Scarica Transizione Digitale: Digitalizzazione, Dematerializzazione e Firma Elettronica - Prof. Pi e più Appunti in PDF di Elementi di Informatica solo su Docsity!
TRANSIZIONE ALLA MODALITÀ DIGITALE
Transizione è iniziata da tempo ma la leghiamo al momento in cui l’Europa ha deciso di finanziare questi cambiamenti -> digitalizzazione (processo che permette di rappresentare un'entità analogica in forma digitale come una scansione) e dematerializzazione (svolgere le attività in modo pressoché totale in digitale senza produzione di carta) La digitalizzazione dei documenti e la dematerializzazione dei processi e dei procedimenti amministrativi sono obiettivi comuni a tutte le organizzazioni, sia pubbliche che private, in quanto funzionali:
- All’aumento dell’efficienza
- All’erogazione dei servizi in modalità telematica
- Alla riduzione dei costi di esercizio Nel 2010 l’Unione europea ha varato la strategia «Europa 2020» individuando una serie di obiettivi da raggiungere entro il 2020. L’ Agenda digitale europea è una delle sette iniziative della strategia -> assegna all’ICT un ruolo chiave per superare le criticità rilevate
- frammentazione dei mercati digitali: i contenuti e i servizi commerciali e culturali devono poter superare i confini nazionali e per questo è necessario eliminare le barriere normative (ad esempio l’Italia aveva emanato una legge sulla firma digitale che non era ancora stato emanato in Spagna)
- Mancanza di interoperabilità: le carenze in materia di definizione di standard e di coordinamento tra amministrazioni pubbliche impediscono ai servizi e ai dispositivi digitali utilizzati dai cittadini europei di interagire come potrebbero
- Aumento della criminalità informatica e rischio di un calo della fiducia nelle reti: l’Europa deve affrontare l’emergere di nuove forme di criminalità
- Carenza di competenze informatiche: l’Europa soffre di una crescente carenza di competenze professionali nel settore delle ICT e di analfabetismo digitale. L’agenda digitale italiana è stata attuata dall’AgID con l’obiettivo prioritario di modernizzare i rapporti tra pubblica amministrazione, cittadini e impresa. Horizon Europe 2021- Programma per la ricerca e l’innovazione transnazionale puntando sulla digitalizzazione e iniziative rinnovabili. Next Generation EU Fondo per riparare i anni economici e sociali immediati causati dalla pandemia di coronavirus per creare un’Europa post COVID -> l’Italia ha creato il PNRR (Piano Nazionale di Ripresa e Resilienza) articolato in 6 missioni: - Digitalizzazione, innovazione, competitività, cultura e turismo - Rivoluzione verde e transizione ecologica - Infrastrutture per una mobilità sostenibile - Istruzione e ricerca - Inclusione e coesione - Salute
Università digitale L’obiettivo della completa dematerializzazione del processo di verbalizzazione delle prove di esame e mira:
- Costituzione del fascicolo elettronico dello studente per favorire l’interscambio tra gli Atenei delle informazioni e dei documenti relativi alla carriera degli studenti Sanità elettronica (e-Health) Mira all’aumento del tasso di innovazione digitale nelle aziende sanitarie, prevedendo: - Digitalizzazione del ciclo prescrittivo (dematerializzazione delle prescrizioni mediche e dei certificati di malattia) - Realizzazione di una soluzione federata di Fascicolo Sanitario Elettronico (FSE) del cittadino, Cartella clinica digitale, Dossier sanitario elettronico Scuola e impresa digitale - «Scuola digitale» con introduzione del registro elettronico del docente e della pagella elettronica consultabile online - «Impresa digitale» emissione delle fatture elettroniche, sulla digitalizzazione