Seminario di sicurezza a.a. 2002/2003. La legislazione italiana e la firma digitale.

1. Seminario di sicurezzaa.a. 2002/2003. La legislazione italiana e la firma digitale.

2. Indice : • INTRODUZIONE • DPR 513/97 e DPR 445/2000 • Definizioni • Dove può essere usata la firma digitale • Certificazione di chiavi • Obblighi del certificatore nella creazione e “gestione” della firma digitale • Le responsabilità del certificatore durante il periodo di validità della firma • Datazione di documenti informatici

3. La firma digitale fa la sua comparsa in modo organico all'interno dell'ordinamento giuridico italiano nel 1997 con l'articolo 15 comma secondo della legge 15 marzo 1997 n°59 che a tutt'oggi costituisce la norma base su cui poggia la legislazione in materia di firma digitale, anche dopo aver recepito

4. la direttiva comunitaria (D.Lgs. 23 gennaio 2002) , in quanto in esso viene riconosciuta la piena validità legale dei documenti realizzati, archiviati o trasmessi per mezzo di strumenti informatici , purché tali “attività” siano conformi a quanto descritto nella disciplina giuridica di dettaglio emessa con il DPR 513/1997 ,

5. successivamente integrata con alcune significative precisazioni contenute nel DPR 445 del 28 dicembre 2000.

6. Inoltre a questo contesto “puramente” giuridico va aggiunto il DCPMdell’ 8 febbraio 1999 che nei suoi allegati stabilisce le modalità tecniche con cui devo essere svolte tali attività.

7. il D.P.R. 513/97 regolamento recante criteri e modalità per la formazione, l’archiviazione e la trasmissione di documenti con strumentiinformatici e ilD.P.R 445/2000 testo unico delle disposizioni legislative e regolamenti in materia di documentazione amministrativa

8. Entrambi i documenti legislativi iniziano definendo i termini usati al loro interno, che verranno ripresi nel proseguo di questa presentazione ; pertanto allo scopo di facilitare la comprensione di quanto sto’ per descrivere essi saranno riportati e definiti nei lucidi che seguiranno

24. La firma digitale può essere apposta su qualsiasi documento informatico compresi eventuali duplicati per mezzo della chiave privata purché il certificato associato alla corrispondente chiave pubblica non sia soggetto ad alcun provvedimento di sospensione o revoca, l'apposizione di firma integra o sostituisce l'uso di timbri e marchi di qualsiasi genere e può

25. essere usata ai sensi dell’articolo 2703 del codice civile , previa autenticazione notarile;inoltre se al documento informatico devono essere allegati documenti cartacei essi possono essere sostituiti dalla versione informatica autenticata secondo quanto stabilito dall’articolo 20 comma 3 del presente documento

26. il quale da mandato al notaio di verificare la conformità della copia informatica rispetto a quella esibita su supporto originale e di autenticarla , da quel momento la copia informatica e valida a tutti gli effetti di legge e può essere esibita in sostituzione dell’originale.

27. Se la si vuole usare per la presentazione di istanze alla pubblica amministrazione la firma deve essere inserita nel documento alla presenza del dipendente adetto alla firma digitale .

28. La presentazione o il deposito di un documento per via telematica o su supporto informatico ad una pubblica amministrazione sono validi a tutti gli effetti di legge se vi sono apposte la firma digitale e la validazione temporale.

