La sicurezza dei servizi on-line

La sicurezza dei servizi on-line

Definizione dell'infrastruttura necessaria all'erogazione sicura di servizi su rete

Un sistema pubblico di e-government non può prescindere dalla sicurezza. La promozione dell'utilizzo dei servizi di e-government presuppone, infatti, che sia alta la fiducia che gli utenti, cittadini e imprese, nutrono nei confronti dei nuovi servizi dell'amministrazione.

Un sistema interconnesso di servizi di e-government, distribuito su tutto il territorio nazionale e animato da una molteplicità di attori, pone di per sé stesso la necessità di assicurare un adeguato livello di sicurezza al suo funzionamento.

Come è noto, inoltre, la sicurezza di un sistema si misura sulla componente più debole del sistema, dalla quale dipende la sicurezza dell'intero sistema.

Occorre quindi definire un insieme di standard minimi condivisi di sicurezza per ogni attore del sistema e promuovere il conseguimento di tali standard mediante azioni di sostegno a livello nazionale e locale.

Le motivazioni

Sono tre le leve che spingono verso l'aumento degli standard relativi alla sicurezza nel campo dei servizi pubblici veicolati on-line:

l'aumento del numero di servizi e di utenti che ne fruiscono che conferisce a questo settore il ruolo di ambito strategico in chiave attuale e nel medio periodo;

il fatto che la PA abbia messo in campo l'autorevolezza del servizio pubblico per incentivare lo sviluppo di servizi e l'ampliamento del bacino d'utenza degli stessi;

la necessità di garantire la riservatezza dei dati personali (privacy) nelle interazioni tra cittadini e pubblica amministrazione, secondo quanto previsto dalla legge 675/96.

La realizzazione di un modello di sicurezza e la capacità di comunicarlo efficacemente all'esterno è anche un obiettivo strategico in funzione del superamento delle diffidenze di cittadini e imprese verso il concetto di transazione in rete soprattutto nel campo dell'interrelazione con la Pubblica Amministrazione.

Criteri per la sicurezza dei servizi pubblici online

L'interazione tra cittadino ed istituzioni deve avvenire assicurando la protezione dei dati scambiati ed il pieno rispetto dei diritti relativi alla riservatezza delle informazioni personali.

Le regole per l'uso sicuro dei servizi di e-government possono essere riepilogate nei seguenti punti:

deve essere assicurata l'integrità e la riservatezza delle informazioni che transitano in rete;

le fonti di erogazione dei servizi devono essere affidabili e certificate;

le informazioni di carattere personale devono essere consultabili esclusivamente dal legittimo proprietario dei dati;

nell'interazione con i sistemi di e-government, l'utente deve fornire il minor numero possibile di informazioni di carattere personale e quest'ultime devono essere utilizzate esclusivamente per verificare il diritto ad accedere ai servizi;

l'abilitazione all'accesso ai servizi deve poter essere concessa in funzione di specificità dell'utente (cittadinanza, appartenenza a categorie professionali, ecc.) attestate dagli organismi competenti.

Il soddisfacimento di questi requisiti può essere raggiunto con diversi strumenti e tecniche, ma per raggiungere questi obiettivi su scala nazionale è necessario disporre di uno strumento agile e flessibile che risponda a standard capaci di garantire l'utilizzo di servizi diversi a prescindere dal contesto organizzativo e tecnologico.

Le carte per l'accesso ai servizi in rete - Carta d'Identità Elettronica e Carta Nazionale dei Servizi - rispondono appunto a questa esigenza(1).

Certificazione dei siti

I siti responsabili dell'erogazione dei servizi di e-government dovranno essere dotati di un certificato di autenticazione del server di tipo SSL, emesso da un certificatore accreditato.

SSL è sostanzialmente una libreria di programmi che consentono di realizzare un canale di comunicazione che gode delle caratteristiche di: riservatezza del contenuto dei messaggi; integrità dei messaggi; mutua autenticazione delle parti coinvolte.

La certificazione del sito è necessaria per autenticare il sistema che eroga servizi pubblici on-line durante un processo di mutua autenticazione SSL.

I browser correnti verificano automaticamente l'autenticità del server tramite il certificato memorizzato nel client. Affinché ciò sia possibile, è però necessario che sul browser dell'utente siano installati i certificati digitali dei certificatori accreditati.

La responsabilità di quest'ultima operazione è a carico dell'utente, così come la responsabilità della verifica che le transazioni protette stiano utilizzando un certificato "corretto".

Per facilitare l'utilizzo dei servizi di e-government da parte dei cittadini saranno predisposte delle procedure che semplificheranno la gestione dei certificati; tuttavia è necessario che l'utente abbia un livello "base" di conoscenza delle problematiche di autenticazione dei siti attraverso certificati digitali.