e dematerializzazione dei documenti contabili e fiscali Strumenti per realizzare i progetti: - Disponibilità di strumenti tecnologici per la produzione e la readmission di oggetti digitali. - Un complesso di norme che permetta di considerare questi oggetti digitali documenti informatici validi ad ogni effetto di legge. IMPORTANTE Regolamento del Parlamento europeo e del Consiglio del 23 luglio 2014 , n. 910, Identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno ( Regolamento eIDAS ) In vigore dal 2016 ed emanato con l’obiettivo di agevolare l’uso transfrontaliero dei mezzi di identificazione elettronica dei singoli Stati membri, semplificando l’impegno dei canali di autenticazione nei contenni delle pubbliche amministrazioni, sia da parte delle imprese che dei cittadini. Regolamento:
- Istituisce un quadro giuridico per le firme elettroniche, i sigilli elettronici, i servizi elettronici di recapito certificato e altri servizi di digitalizzazione e dematerializzazione
- Si applica ai regimi di identificazione elettronica che siano stati notificati (SPID dal 2019) da uno Stato membro
- Non si applica ai servizi fiduciari utilizzati esclusivamente nell’ambito di sistemi contemplati dal diritto nazionale CODICE DELL’AMMINISTRAZIONE DIGITALE (in Italia) Il CAD è stato emanato nel 2005 e aggiornato per assicurare la conformità al Regolamento eIDAS emanato a sua volta nel 2016, il CAD si applica:
- A tutte le pubbliche amministrazioni (PA) comprese le autorità di sistema portuale, nonché le autorità amministrative indipendenti di garanzia, vigilanza e regolazione
- Ai gestori di servizi pubblici, comprese le società quotate
FIRMA ELETTRONICA AVANZATA (FEA)
Firma elettronica che soddisfa i requisiti specificati nell’articolo 26 del Regolamento eIDAS:
- È connessa unicamente al firmatario (es. no user e password ma meccanismi che identificano in modo univoco il soggetto)
- È idonea ad identificare il firmatario
- È creata con dati che il firmatario può, con un elevato grado di sicurezza, utilizzare sotto il proprio esclusivo controllo (es. carta d’identità elettronica)
- È collegata ai dati sottoscritti in modo da consentire l’identificazione di ogni successiva modifica di tali dati Es. firma grafometrica (firma che si usa nelle banche o alle poste su tablet) -> basata sulla biometria, cioè la scienza che studia le caratteristiche del corpo umano per individuare quelle parti che sono sufficienti ad individuare una persona. In questo caso si parla di biometria comportamentale, ovvero quando si gesticola o quando si firma (la pressione della penna sul tablet, l’inclinazione, quante volte si stacca la penna, l’accelerazione). Ha valore limitato unicamente nelle banche poiché non vi sono regole. Docusign -> firma elettronica generata in cloud, piattaforma che garantisce tutti e quattro i requisiti. È una delle tante piattaforme utilizzate in EU. Permette ai suoi utenti di generale firme avanzate valide a livello europeo. Valenza giuridica di un documento sottoscritto con una FEA Art. 20, c. 1-bis del CAD -> “il documento informatico soddisfa il requisito della forma scritta e ha l’efficacia dell’articolo 2702 del Codice civile quando vi è apposta una firma digitale, altro tipo di firma elettronica qualificata o una firma elettronica avanzata” (…) Art. 27, Regolamento eIDAS «firme elettroniche nei servizi pubblici» -> “la commissione può, mediante atti di esecuzione, stabilire numeri di riferimento delle norme applicabili alle FEA. Si presume che i requisiti per le firme elettroniche avanzate di cui all’articolo 26, siano rispettati ove una firma elettronica avanzata soddisfi dette norme”.
