Identità certa nei processi online, SPID, Firma grafometrica e Avanzata - Workshop e-Security a Smau Milano 2015

1. 1

2. Una storia d’innovazione e d’investimenti
Dall’Hosting, attraverso l’e-Security, fino al Cloud
3
Nascita del brand Aruba come fornitore di servizi
hosting, registrazione domini e posta elettronica
Aruba entra nel mondo dei servizi data center
inaugurando il primo data center
Inizia l'espansione Internazionale con l'acquisizione di Forpsi, azienda
leader di mercato leader in Rep. Ceca e con l’espansione in Polonia,
Ungheria e Slovacchia.
Fondazione Aruba PEC e ingresso come Gestore Certificato nel mercato
della PEC e come Autorità di Certificazione nel mercato della firma digitale
Ingresso nel mercato della produzione e
personalizzazione di Smart Card e Tessere Sanitarie
Acquisizione Actalis, consolidamento mercato
security e ingresso nel mercato Banking e Finance
Lancio dell'offerta di Cloud Computing
attraverso Cloud.it
Nasce Aruba.it Racing, team ufficiale
Ducati nel campionato mondiale SBK
Registro del dominio .cloud
Lancio dei servizi Cloud in UK,
Francia e Germania

3. Servizi e soluzioni per
la creazione e lo
sviluppo della
presenza on-line per
utenti business e
consumer.
 Domini
 Mailbox
 Hosting
 E-Commerce
 Site Builder
 Online Advertising
www.hosting.it
Soluzioni di Public
Cloud fornite in
modalità IaaS per
PMI, PA e grandi
aziende.
 Cloud Computing
 Cloud Storage
 Cloud Back-up
www.cloud.it
Servizi e soluzioni di
sicurezza in ambito
digitale per imprese,
PA, associazioni e
professionisti.
 Posta Elettronica
Certificata
 Firma Digitale,
Remota,
Automatica/Massiva
 Carta Nazionale dei
Servizi (CNS)
 FEA (grafometria…)
 Strong
Authentication
 Conservazione
Digitale
 Infrastrutture PKI
www.pec.it
Servizi e soluzioni
custom per la
creazione e la
gestione di
infrastrutture
tecnologiche per
grandi aziende e PA.
 Server Dedicati
 Housing e
Colocation
 Soluzioni
Managed
 Disaster Recovery
 Business
Continuity
www.datacenter.it
Le quattro business line di Aruba
Linee di prodotto diverse per servire clienti con esigenze diverse
HOSTING
& DOMINI
CLOUD E-SECURITY
DATA CENTER
SOLUTION

4.  Oltre 3.5 mln Certificati di Firma Digitale (emessi)
 Oltre 80.000 Certificati di Firma Remota emessi (effettivamente attivati)
 Oltre 4 mln Certificati di Autenticazione CNS
 Oltre 40 mln TS-CNS prodotte
 Oltre 2500 certificati di firma Automatica erogati in outsourcing
 Oltre 60 Impianti di Firma Automatica in esercizio
 Oltre 15 mln di Marche Temporali emesse
 Oltre 4.2 mln Caselle PEC attive (ArubaPEC)
 Oltre 500.000 utenti servizio di Strong Authentication
 8 Gestori PEC gestiti
Servizi di Certification Authority
I numeri della leadership (aggiornati a Luglio 2015)

