MANUALE D USO DEL SERVIZIO DI FIRMA DIGITALE

Transcript

1 Servizi per l e-government nell università Federico II MANUALE D USO DEL SERVIZIO DI FIRMA DIGITALE A cura di: Clelia Baldo, Carla Camerlingo, Gianluca Vuolo firma.digitale@unina.it FirmaDigitale_manuale_uso_v1.doc

2 ELENCO DEI CONTENUTI I PARTE CONCETTI GENERALI PREMESSA L E-GOVERNMENT ED IL SISTEMA PRAXIS LA NORMATIVA IN MATERIA DI FIRMA DIGITALE IL CERTIFICATO QUALIFICATO IL PROCESSO DI FIRMA IL SERVIZIO DI FIRMA DIGITALE NELL UNIVERSITÀ FEDERICO II II PARTE LE MODALITA OPERATIVE INSTALLAZIONE SOFTWARE INSTALLAZIONE DEL DISPOSITIVO DI FIRMA LETTURA DI DOCUMENTI FIRMATI DIGITALMENTE GENERAZIONE DI DOCUMENTI FIRMATI DIGITALMENTE SOSPENSIONE E REVOCA DELLA FIRMA DIGITALE ALLEGATO A IL REGOLAMENTO DI ATENEO IN MATERIA DI FIRMA DIGITALE ELENCO DELLE FIGURE Figura 1 Gli strumenti per l e-government... 5 Figura 2 Le tipologie di firme informatiche... 6 Figura 3 Il Processo di Firma Digitale... 9 Figura 4 Il processo di verifica della Firma Digitale Figura 6 L organizzazione in Federico II del Servizio di firma digitale FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 2 DI 35

3 I PARTE CONCETTI GENERALI FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 3 DI 35

4 1. PREMESSA Nell ambito del processo di e-government, avviato negli ultimi anni nella pubblica amministrazione, un importante traguardo è segnato dalla firma digitale, che consente di sottoscrivere documenti informatici assicurando loro lo stesso valore giuridico di documenti sottoscritti con firma autografa. Il presente manuale persegue l obiettivo prioritario di fornire le indicazioni operative per l utilizzo del servizio di firma digitale nell ambito dell università Federico II; a tal fine, appare indispensabile offrire preliminarmente una panoramica generale della normativa in materia, con riferimento sia all ordinamento giuridico generale sia alle disposizioni normative ed organizzative vigenti nell Ateneo. 2. L E-GOVERNMENT ED IL SISTEMA PRAXIS Con il termine e-government si definiscono le innovazioni di servizio e di processo realizzate dalle Pubbliche Amministrazioni mediante l'utilizzo di Tecnologie dell Informazione e della Comunicazione (ICT). Le politiche di e-government promuovono la cultura dell innovazione per conseguire i seguenti risultati: l ottimizzazione delle attività interne alla PA; il miglioramento degli strumenti tradizionali nel rapporto tra le PA e tra i cittadini e le PA; la trasparenza dell azione amministrativa; il potenziamento dei supporti conoscitivi per le decisioni pubbliche; il contenimento dei costi dell azione amministrativa. Il sistema PRAXIS è l insieme delle soluzioni tecnico-organizzative per l e-government dell Ateneo, in linea con la normativa vigente in materia di Amministrazione digitale, e si basa principalmente sull utilizzo e sull integrazione dei seguenti strumenti informatici: La Firma Digitale, La Posta Elettronica (PE), La Posta Elettronica Certificata (PEC), Il Protocollo Informatico e la Gestione dell Iter Documentale. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 4 DI 35

5 Protocollo Informatico Posta Elettronica Certificata Firma Digitale Posta Elettronica Figura 1 Gli strumenti per l e-government 3. LA NORMATIVA IN MATERIA DI FIRMA DIGITALE Nell'ordinamento giuridico italiano il primo atto normativo che ha stabilito la validità della firma digitale per la sottoscrizione dei documenti elettronici è stato il DPR n. 513 del 1997, emanato in attuazione dell'articolo 15 della legge 15 marzo 1997, n. 59 (legge Bassanini), a norma del quale "gli atti, dati e documenti formati dalla Pubblica amministrazione e dai privati con strumenti informatici o telematici, i contratti stipulati nelle medesime forme, nonché la loro archiviazione e trasmissione con strumenti informatici, sono validi e rilevanti a tutti gli effetti di legge". Successivamente, tale normativa è stata trasposta nel DPR n. 445 del 2000, recante il Testo Unico sulla documentazione amministrativa, più volte modificato per conformare la disciplina italiana alla normativa comunitaria contenuta nella Direttiva 99/93 in materia di firme elettroniche. Oggi, la normativa in materia di firma digitale è contenuta nel D.Lgs. 7 marzo 2005, n. 82, recante il "Codice dell'amministrazione digitale" (nel prosieguo del documento denominato Codice ), così come modificato dal D.Lgs. 4 aprile 2006, n. 159, dalla cui entrata in vigore (il 1 Gennaio 2006) scaturisce un insieme di nuovi adempimenti per le PA basati sull utilizzo e l integrazione delle tecnologie dell ICT al fine di innovare, semplificare e snellire i servizi ed i procedimenti amministrativi. L obiettivo del Codice è, da un lato consentire al cittadino di interagire in modo più rapido ed efficiente attraverso internet, Posta Elettronica, reti, dall altra, fare in modo che le PA si organizzino per gestire e rendere disponibili tutte le informazioni in modalità digitale. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 5 DI 35