FIRMA ELETTRONICA QUALIFICATA (FEQ)
In Italia ne abbiamo una sola, chiamata “firma digitale”. La “firma digitale” sarebbe però un particolare tipo di “firma elettronica qualificata”. È una firma elettronica avanzata basata su un certificato qualificato per firme elettroniche e creata con un dispositivo che soddisfa i requisiti conformi all’allegato II del regolamento eIDAS. Scompaiono quegli elementi di indeterminatezza che caratterizzano la FEA a favore di soluzioni tecnologiche e procedurali che garantiscono il più altro livello di sicurezza e l’interoperabilità a livello nazionale ed europeo tra le diverse piattaforme applicative. DISPOSITIVO Computer per penne crittografate che può essere con penna usb o una smart card. All’interno ha due memorie (riservata e segreta), all’interno delle quali vi sono due chiavi. A quella segreta può accedere solamente il sistema operativo, è cablata e la chiave non può
mai uscirne.Al suo interno c’è il codice segreto che serve per generare la firma. La chiave segreta è lunga un minimo di 1024 bit e un massimo di 4096 bit. Questi dispositivi sono rilasciati esclusivamente da soggetti prestatori di servizi fiduciari qualificati. Gli stati membri hanno creato un elenco con questi soggetti dove si può poi andare a reperire il dispositivo (la lista si trova nel sito dell’AGID, nella sezione della firma elettronica qualificata). Ovviamente il dispositivo per essere rilasciato ha bisogno di garanzie e i prestatori si avvalgono delle autorità di certificazione. Si avvalgono delle camere di commercio, dove l’operatore controlla i dati della persona e associa i dati con il dispositivo. Nel momento in cui si viene identificati, viene rilasciato il dispositivo e un certificato, ovvero un file firmato (certificato elettronico qualificato) all’interno del quale la persona della camera di commercio dichiara di aver identificato la persona e di aver rilasciato il dispositivo e riporta una chiave che corrisponde a quella segreta memorizzata nel dispositivo che serve per leggere le proprie firme. Quindi nessuno deve avere la chiave per generare la firma, ma tutti devono poter leggere il documento e la chiave per leggerla è pubblica. I documenti non possono essere modificati perché il sistema segnalerebbe la manomissione. Nel dispositivo troviamo:
- il sistema operativo -> protetto da un pin di accesso che può essere modificato
- due chiavi -> segreta e pubblica
- certificato elettronico qualificato
- software er firmare e verificare le firme Nel certificato elettronico qualificato troviamo:
- dati anagrafici del titolare
- codice -> identifica il dispositivo rilasciato
- dati che identificano il prestatore
- chiave pubblica -> per identificare le firme generate con il dispositivo
- firmato dal prestatore Anche qui è valido l’articolo 20 c. 1 bis) del CAD. L’utilizzo del dispositivo di FEQ o digitale si presume riconducibile al titolare di firma elettronica, salvo che questi sia prova contraria. La FEQ è utilizzabile per firmare gli atti giuridicamente più rilevanti specificati nell’articolo 1350 del Codice Civile, punti da 1) a 12). Se il dispositivo viene perso equivale la revoca del certificato. Se il dispositivo viene perso e si sta cercando si può fare la sospensione. Minimo dura tre anni e se il regolamento resta lo stesso può essere usato per altrettanti anni. Dopo i tre anni va cambiato però il certificato, ovvero vengono cambiate le chiavi.
La data di revoca di un certificato non è memorizzata nel dispositivo in quanto non è più in possesso del possessore. GENERAZIONE FIRMA DIGITALE Si applica a qualsiasi tipo di file (docx…) che ha estensione .P7M dopo la firma e viene attribuita secondo uno standard che si chiama CAdES (quindi la firma viene associata al file e non è al suo interno, infatti l’estensione cambia). Se ha estensione PDF si genera una firma con estensione .PDF e si genera la firma che va dentro il PDF con lo standard PAdES (quindi l’estensione non cambia). Lo standard può essere lo stesso del file docx anche per il PDF perché basterebbe non inserire la firma direttamente nel file. I file in P7M si leggono solamente con file che leggono firme digitali (schema sopra). Se il file è un XML l’estensione è .XML e lo standard si chiama XAdES. SHA256 -> indica la lunghezza binaria della funzione di HASH (sigla). La firma digitale non è mai uguale a se stessa perché la firma viene dal file che si trasforma nell’impronta e viene crittografato. Quindi ogni volta che il file cambia la firma cambia. Quindi nel file in P7M troviamo:
- documento
- firma digitale (già crittografata)
