Carta Nazionale dei Servizi

1. Carta Nazionale dei Servizi

2. Agenda • Obiettivi della presentazione • Quadro normativo di riferimento • Principi generali • Smart card e interoperabilità • Servizi e applicazioni della CNS • CNS e Regione Toscana • CNS e le altre PP.AA.

3. Obiettivi della presentazione • Overview della CNS Normativo Organizzativo Tecnologico • Attività e ruolo Infocamere

4. Agenda • Obiettivi della presentazione • Quadro normativo di riferimento • Principi generali • Smart card e interoperabilità • Servizi e applicazioni della CNS • CNS e Regione Toscana • CNS e le altre PP.AA.

5. Quadro normativo di riferimento • D.Lgs. 23 gennaio 2002 n.10 • Testo unico (D.P.R. n.445/2000) Art.1,Art 36 • La CNS è definita come “il documento rilasciato su supporto informatico per consentire l’accesso per via telematica ai servizi erogati dalla P.A.” • D.P.R. 2 marzo 2004 n. 117 • Regolamento concernente la diffusione della CNS, a norma dell’art. 27 delle DISPOSIZIONI ORDINAMENTALI IN MATERIA DI PUBBLICA AMMINISTRAZIONE • Regole tecniche Regole tecniche e di sicurezza relative alle tecnologie e ai materiali utilizzati per la produzione della Carta nazionale dei servizi (G.U. n.296 del 18/12/2004)

6. Agenda • Obiettivi della presentazione • Quadro normativo di riferimento • Principi generali • Smart card e interoperabilità • Servizi e applicazioni della CNS • CNS e Regione Toscana • CNS e le altre PP.AA.

7. Principi generali tecnici • La CNS è uno strumento di autenticazione in rete. • La CNS non identifica “a vista”. • Le caratteristiche del micro chip sono equivalenti a quelle della CIE. • La CNS contiene un certificato di autenticazione rilasciato dai certificatori accreditati. • Il certificato di autenticazione ha un profilo standardizzato. • La CNS deve essere predisposta per operare come carta sanitaria • La CNS deve essere predisposta per ospitare il servizio di firma digitale

8. Principi generali organizzativi 1/4 • La CNS può essere emessa da tutte le PP.AA. su richiesta del cittadino. • Tutte le PP. AA. che erogano servizi in rete devono garantirne l’accesso ai titolari di CNS (e CIE). • La CNS prevede un layout libero. E’ obbligatorio riportare la scritta “CARTA NAZIONALE DEI SERVIZI” e l’amministrazione emittente. • La CNS può essere usata ai fini del pagamento tra soggetti privati e P.A. • La CNS può contenere le informazioni per la firma digitale. • La CNS può contenere una banda magnetica, (anche per le finalità di pagamento)

9. Principi generali organizzativi 2/4 Regole tecniche Produttore Ente emettitore Certificatore • responsabile delle plastiche • inizializzazione file system • … • registrazione utenti->identificazione • aggiornamento INA • personalizzazione/consegna • gestione ciclo di vita CNS • generazione certificato aut. CNS

10. Principi generali organizzativi 3/4 Ente Emettitore • L’amministrazione emittente è responsabile dell’identificazione del titolare e di consegnare la carta al suo legittimo proprietario. • L’amministrazione che emette carte CNS è responsabile di definire un servizio di call center per la revoca o sospensione della CNS. • L’amministrazione può disporre la revoca. • Le informazioni anagrafiche relative alle carte CNS sono inviate al sistema INA-SAIA (indice nazionale delle anagrafi). • L’amministrazione che emette le carte CNS definisce le procedure di gestione, personalizzazione e rilascio delle carte CNS e le descrive in un apposito manuale della sicurezza.