6 Sono dunque introdotti e definiti giuridicamente nuovi diritti per cittadini ed imprese (come, ad esempio, il diritto all accesso di documenti informatici) e sono indicati nuovi strumenti informatici, di cui è consolidata la validità giuridica. Nel Codice, inoltre, sono definite le regole tecniche per la sottoscrizione, la trasmissione e la conservazione di documenti informatici, definiti come la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti. Le Pubbliche Amministrazioni sono state chiamate, quindi, a dotarsi di opportune infrastrutture organizzative, informatiche e tecnologiche per adeguarsi alle novità normative, gestendo, in modo graduale ma deciso, la progressiva dematerializzazione dei documenti cartacei e la gestione dei documenti informatici, al fine di rendere più efficiente e trasparente l azione amministrativa. In particolare, per quanto concerne la sottoscrizione dei documenti informatici, l'articolo 1 del Codice distingue i concetti di "firma elettronica", "firma elettronica qualificata" e "firma digitale": LE FIRME INFORMATICHE (D.Lgs. 82/2005, art. 1) Firma elettronica (D.Lgs. 82/2005, art. 1.1, lettera q Firma elettronica qualificata (D.Lgs. 82/2005, art. 1.1, lettera r ) Firma digitale (D.Lgs. 82/2005, art. 1.1, lettera s l'insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di autenticazione informatica. la firma elettronica ottenuta attraverso una procedura informatica che garantisce la connessione univoca al firmatario e la sua univoca autenticazione informatica, creata con mezzi sui quali il firmatario può conservare un controllo esclusivo e collegata ai dati ai quali si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati, che sia basata su un certificato qualificato. un particolare tipo di firma elettronica qualificata basata su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico. Figura 2 Le tipologie di firme informatiche La firma digitale è lo strumento 1 per la sottoscrizione dei documenti informatici di valore e validità giuridica. L art. 20 del Codice infatti afferma che il documento informatico sottoscritto con firma digitale soddisfa il requisito legale della forma scritta mentre, per quanto riguarda l efficacia probatoria del documento 1 Insieme con la firma elettronica qualificata, di cui la firma digitale è una specie particolare. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 6 DI 35

7 informatico sottoscritto, l art. 21 del Codice stabilisce che il documento informatico sottoscritto con firma digitale 1 ha l efficacia prevista dall art del codice civile e che, inoltre, l utilizzo del dispositivo di firma si assume riconducibile al titolare del certificato, salvo che questi dia la prova contraria. In questo modo, quindi, il Codice conferisce alla firma digitale 1 efficacia probatoria maggiore di quella della firma autografa. Il documento sottoscritto con la firma digitale 1 presenta ha quindi le seguenti caratteristiche: - dal punto di vista del valore legale, soddisfa il requisito della forma scritta; - garantisce l autenticità del documento informatico, in quanto viene resa certa l'identità del sottoscrittore; - assicura l integrità del documento sottoscritto, cioè la sicurezza che il documento informatico non sia stato manomesso dopo la sua sottoscrizione; - garantisce il non ripudio della firma, in quanto l utilizzo del dispositivo di firma digitale si presume riconducibile al titolare del dispositivo stesso. 4. IL CERTIFICATO QUALIFICATO Per generare una firma digitale è necessario utilizzare una coppia di chiavi digitali asimmetriche, attribuite in maniera univoca ad un soggetto detto titolare: una chiave privata, conosciuta solo dal titolare, è utilizzata per generare la firma digitale da apporre al documento; una seconda chiave, da rendere pubblica, viene utilizzata per verificare l autenticità della firma. La chiave pubblica, insieme ai dati necessari per identificare il sottoscrittore della firma elettronica qualificata o digitale, è contenuta nel certificato qualificato. Tale attestato elettronico è rilasciato da certificatori qualificati, cioè soggetti che prestano servizi di certificazione delle firme elettroniche e che: a) dimostrano adeguata affidabilità organizzativa, tecnica e finanziaria; b) utilizzano, per l erogazione del servizio, personale con le necessarie competenze e conoscenze; c) applicano procedure e metodi amministrativi e di gestione adeguati; d) utilizzano sistemi di firma tecnologicamente sicuri; e) sono in grado di proteggere i certificati da rischi di contraffazione, nonché di utilizzare idonee contromisure per garantire la riservatezza e l integrità delle chiavi private generate. I certificatori qualificati in possesso dei requisiti del livello più elevato, in termini di qualità e sicurezza, chiedono di essere accreditati presso il CNIPA. Il documento informatico sottoscritto con firma digitale è imbustato nel formato originale, senza aggiunte in testa o in coda al formato stesso. Il nome del file firmato, ossia della busta, assume l ulteriore estensione «p7m» ed aggrega al suo interno: il documento informatico nel formato originale, la firma elettronica qualificata o digitale ad esso associata, FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 7 DI 35

8 il certificato qualificato del sottoscrittore. Come si è detto, l utilizzo della firma digitale presuppone il rilascio, da parte del certificatore, di un dispositivo sicuro di firma (una smart card) contenente la chiave privata ed il certificato qualificato che riporta informazioni riguardanti: l'identità del titolare, la chiave pubblica attribuitagli al momento del rilascio, il periodo di validità del certificato stesso oltre ai dati del certificatore. Il certificato qualificato di un titolare, una volta entrato a far parte dell'elenco pubblico dei certificati tenuto dal certificatore, garantisce la corrispondenza tra la chiave pubblica e l'identità del titolare. Le principali attività del certificatore sono le seguenti: verificare ed attestare l identità del richiedente; stabilire il termine di scadenza dei certificati, ed il periodo di validità delle chiavi in funzione della loro "robustezza " e degli usi per i quali sono impiegate; emettere e pubblicare il certificato, in un archivio pubblico gestito dallo stesso certificatore; revocare o sospendere i certificati. Il certificatore gestisce, quindi, l intero ciclo di vita del certificato, dal rilascio alla sospensione temporanea della validità e alla revoca definitiva. 5. IL PROCESSO DI FIRMA Di seguito, in dettaglio, i passi che costituiscono il processo di firma e quello, successivo, di verifica di validità di un documento informatico sottoscritto con firma digitale: FIRMA 1. Calcolare il valore dell impronta del messaggio (detto hash) applicando un algoritmo di cifratura sull intero contenuto; 2. Cifrare il valore di hash con la chiave privata del mittente (ovvero apporre la firma digitale); 3. Aggiungere al messaggio originale la firma digitale e creare la busta crittografica p7m con l aggiunta del certificato qualificato del sottoscrittore. VERIFICA 1. Separare dal messaggio ricevuto la firma digitale; 2. Decifrare la firma digitale con la chiave pubblica del mittente ottenendo così il valore di hash ricevuto; 3. Applicare lo stesso algoritmo di cifratura utilizzato per il calcolo dell impronta sull intero contenuto del messaggio ricevuto ottenendo così il valore di hash calcolato; 4. Confrontare il valore di hash ricevuto con quello calcolato; FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 8 DI 35

