L Identità Digitale è l insieme di informazioni di un persona o entità, utili per accedere e fruire di servizi digitali

Transcript

1 L Identità Digitale è l insieme di informazioni di un persona o entità, utili per accedere e fruire di servizi digitali Identità Digitale: definizione ed esempi ESEMPLICATIVO L Identità Digitale è l insieme di informazioni di una persona utili per l accesso a servizi Online Esempi di Identità Digitale Account: Account di posta Account Facebook, Twitter, che permettono di essere identificati da un servizio e di poter accedere ai propri contenuti Strumento di Pagamento: Carta di Credito Carta Prepagata Conto Corrente che permetta di attribuire transazioni e acquisti ad un specifico soggetto e garantirne l accesso sicuro ed esclusivo Contratto per la fornitura di servizi: Contratti di telefonia fissa e mobile Contratto Pay-tv che permettono ai gestori di erogare servizi, attribuendone costi e all utente di accedere a servizi personalizzati Fonte: 1) ISO/IEC A framework for identity management 1

2 Gli attributi di una Identità ne definiscono una serie di caratteristiche, utili per fruire meglio dei servizi Attributo: definizione e categorie ESEMPLICATIVO L Identità è inoltre l insieme di attributi relativi ad un entità. Caratteristiche o proprietà, usate per descrivere uno stato, apparenza o altro aspetto 1 Categorie di attributi 2 Informazioni Informazioni Preferenze/Interess Storico servizi Localizzazione anagrafiche sensibili i usufruiti Posizione GPS Genere Dati sanitari Hobbies Acquisti effettuati Tragitti effettuati Età Associazioni Sport praticati Transazioni Posizione auto Indirizzo sociali Arte/Cultura eseguite Nazionalità Interesse Politico Gusti Abbonamenti Professione Credo religioso gastronomici Assicurazioni Gli attributi si differenziano inoltre per: Dettaglio, Accuratezza, Sensibilità Fonti: 1) ISO/IEC A framework for identity management;; 2) Liberty Global Policy Series - The Value Of Our Digital Identity (2012) report;; Elaborazione effettuata da Intellium 2

3 L Identità Digitale è l elemento iniziale della Value Chain digitale che ne favorisce l integrazione e la fruizione ESEMPLICATIVO L identità consente all utente di gestire l impiego dei suoi attributi e all imprese di rendere più efficaci le comunicazioni L Identità Digitale nella Value Chain e-commerce e le attività di marketing grazie un analisi degli attributi condivisi CRM Accesso Catalogo Pagamento Logistica Spedizione L identità digitale semplifica e L analisi degli attributi L'identità permette di Le analisi degli acquisiti L'identità consente di velocizza l accesso ai siti associati all Identità Digitale personalizzare le modalità di effettuati dai clienti, personalizzare le modalità di Descrizione Online, eliminando la necessità di più registrazioni o autenticazioni multiple, spostandosi da un sito ad un altro Human resources permettere di personalizzare l offerta di prodotti e servizi, in base a preferenze, interessi e gusti pagamento e completare transazioni in maniera semplice e rapida (Pagamento con un Click) consentono di ottimizzare le scorte in magazzino, diminuendo tempi di consegna e costi di trasporto consegna, interagendo con il cliente durante le diverse fasi della spedizione Identità Digitale Registrazioni completate Il miglioramento della Semplicità e rapidità nel - Possibilità di rendere più - Possibilità di rendere più Benefici da terzi, permettono all imprese di beneficiare di ulteriori e superiori basi utenti User Experience grazie alla personalizzazione dei cataloghi, si traduce in incremento delle completare il pagamento (non è necessario inserire dati di pagamento più volte), incrementano ordini efficienti i processi aziendali attraverso analisi delle preferenze individuali o attributi efficienti i processi aziendali attraverso analisi degli attributi acquisiti - Capacità di chiudere la Semplicità e vendite e fidelizzazione e transazioni. acquisiti (come storico catena del valore aumenta immediatezza della clientela Sicurezza superiore acquisti o pagamenti) la qualità dei servizi offerti nell accesso, attirano garantita dal fatto che non hanno effetto sulla e immagine del brand nuovi clienti e fidelizzano siano scambiate info di riduzione dei costi gli esistenti pagamento con terze parti 3