- certificato del firmatario CONVALIDA DI UNA FIRMA DIGITALE Il documento e il file, dopo essere stati codificati, controllano se vi è la corrispondenza dei 256 bit. In base a questo possiamo capire se il file di partenza corrisponde o meno. Quindi alla fine la macchina dice quale parte del file corrisponde a cosa e se c’è stata una contraffazione, poiché i file con firma digitale non sono modificabili. EFFICACIA GIURIDICA DI UNA FIRMA DIGITALE Art. 20, c. 1 bis) - «il documento informatico soddisfa il requisito della forma scritta e ha l’efficacia prevista dall’articolo 2702 del Codice civile (scritture private) quando vi è apposta una firma digitale, altro tipo di firma elettronica qualificata o una firma elettronica avanzata»
L’utilizzo del dispositivo di firma digitale si presume riconducibile al titolare di firma elettronica, salvo che questi dia prova contraria -> disconoscimento della firma (se la firma è autografa la disconosco, la controparte deve dimostrare che è la mia. Se la firma è digitale, devo essere io a dimostrare che non è la mia firma. Si può fare solo se si è fatta la revoca) La firma digitale è utilizzabile per firmare gli atti giuridicamente più rilevanti specificati nell’articolo 1350 del Codice Civile, punti da 1) a 12) Verifica tecnica (condizione necessaria ma non sufficiente)-> computer va a controllare i bit e controlla che la firma corrisponda al documento. È possibile che anche se una verifica tecnica da esito favorevole, la firma non è efficace. Il firmatario deve aver utilizzato:
- Certificato qualificato di firma elettronica
- Dispositivo di firma sicuro -> per accertare queste condizioni -Bisogna vedere il certificato per vedere chi è il firmatario. Se c’è scritto da chi è rilasciato e se è conforme al regolamento EiDAS allora la firma è efficace. CONDIZIONI DI INEFFICACIA La firma digitale non deve essere stata apposta a un documento che eccede i limiti d’uso o di valore dichiarati nel certificato qualificato di firma elettronica del firmatario -Se il contratto è sottoscritto con una firma digitale a cui corrisponde un certificato qualificato il cui utilizzo è limitato a rapporti giuridici di importo inferiore. -Se è generata con un certificato scaduto o revocato (la data nel documento non ha valore perché la data nel documento viene messa dal firmatario, mentre quella del file è quella impostata nel momento in cui viene generata la firma) Per mettere una data certa opponibile a terzi -> il regolamento europeo prevede un servizio che si chiama “ validazione temporale elettronica/ marca temporale ” (data ed ora del sistema che mette una terza persona). Generazione marca temporale Con la funzione “firma e marca”, ho sia la firma digitale che la marca temporale, che viene da un orologio di un server che chi firma non ha possibilità di modificare ed è opponibile a terzi. Quindi dal documento firmato, il sistema automaticamente applica la funzione di Hash e ottiene l’impronta (256 bit), che viene trasmessa via rete al server di marcatura (sistema presso il prestatore qualificato) Il sistema è in grado di (sistema di valutazione temporale elettronica/ marca temporale) : -mantenere data e ora in modo che non si discostino per più di un minuto dalla scala del tempo coordinato universale (UTC) Genera la marca temporale che si compone di quattro parti:
- impronta del documento (256 bit del documento)
- data e ora (UTC)
- firma digitale del sistema del certificatore qualificato
- certificato
Tabella di codifica Prima codifica realizzata a livello mondiale => ASCII 1 CRT (carattere) = 8 bit A : 00000001 B : 00000010 C : 00000100 256 -> sono i caratteri che possiamo codificare con questo tipo di codifica Codifica UNICODE 1 CRT = 16 bit -> possiamo rappresentare 32.000 caratteri Gli algoritmi -> sequenza di formule che garantiscono la riuscita di un certo risultato La crittografia è un algoritmo matematico da applicare ad un documento per generarne un altro con una sequenza binaria diversa rispetto all’originale.
Crittografia simmetrica
Se la chiave di codifica Kc è uguale a quella di decodifica Kd, ovvero chi trasmette e chi riceve ha la stessa chiave che uno usa per trasmettere e l’altro per decodificare il file. Chiave di codifica -> uso di un algoritmo che usa un altro elemento e dall’insieme dei due viene fuori il file crittografato Software/ chiave di decodifica -> è il software che serve per rimettere i bit in ordine per poter leggere il messaggio originario Le chiavi sono una sequenza binaria e la lunghezza minima nella crittografia simmetrica è di 128 bit. L’algoritmo si chiama 3DES. Ad oggi si utilizzano codici di almeno 256 bit di standard di crittografia con algoritmo AES perché le chiavi a 128 bit ora sono troppo deboli. L’elemento che fa si che vi sia segretezza è la chiave e non l’algoritmo in se. Infatti è proprio la chiave che cambia (cambia ad ogni transazione). Infatti gli algoritmi sono nativi del sistema.
