Transcript Per maggiori informazioni sull`argomento, può

eGovernment
SPID
Sistema Pubblico
Identità Digitale
A che punto è? A cosa serve?
E' del 15 marzo 2016 la
partenza di SPID, il
sistema di Identità
Digitale voluto dal
Governo per rendere
più digitale il nostro
paese.
SPID vuole favorire
l’offerta
di
servizi
online per cittadini e
persone giuridiche da
parte di imprese e
Pubbliche
Amministrazioni.
eGovernment
SPID – Sistema Pubblico Identità Digitale
PREMESSA
L’avvio dell’infrastruttura SPID è stata accolto con pareri contrastanti, sia nel merito degli aspetti
tecnici che in relazione agli aspetti normativi; SPID arriva infatti sulla scia del mancato successo di
iniziative per altro simili, come la CIE e la CNS, ed il modello pubblico/privato a cui si riferisce è
similare a quello della Firma Digitale e della PEC.
Dai risultati ottenuti negli anni, sono pertanto lecite le perplessità, tra cui una su tutte è quella
relativa a quello che sarà il reale grado di adozione da parte dei cittadini. Se si fa il paragone con la
PEC o con la Firma Digitale, si ricorderà come tali iniziative siano nate con la presunzione che i
potenziali vantaggi fossero sufficienti per stimolarne la diffusione, ottenuta poi faticosamente solo
tramite l’evoluzione dei processi amministrativi.
SPID, al contrario, tramite il
sembra connotarsi in modo
incardinato nel CAD (art.64)
Pubbliche Amministrazioni,
strumento.
piano di integrazione con i vari servizi locali, regionali e nazionali,
innovativo rispetto ai suoi più illustri precursori. Anche il vincolo
di obbligo dell’utilizzo di SPID e/o di CIE e CNS nei rapporti con le
potrà costituire un impulso significativo alla diffusione dello
CHE COS’È SPID?
SPID è il Sistema Pubblico per l’Identità Digitale promosso dal Governo, che permette a cittadini e
imprese di accedere con un unico login a tutti i servizi online di pubbliche amministrazioni e
imprese aderenti.
La portata innovativa dello SPID, consiste nel promuovere e favorire la diffusione di servizi online e
agevolarne l’utilizzo da parte di cittadini e imprese.
Cittadini e imprese possono scegliere liberamente il proprio gestore delle identità digitale
preferito.
Il primo passo ufficiale dello SPID è stato mosso a fine 2014 con un provvedimento di attuazione, il
decreto della Presidenza del Consiglio dei Ministri del 24 ottobre 2014. A metà 2015 sono stati
emanati i regolamenti attuativi a dal 15 settembre 2015 è iniziato l’accreditamento degli Identity
Provider all’Agenzia. Dal 15 marzo 2016 sono attivi i primi servizi.
QUALI ATTORI E RUOLI PREVEDE SPID?
Lo SPID identifica differenti ruoli
Pagina | 1
Documento - Maggio 2016
eGovernment
SPID – Sistema Pubblico Identità Digitale
Gestori dell’identità digitale (o Identity Provider), sono imprese private accreditate allo SPID
(ottengono la “licenza” da AgID) con il compito di identificare l’utente in modo certo, di creare le
identità digitali, di assegnare le credenziali, di gestire gli attributi degli utenti. Essi inoltre, in
qualità di gestori di servizio pubblico, forniscono i servizi a pubbliche amministrazioni e imprese
private aderenti di identificazione degli utenti, garantendo la correttezza dell’identità digitale e la
riservatezza delle informazioni.
Fornitori di servizi (o Service Provider) sono i soggetti privati e le pubbliche amministrazioni che
erogano servizi online, per la cui fruizione è richiesta l’identificazione e l’autenticazione degli
utenti.
Utente: persona fisica o giuridica, titolare di un'identità digitale SPID, che utilizza i servizi erogati in
rete da un fornitore di servizi, previa identificazione informatica.
Agenzia è l’organismo di vigilanza che si occupa di gestire l’accreditamento e di monitorare i
gestori dell’identità digitale e i gestori degli attributi qualificati.
Gestori di attributi qualificati sono soggetti che hanno il potere di attestare gli attributi qualificati
su richiesta dei fornitori di servizi.
CHI SONO GLI IDENTITY PROVIDER?