4 come dimostrano casi di successo legati all impiego dell Identità Digitale Valore dell Identità Digitale Payment Processor, che impiega: Istant Messanger, che gestisce: Social Network, che amplia la gestione degli Carta di Credito Dati anagrafici + MSISDN attributi con: Carta prepagata Lista di contatti Dati di pagamento In grado di generare nel 2013 revenue per WhatsApp, acquistata per $19B 3, ha L Asset principale di Facebook è rappresentato $6.6B pari al 41% dei profitti di permesso a Facebook di: dai dati personali di oltre 1Bln di utenti ($7,8Bln 6 ebay 1,facendosi riconoscere fee del 2,9% Acquisire agevolmente una base utenti di valore nel 2013). Nel 2015 saranno ¼ della massimo per ogni transazione completata 2 rilevante (600Mln 4 utenti attivi, con il più popolazione mondiale Previsto nel 2015, lo spin-off da e-bay per alto rate di crescita nella storia 5 ) FB ha avviato nel 2013 il pilot di FacebookID per uno sviluppo maggiore del mercato di Mantenere rilevanza e capacità di guidare i semplificare gli acquisti mobile gestendo i dati di Paypal, verso altri merchant 1 trend Social e Mobile, acquisendo il nuovo pagamento per terzi, dimostrando interesse nel Facebook 35 divenire gateway per attività di pagamento Asset Strategico abilitante Asset chiave per attirare nuovi clienti, migliorare l order engagement e conversion Valore economico Attributi qualificanti per personalizzare l esperienza e profilare gli utenti efficacemente hanno un controvalore Fonte: 1) Forbes 2) Paypal 3) Forbes;; 4) Tweet del CEO di WhatsApp;; 5) Business Insiders;; 6) Facebook;; Elaborazione eseguita da Intellium 4

5 Centralizzare la gestione dell Identità porta grandi benefici all utente ESEMPLICATIVO Gestione di più Identità Gestione unica dell Identità Service Provider 1 Service Provider 1 Service Provider 2 Identity & Attribute Service Provider 2 Cliente/Citta dino Cliente/Citta dino Provider Service Provider 3 Service Provider 3 Limiti: Benefici: Bassa User Experience per l utente, che deve: Elevata User Experience: Creare una nuova identità per ogni nuovo servizio L utente crea e gestisce la sua identità in unico punto, Aggiornare tutte le identità se cambia un attributo (ad riducendo l impegno e ottimizzando i tempi esempio indirizzo) Si semplifica la memorizzazione delle credenziali, che si Ricordare differenti credenziali per ogni servizio traduce nella possibilità di utilizzarne di più complesse Bassa garanzia di efficacia nella gestione della sicurezza Garanzia di efficacia nella gestione della sicurezza e e privacy, perché demandata a ciascun Service Provider e privacy perché amministrata e controllata centralmente limitata garanzia di adozione di controlli omogenei Elevata integrazione tra servizi: possibilità di fruire in Limitata offerta di servizi integrati maniera semplice di ulteriori servizi come sistemi di pagamento, spedizione, 5

6 e alle imprese, sia riducendo i costi, che permettendo di offrire nuovi servizi e nuove funzionalità Gestione unica dell Identità I benefici per le imprese e la PA Che cosa comporta? Che benefici ne conseguono? L imprese e le PA possono delegare sia l implementazione che l operatività dei processi di gestione dell Identità Digitale, quali ad esempio: Verifica e registrazione dell utente Consegna e gestione degli strumenti di autenticazione Raccolta e trattamento degli attributi Offrire la possibilità di esercitare la manleva nei confronti dell Identity Provider, consentendo il trasferimento del rischio nei confronti di un terzo Avvalersi di servizi a valore aggiunto integrati quali: Servizi di pagamento (One Click to Purchase) Servizi di riscossione per le PA Spedizione Marketing Disporre al tempo zero di una base utenti più ampia Migliorare la User-Experience semplificando i processi o personalizzando i servizi/prodotti offerti si traduce in: Fidelizzazione degli utenti Incentivo per l acquisizione di nuovi utenti Incremento degli ordini e/o transazioni Avvalersi di servizi a valore si traduce in più ordini, migliore pervasività dell offerta Ridurre i costi Associati alle transazioni Per avvio e gestione di nuovi servizi Ridurre i rischi delegando formalmente ed operativamente la gestione dei controlli di sicurezza e privacy a soggetti qualificati e competenti 6