La chiave viene generata con una funzione dell’algoritmo che prende il nome di “genera chiave” o “genera codice”. Ha un elemento di insicurezza, ovvero presuppone che chi trasmette e chi riceve abbia la stessa chiave e presuppone che i due sistemi si siano cambiati la chiave prima di fare crittografia. Quindi nel primo passaggio, dove la chiave che viene generata passa all’altra persona, la chiave non è protetta.
Crittografia asimmetrica
Se la chiave di codifica Kc è diversa da quella di decodifica Kd. Algoritmo RSA -> utilizza chiavi di lunghezza minima pari a 1024 bit. Qualsiasi soggetto deve dotarsi di una coppia di chiavi, Ks e Kp. Ciascuna delle due è lunga minimo 1024 bit. L’algoritmo per generare le chiavi ti da’ una copia di chiavi e una delle due ovvero la Ks è segreta, quindi è segreta sia per chi la rilascia sia per chi la utilizza. La Kp è pubblica, corrisponde a quella segreta ed è resa disponibile a tutti. La creazione delle chiavi è basata dalla teoria dei numeri primi e sulla difficoltà di determinare i fattori primi di numeri di grandi dimensioni. La lunghezza minima è di 200 cifre e la probabilità che due numeri di quelle dimensioni siano uguali tende a zero. Avendo in numero primo N, con delle formule si trova Ks e Kp e poi il numero primo L’algoritmo crittografico asimmetrico assicura:
- Da una chiave della coppia non è possibile risalire all’altra chiave della stessa coppia
- Se la crittografia di un documento è eseguita con la chiave di una coppia, l’operazione inversa di decodifica può essere effettuata solo con l’altra chiave della stessa coppia Non possono essere utilizzate chiavi più lunge di 4096 bit perché si creerebbero canali di comunicazioni così riservati che sarebbe troppo grande un rischio di terrorismo o altre cose. Un algoritmo crittografico asimmetrico è più lento rispetto ad uno simmetrico ma ha vantaggi:
- Può essere utilizzato per la generazione di firme digitali
- Garantisce un livello di sicurezza elevato se si utilizzano chiavi di lunghezza pari a 1024, 2048, 4096 bit, o anche più lunghe (quindi per la crittografia con il Kp del destinatario)
Tutti i cittadini maggiorenni in possesso di un documento italiano in corso di validità possono richiedere SPID. Prima di attivarlo dovrà assicurarsi di avere a disposizione:
- Un documento italiano in corso di validità (carta d’identità, patente, passaporto)
- Il codice fiscale
- La propria email e il proprio numero di cellulare 2 Per procedere all’attivazione, è necessario selezionare uno tra i gestori di identità (identity provider) abilitati e riconosciuti da AgID (Agenzia per l’Italia digitale) e registrarsi sul sito del gestore scelto, per registrarsi sarà necessario: I. Inserire i propri dati anagrafici II. Creare le proprie credenziali SPID III. Effettuare il riconoscimento, scegliendo tra le modalità gratuite o a pagamento offerte dai gestori di identità 3 I gestori di identità digitale sono 12 (Aruba, InfoCert, Namirial…) 4 Sono presenti varie modalità di riconoscimento per SPID
- Di persona (presso gli uffici dei gestori di identità digitale)
- Via webcam (con operatore insieme al versamento di una somma tramite bonifico bancario)
- Con Carta d’Identità Elettronica (CIE) o passaporto elettronico (attraverso app dei gestori d’identità digitale)
- Con CIE, Carta Nazionale dei Servizi (CNS) la tessera sanitaria, oppure con firma digitale (grazie all’ausilio di un lettore) 5 SPID predispone di 3 livelli di sicurezza progettati per assicurare chi sia il soggetto a richiedere l’accesso al servizio offerto dalla PA: LIVELLO 1 (Livello di sicurezza A2 LoA2): prevede unicamente le credenziali SPID dell’utente (username e password) LIVELLO 2 (LoA3): prevede le credenziali SPID dell’utente, un codice temporaneo OTP inviato dall’identity provider tramite SMS, oppure l’uso dell’app del gestore di identità che genera una notifica da confermare tramite il codice di accesso creato in precedenza Si può utilizzare per accedere a servizi maggiori, dove un accesso improprio può creare un danno consistente) LIVELLO 3: prevede, oltre alle credenziali SPID, un supporto fisico adibito alla gestione di chiavi crittografiche. Tale supporto può essere una smart card (con annesso lettore) o un dispositivo per la firma digitale remota 6