5.  Il Sistema SPID, Attori Coinvolti
 SPID: Identity Provider
 SPID: Service Provider
Contenuti della Presentazione

6. SPID – sistema pubblico di identità digitali
Identificazione certa degli individui:
esigenza sempre più sentita e valore aggiunto per l’erogazione di servizi online
AgID, recependo quanto definito dal CAD, ha predisposto il decreto (DPCM 24/10/2014 ‘’ Definizione delle
caratteristiche del sistema pubblico per la gestione dell’identità digitale di cittadini e imprese (SPID), nonché dei
tempi e delle modalità di adozione del sistema SPID da parte delle pubbliche amministrazioni e delle imprese.’’)
per dotare ogni cittadino ed impresa di una identità digitale certificata che permetta l’utilizzo in sicurezza dei
servizi in rete
 Art.64 (comma 2) "...Con l'istituzione del Sistema Pubblico per la gestione dell'Identità Digitale di cittadini e
imprese (SPID) le pubbliche amministrazioni potranno consentire l'accesso in rete ai propri servizi, oltre che
con lo stesso SPID, solo mediante la carta d'identità elettronica e la carta nazionale dei servizi..."
 Art.64 (comma 2-ter) "Il sistema SPID è costituito come insieme aperto di soggetti pubblici e privati che,
previo accreditamento da parte dell'Agenzia per l'Italia digitale, gestiscono i servizi di registrazione e di
messa a disposizione delle credenziali e degli strumenti di accesso in rete nei riguardi di cittadini e imprese
per conto delle pubbliche amministrazioni..."
 Art.64 (comma 2-quinquies) "Ai fini dell'erogazione dei propri servizi in rete, è altresì riconosciuta alle
imprese la facoltà di avvalersi del sistema SPID per la gestione dell'identità digitale dei propri utenti.
L'adesione al sistema SPID per la verifica dell'accesso ai propri servizi erogati in rete per i quali è richiesto il
riconoscimento dell'utente esonera l'impresa da un obbligo generale di sorveglianza delle attività sui propri
siti, ai sensi dell'articolo 17 del decreto legislativo 9 aprile 2003, n. 70.

7. Titolare dell’Identità Digitale: è la persona che accede ai servizi digitali
erogati da un Fornitore di Servizi, tramite una Identità Digitale
Fornitore di Servizi: è il soggetto privato o la pubblica amministrazione
che eroga servizi via Internet per cui è richiesta una identificazione e
autenticazione degli utenti
Gestore dell’Identità Digitale: la persona giuridica che crea, rende
disponibili e gestisce gli attributi utilizzati dall’utente al fine di
dimostrare la propria Identità digitale
Gestore di attributi qualificati: enti aventi per legge l’obbligo di
certificare il possesso e la validità di attributi qualificati, abilitazioni
professionali, poteri di rappresentanza o altri attributi
Agenzia per l’Italia Digitale: emette il Regolamento Attuativo, accredita
i Gestori dell’identità Digitale e i Gestori di Attributi Qualificati, pubblica
il registro e vigila sulle attività degli operatori
SPID – sistema pubblico di identità digitali
SPID: Attori coinvolti

8. Le interazioni Fondamentali
1. L’Utente richiede l’accesso ad un Servizio,
fornendo il proprio identificativo e presentando
una credenziale valida
2. Il fornitore di Servizio interroga il registro
degli Identity Provider e Attribute Provider
presso AgID
3. AgID restituisce copia del registro
4. Il Fornitore di servizio inoltra la richiesta di
autenticazione all’Identity Provider corretto
5. L’identity provider, nel caso in cui l’utente
disponga del corretto livello di credenziale, ne
verifica la corrispondenza, fornendo al fornitore
di servizio l’asserzione di identità e gli eventuali
attributi richiesti.
6. (opzionale) Il Fornitore di servizio invia la
richiesta di attributi all’Attribute Provider
7. (opzionale) L’Attribute Provider fornisce al
fornitore di servizio gli attributi richiesti
8. L’utente autenticato viene autorizzato ad
accedere al servizio o alla funzione richiesta
SPID – sistema pubblico di identità digitali
Schema di funzionamento

9.  Il Sistema SPID, Attori Coinvolti
 SPID: Identity Provider
 SPID: Service Provider
Contenuti della Presentazione

10. L’Identity Provider (o Gestore dell’Identità Digitale) è l’Ente che crea, rende
disponibili e gestisce i sistemi di autenticazione forte ed i relativi attributi
utilizzati dall’utente al fine di dimostrare la propria Identità digitale
SPID: Identity Provider
Identity Provider Aruba PEC, il valore aggiunto:
 Servizio d'integrazione dei sistemi IT preesistenti con SPID
 Differenti strumenti di strong Authentication a disposizione per l'utente
 Procedure di identificazione ed attivazione del servizio semplici, veloci e
dedicate a specifiche necessità del Cliente
 Servizio di gestione del ciclo di vita delle credenziali SPID