7 Perché SPID? 75% degli utenti Internet non vorrebbe creare nuovi account per accedere ad un sito 54% degli utenti abbandona un sito o non ritorna se viene richiesta la creazione di una nuova password Oltre l 80% degli utenti scelgono come password la stessa utilizzata per la posta elettronica In caso di compromissione di una password, lo sforzo richiesto per cambiare la password su tutti i servizi online è estremamente oneroso La quasi totalità dei Servizi Web utilizza l indirizzo di Posta Elettronica come username L indirizzo di Posta Elettronica è il sistema più utilizzato per la verifica di identità online, principalmente per consentire di avere un sistema per comunicare con il titolare e per disporre di una modalità di ripristino delle credenziali (cambio password). Privacy: l accesso ai servizi online spesso richiede più Informazioni Personali (PII) di quanto sia realmente necessario, creando archivi potenzialmente esposti a data breach Gli utenti hanno pochi mezzi per poter controllare la loro identità. Facebook sempre più utilizzato come sistema di Single Sign-On. Ogni giorno account facebook sono violati (Fonte floridatechonline.com) Fonte: Rapporto NSTIC e GCSEC 7

8 I Benefici di un Sistema Pubblico di Identità Digitale L Istituzione di un Sistema Pubblico di Identità consentirà di disporre di Identità Digitali sicure (Trusted Identities) La diffusione di Identità Digitali sicure porterà una serie di benefici ai cittadini e agli erogatori di servizi pubblici e privati: Aumentare la fiducia dei cittadini nei servizi online e nei pagamenti digitali Contrastare I fenomeni di crimine informatico e in particolare di furto d identità Limitare la creazione di archivi con informazioni personali Abilitare a nuovi tipi di transazioni online Facilitare la vita degli utenti, consentendo un accesso più rapido e servizi di pagamento/ordine/disposizione 8