Gli attori che possono assumere il ruolo di Identity Provider sono molteplici (banche, operatori di
telefonia mobile, certification authority, fornitori di soluzioni IT) e giocano un ruolo fondamentale
nel decretare il successo del sistema perché portano in “dote” allo SPID il proprio bacino di utenti
potenziali. Ad oggi, maggio 2016, sono 3 gli Identity Provider che hanno richiesto e ottenuto la
certificazione da parte dell’AgID:
Infocert, PosteItaliane, Telecom Italia Trust Technologies.
QUALI PUBBLICHE AMMINISTRAZIONI SONO GIÀ ATTIVE E CON QUALE
RUOLO?
Le Pubbliche Amministrazioni sono un attore fondamentale per la diffusione di SPID. Sono, infatti,
le prime a partire come Service Provider. Da marzo 2016 i cittadini possono accedere a circa 300
servizi offerti da 10 tra pubbliche amministrazioni centrali (Agenzia delle Entrate, INPS, INAIL),
Regioni (Piemonte, Friuli Venezia Giulia, Emilia Romagna, Liguria, Toscana, Marche) e Comuni
(Firenze). Entro giugno 2016 saliranno a 600 i servizi abilitati e si aggiungeranno altre
amministrazioni centrali (Equitalia), nuovi Comuni (Venezia e Lecce) e nuove Regioni (Lazio e
Pagina | 2
Documento - Maggio 2016
eGovernment
SPID – Sistema Pubblico Identità Digitale
Umbria). Entro 24 mesi (in teoria novembre 2017) tutte le Pubbliche Amministrazioni aderiranno
obbligatoriamente a SPID e per loro i servizi di identificazione saranno completamente gratuiti.
QUALI I LIVELLI DI SICUREZZA?
IL MODELLO SPID PREVEDE 3 LIVELLI DI SICUREZZA.
Livello 1 garantisce con un buon grado di affidabilità l'identità accertata nel corso dell’attività di
autenticazione. A tale livello è associato un rischio moderato e compatibile con l’impiego di un
sistema autenticazione a singolo fattore, ad es. la password; questo livello può essere considerato
applicabile nei casi in cui il danno causato, da un utilizzo indebito dell’identità digitale, ha un basso
impatto per le attività del cittadino/impresa/amministrazione. Per il livello 1 la credenziale sarà
dunque una password di almeno 8 caratteri, da rinnovarsi ogni 180 giorni, formulata secondo i
consueti criteri di sicurezza.
Livello 2 garantisce con un alto grado di affidabilità l'identità accertata nel corso dell’attività di
autenticazione. A tale livello è associato un rischio ragguardevole e compatibile con l’impiego di un
sistema di autenticazione informatica a due fattori non necessariamente basato su certificati
digitali; questo livello è adeguato per tutti i servizi per i quali un indebito utilizzo dell’identità
digitale può provocare un danno consistente. Per il livello 2, oltre alla password sarà necessario
inserire il codice proveniente da un dispositivo a chiave variabile (c.d. One Time Password) che
potrebbe essere anche un’applicazione sul cellulare.
Livello 3 garantisce con un altissimo grado di affidabilità l'identità accertata nel corso dell’attività
di autenticazione. A tale livello è associato un rischio altissimo e compatibile con l’impiego di un
sistema di autenticazione informatica a due fattori basato su certificati digitali e criteri di custodia
delle chiavi private su altri dispositivi; questo è il livello di garanzia più elevato e da associare a
quei servizi che possono subire un serio e grave danno per cause imputabili ad abusi di identità;
questo livello è adeguato per tutti i servizi per i quali un indebito utilizzo dell’ identità digitale può
provocare un danno serio e grave. E’ anche interessante notare che le definizioni di dispositivo
includa sia dispositivi di tipo hardware sia di tipo software (ad esempio sono tali i generatori di
password attraverso app per smartphone).
QUALI I SERVIZI ABILITATI?
Tra le amministrazioni centrali, INPS offre l’accesso a tutti servizi online rivolti ai cittadini; INAIL
garantisce invece l’accesso SPID sia ai servizi dedicati ai lavoratori, sia a quelli per i quali è richiesto
un profilo specifico (come quelli per i datori di lavoro, i CAF, i consulenti o i medici). Dal 15 aprile
Pagina | 3
Documento - Maggio 2016
eGovernment
SPID – Sistema Pubblico Identità Digitale
2016 inoltre, Agenzia delle entrate ha reso disponibile online la dichiarazione dei redditi
precompilata per l’anno 2016, accessibile tramite credenziali SPID.
