L AUTENTICAZIONE COME FATTORE ABILITANTE ALLA FRUIZIONE DEI SERVIZI.

Transcript

1 L AUTENTICAZIONE COME FATTORE ABILITANTE ALLA FRUIZIONE DEI SERVIZI. Il tema della Certificazione Stefano Conforto Sertorelli

2 Punto di partenza L'offerta sempre più ampia dei servizi ai cittadini e alle imprese pone il tema della certificazione al centro dell'attenzione. Certificazione della identità e della volontà del soggetto dichiarante, certificazione della avvenuta consegna del messaggio elettronico, certificazione dell'avvenuto pagamento, costituiscono solo una esemplificazione della tematica. Significato del verbo certificare Rendere certo, assicurare qualcuno di qualcosa. Come? Quali strumenti a disposizione dell'ente?

3 Esigenze Riconoscere chi accede ai servizi Riconoscimento certo formalizzare la volontà del richiedente disponente Certa sottoscrizione garantire sia l'integrità dell atto sia la data e l'ora di produzione Integrità e data certa garantire gli eventi legati al trasporto di messaggi Certezza nel trasporto garantire il corretto completamento delle transazioni finanziarie Certezza nel pagamento

4 Autenticazione (tratto dal Cod. PAD) Art. 4. Partecipazione al procedimento amministrativo informatico 1. La partecipazione al procedimento amministrativo e il diritto di accesso ai documenti amministrativi sono esercitabili mediante l'uso delle tecnologie dell'informazione ( ) Art. 64. Modalità di accesso ai servizi erogati in rete dalle PA 1. La carta d'identità elettronica e la carta nazionale dei servizi costituiscono strumenti per l'accesso ai servizi erogati in rete dalle pubbliche amministrazioni per i quali sia necessaria l'autenticazione informatica. 2. Le pubbliche amministrazioni possono consentire l'accesso ai servizi in rete da esse erogati che richiedono l'autenticazione informatica anche con strumenti diversi dalla carta d'identità elettronica e dalla carta nazionale dei servizi, purche' tali strumenti consentano di accertare l'identità del soggetto che richiede l'accesso ( ) 3. ( ) con decreto del Pres. del CdM ( ) e' fissata la data, comunque non successiva al , a decorrere dalla quale non e' più consentito l'accesso ai servizi erogati in rete dalle PA, con strumenti diversi dalla CIE e dalla CNS.

5 Autenticazione: quali strumenti? Ex art comma Carta d identità elettronica (CIE); Carta Nazionale dei Servizi (CNS); Ex art comma Certificato elettronico può essere utilizzato per una gamma di servizi connessi alla sicurezza delle informazioni, tra cui l autenticazione ai siti web, garantendo la riservatezza dei dati trasmessi sulla rete tramite protocolli standard (SSL/TLS); Credenziali di accesso fornite al termine di una procedura organizzativa che preveda il riscontro della identita del richiedente;

6 Schema organizzativo (Esempio progetto people) 1 Pre registazione telematica Accertamento dati 2 Attivazione e riscontro 3 A Cittadino Fornisce i dati anagrafici D Operatore comunale Verifica correttezza dei dati forniti in fase A E Cittadino Accetta il contratto per la fornitura dei servizi B Presta il consenso al trattamento dei dati personali F Definisce una password definitiva C Definisce una password provvisoria Output Output Mail di riscontro contenente UID provvisoria e codice assistenza clienti 1. Attivazione casella di Posta Certificata 2. Certificato elettronico Output Identificativo utente provvisorio Password provvisoria Mail di conferma registrazione

7 Sottoscrizione: la Firma Elettronica Qualificata La differenza tra firma autografa e firma digitale è che la prima è legata alla caratteristica fisica della persona che appone la firma, vale a dire la grafia, mentre la seconda al possesso di uno strumento informatico e di un PIN di abilitazione, da parte del firmatario. 1 2 AUTENTICITA INTEGRITA 3 NON RIPUDIABILITA 4 Un requisito ulteriore: DATA ed ORA certe certezza dell identità del mittente il destinatario può verificare che il contenuto del documento informatico non è stato alterato dopo la sua sottoscrizione il mittente non può disconoscere la paternità del documento firmato digitalmente Apposizione di data ed ora certe ed opponibili ai terzi secondo le regole tecniche definite dal DPCM 13/1/2004

8 Il certificato elettronico ausiliario Il certificato elettronico può essere utilizzato per una gamma di servizi connessi alla sicurezza delle informazioni. Tale certificato viene fornito contestualmente al certificato per la Firma Digitale o, su specifici progetti, anche separatamente con modalità di identificazione più snelle. AMBITI DI UTILIZZO firma debole e cifratura di un documento elettronico Securizzare la posta elettronica utilizzando funzionalità native dei client di posta elettronica commerciali (ad es. Outlook o Outlook Express) Autenticarsi ai siti web garantendo la riservatezza dei dati trasmessi sulla rete tramite protocolli standard (SSL/TLS) avvalersi delle funzionalità direttamente disponibili nei sistemi di Office Automation (ad esempio, nelle versioni recenti di MS Word o Adobe Acrobat)

9 Integrità dell atto: Time Stamp Meccanismo di certificazione delle informazioni tramite il quale è possibile dare certezza sia all autenticità delle informazioni trasmesse in via telematica sia alla data ed ora certa della transazione effettuata.