11.  OTP di tipo hardware
(display OTP, USB OTP, Display Card,..)
 OTP Mobile
(iOS, Android, BlackBerry, Windows, JavaPhone)
 OTP SMS
 ArubaCall
 …
Differenti soluzioni OTP in grado di soddisfare le varie esigenze degli Utenti
SPID: Identity Provider

12.  Procedure di Identificazione semplici
 Identificazione con Webcam (devisu online)
 Identificazione telematica con Firma Digitale/CNS
 Identificazione tramite rete di RA già in essere
 Identificazione tramite rete di sportelli convenzionati
 …
 Procedure di attivazione del servizio
 Massiva – basata su un censimento di tutti gli Utenti per i quali dovrà essere attivato il
servizio di Strong Authentication
 Contestuale – semplice interfaccia web dove l’operatore procede all’attivazione immediata
del servizio per lo specifico utente
 Asincrona – l’operatore tramite semplice interfaccia web autorizza l’attivazione del servizio di
Strong Authentication per lo specifico utente che provvederà autonomamente, sempre
tramite servizio web, all’attivazione del servizio stesso
In generale sarà possibile definire procedure di attivazione che, sempre nel pieno rispetto della
normativa, possano soddisfare le specifiche necessità e policy aziendali.
SPID: Identity Provider

13.  Il Sistema SPID, Attori Coinvolti
 SPID: Identity Provider
 SPID: Service Provider
Contenuti della Presentazione

14. Il Service Provider (o Fornitore del Servizio) è il soggetto privato o la
pubblica amministrazione che eroga servizi via Internet per cui è richiesta
una identificazione e autenticazione certa degli utenti
SPID: Service Provider
Quali sono le opportunità ed i vantaggi che un Service Provider potrebbe avere ad
autenticare i propri utenti con SPID?
 possibilità di offrire i propri servizi a cittadini senza necessità della loro identificazione
o censimento da parte del Service Provider (offerta di servizi a Clienti Prospect)
 nessun onere in merito alla gestione:
 dei sistemi di autenticazione forte
 della conservazione dei dati personali
 della sicurezza del sistema di autenticazione (non dovranno preoccuparsi di evitare
attacchi volti al furto delle credenziali)
 soddisfacimento degli oneri previsti dall’art. 17,comma 2, del D.Lgs. 70/2003 riferendo
semplicemente che l’accesso al proprio servizio è avvenuto tramite SPID (esonero
dell'impresa dall'obbligo generale di sorveglianza delle attività sui propri siti)

15. SPID: Service Provider
 Semplicità di accesso e fruizione dei servizi
 Certezza dell'identità dell'utente (possibilità di fruizione di contenuti sensibili, ...)
 Possibilità di definizione di differenti livelli di autenticazione (base, a due fattori,
con dispositivo crittografico)
 Multicanalità
 ......Maggiori opportunità di business

16. 16
La Firma Grafometrica,
un processo di Firma Elettronica Avanzata

17.  La Firma Elettronica Avanzata
 Firma Grafometrica
Contenuti della Presentazione

18. Firma elettronica avanzata: insieme di dati in forma elettronica allegati oppure connessi a un
documento informatico che consentono l'identificazione del firmatario del documento e
garantiscono la connessione univoca al firmatario, creati con mezzi sui quali il firmatario può
conservare un controllo esclusivo, collegati ai dati ai quali detta firma si riferisce in modo da
consentire di rilevare se i dati stessi siano stati successivamente modificati;
La Firma Elettronica Avanzata
Come viene definita e sua efficacia probatoria
non viene specificata tecnologia da adottare (non ci sono standard tecnologici di riferimento)
non deve essere necessariamente un Ente Certificatore ad offrire tali soluzioni
non interoperabile
 Il documento informatico sottoscritto con firma elettronica avanzata, qualificata o digitale, formato nel
rispetto delle regole tecniche di cui all' articolo 20, comma 3 , che garantiscano l'identificabilità dell'autore,
l'integrità e l'immodificabilità del documento, ha l'efficacia prevista dall'articolo 2702 del codice civile . L'utilizzo
del dispositivo di firma elettronica qualificata o digitale si presume riconducibile al titolare, salvo che questi dia
prova contraria.