9 5. Se sono identici, la verifica ha avuto esito positivo, altrimenti l esito è da considerare negativo ed il messaggio deve essere rifiutato. Con l ultimo passo in realtà, oltre al mittente si verifica anche l integrità del messaggio. E bene notare che il processo di verifica della firma è preceduto da quello di controllo di validità del certificato del sottoscrittore. Un certificato qualificato si può ritenere valido se sono eseguiti e superati i seguenti controlli: o La validità della firma digitale del certificatore che ha emesso il certificato; o La data di scadenza,presente all interno del certificato, della validità del certificato stesso; o La non presenza del certificato nella lista dei certificati revocati/scaduti (CRL/CSL), emessa ed aggiornata dal certificatore. Il superamento di tali controlli è prerequisito perché siano eseguiti i successivi controlli di autenticità e di integrità del messaggio precedentemente descritti. Documento origine Chiave privata mittente Hash Encrypted Hash Documento firmato Figura 3 Il Processo di Firma Digitale FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 9 DI 35

10 Hash crittografato Chiave pubblica mittente Documento firmato Hash calcolato Hash decrittografato Figura 4 Il processo di verifica della Firma Digitale Il meccanismo della firma digitale, dal punto di vista della sicurezza, assicura quindi: L identificazione e l autenticazione di chi ha firmato i dati (il documento); L integrità dei dati, rilevando eventuali manomissioni sia accidentali che dolose; Il non ripudio relativo alla sottoscrizione del documento informatico da parte del sottoscrittore. Occorre notare che la firma digitale non è l equivalente elettronico della firma autografa, per cui, contrariamente alla nozione di firma manuale, la firma digitale varia per ogni documento firmato. 6. IL SERVIZIO DI FIRMA DIGITALE NELL UNIVERSITÀ FEDERICO II Nel rispetto del quadro normativo nazionale e comunitario, l Università Federico II ha disciplinato le modalità di gestione e di utilizzo della firma digitale con D.R. n del , recante il Regolamento di Ateneo in materia di firma digitale, riportato in allegato al presente Manuale. Per il rilascio dei certificati qualificati l Ateneo ha stipulato con IT Telecom s.r.l., certificatore accreditato, un Contratto di fornitura del servizio di Certificazione della Firma Digitale; la IT Telecom s.r.l. provvede dunque al rilascio, alla pubblicazione e alla tenuta del certificato ed ha i compiti e le responsabilità di cui all art. 5 del Regolamento di Ateneo in materia di firma digitale. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 10 DI 35

11 Nell erogazione del servizio il certificatore è affiancato dagli Incaricati_firma, responsabili ai sensi del citato Regolamento - delle procedure per l identificazione dei richiedenti, l attivazione delle procedure di emissione, di revoca o di sospensione dei certificati e la consegna di dispositivi e codici per l utilizzo del servizio di firma digitale. ATENEO (Rettore/D.A.) Incaricati firma (RA Ateneo) Certificatore UNINA (Terzo interessato) Titolari Sospensione/Revoca Figura 5 L organizzazione in Federico II del Servizio di firma digitale In particolare, gli Incaricati_firma, per conto del Ateneo, provvedono a: a. gestire e aggiornare gli elenchi dei titolari di certificato, b. svolgere l attività istruttoria interna necessaria affinché il Certificatore soddisfi le richieste di assegnazione, di revoca o di sospensione dei certificati, comprensiva degli adempimenti, per conto dell Ateneo, per la tutela dei dati personali dei titolari dei certificati, ai sensi del D.Lgs. 196/2003; c. fornire istruzioni ai titolari sul corretto utilizzo del servizio di firma digitale. Gli incaricati_firma sono, inoltre, formalmente delegati dal certificatore a svolgere i seguenti adempimenti: a. identificare le persone fisiche all atto della registrazione, in ottemperanza a quanto disposto dalla normativa vigente in materia di tutela dei dati personali; b. consegnare a ciascun titolare il dispositivo sicuro di firma ed i codici riservati. In fase di prima applicazione del suddetto regolamento, i certificati da utilizzare per la sottoscrizione in forma elettronica dei documenti informatici sono assegnati ai responsabili delle strutture di Ateneo con autonomia economico-gestionale (Poli, Facoltà, Dipartimenti, Centri di Servizio, di Ricerca e di Ateneo, etc.), nonché ai Dirigenti e ad alcuni funzionari (individuati dal Direttore Amministrativo) dell Amministrazione Centrale. Su iniziativa del certificatore, del titolare oppure dell Ateneo può intervenire la revoca di un certificato, che determina la cessazione anticipata della sua validità. Le chiavi private dei titolari e certificati qualificati rilasciati per conto dell Ateneo sono contenute su carte elettroniche (tipo SIM) integrate in un lettore USB da collegare direttamente al proprio PC, previa FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 11 DI 35

