Security Officer - Responsabilità Civili Penali Amministrative

CIE
1

Buongiorno.

Volevo cortesemente fare alcune domande in merito a questa figura.

  1. il Security Officer detentore della master password può essere esterno all’ente?
  2. in che rischi civili, amministrativi e penali incorre?
  3. ipotizziamo che la master password venga rubata informaticamente senza che se ne accorga e venga utilizzata per generare CIE fasulle, che tipo di responsabilità ha il security officer?

Grazie.

Andrea

2

Salve Andrea,

riteniamo che tale quesito vada rivolto al Ministero dell’Interno, la tematica è strettamente di sua competenza. Ti invitiamo a scrivere a cie.comuni@interno.it.
Saluti.

3

Ok grazie mille.

Andrea

4

Chiesto via email, per ora nessuna risposta.

Andrea

5

ciao @Andrea_Tironi1,

appena sai qualcosa, potresti condividere?

grazie.

6

Volentieri, anche se ho già chiesto 5 volte senza che nessuno mi risponda.
Probabilmente serve tempo per dare una risposta completa.

Andrea

1 Mi Piace
7

Ma la password del Security Officer serve solo ad abilitare le tessere SCO, nessuna carta identità può essere emessa qualora le venga sottratto.

8

Giusta osservazione. Grazie @Roberto_Cicala.

Andrea

9

e non mi pare poco…
Il tecnico che installa le postazioni consegna a me security officer le SCO.
Un security officer “malevolo” potrebbe abilitare le SCO su codici fiscali di operatori ignari di tutto ed emettere tonnellate di CIE.

Secondo me questo è un problema procedurale che non è stato valutato adeguatamente: le SCO non attive dovevano essere consegnate agli operatori, non al security officer.

10

Ma non è neanche così perché gli utenti abilitati da Monitora non li inserisce il security officier, ma il responsabile del servizio rilascio CIE, quindi è possibile autenticare card solo ai codici fiscali accreditati precedentemente. Occorrerebbe una vera associazione a delinquere, e non è certamente più facile di falsificare la vecchia carta cartacea.

11

A me comunque sembra abbia una certa responsabilità il ruolo di Security Officer e non credo sia demandabile ad un terzo ma debba rimanere nell’ente, possibilmente sul Responsabile Demografici nemmeno sul Responsabile IT. Cosa ne pensate @Roberto_Cicala e @perrcla ?

12

non so, se non ricordo male nel questionario che abbiamo compilato tempo fa, per il security officer si faceva espressamente riferimento ad un persona dell’IT.
Ma forse sbaglio…

Cmq si, pare anche a me che alla fine un pò di responsabilità il security officer le abbia.
Anche solo per i limiti intrensici della procedura.
Mi spiego: c’è un momento in cui il security officer ha in mano sia la SCO che il PIN in chiaro.
Questa secondo me è una leggerezza.
Faccio l’analogia con la procedura di attivazione delle CNS-tessera sanitaria.
L’operatore attiva la carta, senza MAI vedere il PIN in chiaro. All’ufficio sono assegnate della buste contenenti PIN e PUK sigillate che vengono semplicemente associate alle CNS da attivare. Un pò come avviene con i PIN delle carte bancomat.
In questo modo chi attiva le CNS non dispone mai del PIN della carta e comunque, la manomissione della busta è facilmente rilevabile…

Però… in effetti sono questioni di lana caprina…

13

Direi che siamo tutti daccordo su:

  1. il SO (security Officer) ha delle responsabilità non trascurabili
  2. il SO deve essere interno all’ente
  3. il SO può essere il Resp. Demografici (molto meglio) o una figura IT (Resp. IT)

Andrea