Sono i fornitori di servizi, o service provider, a stabilire il livello di sicurezza necessario per accedere ad un determinato servizio. I service provider si dividono in pubblici, ossia le Pubbliche Amministrazioni e privati. La richiesta di utilizzare un determinato livello di sicurezza varia a seconda della gravità dei dati sensibili che possono essere visualizzati accedendo ad un servizio. *Il livello di sicurezza SPID 3 è il più alto livello di sicurezza disponibile per quest’identità digitale. L’accesso tramite livello di sicurezza SPID 3 richiede l’utilizzo di un supporto fisico per la lettura di chiavi crittografiche (smart card dotato di PIN o dispositivo per la firma digitale da remoto) CARTA DI IDENTITÀ ELETTRONICA Documento d’identità dei cittadini italiani, permette l’accertamento dell’identità del possessore e l’accesso ai servizi online delle Pubbliche Amministrazioni e dei privati aderenti. Tutti i cittadini italiani possono richiedere la Carta di Identità Elettronica in qualsiasi momento e nei seguenti casi:
- Possesso di una carta d’identità cartacea
- Furto, smarrimento o deterioramento del proprio documento
- Possesso di una carta d’identità elettronica di I e II generazione L’emissione della Carta d’Identità Elettronica va richiesta al proprio Comune di residenza o domicilio oppure, nel caso di un cittadino italiano residente all’estero, presso il proprio consolato italiano. La CIE prevede l’utilizzo di due codici numerici di 8 cifre (PIN e PUK). La ricezione dei codici avviene in due fasi, le prime quattro cifre di entrambi i codici vengono distribuite al momento della richiesta, la seconda metà viene consegnata all’utente insieme alla CIE. In base al servizio richiesto, l’autenticazione può avvenire attraverso 3 livelli di autenticazione: LIVELLO 1/ 2: i due livelli sono complementari e richiedono accesso mediante una coppia di credenziali (username e password) e l’impiego di un secondo meccanismo di autenticazione (OTP, notifica da App) -> le credenziali di sicurezza devono essere attivate tramite una procedura online LIVELLO 3: richiesto l’utilizzo di lettore o uno smartphone dotato di tecnologia NFC per la lettura della CIE Può essere utilizzata come dispositivo di firma elettronica avanzata. È possibile apporre una firma con CIE su file di qualsiasi estensione.
SIGILLO ELETTRONICO
Come una firma elettronica ma non viene generato da una persona, ma da una macchina.
La PEC è in evoluzione -> si va verso la REM (Registered email) che è conforme al regolamento eIDAS del 2014. Quando entrerà definitivamente in funzione la PEC verrà eliminata. Equivale alla raccomandata con ricevuta di ritorno che però NON è uguale in EU. Ove vi è l’uso della PEC, vi è anche il servizio elettronico di recapito certificato qualificato (REM), quindi entrambe hanno valore giuridico. PEC
- Rivolgerti ad un gestore autorizzato per l’Italia digitale
- Non garantisce l’autenticazione del mittente (inteso come autore del messaggio) -> identifica la provenienza del messaggio (quindi da quale casella elettronica arriva il messaggio)
- I messaggi saranno tutti firmati con firma elettronica avanzata (ci sarà un sigillo) REM
- Rivolgersi ad un prestatore qualificato
- Identifica l’autenticazione del mittente
- I messaggi saranno tutti firmati con firma elettronica avanzata (ci sarà un sigillo)
PEC
Trasmissione da una PEC ad un’altra Utente deve avere un indirizzo di posta certificata preso da un gestore autorizzato. I punti di accesso per mandare i messaggi sono server a livello locale. Il passaggio del messaggio dal computer al server di posta certificata del proprio gestore è crittografato. Se i controlli vanno a buon fine viene rilasciata la prima ricevuta di accettazione. Nella ricevuta di accettazione -> c’è scritto che sono stati fatti i controlli con esito favorevole e pertanto il server della posta del mittente lo prende in carico, ovviamente c’è anche la data della presa in carico Il mittente crea una busta, busta di trasporto , ovvero un file che contiene tre sezioni:
- Messaggio
- Dati di certificazione (dati che identificano il titolare della casella da cui proviene il messaggio)
- Identificazione del gestore File viene firmato con firma elettronica avanzata o sigillo avanzato La busta viene inviata al destinatario. Il punto di ricezione controlla il valore della firma avanzata (ovvero se ci sono o meno errori). Se dà errori vuol dire che c’è stata un’anomalia e richiede la trasmissione nuovamente. Se non dà errore lo mette nella casella di posta elettronica del destinatario. Dopo che viene depositato rilascia la ricevuta di avvenuta consegna.