11. Principi generali organizzativi 4/4 Codice fiscale Id univoco carta Hash dal file dati personali Certificatore • Certificatore accreditato ai sensi dell’art.5 del D.Lgs 23 gennaio 2002, n.10 • I certificatori sono iscritti in un elenco, consultabile via telematica, tenuto dal D.I.T. (Dipartimento Innov. Tecn.) • Profilo di Certificato perl’autenticazione CNS • RFC 3280 • Informazioni del titolare • Es. commonName: • DMMRNT63H14H501T/123322123123.cd3fdfdfeH2Duoewf5oasookDHo=

12. Agenda • Obiettivi della presentazione • Quadro normativo di riferimento • Principi generali • Smart card e interoperabilità • Servizi e applicazioni della CNS • CNS e Regione Toscana • CNS e le altre PP.AA.

13. Smart card – caratteristiche e interoperabilità 1/2 File system e struttura dati Smart card • ISO 7816 • EEPROM >= 32KB • APDU standard pubblicate sul sito CNIPA • Certificata CC EAL4+ pp CWA14169 • Altri standard… • compatibile Netlink • PKCS#11 • ASN1

14. Smart card – caratteristiche e interoperabilità 2/2 • Interoperabilità fondata su ISO 7816 1, 2, …, 9 • Part 1-4 full • Part 8 oggetti di sicurezza • Part 9 comandi per la gestione del ciclo di vita • Il protocollo d’intesa 13 maggio 2003 • Siglato da Mininterno, MIT e i 9 principali produttori di smartcard • Standard aperto • Art 2 e art 4 Garanzia nel mantenimento dello standard tecnologico • Art 3 Consultazioni per la definizione, approvazione e verifica di eventuali variazioni indotte dallo sviluppo tecnologico.

15. Smart card – produzione 1/2 La produzione delle smart card destinate ad operare come CNS deve avvenire con criteri che garantiscano la segretezza delle informazioni presenti nelle carte inizializzate. • autenticazione certa dell’operatore • registrazione di tutte le operazioni effettuate e dei dati utili alla tracciatura del processo • protezione delle informazioni di tracciatura in modo tale da garantirne integrità e non ripudio

16. Smart card – produzione 2/2 • Conservazione e trasporto delle carte • Caveau • Trasporto con bolla di consegna tra plant diversi • Gestione degli scarti • Controllo all’unità • Distruzione con verbale e con più persone • Generazione delle chiavi • archivi cifrati per le chiavi PIN, PUK, etc… • Tracciatura delle operazioni • Conservazione dei registri cartacei o elettronici per almeno 10 anni • Protezione delle informazioni di tracciatura • registri elettronici cifrati con smartcard RSA • gestione e custodia sicura della smartcard operatore • Misure organizzative • Almeno un Responsabile della sicurezza presente per ogni turno • Garanzia del rispetto di tutte le procedure • Misure di sicurezza fisiche • Almeno doppio livello recintato con telecamere e sistemi anti intrusione • Custodia 24h • Accesso dei dipendenti differenziato per funzione

17. Smart card - emissione Carta nazionale dei servizi Comune di XYZ Il circuito di emissione comprende: • Personalizzazione della carta • Verifica dei dati anagrafici • Consegna della carta al titolare • Consegna dei codici segreti PIN e PUK Pin: 1234 Puk: 1234 Codice in materia di protezione dei dati personali – DL 30 giugno 2003, n. 196 • Protezione delle carte inizializzate • Protezione dei flussi di dati • Canali cifrati (almeno 128 bit) • Mutua autenticazione

18. Agenda • Obiettivi della presentazione • Quadro normativo di riferimento • Principi generali • Smart card e interoperabilità • Servizi e applicazioni della CNS • CNS e Regione Toscana • CNS e le altre PP.AA.