10 Integrità dell atto: Digital Postmark (DPM) L DPM (Digital PostMark) è un timbro postale elettronico che permette di attestare la sicurezza che il contenuto di una comunicazione non abbia subito alterazioni da parte di terzi.attraverso la tecnologia Electronic PostMark (EPM) Poste Italiane permette di: verificare l'integrità del contenuto di un messaggio, rendendo qualunque forma di alterazione e manomissione facilmente ed inequivocabilmente identificabile avere la certezza su data e ora di ricezione del documento da parte di Poste Italiane

11 Sistemi di comunicazione: dal fisico verso il digitale I documenti trasmessi da chiunque ad una PA con qualsiasi mezzo telematico soddisfano il requisito della forma scritta e la loro trasmissione non deve essere seguita dal documento originale. (art 45 1 comma) La trasposizione nel digitale dei sistemi di comunicazione non fa venir meno il ruolo nodale del vettore, garante della comunicazione sia verso il mittente ma anche e soprattutto verso il destinatario. L applicazione della Posta Certificata nei reali processi di trasmissione non potrà che far emergere la rilevanza del concetto di affidabilità del Gestore del servizio che si colloca a garanzia dei processi di comunicazione. I Gestori devono riuscire a rappresentare nella Città Digitale un grado di certezza ed istituzionalità analogo a quanto oggi avviene nella Città di Pietra: solo così i cittadini, le aziende e le amministrazioni potranno con tranquillità e sicurezza costruire le proprie relazioni immateriali utilizzando i servizi di comunicazione telematica.

12 Un quadro complessivo per la messaggistica Posta Elettronica tradizionale Post mail per gli utenti registrati del sito Raccomandata Online Accettazione elettronica e consegna cartacea tradizionale con ricevuta di avvenuta consegna Posta Elettronica Certificata Post certificata: servizio di trasmissione dei documenti informatici aderente al DPR 68 del 11 febbraio 2005 Posta Elettronica Sicura con antivirus antispam, firma elettronica leggera ed altre caratteristiche avanzate Secure courier Invio sicuro per lotti di utenze

13 La mail con la marcatura postale attraverso la tecnologia DPM (Digital PostMark), permette di avere la sicurezza che il contenuto di una non abbia subito alterazioni da parte di terzi, verificando sia l'integrità del contenuto, che la data e l'ora di ricezione del messaggio da parte di Poste Italiane. Timbro Il link per la verifica

14 Raccomandata online Per inviare raccomandate direttamente dal proprio computer. Poste Italiane stampa, imbusta e consegna al destinatario. La ricevuta della spedizione con valore legale viene inviata da Poste Italiane nella casella di posta elettronica "Post " del mittente. I documenti inviati sono conservati per tre mesi in un archivio online che il mittente può consultare in qualsiasi momento. E possibile richiedere l'avviso di Ricevimento, che viene recapitato per Posta Ordinaria o Prioritaria. Rubrica online per memorizzare indirizzi e creare liste destinatari. Servizio attivo 24 ore su 24, festivi compresi. Add-in Raccomandata Online per inviare per Posta Raccomandata, i documenti creati con Word ed Excel, applicativi MS Office.

15 Messaggistica sicura 5 Ricevute di consegna 3 Notifica, verso un generico indirizzo di posta elettronica, di messaggio in giacenza con link per l accesso Destinatario 2 Ricevute di invio 1 Upload lotti di messaggi con indirizzi elettronici destinatari Servizio Post AR 4 Accesso al servizio web(non serve essere registrato) e download messaggio e allegati Reporting

16 Processo di trasmissione PEC Destinatario Messaggio da trasmettere Gestore Mittente Gestore Destinatario Messaggio da consegnare store Mittente Ricevuta di accettazione Ricevuta di consegna

17 Requisiti della Posta Certificata Certificazione della data di trasmissione. A ciascuna trasmissione è apposto un riferimento temporale fornito dal servizio in formato leggibile dall utente; tale riferimento temporale è opponibile ai terzi. Certificazione dell integrità della trasmissione telematica. La ricevuta di avvenuta consegna può contenere anche la copia completa del messaggio di posta elettronica certificata consegnato secondo quanto specificato dalle regole tecniche. Autenticazione del mittente. il punto di accesso, deve ncessariamente autenticare l utente prima di autorizzare l accesso al sistema. L autenticazione è necessaria per garantire che il messaggio sia inviato da un utente del servizio di posta certificata i cui dati di identificazione siano congruenti con il mittente specificato, al fine di evitare falsificazione d identità.