19. Regole Tecniche
 Art. 55 (Disposizioni generali),
comma 1: La realizzazione di soluzioni di firma elettronica avanzata è libera e non è soggetta
ad alcuna autorizzazione preventiva.
 Art. 56 (Caratteristiche delle soluzioni di firma elettronica avanzata),
comma 1: Le soluzioni di firma elettronica avanzata garantiscono:
a) l’identificazione del firmatario del documento
b) la connessione univoca della firma al firmatario
c) il controllo esclusivo del firmatario del sistema di generazione della firma, ivi inclusi i dati biometrici
eventualmente utilizzati per la generazione della firma medesima
d) la possibilità di verificare che il documento informatico sottoscritto non abbia subito modifiche dopo
l’apposizione della firma
e) la possibilità per il firmatario di ottenere evidenza di quanto sottoscritto
f) l’individuazione del soggetto di cui all’articolo 55, comma 2, lettera a)
g) l’assenza di qualunque elemento nell’oggetto della sottoscrizione atto a modificarne gli atti, fatti o dati nello
stesso rappresentati
h) la connessione univoca della firma al documento sottoscritto
Firma Elettronica Avanzata
un processo di firma…

20. Regole Tecniche (segue)
 Art. 57 (Obblighi a carico dei soggetti che erogano soluzioni di firma elettronica avanzata),
1. I soggetti di cui all’articolo 55, comma 2, lettera a) devono:
a) identificare in modo certo l’utente tramite un valido documento di riconoscimento, informarlo in merito
agli esatti termini e condizioni relative all'uso del servizio, compresa ogni eventuale limitazione dell'uso,
subordinare l’attivazione del servizio alla sottoscrizione di una dichiarazione di accettazione delle
condizioni del servizio da parte dell’utente;
b) conservare per almeno venti anni copia del documento di riconoscimento e la dichiarazione di cui alla
lettera a) ed ogni altra informazione atta a dimostrare l’ottemperanza a quanto previsto all’articolo 56, comma
1, garantendone la disponibilità, integrità, leggibilità e autenticità;
c) fornire liberamente e gratuitamente copia della dichiarazione e le informazioni di cui alla lettera b) al
firmatario, su richiesta di questo;
d) rendere note le modalità con cui effettuare la richiesta di cui al punto c), pubblicandole anche sul proprio
sito internet;
Firma Elettronica Avanzata
un processo di firma…

21. Regole Tecniche (segue)
 Art. 57 (Obblighi a carico dei soggetti che erogano soluzioni di firma elettronica avanzata)
2. Al fine di proteggere i titolari della firma elettronica avanzata e i terzi da eventuali danni cagionati da inadeguate soluzioni
tecniche, i soggetti di cui all'art. 55, comma 2, lettera a), si dotano di una copertura assicurativa per la responsabilità civile
rilasciata da una società di assicurazione abilitata ad esercitare nel campo dei rischi industriali per un ammontare non inferiore
ad euro cinquecentomila.
3. Le modalità scelte per ottemperare a quanto disposto al comma 2 devono essere rese note ai soggetti interessati,
pubblicandole anche sul proprio sito internet.
4. Il comma 2 del presente articolo non si applica alle persone giuridiche pubbliche che erogano soluzioni di firma elettronica
avanzata per conto di pubbliche amministrazioni.
5. Nell'ambito delle pubbliche amministrazioni e in quello sanitario limitatamente alla categoria di utenti rappresentata dai
cittadini fruitori di prestazioni sanitarie, la dichiarazione di accettazione delle condizioni del servizio prevista al comma 1,
lettera a) puo' essere fornita oralmente dall'utente al funzionario pubblico o all'esercente la professione sanitaria, il quale la
raccoglie in un documento informatico che sottoscrive con firma elettronica qualificata o firma digitale.
Firma Elettronica Avanzata
un processo di firma…

