora la paura degli impatti organizzativi che frena la diffusione massiva. Conservazione sostitutiva Trend di forte diffusione per documenti a valenza fiscale e civilistica. Circa 3000 aziende utilizzano o si stanno attrezzando per utilizzare la conservazione sostitutiva. Molti commercialisti utilizzano la conservazione sostitutiva la consigliano ai propri clienti. Fatturazione Elettronica Il grado di penetrazione della fatturazione elettronica in Italia non presenta ancora volumi significativi. Si inizia a vedere nella fatturazione uno strumento di efficientamento e ottimizzazione dei processi contabili. Fonti dati: Rielaborazioni su Osservatorio del Politecnico di Milano sulla fatturazione elettronica 4

5 Quadro normativo di riferimento Nel DECRETO LEGISLATIVO 7 marzo 2005, n. 82 Codice dell'amministrazione digitale sono riportate le definizioni ufficiali della terminologia utilizzata nel processo di dematerializzazione e conservazione sostitutiva, successivamente modificate e integrate dal DECRETO LEGISLATIVO 30 dicembre 2010, n. 235, Codice dell amministrazione digitale. Documento informatico: la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti. Autenticazione del documento informatico: la validazione del documento informatico attraverso l'associazione di dati informatici relativi all'autore o alle circostanze, anche temporali, della redazione. Firma elettronica avanzata: insieme di dati in forma elettronica allegati oppure connessi a un documento informatico che consentono l'identificazione del firmatario del documento e garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati. Firma elettronica qualificata: un particolare tipo di firma elettronica avanzata che sia basata su un certifica.to qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma. Firma digitale: un particolare tipo di firma elettronica avanzata basata su un certificato qualificato e su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici. Validazione temporale: il risultato della procedura informatica con cui si attribuiscono, ad uno o più documenti informatici, una data ed un orario opponibili a terzi. 5

6 Quadro normativo di riferimento Documento Informatico, Firma digitale e Conservazione sostitutiva: Codice della Pubblica Amministrazione Digitale (D. Lgs. 82/2005) modificato dal D.Lgs. 30 dicembre 2010, n. 235 Codice della Privacy (Allegato B del D. Lgs. 196/2003) Deliberazione CNIPA del 19 febbraio 2004 n. 11 DPCM del 13 Gennaio 2004 (DPCM 30 marzo 2009) Deliberazione CNIPA del 17 febbraio 2005 n. 4 (Deliberazione 45/2009) DPR 11 febbraio 2005 n. 68 (PEC) Fatturazione Elettronica e Conservazione Documenti Fiscali: DMEF 23 gennaio 2004 D. Lgs. 20 febbraio 2004 n. 52 Circolare Agenzia delle Entrate n. 45/E (del 19/10/2005) Circolare Agenzia delle Entrate n. 36/E (del 06/12/2006) Provvedimento del 27 ottobre Risoluzioni Ag. Entrate nn. 161/E/2007, 267/E/2007, 298/E/2007, 349/E/2007, 14/ /E/ D.Lgs, 30 dicembre 2010, n. 235 Modifiche ed integrazioni al decreto legislativo 7 marzo 2005, n. 82, recante Codice dell'amministrazione digitale - Direttiva Comunitaria 2010/45/Ue del 13 luglio 2010: nell ambito di una serie di indicazioni rilevanti ai fini della normativa IVA, prevede una semplificazione delle regole di emissione delle fatture elettroniche qualora i soggetti passivi strutturino adeguati controlli interni di gestione idonei ad assicurare l'autenticità dell'origine e l'integrità del contenuto documentale. 6

7 La conservazione sostitutiva 1 Sistema di gestione documentale per 2 la creazione dei documenti digitali Comunicazione alla clientela Sistema gestione documentale Sistema gestione sicurezza Struttura HW e SW per la Conservazione Sostitutiva dei documenti informatici Responsabile della conservazione sostitutiva: gestisce il processo di conservazione 4 Gestione del sistema di conservazione sostitutiva Amministrazione tecnica del sistema: gestione accessi e profilazione Preparazione dei documenti al processo di conservazione: generazione del flusso documentale (PDF) da sottoporre alla conservazione sostitutiva Conservazione sostitutiva Firma dei singoli documenti con certificato digitale del responsabile del documento e apposizione del riferimento temporale Firma archivi con certificato digitale del Responsabile Conservazione e apposizione marca temporale Esibizione 3 Certification Authority Firma elettronica qualificata Marca temporale Certification Authority e Timestamp Authority: è l ente terzo accreditato (presso il CNIPA) che provvede all emissione dei certificati di firma digitale e al rilascio delle marche temporali 7

8 La conservazione sostitutiva: archiviazione Il processo di archiviazione è abilitante alla successiva conservazione a norma: L'aspetto ed il contenuto del documento informatico devono essere non alterabili durante le fasi di accesso e conservazione ed immutabili nel tempo, pertanto non devono contenere macroistruzioni o codice eseguibile. L'archivio digitale viene creato mediante apposito software di archiviazione ed è costituito da documenti informatici e indici di ricerca per la consultazione. La normativa sulla conservazione sostitutiva richiede che in caso di controlli e ispezioni venga sempre garantita la ricerca e l'estrazione dei documenti informatici dagli archivi digitali in relazione alle seguenti minime ed obbligatorie chiavi di ricerca: cognome; nome; denominazione; codice fiscale; partita iva; data; associazioni logiche. Il processo di conservazione presuppone la predisposizione di un file (oggetto di conservazione) e di un suo indice (che ne evidenzia i contenuti informativi, necessari ai fini gestionali e/o fiscali). L elemento differenziante tra i differenti processi consiste nelle modalità di ottenimento dei file (es. pdf), della sua indicizzazione e nelle modalità per assicurare che la copia elettronica del documento sia corrispondente all originale. 8