19. Circuito di emissione 1/2 Produttore Personalizzatore Autenticazioni pending Registration Authority Emettitore Registrazione Ente Certificatore Acquisizione dati Autorizzazione Verifica dati $ $ $ Centro Servizi di Autenticazione Emissione carta Emissione PIN Gestione della CA Fornitori dei servizi applicativi Identificazione Accesso Archivi Identificativi Liste di revoca e sospensioni Accesso al servizio di identificazione CNS CNS

20. Circuito di emissione 2/2 • Produzione, Inizializzazione • Presso un produttore accreditato (che rispetta le misure di sicurezza) • Personalizzazione • Presso l’ente emettitore o presso struttura delegata (che rispetta le misure di sicurezza, e comunque, la responsabilità e’ dell’ente emettitore) • Rilascio certificati di autenticazione • Possono operare come emettitori dei certificati di autenticazione della CNS esclusivamente i certificatori accreditati di cui all’articolo 5 del Decreto Legislativo 23 gennaio 2002, n.10. • Imbustamento e consegna • Presso strutture dell’ente emettitore o direttamente a casa via posta (ma solo dopo la necessaria fase d’identificazione a vista e dopo la dichiarazione del non possesso CIE)

21. Multiapplicazione • E’ un documento di Identificazione in Rete • Consente la fruizione di servizi PA Centrali • Consente la fruizione di servizi PA Locali • Può ospitare la funzionalità di firma digitale qualificata • Può ospitare applicazione di carta Sanitaria Netlink compatibile • Può ospitare Servizi di Pagamento On-Line • ed inoltre… • altri certificati X.509 (Cifra, posta elettronica firmata,...) • Altri dati, per altre applicazioni specifiche (controllo accesso fisico, caricamento di token per eventuali sistemi di pagamento a circuito chiuso, etc…)

22. Servizi locali - Firma Digitale Qualificata – MultiGestione DF firma digitale • Servizi aggiuntivi Locali • Possono essere caricati dall’ente emettitore, anche dopo il rilascio e a cura di una struttura delegata • Firma Digitale Qualificata • Può essere caricata da una delle CA pubbliche ed accreditata • Multigestione: diversi enti possono gestire in sicurezza la stessa card (ASL, Certificatore)

23. Agenda • Obiettivi della presentazione • Quadro normativo di riferimento • Principi generali • Smart card e interoperabilità • Servizi e applicazioni della CNS • CNS e Regione Toscana • CNS e le altre PP.AA.

24. Ruoli e attività di Infocamere • 1,3 Mln smartcard Firma Digitale • Servizio Firma Digitale • Servizi on-line fruibili mediante CNS Nell’ambito della CNS… Ente Certificatore Servizi Ente emettitore CCIAA Regione Toscana altre PP.AA.

25. Circuito di Emissione CNS • Ready card • Post card • La modalità di rilascio della CNS è sostanzialmente analoga a quella della carta di firma INA Ente Emettitore Produttore Carte inizializzate Cittadino/Titolare Carte personalizzate Certificatore

26. CNS, Regione Toscana e utenti • Documentazione/Manualistica • Qualità ISO 9000/2000 • Manuale operativo CNS • Manuale Utente • Analisi del rischio • Piano della sicurezza Misure di sicurezza • Gestione scarti • Tracciatura operazioni • Protezione informazioni di tracciatura • Protezione flusso dei dati • Utente • 2 PIN/2 PUK: cert. di firma e cert. CNS • Predisposizione Netlink • Autenticazione servizi on-line mediante smartcard • Altri certificati opzionali

27. Agenda • Obiettivi della presentazione • Quadro normativo di riferimento • Principi generali • Smart card e interoperabilità • Servizi e applicazioni della CNS • CNS e CCIAA • CNS e le altre PP.AA.

28. Vantaggi per le PP.AA. e cittadini • Miglioramento del dialogo tra PP.AA. e cittadini • Interazioni delle PP.AA. tra di loro e con altri soggetti pubblici e privati (banche, enti erogatori dei servizi di pubblica utilità) • Attività di tipo normativo, organizzativo e tecnico per semplificare i processi e i meccanismi interni delle PP.AA. • Imparzialità nell’erogazione delle prestazioni e uguaglianza del diritto all’accesso ai servizi • Informazione dei cittadini utenti sui servizi offerti e le modalità di erogazione • Riduzione sostanziale dei tempi di attesa e dei spostamenti fisici