12 l esecuzione di un appropriata procedura di installazione e di configurazione del dispositivo, così come illustrato nella seconda parte del presente manuale. La richiesta di revoca da parte dell Ateneo, quale terzo interessato, costituisce atto dovuto nelle ipotesi elencate nell art. 8 del Regolamento. La sospensione deve essere richiesta dall Ateneo, quale terzo interessato, al certificatore tutte le volte che ricorra almeno una delle seguenti cause: - richiesta di revoca da parte degli interessati motivata dalla possibile, ma non certa, compromissione della chiave privata; - sospetta perdita di segretezza del codice di sblocco del dispositivo sicuro di firma; - qualunque causa che determini il temporaneo venir meno di uno o più requisiti che ne motivavano l assegnazione, ivi compresa la sospensione dal servizio del dipendente che ne è titolare. La sospensione temporanea o la revoca di un certificato, oltre che su richiesta dell Ateneo, può determinarsi per iniziativa del certificatore, oppure del titolare. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 12 DI 35

13 II PARTE LE MODALITA OPERATIVE FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 13 DI 35

14 1. INSTALLAZIONE SOFTWARE L installazione di DigitalSign, si avvia automaticamente lanciando il relativo programma che si trova sul CD ROM fornito nel kit. Cliccando due volte sull icona di Setup verrà avviato il programma di installazione. Per completare tale processo, bisogna seguire le istruzioni descritte di seguito: La figura indica che il programma di installazione è avviato. Selezionando il comando avanti il programma passa alla fase successiva dell installazione. La Figura mostra il contratto di licenza del software DigitalSign 3.0, selezionando l opzione Accetto il programma abilita il comando avanti per poter proseguire nell installazione. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 14 DI 35

15 La Maschera successiva richiede all utente le informazioni relative al Nome e alla Società. Una volta inserite le informazioni bisogna selezionare il comando avanti. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 15 DI 35

16 Il passo successivo richiede all utente di specificare la cartella di destinazione del software come mostrato in figura (è consigliabile confermare quella suggerita dal prodotto). Una volta selezionata la destinazione bisogna selezionare il comando avanti. Il passo successivo richiede la selezione dei componenti da installare, l installazione da richiedere è quella di tipo full, completa di tutti i suoi componenti. Selezionata la tipologia di installazione bisogna selezionare il comando avanti. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 16 DI 35

17 Il passo successivo richiede la destinazione del Software nel Menù di avvio di Windows. Selezionata la destinazione bisogna selezionare il comando avanti (anche in questo caso è consigliabile confermare quella suggerita dal prodotto). Il passo successivo richiede se creare un collegamento al programma DigitalSign sul Desktop di Windows. Selezionata l opzione bisogna selezionare il comando avanti. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 17 DI 35

18 Infine verrà mostrata una finestra di dialogo riepilogativa di tutte le opzioni selezionate. Quindi selezionando il comando Installa inizierà il processo di installazione del software DigitalSign 3.0. Alla fine del processo di installazione verrà mostrata una finestra di dialogo, come mostrato in figura, che indica la corretta installazione del Software FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 18 DI 35

19 2. INSTALLAZIONE DEL DISPOSITIVO DI FIRMA FASE 1 L installazione del Dispositivo di Firma, si effettua in due passi: Inserendo il CD-ROM nel personal computer inserendo Pen-Drive nell alloggio USB dopo aver effettuato i due passi sopra descritti, all utente verrà presentata la seguente maschera di dialogo. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 19 DI 35

20 Selezionando la seconda opzione e cliccando il comando Avanti, verrà quindi presentata la seguente maschera di dialogo: Selezionare la prima opzione e cliccando il comando Avanti, verrà quindi presentata la seguente maschera di dialogo: FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 20 DI 35

21 Una volta terminata la ricerca del driver appropriato, all utente apparirà la seguente scelta: In questa fase l utente dovrà cliccare il comando avanti lasciando la selezione di default proposta dal programma di installazione. Di seguito viene mostrata la fase di installazione del driver selezionato. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 21 DI 35

22 Una volta finita la fase di installazione, il programma presenta la maschera di fine processo, contenente il messaggio di avvenuta installazione della nuova periferica. L utente dovrà quindi selezionare il comando fine per terminare il processo. Di seguito mostriamo la maschera appena descritta. FASE 2 Un ulteriore passo da effettuare per il funzionamento del dispositivo è il seguente: Avviare il CD-ROM (consegnato nel KIT) inserito precedentemente nel personal computer, verrà mostrata un finestra di dialogo come quella mostrata di seguito. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 22 DI 35

23 Selezionare il link contrassegnato con due Installa i software per l utilizzo della smartcard, verrà presentata una finestra contenete le informazioni per l installazione come mostrato in figura: Selezionando il link clicca qui appena sotto la descrizione -Siemens CardOS-, verrà avviato il processo di installazione dei componenti come mostrato di seguito: FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 23 DI 35

24 Selezionando il comando Esegui automaticamente verrà avviata l installazione del software. Al termine dell installazione sarà necessario eseguire un riavvio del computer. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 24 DI 35

25 3. LETTURA DI DOCUMENTI FIRMATI DIGITALMENTE Una volta completata con successo l installazione, si può quindi passare all applicazione pratica dei concetti. Prima di procedere con le operazioni disponibili su DigitalSign, è bene ricordare che per poter firmare digitalmente un documento è necessario disporre di un dispositivo di firma correttamente personalizzato e di un lettore di dispositivi di firma correttamente installato. Un ulteriore prerequisito, per il corretto funzionamento della firma digitale è l utilizzo di documenti in formato PDF. I passi da compiere per poter aprire un documento firmato digitalmente sono: 1. Selezionare il comando Apri Documento contrassegnato dalla figura mostrata di seguito: 2. Selezionare il documento che si vuole aprire attraverso la finestra di dialogo mostrata in figura (il file deve avere un estensione p7m). DigitalSign gestisce ogni documento all'interno di una Finestra Documento. La finestra può contenere dettagli differenti in funzione della tipologia del documento digitale contenuto nel documento informatico, come vedremo, ma il contesto è comune a tutti i casi. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 25 DI 35

