Buongiorno,
con alcuni colleghi di opensipa si discuteva dell’articolo 4 “Il modulo di implementazione dovrà essere firmato digitalmente con marcatura temporale”
Secondo un mio collega è sufficiente quindi la protocollazione, secondo me no.
La motivazione deriva dal seguente punto (tratto da http://www.agid.gov.it/sites/default/files/linee_guida/la_conservazione_dei_documenti_informatici_rev_def_.pdf pagina 19 ):
Da ultimo, è necessario sottolineare la differenza esistente tra marca temporale e riferimento temporale. La marca temporale costituisce il riferimento temporale che consente la validazione temporale e che dimostra l’esistenza di un’evidenza informatica in un tempo certo, il riferimento temporale altro non è che “un’informazione contenente la data e l’ora con riferimento al Tempo Universale Coordinato (UTC), della cui apposizione è responsabile il soggetto che forma il documento.
”L’unico scopo del riferimento temporale è quello di individuare la data di formazione del documento informatico.
Quindi, se interpreto bene io, la marca temporale NON è un riferimento temporale che è invece esplicitamente richiesta.
Quindi la protocollazione a mio modo di vedere non è sufficiente.
Buongiorno,
sono Giovanni Piero Caporale, uno dei componenti del GDL dell’Agenzia per l’Italia Digitale che ha emanato la circolare relativa alle Misure Minime di Sicurezza ICT per le Pubbliche Amministrazioni.
Concordo con Alessandro Carloni nell’affermare che la protocollazione non è sufficiente per quanto richiesto dalla Circolare n. 2 AgID
Nella Circolare AgID è esplicitamente richiesta la firma digitale con marca temporale.
Questo perchè la marca temporale convalida il documento certificando anche che l’ID del firmatario era valido al momento della firma.
La procedura di protocollazione invece garantisce la data in cui il documento è stato protocollato ma non quando è stato firmato.
Inoltre ricordo che il servizio di marcatura temporale viene svolto da una Autorità di Certificazione che consente di associare al documento l’informazione relativa ad una data e un’ora certa.
Sono a disposizione per ulteriori chiarimenti
Buongiorno,
riprendo questo argomento iniziato dal collega Carloni.
Chiedo alcuni chiarimenti su quanto scritto da Giovanni Caporale:
Sia il CAD che le regole tecniche annoverano la segnatura di protocollo tra i riferimenti temporali certi. Questo deriva dal fatto che al registro di protocollo di una PA viene dato valore probatorio assoluto, ossia il registro fa fede fino a che non viene accertata con certezza la sua manomissione. Non è quindi un atto liberamente valutabile in giudizio.
Aggiungo inoltre che nella pratica amministrativa di una PA, un documento informatico si forma ed esiste NON quando viene semplicemente firmato e/o marcato temporalmente, ma quando transita in un sistema di gestione documentale (come è il protocollo informatico), che oltre ad affermare l’esistenza di un documento ad un certa data, ne garantisce anche la sua unicità.
Questo perchè, per assurdo, io potrei firmare e apporre una marca temporale su due versioni dello stesso documento, tenerle in un “cassetto” e utilizzare alla bisogna la prima o la seconda versione. Per questo motiva la PA fa sempre riferimento al registro di protocollo, che è il luogo in cui si forma l’archivio.
Avviene la stessa cosa anche ora: le PA formano documenti amministrativi informatici, li protocollano e giornalmente mandano in conservazione (presso un soggetto terzo) il registro giornaliero che, tra le tante cose, contiene l’hash dei documenti. Quindi possiamo dire con certezza che un documento informatico, ad un certa data, esiste, è formato e ha i suoi effetti giuridici.
Quindi la domanda è: implicitamente, ci state dicendo che non è più sufficiente la segnatura di protocollo per accertare l’esistenza di un documento informatico ad un certa data?
Se si, questo vale solo per questo specifico caso o dobbiamo rivedere tutto il processo di formazione dei documenti amministrativi informatici?
Non vorrei essere stato interpretato male. La mia affermazione non ha nulla a che fare con l’identificazione di un documento informatico. Concordo che un documento protocollato esiste ad una data certa ma mi certifica solo che a quella data è stato formato e identificato NON mi garantisce la data in cui è stato firmato.
Il modulo di implementazione delle Misure Minime serve, ed è bene ricordarlo, a indicare quali sono le modalità d’implementazione delle misure minime di sicurezza. Il modulo, firmato e marcato temporalmente, in caso di incidente informatico dovrà essere inviato al CERT-PA. La firma digitale e la marca temporale certificherà che quel modulo è stato firmato da chi in quella data aveva i requisiti per apporre la firma.
Il servizio di protocollo potrà certamente garantirmi che il documento era valido nella data in cui fu protocollato ma non potrà garantirmi che chi lo aveva firmato ne aveva ancora i requisiti.
Scusa, come no?
La segnatura di protocollo contiene tutte le informazioni per garantire il documento, compreso l’hash del file e dei relativi allegati.
Quindi come puoi affermare che non garantisce la data?
Se proprio vogliamo essere puntigliosi, nemmeno la marca tempoarle può farlo, perchè posso firmare OGGI mettendo sul mio pc la data tra 10 giorni e apporre la marca dopodomani.
Non desidero creare particolari confusioni.
Cerco di essere il più chiaro possibile (se mi riesce).
E tento di farlo dal punto di vista del CERT-PA.
In caso di incidente informatico l’Amministrazione deve inviarci il modulo d’implementazione.
Se a tale modulo firmato digitalmente non è apposta una marca temporale ma è apposta la sola segnatura di protocollo l’Amministrazione dovrà inviare al CERT-PA il documento protocollato e, nel caso in cui l’apposizione della segnatura di protocollo invalidasse la firma, anche il documento firmato digitalmente privo di tale segnatura.
Perfetto, credo quindi di capire che il problema stia nel “se c’è la segnatura di protocollo NON può esserci anche la firma digitale”. E’ questo l’assunto di base per cui motiva i post precedenti?
Alessandro, scusa il ritardo nella risposta.
No se c’è segnatura di protocollo può anche esserci la firma digitale.
Non entro nella spiegazione della costruzione dei documenti firmati digitalmente. Se qualcuno è interessato può trovare a questo link alcune siegazioni:
www.agid.gov.it/sites/default/files/linee_guida/firme_multiple.pdf
Il problema che intendevo indicare era che se a un documento firmato digitalmente (e non predisposto PADES con i o il modulo per accogliere altre informazioni) viene apposto un protocollo quel documento non ha più una firma digitale valida e risulterebbe solo un documento con marca temporale ma con firma digitale invalidata.
Se non sono stato chiaro sono sempre disponibile per ulteriori chiarimenti
Si perfetto, con la gestione delle revisioni del pdf.
Pensavo di avere detto “al netto dell’uso della firma pades”, ma devo averlo scritto da qualche altra parte