Con SPID è possibile utilizzare anche una serie di servizi messi a disposizione dalle prime
amministrazioni locali aderenti. Il comune di Venezia garantisce l’accesso a servizi scolastici quali
la consultazione delle rette o l’iscrizione al servizio di trasporto, mentre la Regione Friuli Venezia
Giulia consente l’accesso a servizi in ambito socio sanitario, anagrafico e professionale come il
cambio del medico curante o la consultazione della propria scheda anagrafica sanitaria e della
scheda anagrafica professionale.
La regione Toscana permette di inviare e ricevere documenti ed effettuare pagamenti online verso
la pubblica amministrazione; l’Emilia Romagna ha integrato invece il nuovo sistema di log in con il
sistema regionale che permette di effettuare transazioni online e – al pari del comune di Venezia –
consente l’accesso alla rete wifi regionale.
Sul sito spid.gov.it è possibile visualizzare la roadmap di implementazione di SPID da parte delle
amministrazioni pilota da qui a giugno 2016; entro la fine del 2017 tutte le pubbliche
amministrazioni aderiranno al sistema offrendo ai cittadini l'accesso all'insieme completo dei
servizi online.
COME SI OTTIENE L’IDENTITÀ DIGITALE?
L’identità SPID è rilasciata dai Gestori di Identità Digitale (Identity Provider) che forniscono le
identità digitali e gestiscono l’autenticazione degli utenti.
Per ottenere un’identità SPID l’utente deve farne richiesta al gestore, il quale, dopo aver verificato
i dati del richiedente, emette l’identità digitale rilasciando le credenziali all’utente. Per richiedere
l’identità digitale è necessario presentare un modulo di richiesta di adesione che contiene tutte le
informazioni necessarie per l’identificazione del soggetto richiedente (nome, cognome, sesso, data
e luogo di nascita, codice fiscale, estremi del documento di identità) e le informazioni per essere
contattati (un indirizzo di posta elettronica – univoco per ogni identità SPID - e un recapito di
telefonia mobile).
L’autenticazione dell’utente può avvenire in presenza o a distanza. L’autenticazione in presenza
prevede l’esibizione di documentazione cartacea e moduli sottoscritti presso una sede, anch’essa
fisica del gestore dell’identità. L’autenticazione a distanza può avvenire in due modalità:
“identificazione a vista da remoto” e “identificazione informatica tramite documenti digitali di
identità”. La differenza tra le due procedure riguarda il fatto che, nella identificazione informatica,
il richiedente viene identificato sulla base della verifica digitale di credenziali informatiche già in
proprio possesso, mentre nella identificazione da remoto, un operatore verifica in una sessione
audio/video con il richiedente l’identità tramite la presentazione dei documenti di identità e
dichiarazioni del richiedente.
Pagina | 4
Documento - Maggio 2016
eGovernment
SPID – Sistema Pubblico Identità Digitale
Di seguito vediamo come funziona attualmente il rilascio delle identità digitali da parte dei tre
Identity provider attualmente attivi:
•
Poste Italiane: i clienti di Poste Italiane che già dispongono di strumenti di identificazione
(lettore BancoPosta, numero di telefono certificato su carta Postepay o Libretto Smart, APP
PosteID) e i cittadini in possesso di Carta Nazionale dei Servizi, Carta d’identità elettronica o Firma
Digitale possono accedere ad una procedura di registrazione semplificata completamente online.
Altrimenti bisognerà andare negli uffici postali abilitato a SPID, che da aprile saranno in tutta Italia
(Poste ancora non ne fornisce la lista).
•
Tim: al momento consente esclusivamente l’attivazione online per gli utenti aventi una
firma digitale, la Carta nazionale dei servizi o la Carta d’Identità elettronica.
•
Infocert: consente l’attivazione online per utenti in possesso di una firma digitale, la Carta
nazionale dei servizi e la Carta di identità elettronica, per tutti gli altri utenti consente l’attivazione
con riconoscimento via web (per 15 euro più IVA) e la possibilità di andare di persona in sede (solo
a Roma, Padova e Milano).
Certamente prevediamo che ci sarà uno sviluppo nei prossimi mesi sulle modalità di rilascio
dell’identità digitale.
QUALI I VANTAGGI DI SPID?
I Service Provider che aderiscono allo SPID, sia Pubbliche Amministrazioni sia imprese private,
possono disporre di un parco utenti senza censirli, non avranno gli oneri derivanti dalla
conservazione dei dati personali, non dovranno preoccuparsi di evitare attacchi volti al furto delle
credenziali. Inoltre, i Service Provider possono avere profili con un’identità certa, eliminando i
cosiddetti “falsi profili”, ed univoca, eliminando i duplicati.