9 La conservazione sostitutiva: conservazione Il responsabile della conservazione sostitutiva, figura che ha competenze di natura tecnico- informatica, giuridico-fiscale e organizzativa, appone al termine del processo la propria firma digitale e la marca temporale, attestandone il corretto svolgimento dell intero processo. La corretta gestione dell archivio deve avvenire secondo principi di sicurezza stabiliti e documentati, adottando procedure di tracciabilità in modo tale da garantire la corretta conservazione, l'accessibilità al singolo documento e la sua esibizione. Il sistema di conservazione (processi e tecnologie) deve garantire: attribuibilità e immodificabilità del documento Firme Elettroniche/Digitali e Riferimenti Temporali su singoli documenti conservazione documento Firma digitale + Marca Temporale sul lotto di documenti sicurezza della conservazione Business Continuity, Back up, Disaster Recovery e Restore Strumenti HSM per l apposizione della marca temporale e firma elettronica 9

10 La conservazione sostitutiva: Esibizione La delibera CNIPA 11/2004, all art. 6, descrive gli obblighi di esibizione di un qualsiasi documento informatico (dunque a livello generale e senza scendere nel dettaglio delle diverse tipologie di documenti), con particolare riferimento alle copie conservate in modalità sostitutiva: Il documento conservato deve essere reso leggibile in qualunque momento presso il sistema di conservazione sostitutiva e disponibile, a richiesta, su supporto cartaceo. Il documento conservato può essere esibito anche per via telematica. Qualora un documento conservato venga esibito su supporto cartaceo fuori dall'ambiente in cui è installato il sistema di conservazione sostitutiva, deve esserne dichiarata la conformità da parte di un pubblico ufficiale se si tratta di documenti per la cui conservazione è previsto il suo intervento. In caso di accessi ed ispezioni da parte dell Amministrazione finanziaria, è necessario garantire ai verificatori l estrazione dal supporto di memorizzazione di un qualsiasi documento informatico conservato, al fine di poter verificare a campione la validità della firma digitale e del riferimento temporale. 10

11 La conservazione sostitutiva: I certificatoriaccreditati presso DigitPA Il servizio di marcatura temporale di un documento informatico consiste nella generazione, da parte di un soggetto terzo certificatore, di un informazione temporale affidabile associata all impronta di uno più documenti, firmati digitalmente dallo stesso certificatore. Ruolo TSA - Time Stamping Authority tipicamente esternalizzato. Le principali componenti fornite per l erogazione del processo di conservazione sono il certificato di firma del responsabile della conservazione e il rilascio della marca temporale per la definizione della data certa di conservazione. Gli operatori di full outsourcing relativamente alla dematerializzazione e alla conservazione sostitutiva si appoggiano ad enti certificatori per la firma digitale. 11

12 Sicurezza Quali sono i principali rischi? Accesso non autorizzato ad informazioni riservate da parte di dipendenti o di terzi. Rischio di responsabilità verso i clienti se le informazioni vengono in possesso di terze parti o sono diffuse. Errori nel processo di conservazione per incompletezza o rischio del mancato rispetto della tempistica prevista dalla normativa. Rischio di perdita dei dati per effetto di virus e malware. mancato funzionamento delle procedure di back-up. disastri o eventi imprevisti di perdita. 12

13 La sicurezza Aspetti di sicurezza relativi al documento informatico principalmente indirizzati dal nuovo CAD (Codice Amministrazione Digitale), in particolare mediante la definizione di Regole Tecniche di cui all art.71 Le Regole Tecniche sono state pubblicate in bozza il per condividerne i primi contenuti e raccogliere contributi in merito. Attualmente il consolidamento di tali Regole NON è ancora disponibile sul sito DIGITPA. Correttamente però il CAD, in quanto trattasi di dati personali, per gli aspetti di sicurezza fa rimando a quanto normato dal Garante Privacy mediante il Codice Privacy ed i successivi provvedimenti applicabili (rif.exart.20 comma 5 del nuovo CAD) Le principali misure possono essere sintetizzate come nella figura sottostante Misure di autenticazione per l accesso alle informazioni - Utilizzo di credenziali personali - Caratteristiche minime password - Corretta gestione delle credenziali (attribuzione, blocco, sospensione ) Misure di autorizzazione per l accesso alle informazioni - Attribuzione e gestione dei profili autorizzativi - Verifica periodica Altre misure di protezione delle informazioni - Adozione e aggiornamento strumenti per protezione da malware - Aggiornamento e gestione vulnerabilità - Protezione da accessi esterni non autorizzati Gestione degli aspetti di continuità - Backup dei dati e dei documenti - Gestione dei supporti removibili (dismissione, conservazione ) 13