22. Regole Tecniche (segue)
 Art. 60 (Limiti d’uso della firma elettronica avanzata), comma 1: La firma elettronica avanzata realizzata in
conformità con le disposizioni delle presenti regole tecniche, è utilizzabile limitatamente ai rapporti giuridici
intercorrenti tra il sottoscrittore e il soggetto di cui all’articolo 55, comma 2, lettera a)
 Art. 61 (Soluzioni di firma elettronica avanzata)
comma 1. L’invio tramite posta elettronica certificata ..... sostituisce, nei confronti della pubblica
amministrazione, la firma elettronica avanzata ai sensi delle presenti regole tecniche.
comma 2. L’utilizzo della Carta d’Identità Elettronica, della Carta Nazionale dei Servizi, del documento
d’identità dei pubblici dipendenti (Mod. ATe), del passaporto elettronico e degli altri strumenti ad essi conformi
sostituisce ..... la firma elettronica avanzata ai sensi delle presenti regole tecniche per i servizi e le attività
comma 6. ... al fine di favorire la realizzazione di soluzioni di firma elettronica avanzata, DigitPa elabora Linee
guida sulla base delle quali realizzare soluzioni di firma elettronica avanzata conformi alle presenti regole
tecniche
Firma Elettronica Avanzata
un processo di firma…

23.  La Firma Elettronica Avanzata
 Firma Grafometrica
Contenuti della Presentazione

24. Firma Grafometrica
...un processo di firma elettronica avanzata
La Firma Grafometrica (biometrica) è una tecnologia che consente di apporre, nei documenti informatici, una Firma
Elettronica Avanzata
 La Firma Grafometrica rispetta pienamente quanto previsto dalle regole tecniche per la Firma Elettronica Avanzata,
garantendo:
 l’identificazione del firmatario del documento
 la connessione univoca dei dati di firma al firmatario
 il controllo esclusivo del firmatario del sistema di generazione della firma
 la possibilità di verificare che l’oggetto della sottoscrizione non abbia subito modifiche dopo
l’apposizione della firma (integrità della firma)
la possibilità per il firmatario di ottenere evidenza di quanto sottoscritto
 La "identificazione biometrica della firma” avviene riconoscendo
parametri grafometrici quali velocità, pressione, ritmo,
accelerazione, movimento

25. Firma Grafometrica
...un processo di firma elettronica avanzata
*
Certificato
“Aruba”
PDF VG
G-Blob
Firma Qualificata
(SC, FR, FA)
PDF PDF VG-S1
HASH doc + +
VGn
info
P12 postazione
*
PDF
grafometrica

26. Firma Grafometrica
soluzione proposta
 AGI-Web, Soluzione che consente l’integrazione delle funzionalità di firma
grafometrica in applicazioni web based ed in generale in qualsiasi tipo di
applicazione.
 AGI-Client, Client di Firma Grafometrica stand alone
 AGI-Forensic, Strumento di analisi dei vettori grafometrici per attività Forense
 AGI-Lib, Libreria grafometrica che consente l’intregrazione delle funzionalità di firma
grafometrica in applicazioni terze (anche preesistenti)

27. Firma Grafometrica
il valore aggiunto della soluzione ArubaPEC
 Soluzione sviluppata completamente da ArubaPEC, pieno controllo della soluzione, elevato Know-
how, alta disponibilità di personalizzazione, …
 Elevata garanzia di sicurezza, soluzione tecnologica sviluppata con grande attenzione alla sicurezza
posta alla base dei processi Grafometrici
 Flessibilità della soluzione, in grado di implementare, sempre nel rispetto dei requisiti normativi,
processi di firma grafometrica che soddisfano le esigenze del Cliente
 Compatibile "virtualmente" con tutti i dispositivi di acquisizione dei vettori grafometrici
 Gestione della visualizzazione del documento estremamente flessibile e personalizzabile, il
documento potrà essere mostrato sia sul monitor dell'operatore, sia sulla tavoletta di acquisizione
dei vettori grafometrici che in tutte le loro possibili combinazioni
 Tool di visualizzazione dei vettori grafometrici sviluppato in collaborazione con AGI, in attesa del
"bollino" AGI sul tool AGI-forensic
 In corso la valutazione della certificazione Common Criteria della soluzione di Firma Grafometrica
offerta da Aruba PEC