18 Compiti assegnati al Gestore I Gestori del servizio di Posta Elettronica Certificata: trasmettono il messaggio includendolo nella busta di trasporto; mantengono traccia delle operazioni svolte su un apposito log dei messaggi; sono conservati per trenta mesi, garantendone la sicurezza, l'integrità e l'inalterabilità nel tempo. rilasciano e sottoscrivono le ricevute (e le notifiche/avvisi). prevedono servizi di emergenza che in ogni caso assicurano il completamento della trasmissione ed il rilascio delle ricevute.

19 Soggetti della trasmissione: Mittente Utilizza un gestore incluso nell apposito elenco tenuto da CNIPA; Trasmette messaggi eventualmente contenenti allegati in qualunque formato, sottoscritti o meno, eventualmente cifrati; Conserva la ricevuta di accettazione nella quale sono contenuti i dati di certificazione che costituiscono prova dell'avvenuta spedizione di un messaggio di posta elettronica certificata; Conserva la ricevuta di consegna nella quale sono contenuti i dati di certificazione che costituiscono prova dell'avvenuta consegna, il riferimento temporale ed eventualmente la copia del messaggio inviato.

20 Soggetti della trasmissione: Destinatario dichiara un indirizzo di posta certificata per ricevere comunicazioni dalla pubblica amministrazione ai fini di uno specifico procedimento, oppure, negli altri casi, in relazione ad uno specifico rapporto. verifica l arrivo di nuovi messaggi poiché il messaggio si intende consegnato nel momento in cui viene registrato nella relativa casella, indipendentemente che sia stato letto o meno da parte del destinatario.

21 Integrità del circuito e interoperabilità L integrità del circuito è assicurata dal corretto espletamento dei compiti assegnati al gestore e della loro esecuzione aderente alle regole tecniche del servizio. Le regole tecniche fissano il dettaglio applicativo degli standard di riferimento ai fini della loro interpretazione e dell interoperabilità dei processi di trasmissione tra i diversi Gestori. Sono fissate le interazioni tra gestori previste nelle diverse fasi della trasmissione (accettazione di messaggi in ingresso, rilascio ricevute, imbustamento e firma, inoltro ad altri gestori, ricezione e consegna al destinatario) oppure relativamente alle diverse problematiche come gestione dei messaggi non di posta certificata o gestione dei virus. I Gestori del servizio sono inclusi in un apposito indice tenuto dal CNIPA.

22 Pagamenti L evidenza del corretto completamento della transazione avviene in tempo reale. La certificazione dell avvenuto pagamento avviene solo attraverso le evidenze contabili generate dal servizio.

23 Pagamenti - Rendicontazione Poste assicura la rendicontazione dei bollettini on line pagati tramite il Portale nelle seguenti modalità: Per i clienti convenzionati ai servizi di data entry accessori al conto corrente la rendicontazione avviene con supporto magneto/ottico contenente i dati analitici e le immagini virtuali dei bollettini; Per i clienti non convenzionati ai servizi di data entry, la rendicontazione avviene secondo le modalità standard previste per i bollettini (BPIOL, linea dedicata, portale ICI)

24 Grazie per l attenzione Per ulteriori informazioni: stefano.conforto@postecom.it

25 BACK UP

26 Requisiti per il Gestore Natura giuridica di società di capitali - non inferiore a un milione di euro (non per le PPAA); requisiti di onorabilità e verifica sulle cariche amministrative; dimostrare l'affidabilità organizzativa e tecnica; impiegare personale dell'esperienza; dotato delle conoscenze specifiche, utilizzare dispositivi certificati per la firma elettronica; adottare adeguate misure per garantire l'integrità e la sicurezza del servizio; prevedere servizi di emergenza; sistema di qualità certificato secondo la norma ISO 9001:2000; polizza assicurativa.

27 Il gestore conserva per 30 mesi i log messaggi codice identificativo univoco assegnato al messaggio originale (Message-ID); data e ora dell evento interessato al processo di tracciatura; mittente del messaggio originale; destinatari del messaggio originale; oggetto del messaggio originale; tipo di evento interessato al processo di tracciatura (accettazione del messaggio, ricezione, consegna, emissione delle ricevute di errore, ogni altra operazione rilevante ai fini della trasmissione telematica definita dal DM 2 novembre 05; codice identificativo (Message-ID) dei messaggi correlati (ricevute, errori, etc.); i dati identificativi del gestore mittente.