9 10 -bis. Ai fini del presente articolo, ferme restando le specifiche disposizioni legislative in materia, sono considerati carte valori i pro- Con il DL 69 del 21/6/2013, protezione art. dei 17-ter dati personali, sono viene definite le caratteristiche del sistema SPID, anche con istituito il Servizio dotti, individuati con decreto di natura non regolamentare del Ministro riferimento: dell economia e delle finanze, aventi almeno uno dei seguenti requisiti: Pubblico a) sono destinati ad di attestare Identità il rilascio, da parte dello Digitale Stato o di altre pubbliche amministrazioni, di autorizzazioni, certificazioni, di Cittadini e Imprese abi- sistema; litazioni, documenti di identità e riconoscimento, ricevute di introiti, ovvero ad assumere un valore fiduciario e di tutela della fede pubblica in seguito alla loro emissione o alle scritturazioni su di essi effettuate; dell economia e delle fi nanze, sentito il Garante per la a) al modello architetturale e organizzativo del b) alle modalità e ai requisiti necessari per l accreditamento dei gestori dell identità digitale; b) sono realizzati con tecniche di sicurezza o con impiego di carte fi ligranate o similari o di altri materiali di sicurezza ovvero con elementi o sistemi magnetici ed elettronici in grado, unitamente alle relative infrastrutture, di assicurare un idonea protezione dalle contraffazioni e dalle falsificazioni. c) agli standard tecnologici e alle soluzioni tecniche e organizzative da adottare anche al fi ne di garantire l interoperabilità delle credenziali e degli strumenti di accesso resi disponibili dai gestori dell identità digitale nei riguardi di cittadini e imprese, compresi gli strumenti A r t ter Sistema pubblico per la gestione dell identità digitale di cittadini e imprese di cui al comma 1; L Art. 17-ter emenda l art. 2 comma 2 del CAD d) alle modalità di adesione da parte di cittadini e imprese in qualità di utenti di servizi in rete; (DL 7/3/2005 n. 82), aggiungendo 5 nuovi commi e) ai tempi e alle modalità di adozione da parte delle 1. Al comma 2 dell articolo 64 del codice dell amministrazione digitale, di cui al decreto legislativo 7 marzo 2005, n. 82, e successive modifi cazioni, dopo il primo periodo è inserito il seguente: «Con l istituzione del sistema SPID di cui al comma 2- b i s, le pubbliche amministrazioni possono consentire l accesso in rete ai propri servizi solo mediante gli strumenti di cui al comma 1, ovvero mediante servizi offerti dal medesimo sistema SPID». 2. Dopo il comma 2 dell articolo 64 del codice di cui al decreto legislativo 7 marzo 2005, n. 82, come da ultimo modifi cato dal presente articolo, sono aggiunti i seguenti: «2-bis. Per favorire la diffusione di servizi in rete e agevolare l accesso agli stessi da parte di cittadini e imprese, anche in mobilità, è istituito, a cura dell Agenzia per l Italia digitale, il sistema pubblico per la gestione dell identità digitale di cittadini e imprese (SPID). pubbliche amministrazioni in qualità di erogatori di servizi in rete; Diventa obbligatorio l uso di SPID per l accesso ai f) alle modalità servizi di adesione della da parte PA delle imprese interessate in qualità di erogatori di servizi in rete». 3. Il sistema pubblico per la gestione dell identità digitale di cittadini e imprese (SPID) è realizzato utilizzando le risorse finanziarie già stanziate a legislazione vigente per l Agenzia per l Italia digitale, senza nuovi o maggiori oneri a carico della finanza pubblica. Riferimenti normativi: L avviamento dello SPID è a cura dell AgID Primo provvedimento di attuazione previsto dall'articolo 64, comma 2-sexies del D.lgs. 7 - si riporta l articolo 64 del decreto legislativo 7 marzo 2005, n. 82, recante Codice dell amministrazione digitale, pubblicato nella Gazz. Uff. 16 maggio 2005, n. 112, S.O., come modificato dalla presente legge: marzo 2005, n. 82 (Codice dell'amministrazione Art. 64 (Modalità di accesso ai servizi erogati in rete dalle pubbliche amministrazioni) Digitale) è il decreto della Presidenza del Consiglio dei Ministri 24 ottobre 2014, pubblicato 1. La carta d identità elettronica e la carta nazionale dei servizi costituiscono strumenti per l accesso ai servizi erogati in rete dalle 2 -ter. Il sistema SPID è costituito come insieme aperto di soggetti pubblici e privati che, previo accreditamento da parte dell Agenzia per l Italia digitale, secondo modalità defi nite con il decreto di cui al comma 2 -sexies, gestiscono i servizi di registrazione e di messa a disposizione delle credenziali e degli strumenti di accesso in rete nei riguardi di cittadini e imprese per conto delle pubbliche amministrazioni, in qualità di erogatori di servizi in rete, ovvero, direttamente, su richiesta degli interessati. pubbliche amministrazioni per i quali sia necessaria l identificazione informatica. sulla Gazzetta Ufficiale n. 285 del 9 dicembre 2. Le pubbliche amministrazioni 2014) possono consentire l accesso ai servizi in rete da esse erogati che richiedono l identificazione informatica anche con strumenti diversi dalla carta d identità elettronica e dalla carta nazionale dei servizi, purché tali strumenti consentano l individuazione del soggetto che richiede il servizio. Con l istituzione del sistema SPID di cui al comma 2 -bis, le pubbliche amministrazioni possono consentire l accesso in rete ai propri servizi solo mediante gli strumenti di cui al comma 1, ovvero mediante servizi offerti dal medesimo sistema SPID. L accesso con carta d identità elettronica e carta nazionale dei servizi è comunque consentito indipendentemente dalle modalità di accesso predisposte dalle singole amministrazioni. 2 -quater. Il sistema SPID è adottato dalle pubbliche amministrazioni nei tempi e secondo le modalità defi niti con il decreto di cui al comma 2 -sexies. 2 -quinquies. Ai fi ni dell erogazione dei propri servizi 2 -bis. Per favorire la diffusione di servizi in rete e agevolare l accesso agli stessi da parte di cittadini e imprese, anche in mobilità, è istituito, a cura dell Agenzia per l Italia digitale, il sistema pubblico per la gestione dell identità digitale di cittadini e imprese (SPID). 9