28. AGI Client – Client Desktop di Firma Grafometrica
 Possibilità di selezione dell’area dove
apporre la firma grafometrica
 Possibilità di compilazione dei campi
editabili (PDF editabile)
 Gestione della doppia
visualizzazione del file, su PC e su
Tablet
 Nativamente integrato con la firma qualificata Remota/Automatica e con smart card
 gestione di tutte le Smart card oggi presenti nel mercato Italiano (Incard, Oberthur, Athena, ..)
Firma Grafometrica
soluzione proposta

29.  Funzionalità di firma grafometrica
multipla “automatica” sul medesimo
documento.
L’utente, presa visione del documento,
appone il numero di firme richieste in
maniera sequenziale. Sarà il client di firma a
posizionarle nell’area di firma
precedentemente definita
 Estremamente semplice nell’utilizzo
 Supporto di più tavolette grafiche. Il componente Tablet manager
consente l’integrazione di nuove tavolette in maniera trasparente all’utente
AGI Client – Client Desktop di Firma Grafometrica
Firma Grafometrica
soluzione proposta

30. AGI Forensic, strumento di analisi calligrafica
 Tool di analisi grafometrica per periti calligrafi.
 E’ in grado di registrare saggi e confrontarli con firme grafometriche esistenti.
Firma Grafometrica
soluzione proposta
 Consente di effettuare misurazioni,
confronti e analisi; di realizzare
video e salvare contenuti grafici.
 E’ compatibile con lo Standard
ISO/IEC 19794-7.

31. 31

32. Contenuti della presentazione
32
 Inquadramento normativo e standard di riferimento
 D.Lgs. 82/2005 – Codice dell’Amministrazione Digitale
 DPCM 3 Dicembre 2013 – Regole Tecniche in materia di conservazione
documentale
 Allegati nuove regole tecniche
 Gli oggetti digitali della conservazione
 Lo standard di riferimento OAIS
 I ruoli funzionali
 Il processo di conservazione
 Il manuale della Conservazione
 Aruba DocFly – Conservazione Digitale a Norma
 Caratteristiche principali del Servizio
 Schema Architettura Logico/Fisica
 Processo di Conservazione
 Sicurezza
 Impianto contrattuale
 Livelli di Servizio
 Assistenza

33. 33
Quadro normativo e standard di riferimento
il nuovo assetto normativo
Normativa, regole tecniche e il modello OAIS

34. 34
Codice Amministrazione Digitale - D.lgs 82/2005
Principi generali del D.lgs 82/205 in materia di conservazione dei documenti informatici
Art. 43 - Riproduzione e conservazione dei documenti
1 - I documenti degli archivi, le scritture contabili, la corrispondenza ed ogni atto, dato o
documento di cui è prescritta la conservazione per legge o regolamento, ove riprodotti su
supporti informatici sono validi e rilevanti a tutti gli effetti di legge, se la riproduzione e la
conservazione nel tempo sono effettuate in modo da garantire la conformità dei
documenti agli originali, nel rispetto delle regole tecniche stabilite ai sensi dell'articolo
71.
4 - Sono fatti salvi i poteri di controllo del Ministero per i beni e le attività culturali sugli
archivi delle pubbliche amministrazioni e sugli archivi privati dichiarati di notevole
interesse storico ai sensi delle disposizioni del decreto legislativo 22 gennaio 2004, n. 42

35. Codice Amministrazione Digitale - D.lgs 82/2005
Principi generali del D.lgs 82/205 in materia di conservazione dei documenti informatici
Art. 44 - Requisiti per la conservazione dei documenti informatici
Il sistema di conservazione dei documenti informatici assicura:
35
IDENTIFICAZIONE
INTEGRITA’
LEGGIBILITA’
REPERIBILITA’
MISURE DI SICUREZZA
Identificazione certa del soggetto che
ha formato il documento
Garanzia dell’integrità del documento
Agevole reperibilità dei documenti e
delle informazioni identificative
Rispetto misure di sicurezza del d.lgs.
30 giugno 2003, n. 196 e allegato B