Nella ricevuta di attesta la data, ora, minuti e secondi in cui il messaggio è stato depositato nella cartella de destinatario. Se vi sono problemi e la casella del destinatario è piena, non arrivano le due ricevute nell’arco di un minuto ma si segnala al mittente l’anomalia. Qualora per qualsiasi motivo possibile un messaggio non risulti consegnabile al destinatario, il gestore del servizio di PEC del mittente è tenuto a comunicare l’esito negativo della trasmissione entro 24h dall’invio. Tutti i gestori devono tenere memoria delle trasmissioni effettuate in un apposito registro informatico denominato log dei messaggi. Deve essere conservato per almeno 30 mesi. GARANZIA DELLA LETTURA 3 tipi di ricevute di avvenuta consegna:
- Completa , connettente i dati che attestano l’avvenuta consegna del messaggio e una copia completa del messaggio originale recapitato - Breve , nella quale è inserito il messaggio originale ma senza gli allegati, al posto dei quali sono inserite le relative impronte digitali calcolate con la funzione di HASH - Sintetica , che contiene solo i dati di attestazione di avvenuta consegna La ricevuta di avvenuta consegna attesta che il messaggio è stato consegnato ma non che è stato letto perché per attestarlo dovrebbe attestare quando il destinatario abbia scaricato e letto la posta. Può capitare che un utente che non ha PEC invii un messaggio a chi ce l’ha. Il servizio funziona ugualmente anche se il messaggio non viene crittografato. Ovviamente al mittente non arriva la ricevuta di accettazione. Per chi ha la PEC viene chiamato messaggio di anomalia di trasporto. Nel caso di chi ha la PEC che scrive a chi non la ha. Per chi ce l’ha ritorna la ricevuta di accettazione ma non ritorna la ricevuta di avvenuta consegna.
DALLA PEC ALLA REM
La PEC risponde ai requisiti fissati nel Regolamento eIDAS per i servizi di recapito elettronico certificato (SERC), ma non a quelli stabiliti nell’articolo 44 dello stesso Regolamento per i servizi elettronici di recapito certificato qualificato (SERCQ). Il servizio di PEC, infatti, può essere erogato anche da un soggetto diverso da un prestatore di servizi fiduciari qualificato e non garantisce, con un elevato livello di sicurezza, l’identificazione del mittente, cioè di chi spedisce materialmente il messaggio, né del destinatario prima della sua trasmissione. La transizione della PEC al servizio di recapito elettronico certificato qualificato, denominato Registered Electronic Mail (REM), è stata avviata con l’emanazione del DL n. 135/2018.