Per gli utenti, SPID consente di semplificare la vita di cittadini e imprese nell’interazione con la
Pubblica Amministrazione tramite servizi online grazie ad un unico login. Il sistema garantisce la
massima sicurezza e privacy. SPID assicura la massima riservatezza dei dati ed è pensato proprio
per aumentare la trasparenza sulla gestione dei propri dati ed erogare servizi secondo il principio
dei dati minimi. Il Service Provider non può conservare i dati dell’utente che riceve dall’Identity
Provider ed è assolutamente vietata la tracciatura delle attività di un individuo.
QUALI I COSTI DI SPID NEI CONFRONTI DEGLI IDENTITY PROVIDER?
Il tema dei costi e in generale del business model è il più delicato.
Pagina | 5
Documento - Maggio 2016
eGovernment
SPID – Sistema Pubblico Identità Digitale
Per gli utenti, SPID è gratuito per almeno due anni (per i livelli 1 e 2 di sicurezza). È ancora da
capire cosa succederà tra due anni perché mettendo il servizio a pagamento si correrebbe il rischio
di ridurre l’adozione da parte degli utenti e quindi l’attrattività per i Service Provider. Gli Identity
Provider potranno invece pensare a servizi aggiuntivi da mettere a pagamento (ad esempio
l’autenticazione da remoto).
Per le Pubbliche Amministrazioni SPID è gratuito e continuerà ad esserlo.
Per i Service Provider privati, SPID sarà a pagamento e dovranno pagare gli Identity Provider per
l’utilizzo del servizio (potrà essere un canone annuale, una fee per ogni identificazione o una fee
per ogni utente attivo nell’anno).
SPID SARÀ RICONOSCIUTO A LIVELLO INTERNAZIONALE?
Dopo l’emanazione del regolamento comunitario e-IDAS (Electronic Identity Authentication and
Signature) e la notifica da parte del governo italiano del DPCM che regolamenta SPID alla
Commissione europea, il sistema italiano sarà accettato dagli altri Stati membri dell’UE. Il
combinato disposto dei due provvedimenti regolatori consente di realizzare l’interoperabilità del
sistema SPID nel panorama tecnologico europeo.
Il regolamento eIDAS permetterà a un cittadino Europeo di essere identificato elettronicamente in
un qualsiasi stato dell'unione, sul principio del mutuo riconoscimento e accettazione di schemi di
eID interoperabili.
Pagina | 6
Documento - Maggio 2016
eGovernment
SPID – Sistema Pubblico Identità Digitale
PROGETTO SPID PER HALLEY INFORMATICA
Il sistema eGov Halley, che già permette l’accesso autenticato ai servizi online erogati ai Cittadini,
Imprese e Professionisti, verrà integrato con il sistema SPID.
L’eGov Halley sarà tra i primi portali web della Pubblica Amministrazione che assicurerà da subito
la possibilità di accedere a tutti i servizi online utilizzando la nuova identità digitale unica.
Il progetto verrà sviluppato in collaborazione con i tre identity provider (Poste, Infocert, Telecom)
in quanto “…il fornitore di servizi, nell’accettare l’identità digitale, non discriminano gli utenti in
base al gestore dell’identità digitale che l’ha fornita”.
PROCESSO DI AUTENTICAZIONE
Quando l’utente selezionerà l’area riservata ai servizi online (Cittadini/Imprese), visualizzerà la
nuova maschera, nella quale potrà scegliere l’accesso con SPID, anziché con il sistema tradizionale.
Quindi, se già in possesso di SPID, dovrà cliccare il pulsante “Entra con SPID” e scegliere dall’elenco
il proprio Identity Provider per autenticarsi.
L’identity Provider, verificata l’identità dell’utente, restituirà gli attributi identificativi al portale
eGov, il quale, come avviene anche attualmente, controllerà se l’utente che richiede l’accesso è
cittadino residente o non residente oppure ha almeno un’utenza attiva presso l’Ente; in caso
positivo, l’utente avrà accesso alla propria area riservata per consultare i servizi erogati dalla PA, in
caso negativo, l’utente non potrà accedere.
Pagina | 7
Documento - Maggio 2016
eGovernment
SPID – Sistema Pubblico Identità Digitale
ESEMPIO DI LOGIN AREA CITTADINO
CONVENZIONE SPID TRA AGID E PUBBLICA AMMINISTRAZIONE
L’adesione a SPID si realizza mediante la sottoscrizione da parte della singola PA di una
convenzione con l’Agenzia per l’Italia Digitale.
TO BE CONTINUED …
Pagina | 8
Documento - Maggio 2016