36. Codice Amministrazione Digitale - D.lgs 82/2005
Principi generali del D.lgs 82/205 in materia di conservazione dei documenti informatici
Art. 44 bis - Conservatori accreditati
1- I soggetti pubblici e privati che svolgono attività di conservazione dei documenti
informatici e di certificazione dei relativi processi anche per conto di terzi ed intendono
conseguire il riconoscimento del possesso dei requisiti del livello più elevato, in termini di
qualità e di sicurezza, chiedono l'accreditamento presso AGID.
3- I soggetti privati di cui al comma 1 sono costituiti in società di capitali con capitale
sociale non inferiore a euro 200.000.
36
Circolare n°65 /2014: modalità per l’accreditamento e per la vigilanza dei soggetti che
intendono conseguire i riconoscimenti più elevati in termini di qualità e sicurezza
prevedendone l’iscrizione in un apposito elenco pubblico

37. DPCM 3 Dicembre 2013
Gli Oggetti della Conservazione
37
Art. 4 - (Oggetti della conservazione)
1. Gli oggetti della conservazione sono trattati dal sistema di conservazione in pacchetti
informativi che si distinguono in:
2. Ai fini dell’interoperabilità tra i sistemi di conservazione, i soggetti che svolgono
attività di conservazione dei documenti informatici adottano le specifiche della struttura
dati contenute nell’allegato 4, almeno per la gestione dei pacchetti di archiviazione.
PACCHETTO DI VERSAMENTO pacchetto informativo inviato dal produttore al sistema di
conservazione secondo un formato predefinito e concordato descritto nel manuale di
conservazione
PACCHETTO DI ARCHIVIAZIONE pacchetto informativo composto dalla trasformazione di
uno o più pacchetti di versamento secondo le specifiche contenute nell’allegato 4 del
decreto e secondo le modalità riportate nel manuale di conservazione
PACCHETTO DI DISTRIBUZIONE pacchetto informativo inviato dal sistema di conservazione
all’utente in risposta ad una sua richiesta

38. Lo standard di riferimento OAIS
Modello concettuale
38
Archivio
(OAIS)
Produttore Utente
Responsabile
Deposita gli oggetti
digitali all’interno di un
OAIS
Acquisisce le informazioni
di interesse di un OAIS
Si occupa delle politiche
complessive di un OAIS
NB: I ruoli di produttore e utente sono svolti da persone fisiche o giuridiche interne o
esterne al sistema di conservazione

39. Il Processo di Conservazione
La funzione di acquisizione
39
Articolo 7. Trasferimento nel sistema di
Conservazione
1. Il trasferimento dei documenti informatici
nel sistema di conservazione avviene
generando un pacchetto di versamento nelle
modalità e con il formato previsti dal
manuale di conservazione.
2. I tempi entro cui i documenti informatici
devono essere versati in conservazione sono
stabiliti per le diverse tipologie di documento
e in conformità alle regole tecniche vigenti in
materia.
3. Il buon esito dell’operazione di versamento
è verificato tramite il rapporto di versamento
prodotto dal sistema di conservazione

40. Il Processo di Conservazione
La funzione di archiviazione
40
DPCM 3 Dicembre 2013 - Articolo 9. Il
processo di conservazione
Il processo di conservazione prevede:
• la sottoscrizione con Firma Digitale o Firma
Elettronica Qualificata del responsabile
della conservazione
• la gestione del pacchetto di archiviazione
sulla base delle specifiche della struttura
dati contenute nell’allegato 4 e secondo le
modalità riportate nel manuale della
conservazione
L’art. 3, co. 2 del DM 23/1/2004 stabilisce che
il processo di conservazione dei documenti
informatici […] termina con la sottoscrizione
elettronica e l'apposizione della marca
temporale, in luogo del riferimento temporale,
sull'insieme dei predetti documenti ovvero su
un'evidenza informatica contenente l'impronta
o le impronte dei documenti o di insiemi di essi
da parte del responsabile della Conservazione.