26 Nella figura sono illustrate le tre aree fondamentali: Area Viewer Area Dettagli Area PKCS#7 area viewer, nella quale viene presentato all'utente il contenuto del documento elettronico su cui si sta operando area Proprietà PKCS#7, in cui sono visualizzate, in una struttura ad albero, le informazioni contenute nel documento informatico (appunto in formato PKCS#7): firme digitali, destinatari per cifratura, certificati, marche temporali. area dettagli, in cui sono visualizzate le informazioni di dettaglio riguardanti l oggetto correntemente selezionato nell area Proprietà PKCS#7. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 26 DI 35

27 4. GENERAZIONE DI DOCUMENTI FIRMATI DIGITALMENTE Per firmare digitalmente un documento informatico bisogna effettuare i seguenti passi: Inserire il disposto nel lettore installato sul Personal computer. Avviare il Software DigitalSign. aprire il documento interessato, applicando i passi che sono stati illustrati nella Lettura di un documento firmato digitalmente. Selezionare il comando contrassegnato dalla figura seguente: Inserire nella maschera di richiesta che viene mostrata in figura, il PIN fornito con il dispositivo USB. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 27 DI 35

28 5. SOSPENSIONE E REVOCA DELLA FIRMA DIGITALE Il Certificatore utilizza in via cautelativa lo strumento della sospensione qualora una richiesta di revoca venga effettuata tramite le modalità di comunicazione telefonica, ovvero tramite il canale di comunicazione sicuro con il Certificatore. In tal caso, il certificato qualificato viene sospeso temporaneamente. La revoca definitiva viene effettuata solo dopo la ricezione della conferma da parte del titolare. Al di fuori del caso della sospensione telefonica in via cautelativa, preventiva alla conferma per iscritto della revoca, la sospensione del certificato può essere effettuata anche nei casi e dai soggetti seguenti: su richiesta del Titolare (art. 23 del DPCM 2004); su richiesta dell Incaricato dell Identificazione e della consegna dei dispositivi di firma; su richiesta del terzo interessato (art. 24 del DPCM 2004); su iniziativa del certificatore. La sospensione/revoca da parte del Titolare può essere richiesta con le modalità seguenti: per iscritto, tramite fax inviato al Centro Servizi di IT Telecom (riportato nel sito: il canale web sicuro messo a disposizione da IT Telecom, utilizzando le credenziali (userid/password); chiamando il numero verde (riportato nel sito: IT Telecom effettua la sospensione non appena riceve la richiesta. La sospensione ha effetto dalla pubblicazione della relativa CSL (Certificate Suspension List). Nei casi di sospensione telefonica o via web, la richiesta deve essere confermata per iscritto tramite fax inviato dal Titolare al Centro Servizi IT Telecom (riportato nel sito: FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 28 DI 35

29 Allegato A Il Regolamento di Ateneo in materia di firma digitale 1 Oggetto e finalità del Regolamento 1. Il presente regolamento disciplina le modalità di gestione e di utilizzo della firma digitale nell'ambito della Università degli Studi di Napoli Federico II - da questo punto in avanti denominata Ateneo - nel rispetto del quadro normativo stabilito dalle seguenti fonti legislative: Direttiva 13 dicembre 1999 n. 1999/93/CE; D.P.R 28 dicembre 2000, n. 445; D. Lgs. 7 marzo 2005, n. 82 e successive modifiche, di seguito denominato Codice. 2. Le norme che seguono definiscono: l organizzazione interna del servizio di assegnazione, sospensione e revoca dei certificati da utilizzare per la sottoscrizione in forma elettronica dei documenti informatici di cui al successivo art. 2. le regole e l ambito di applicabilità della sottoscrizione dei documenti informatici con firma digitale. 2 Documenti informatici e firma digitale 1. L Ateneo, in linea con la normativa vigente e con gli indirizzi strategici in materia di e-government, avvalendosi delle proprie infrastrutture tecnico-organizzative per la informatizzazione dei processi amministrativi e per il miglioramento dei servizi, promuove la produzione e la circolazione al suo interno e verso l esterno di documenti informatici, al fine di semplificare le procedure, riducendo i tempi e i costi dell azione amministrativa. 2. Il documento informatico sottoscritto con firma digitale, purché formato nel rispetto delle regole tecniche sancite dalla normativa vigente, soddisfa il requisito legale della forma scritta e ha valore ed efficacia probatoria, opponibile ai terzi, di piena prova della provenienza delle dichiarazioni, fino a querela di falso intentata dal sottoscrittore, ai sensi dell art. 20, comma 2 e dell art. 21, comma 2, del Codice. 3. Ai sensi dell art. 34, comma1, lettera b) del Codice, l Ateneo si avvale del servizio di firma digitale erogato da un Ente accreditato presso il CNIPA ed iscritto all elenco dei certificatori pubblici. I contratti di fornitura del servizio saranno stipulati nel rispetto della legislazione vigente in materia e delle norme del presente Regolamento. 4. Il documento informatico ricevuto da un ente o soggetto esterno o spedito dall Ateneo ad un ente o soggetto esterno, ai sensi dell art. 53, comma 5, del D.P.R. 445/2000, deve essere protocollato mediante il sistema del protocollo informatico ed includere (art. 55, comma 4, del D.P.R. 445/2000) la segnatura di protocollo che può contenere tutte le informazioni di registrazione del documento. Inoltre, se l invio è verso un altra amministrazione pubblica, il documento informatico deve essere obbligatoriamente sottoscritto con firma digitale. 5. La trasmissione dei documenti informatici sottoscritti con firma digitale deve essere eseguita mediante PEC (Posta Elettronica Certificata) in tutti i casi in cui sia necessario disporre di ricevute, opponibili ai FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 29 DI 35