29. Nella pubblica amministrazione la firma digitale sostituisce la firma autografa comunque prevista ad ogni fine di legge e l’uso di timbri contrassegni punzoni ,sigilli ove erano previsti in precedenza

30. Il titolare di una coppia di chiavi asimmetriche può ottenere il deposito in forma segreta della chiave privata presso un notaio o altro pubblico deposito autorizzato. La chiave privata di cui si richiede il deposito può essere registrata su qualsiasi tipo

31. di supporto idoneo a cura del depositante e deve essere consegnata racchiusa in un involucro sigillato in modo che le informazioni non possono essere lette, conosciute ed estratte senza provocare evidenti rotture od alterazioni. Le modalità del deposito sono quelle regolate dalle disposizioni dell’articolo 605 del codice civile

32. Certificazione di chiavi

33. La procedura di certificazione deve esse effettuata da un certificatore inserito nella bancadati del apia che e’ consultabile anche da via web all’url www.apia.it o da un certificatore operante sulla base di licenza rilasciata da un altro paese della comunità europea

34. sono escluse dall’utilizzo obbligatorio dei certificatori le pubbliche amministrazioni che sulla base all’articolo 29 del presente documento hanno facoltà di provvedere autonomamente alla generazione e alla conservazione al utilizzo delle chiavi pubbliche di competenza

35. Obblighi del certificatore nella creazione e “gestione” della firma digitale

36. il certificatore è tenuto a:conservare le chiavi pubbliche per almeno dieci anniidentificare con certezza la persona che fa richiesta della certificazionerilasciare e rendere pubblico il certificato avente le caratteristiche fissate dall’articolo 8 comma 2 che rimanda al DCPM del 8-2-1999

37. Deve specificare, con il consenso del terzo interessato, la sussistenza dei poteri di rappresentanza o di altri titoli relativi ad altre attività o a cariche rivestite ed attenersi alle regole tecniche di cui all’articolo 8 comma 2 Informare sulla procedura di certificazione e sui necessari requisiti per accedervi

38. attenersi alle misure minime di sicurezza per il trattamento dei dati personalinon rendersi depositario di chiavi privateprocedere tempestivamente alla revoca o alla sospensione del certificato in caso di richiesta da parte del titolare

39. rendere pubblico tale provvedimento inserendo il certificato nella apposita lista . In caso di cessazione di attività deve darne comunicazione scritta con 6 mesi di anticipo sia all’apia che gli utenti che erano sotto la suaresponsabilità

40. Le responsabilità del certificatore durante il periodo di validità della firma

41. Il certificatore che rilascia al pubblico un certificato qualificato o che garantisce al pubblico l’affidabilità del certificato è responsabile, se non prova di aver agito senza colpa, del danno cagionato a chi abbia fatto ragionevole affidamento sull’esattezza delle informazioni

42. in esso contenute dalla data del rilascio e sulla loro completezza rispetto ai requisiti fissati per i certificati qualificati , sulla garanzia che al momento del rilascio del certificato il firmatario detenesse i dati della creazione della firma corrispondenti

43. ai dati per la verifica della firma possono essere usati in modo complementare, nei casi in cui il certificatore generi entrambi.Il certificatore è responsabile nei confronti di terzi che fanno ragionevolmente affidamento sul certificato stesso, dei danni provocati per effetto della mancata

44. registrazione della revoca o sospensione del certificato, salvo che provi d’aver agito senza colpa

45. Il certificatore può indicare di un certificato qualificato i limiti d’uso dello stesso ovvero un valore limite per i negozi per i quali può essere usato il certificato, purché i limiti d’uso o il valore limite siano riconoscibili da terzi; il certificatore non è responsabile di eventuali violazioni dei limiti dichiarati nel certificato

46. Datazione di documenti informatici

47. Questo problema e importante al punto che il DPCM gli dedica un capitolo denominato “regole per la validazione temporale e protezione di documenti.la firma digitale certifica l'identità di chi ha formato o trasmesso il documento ,

48. nonché l'integrità del documento stesso, ma non offre un'indicazione sicura sul momento in cui è stato firmato . Quindi, ogni volta che è necessario certificare il momento in cui il documento informatico è stato formato o spedito occorre

49. un'indicazione della data e dell'ora apposta (meglio, "associata") da un sistema "sicuro". Questa indicazione è definita dalla normativa come "marca temporale" (time stamping) che viene generata da un soggetto certificatore

50. Le marche temporali