10 Gli attori coinvolti Titolare dell Identità Digitale: è la persona che accede ai servizi digitali erogati da un Fornitore di Servizi, tramite una Identità Digitale Fornitore di Servizi: è il soggetto privato o la pubblica amministrazione che eroga servizi via Internet per cui è richiesta una identificazione e autenticazione degli utenti Gestore dell Identità Digitale: la persona giuridica che crea, rende disponibili e gestisce gli attributi utilizzati dall utente al fine di dimostrare la propria Identità digitale;; Gestore di attributi qualificati: enti aventi per legge l obbligo di certificare il possesso e la validità di attributi qualificati, abilitazioni professionali, poteri di rappresentanza o altri attributi. Agenzia per l Italia Digitale: emette il Regolamento Attuativo, accredita i Gestori dell identità Digitale e i Gestori di Attributi Qualificati, pubblica il registro e vigila sulle attività degli operatori. 10

11 Modalità di rilascio di una identità Digitale Il Cittadino si rivolge ad un Identity Provider per il rilascio di una Identità Digitale L Identity Provider, per mezzo di un proprio funzionario addetto, verifica l Identità del Richiedente e crea l Identità Digitale certificando la correttezza degli attributi Identificativi obbligaori Viene creato il primo set di credenziali, che vengono consegnate direttamente e in modo sicuro al Titolare. Nel caso in cui il richiedente sia già in possesso di un documento elettronico (es. CIE, CNS, Carta di Firma), il rilascio di una identità Digitale potrà avvenire direttamente online e la credenziale del documento elettronico sarà abilitata come credenziale SPID. Il rilascio online potrà avvenire anche nel caso in cui il titolare sia già in possesso di una Identità SPID valida. 11

12 I livelli di Sicurezza A differenza di altri progetti Europei, SPID prevede un unico livello di verifica secondo i requisiti più alti (verifica de visu) SPID prevede 3 livelli di sicurezza associati alla robustezza del sistema di credenziali per l autenticazione, corrispondenti ai Livelli 2, 3 e 4 dello Standard ISO/IEC DIS Livello 2: Sistemi di autenticazione ad 1 fattore (ad esempio Password) Livello 3: Sistemi di autenticazione a 2 fattori (ad esempio One Time Password) Livello 4: Sistemi di autenticazione a 2 fattori con l obbligo di utilizzo di dispositivi hardware anti compromissione per la creazione e la conservazione delle chiavi segrete (ad esempio Smart Card o analoghi) In pubblica amministrazione sono consentiti esclusivamente i Livelli 3 e 4 12

13 Architettura del Sistema Le interazioni Fondamentali 1 1: L Utente richiede l accesso ad un Servizio, fornendo il proprio identificativo e Fornitore di presentando una credenziale valida Servizio 8 2: Il fornitore di Servizio interroga il registro Utente 2 degli Identity Provider e Attribute Provider presso AgID 3 3. AgID restituisce copia del registro 4. Il Fornitore di servizio inoltra la richiesta di autenticazione all Identity Provider corretto L identity provider, nel caso in cui l utente disponga del corretto livello di credenziale, ne verifica la corrispondenza, fornendo al fornitore di servizio l asserzione di identità e gli eventuali attributi richiesti. 6. (opzionale) Il Fornitore di servizio invia la richiesta di attributi all Attribute Provider 7. (opzionale) L Attribute Provider fornisce al fornitore di servizio gli attributi richiesti 8. L utente autenticato viene autorizzato ad Identity Provider 1 Attribute Provider 1 accedere al servizio o alla funzione richiesta 13