Archivio -> è un complesso ordinato di documenti, quindi i documenti non possono essere in ordine sparso e senza logica. Deve essere una testimonianza. Si parla di archivi ibridi in quanto ora abbiamo componenti cartacei e digitali che non sono disgiunti. L’archivio è unico ma vive tre età:
- Archivio corrente : insieme dei documenti ricevuti o prodotti durante lo svolgimento dell’attività relativi ad attività in corso/ correnti
- Archivio di deposito : insieme dei documenti non più occorrenti alla trattazione corrente che l’ente deve tenere per poter accedere velocemente ad essi nel caso serva
- Archivio storico CARTACEO Archivio corrente I documenti cartacei sono inviati all’ufficio protocollo perché vanno registrati prima di essere inviati ai vari uffici amministrativi. Ogni registrazione ha un numero progressivo che viene azzerato a fine anno. Vengono poi portati agli uffici di competenza dove si trova l’archivio corrente. L’archivio corrente cartaceo viene distribuito in uffici amministrativi specifici. Un documento rimane nell’archivio corrente fin quando le pratiche sono aperte. Il passaggio dall’archivio corrente a quello di deposito. Archivio deposito È un luogo fisico. La consultazione dei documenti richiede un diritto di accesso. Non sono liberamente consultabili. Passaggio tra archivio di deposito e storico avviene attraverso una procedura si scarto archivistico. Nella documentazione dell’archivio di deposito gli archivisti cercano quali sono quei documenti che non sono più correnti e possono essere scartati. Si fa l’elenco di scarto in cui si elencano i carteggi/ fascicoli che potrebbero essere scartati. La distruzione fisica delle carte deve essere effettuata previa autorizzazione della sovrintendenza. Archivio storico Dopo che alcuni documenti sono stati distrutti, gli altri entrano a far parte dell’archivio storico. Essendo beni culturali sono liberamente consultabili. INFORMATICO Archivio corrente Tutti i documenti informatici vanno indirizzati al domicilio digitale che viene poi gestito dall’ufficio di protocollo. Il messaggio inviato che viene ricevuto dal domicilio digitale viene preso dalla rete che viene gestita dal sistema documentale.
Il personale dell’ufficio di protocollo vedrà il documento dal sistema documentale e farà la registrazione. Fatta la registrazione, il documento va assegnato e la persona a cui viene assegnato il documento, trova il documento nella posta. Non è trasferito materialmente. L’archivio corrente digitale è nel sistema documentale che riceve attraverso i domicili digitali rendendolo disponibile a tutti quelli che lo devono vedere, ma non viene duplicato. Archivio deposito Continua a rimanere nello stesso sistema documentale. Se c’è un problema di spazio, si aumenta. Lo scarto archivistico funziona anche nel digitale. Archivio storico Non si trova nel sistema documentale.
LINEE GUIDA E FORME DEL DOCUMENTO INFORMATICO
Previsto nelle linee guida per l’AgID Potrebbe essere una sequenza di dati di un controllo, non deve essere necessariamente un testo, valori rilevati giorno dopo giorno…anche se sono solo numeri sono documenti informatici. Il documento informatico è formato mediante una delle seguenti modalità che ne sono 4: A. Creazione -> tramite l’utilizzo di appositi strumenti software o servizi cloud qualificati che assicurino la produzione dei documenti informatici nei formati e nel rispetto delle regole dell’interoperabilità (allegato n.2) come con office o word B. Acquisizione -> di un documento informatico per via telematica o su supporto informatico, acquisizione della copia per immagine (stesso contenuto e stessa forma) su supporto informatico di documento analogico, acquisizione delle copia informatica (copia di un documento cartaceo che ha lo stesso contenuto del documento ma non la stessa forma) di un documento analogico C. Memorizzazione -> su supporto informatico delle informazioni risultanti da transazione o processi informatici o dalla presentazione telematica di dati attraverso moduli o formulari resi disponibili all’utente (registrazione di dati) D. Generazione o raggruppamento -> anche in via automatica di un insieme di dati o registrazioni, provenienti da una o più banche dati, anche appartenenti a più soggetti interoperanti, secondo una struttura logica predeterminata e memorizzata in forma statica (elaborazioni su banche dati) REQUISITI IMMODIFICABILITÀ E INTEGRITÀ Documento elettronico -> qualsiasi rappresentazione di un contenuto du base digitale (documento word…) Documento informatico -> quando di vuole dare una forza giuridica ad un documento elettronico, ovvero è giuridicamente rilevante Per trasformare un documento elettronico in informatico deve essere immodificabile e autentico con una data certa (non alterato nel suo accesso, gestione e conservazione).