30 terzi, di invio e di avvenuta consegna, oppure sia necessario scambiare informazioni e documenti con soggetti che hanno avanzato esplicita richiesta di utilizzare tale modalità. 3 Definizioni 1. In conformità con il Codice ed ai fini del presente Regolamento si intende per: a) certificato elettronico: l attestato elettronico che collega i dati utilizzati per verificare la firma elettronica all identità del titolare; b) certificato qualificato, di seguito denominato certificato : il certificato elettronico conforme ai requisiti di cui all'allegato I della direttiva 1999/93/CE, rilasciato da certificatori che rispondono ai requisiti di cui all'allegato II della medesima direttiva; c) certificatore accreditato, di seguito denominato Certificatore : il soggetto che presta servizi di certificazione delle firme elettroniche o che fornisce altri servizi connessi con queste ultime, che è in possesso dei requisiti del livello più elevato, in termini di qualità e sicurezza ed è accreditato presso il CNIPA, ai sensi dell art. 29 del Codice; d) chiave privata: l'elemento della coppia di chiavi asimmetriche, utilizzato dal soggetto titolare, mediante il quale si appone la firma digitale sul documento informatico; la chiave è custodita su un dispositivo sicuro di firma, il cui uso è possibile previa immissione di un codice di sblocco (PIN); e) chiave pubblica: l'elemento della coppia di chiavi asimmetriche destinato ad essere reso pubblico, con il quale si verifica la firma digitale apposta sul documento informatico dal titolare delle chiavi asimmetriche; l elenco delle chiavi pubbliche rilasciate e valide è pubblicato a cura del certificatore che ha emesso il certificato; f) documento informatico: la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti; g) firma elettronica: l'insieme dei dati in forma elettronica, allegati oppure connessi tramite associazione logica ad altri dati elettronici, utilizzati come metodo di identificazione informatica; h) firma elettronica qualificata: la firma elettronica ottenuta attraverso una procedura informatica che garantisce la connessione univoca al firmatario e la sua univoca autenticazione informatica, creata con mezzi sui quali il firmatario può conservare un controllo esclusivo e collegata ai dati ai quali si riferisce in modo da consentire di rilevare se i dati stessi siano stati successivamente modificati, che sia basata su un certificato qualificato e realizzata mediante un dispositivo sicuro per la creazione della firma, quale l'apparato strumentale usato per la creazione della firma elettronica; i) firma digitale: un particolare tipo di firma elettronica qualificata basata su un sistema di chiavi crittografiche, una pubblica e una privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di un documento informatico o di un insieme di documenti informatici; j) titolare: la persona fisica cui è attribuita la firma elettronica e che ha accesso ai dispositivi per la creazione della firma elettronica; k) validazione temporale: il risultato della procedura informatica con cui si attribuiscono, ad uno o più documenti informatici, una data ed un orario opponibili ai terzi. 4 Soggetti interessati 1. Agiscono nel processo di assegnazione e gestione dei dispositivi di firma digitale: a. l Ateneo che, in qualità di terzo interessato, richiede il rilascio del certificato a favore del titolare, fornisce informazioni e certificazioni per ciò che attiene alle deleghe, al ruolo e alle funzioni istituzionali dei dipendenti eventualmente da riportare sul certificato ed ha la facoltà, ai sensi dell art. 36, comma 1, lettera c) del Codice, di richiedere la sospensione o la revoca del certificato; FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 30 DI 35

31 b. Il Certificatore, nella duplice funzione di responsabile del rilascio, della pubblicazione e della tenuta del certificato, nonché di responsabile della identificazione della persona che fa richiesta della certificazione; c. Il titolare, inteso come il dipendente dell Ateneo o il soggetto al quale, per disposizione del Rettore o del Direttore Amministrativo, adottata anche in ragione del ruolo istituzionale e della funzione di cui egli è investito, sia assegnato il certificato per la firma digitale; d. Gli incaricati del servizio di firma digitale, d ora in avanti denominati incaricati_firma, individuati e nominati dal Direttore Amministrativo e responsabili, su delega del Certificatore, dell identificazione dei richiedenti, dell attivazione delle procedure di emissione, revoca o sospensione dei certificati e della consegna di dispositivi e codici per l utilizzo del servizio di firma digitale. 5 Obblighi e responsabilità del Certificatore 1. Le responsabilità del Certificatore sono sancite dall art. 30, comma 1 del Codice. 2. Nel rispetto del disposto dell art. 32, comma 3 del Codice, ai fini del presente Regolamento, sono obblighi cui impegnare il Certificatore nei contratti di fornitura quelli di seguito specificati: a. identificazione della persona a cui rilasciare il certificato, restando il Certificatore responsabile di detta identificazione anche quando effettuata materialmente da terzi, su delega del Certificatore medesimo; b. attivazione della procedura per il rilascio del certificato c. attivazione della procedura per la revoca o la sospensione del certificato; d. rilascio, pubblicazione e tenuta del certificato nel rispetto delle regole tecniche di cui all'art. 71 del Codice e nel rispetto della normativa in materia di tutela della privacy; e. conformità delle informazioni contenute nel certificato a quelle previste nell art. 28 comma 1 del Codice, ad esclusione dell uso dello pseudonimo; f. impostazione dell informazione relativa al nome dell organizzazione di cui fa parte il titolare con la denominazione Università degli Studi di Napoli Federico II ; g. accettazione delle comunicazioni riguardanti il modificarsi o il venir meno delle informazioni inserite nel certificato, ai sensi del citato art. 28 del Codice, richieste esclusivamente dall Ateneo; h. tempestiva pubblicazione della revoca e della sospensione del certificato, con riferimento ai casi di cui al successivo art. 8; i. tenuta della registrazione di tutte le informazioni relative al certificato dal momento della sua emissione per un periodo di almeno venti anni. 6 Obblighi del titolare 1.Il titolare del certificato di firma digitale è tenuto ad adottare tutte le misure organizzative e tecniche idonee ad evitare danno ad altri e ad assicurare la custodia del dispositivo di firma, che egli utilizzerà solo personalmente e per ragioni istituzionali. 2.Il titolare è tenuto ad informare immediatamente gli incaricati_firma di ogni circostanza che, ai sensi del successivo art. 8, renda necessaria o comunque opportuna la revoca o la sospensione del certificato e del dispositivo di firma a lui assegnati; deve altresì informare tempestivamente gli incaricati_firma di eventuali FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 31 DI 35