41. Il Manuale di Conservazione
I contenuti previsti nel Manuale
41
DPCM 3 Dicembre 2013 Art. 8 - (Manuale di conservazione)
Il manuale di conservazione illustra dettagliatamente:
1. l’organizzazione,
2. i soggetti coinvolti e i ruoli svolti dagli stessi,
3. il modello di funzionamento,
4. la descrizione del processo,
5. la descrizione delle architetture e delle infrastrutture utilizzate,
6. le misure di sicurezza adottate
7. ogni altra informazione utile alla gestione e alla verifica del funzionamento, nel tempo,
del sistema di conservazione.
Le misure adottate per la sicurezza e il processo di conservazione di Aruba PEC sono
consultabili nel Manuale di Conservazione pubblicato sul sito ufficiale dell’Agid:
www.agid.gov.it/sites/default/files/linee_guida/aruba_manuale_di_conservazione.pdf

42. 42
La soluzione Aruba DocFly
sistema di conservazione a norma
Architettura e caratteristiche principali del servizio

43. DocFly - Conservazione Digitale a Norma
DocFly è il servizio di Conservazione Digitale
di Aruba conforme alle disposizioni
normative contenute all’interno del DPCM
del 3 Dicembre 2013 ed agli standard tecnici
espressamente richiamati dal decreto
stesso.
43
La soluzione prevede un sistema di conservazione centralizzato in grado di gestire e
conservare a norma qualsiasi tipo di documento informatico di ambito amministrativo
e fiscale (come per esempio Contratti, LUL, libri giornali, fatture), rispondendo, quindi,
alle diverse esigenze di conservazione richieste dal mercato.

44. DocFly - Conservazione Digitale a Norma
Caratteristiche principali
44
Flessibile
Pannello
user friendly
Valore Legale
Sicuro
L’architettura, progettata per gestire l’elaborazione di grandi volumi
di dati, è altamente “scalabile” e facilmente integrabile con le
soluzioni utilizzate dal cliente per la gestione del proprio business.
Un processo informatico in grado di garantire nel tempo autenticità,
integrità, leggibilità, immodificabilità dei documenti..
Elevato livello in termini di usabilità. Facile consultazione e
rintracciabilità dei documenti archiviati
I dati sono custoditi negli Internet Data Center di Arezzo: massimi
livelli di sicurezza impediscono interruzioni del servizio o tentativi di
intrusione e manomissione

45. Front End
Bridge
DocFly - Conservazione Digitale a Norma
Architettura Logica della Soluzione
45
Business Logic
DB
File
System
. . .
Management
DB
FTP/NFS/CIFS
DB
File
System
WS WebDav PEC
Exhibit
WEB WEB
STORE
Presentation
Business
logic
Multi-tier a 3 livelli:
• Presentation layer
• Business logic (Application) layer
• Store(& Database) layer
WEB
HSM e TSA

46. DocFly - Conservazione Digitale a Norma
Affidabilità del sistema
46
 Architettura modulare implementata al 100% su infrastruttura di
virtualizzazione con hypervisor Vmware
 Totale ridondanza ai guasti HW
 Funzionalità di HA e Fault Tollerance
 Controllo completo delle prestazioni
 Adattabile a specifiche esigenze di carico
 Architettura scalabile orizzontalmente
 + Nodi di Front-End ed Application
contemporaneamente attivi
 DBMS in configurazione Master-Master
 Storage di livello Enterprise
 Alte prestazioni
 Funzionalità di replica
 Esposizione diretta di FS avanzati

47. DocFly - Conservazione Digitale a Norma
Disaster Recovery
47
 Replica Storage Base
 Macchine Virtuali
 Data Base – sia sincrono che
tramite dump (golden copy)
 File System
 HSM REPLICATO
 Fail Over
 Immediata riattivazione delle VM alla dichiarazione di Disastro
 Raggiungibilità tramite altri collegamenti di rete
 Verifica consistenza dei Data Base replica sincrona (RPO=0)
 RTO pari alla diffusione del nuovo indirizzamento DNS
HSM HSM

48. Data Center Aruba
Sicurezza DC-IT1
48
 Data Center con caratteristiche
Level Tier VI
 Supporto Clienti 24x7
 NOC presidiato 24x7
 Monitoraggio centralizzato
 Sistemi di sicurezza perimetrale
consolidati

49. Grazie
49