32 richieste di revoca o di sospensione che egli, per necessità o urgenza, abbia inoltrato direttamente al Certificatore. 3.Al rispetto dei suddetti obblighi e delle modalità di utilizzo della firma digitale stabilite dalla normativa vigente il titolare si impegna con dichiarazione scritta resa agli incaricati_firma, su modulo all uopo predisposto, all atto della consegna dei dispositivi di firma. 7 Compiti e responsabilità dei incaricati_firma 2. Gli incaricati_firma provvedono a: a. gestire e aggiornare gli elenchi dei titolari di certificato, b. svolgere l attività istruttoria interna necessaria affinché il Certificatore soddisfi le richieste di assegnazione, di revoca o di sospensione dei certificati, comprensiva degli adempimenti, per conto dell Ateneo, per la tutela dei dati personali dei titolari dei certificati, ai sensi del D.Lgs. 196/2003; c. fornire istruzioni ai titolari sul corretto utilizzo del servizio di firma digitale. Gli incaricati_firma sono inoltre formalmente delegati dal Certificatore a svolgere i seguenti adempimenti: c. identificare le persone fisiche all atto della registrazione, in ottemperanza a quanto disposto dalla normativa vigente in materia di tutela dei dati personali; d. consegnare a ciascun titolare il dispositivo sicuro di firma ed i codici riservati. 2. I compiti degli incaricati_firma sono descritti analiticamente nel Manuale d uso del servizio di firma digitale che la Direzione Amministrativa dell Ateneo, a seguito di stipula di contratto di fornitura di certificati, predispone di concerto con il Certificatore, in linea con il manuale di gestione del servizio dovuto dal Certificatore medesimo. In detto manuale d uso interno sono descritte nel dettaglio le modalità operative di erogazione e di fruizione del servizio di firma digitale, coerentemente con l elenco delle principali fasi procedimentali riportato nell allegato 1, che è parte integrante del presente regolamento. 3. I contratti di fornitura di certificati devono prevedere espressamente la delega dal Certificatore agli incaricati_firma. 8 Revoca e sospensione 1. La revoca di un certificato determina la cessazione anticipata della sua validità e può intervenire su iniziativa del Certificatore, del titolare oppure dell Ateneo. 2. La revoca deve essere richiesta dall Ateneo, quale terzo interessato, al Certificatore tutte le volte che ricorra almeno una delle seguenti cause: a) cessazione del rapporto di lavoro del dipendente per qualunque causa; b) venir meno, per qualunque causa, dei requisiti di ruolo, qualifica o funzioni istituzionali che ne motivavano l assegnazione; c) perdita di possesso del dispositivo sicuro di firma; d) sospetta falsificazione o abusi. 3. La sospensione di un certificato determina l interruzione temporanea della sua validità e può intervenire su iniziativa del Certificatore, del titolare oppure dell Ateneo. 4. La sospensione deve essere richiesta dall Ateneo, quale terzo interessato, al Certificatore tutte le volte che ricorra almeno una delle seguenti cause: FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 32 DI 35

33 a) richiesta di revoca da parte degli interessati motivata dalla possibile, ma non certa, compromissione della chiave privata; b) sospetta perdita di segretezza del codice di sblocco del dispositivo sicuro di firma; c) qualunque causa che determini il temporaneo venir meno di uno o più requisiti che ne motivavano l assegnazione, ivi compresa la sospensione dal servizio del dipendente che ne è titolare. 5. Ai sensi e per gli effetti dell art. 36, comma 3, del Codice, la revoca o la sospensione del certificato, qualunque ne sia la causa, hanno effetto dal momento della pubblicazione della lista, rispettivamente, dei certificati revocati o sospesi che lo contiene. Il momento della pubblicazione deve essere attestato mediante adeguato riferimento temporale. 9 L uso della sottoscrizione con firma digitale in Ateneo 1. Nell ambito delle attività didattico-scientifiche, tecniche ed amministrative dell Ateneo, i documenti da inviare all esterno o all interno dell Ateneo possono essere in forma cartacea ovvero informatica. I documenti informatici, per soddisfare il requisito legale della forma scritta, devono essere obbligatoriamente sottoscritti con firma digitale. 2. I documenti informatici prima di essere sottoscritti con firma digitale devono essere registrati in formato pdf e devono riportare in calce, in chiaro, il ruolo, il nome ed il cognome del sottoscrittore e la data. 3. Per quanto attiene alla obbligatorietà del protocollo informatico ed alla necessità di utilizzo della Posta Elettronica Certificata, si rinvia a quanto disciplinato dal precedente art Trattamento dei dati personali 1. Ai sensi del Regolamento di attuazione del codice in materia di protezione dei dati personali, emanato con D.R. n del , l Ateneo è il titolare, per il perseguimento dei propri fini istituzionali, tra gli altri, del trattamento dei dati personali connesso alla gestione dei certificati. 2. L Ateneo, in qualità di terzo interessato richiedente i certificati, ai sensi di quanto disposto nell art. 28 del Codice, tratta i dati personali degli interessati, secondo i principi di liceità, pertinenza, non eccedenza e necessità, comunicandoli al Certificatore, previa consegna dell informativa agli interessati, per consentire i successivi adempimenti. 11 Entrata in vigore 1. Il presente regolamento entra in vigore il giorno successivo a quello della sua pubblicazione all Albo ufficiale dell Università. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 33 DI 35

34 Allegato 1 al Regolamento di Ateneo in materia di firma digitale Si riportano nel seguito, in sintesi, le principali fasi procedimentali che, in conformità con il quadro normativo vigente, il Manuale d uso del servizio di firma digitale di cui all art. 7 del presente Regolamento, dovrà in ogni caso prevedere per la gestione dei certificati. Atti preparatori per la assegnazione di certificati individuazione dei titolari: il Rettore o il Direttore Amministrativo, a seconda delle rispettive competenze, dispone la richiesta per il primo rilascio, il rinnovo, la sospensione o la revoca dei certificati per la firma digitale; predisposizione del modulo di registrazione e stampa delle condizioni generali della fornitura: acquisito il provvedimento di cui sopra, gli incaricati_firma predispongono il modulo di registrazione e la stampa delle condizioni generali della fornitura e del consenso al trattamento dei dati personali connessi all erogazione del servizio di gestione della firma digitale. Atti preparatori per il rinnovo di certificati individuazione certificati in scadenza: gli incaricati_firma individuano, con frequenza mensile, i certificati la cui data di scadenza è compresa entro i trenta giorni solari successivi e, verificata la non sussistenza di condizioni per la sospensione o la revoca degli stessi, richiedono alla Direzione Amministrativa autorizzazione formale per il rinnovo dei certificati; richiesta di rinnovo: ottenuta l autorizzazione, le operazioni da effettuare sono le stesse di quelle in precedenza riportate per l assegnazione. Identificazione e registrazione nel caso di assegnazione o di rinnovo del certificato identificazione dell interessato: gli incaricati_firma identificano il richiedente mediante il controllo di un valido documento di riconoscimento esibito dal richiedente stesso; richiesta di registrazione: l interessato riceve dagli incaricati_firma l informativa riguardante il trattamento dei dati personali effettuato dall Ateneo e quindi, alla presenza di un incaricato_firma (che controfirma), sottoscrive: a. il consenso per il trattamento dei suoi dati personali da parte del Certificatore, b. la richiesta di registrazione. Tali documenti sono trasmessi dagli incaricati_firma al Certificatore, secondo le modalità concordate con il Certificatore medesimo; registrazione: gli incaricati_firma provvedono, secondo le modalità e le regole tecniche stabilite dal Certificatore, alla registrazione che consente l avvio della successiva fase di generazione delle chiavi e di emissione del certificato da parte del Certificatore; chiusura registrazione: gli incaricati_firma consegnano all interessato il codice di registrazione, una copia del modulo di registrazione ed una copia delle condizioni generali del servizio. L interessato deve attestare, firmando un apposito modulo, di aver ricevuto la suddetta documentazione; ricezione del dispositivo sicuro di firma: nel caso in cui la richiesta di emissione/rinnovo sia approvata dal Certificatore, gli incaricati_firma ricevono dal Certificatore il kit per l apposizione della firma digitale costituito da: il dispositivo sicuro di firma (smart card o token USB) e, in busta chiusa, il FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 34 DI 35

35 codice segreto di attivazione del dispositivo stesso (pin), quello di sblocco del dispositivo (puk) e, se è il caso, il lettore di smart card; consegna del dispositivo sicuro di firma: gli incaricati_firma consegnano al titolare del certificato il kit per l apposizione della firma digitale. Il titolare sottoscrive quindi una dichiarazione in cui attesta l integrità della busta contenente il pin, e sottoscrive altresì la dichiarazione di responsabilità di cui al comma 3 dell art. 6 del Regolamento. Gli incaricati_firma assistono il titolare dei certificati di firma nelle operazioni di verifica di funzionamento del kit ricevuto, provvedendo così ad una prima fase di addestramento; gestione del rigetto della richiesta di emissione o rinnovo: se il Certificatore, motivandone per iscritto le ragioni, rigetta la richiesta, gli incaricati_firma riesaminano gli atti istruttori e provvedono a perfezionare eventuali vizi di forma o di procedura. Nel caso in cui le motivazioni addotte dal Certificatore siano di altra natura, gli incaricati_firma provvedono ad informare la Direzione Amministrativa affinché siano adottate le misure del caso. Sospensione o revoca del certificato sospensione e revoca per la perdita dei requisiti: l Ateneo, in qualità di terzo interessato da cui provengono i poteri del titolare del certificato, avvalendosi degli incaricati_firma per l istruttoria dei provvedimenti, ha la facoltà di far sospendere oppure revocare i certificati nei casi previsti dall art. 8 del presente Regolamento. In tali casi, ricevuto il decreto di sospensione o revoca dal Rettore o dal Direttore Amministrativo, a seconda delle rispettive competenze, gli incaricati_firma utilizzano le modalità operative e tecniche stabilite dal Certificatore per la revoca o la sospensione di certificati; contestualmente, informano il titolare del certificato dell avvenuto inoltro della richiesta e concordano con lui i termini per la restituzione, se prevista, dei dispositivi ricevuti in consegna; sospensione e revoca richiesta dal titolare: nei casi previsti dagli artt. 6 e 8 del presente Regolamento, il titolare del certificato presenta agli incaricati_firma motivata istanza, rivolta al Rettore o al Direttore Amministrativo, a seconda delle rispettive competenze, per la sospensione o revoca del proprio certificato. Qualora la richiesta sia accolta, gli incaricati_firma curano l istruttoria dei relativi provvedimenti, con le procedure di cui al punto precedente e supportano il titolare per tutti i successivi adempimenti nei confronti del Certificatore. FIRMADIGITALE_MANUALE_USO_V1.DOC PAG. 35 DI 35