La firma digitale è un utile strumento necessario per sottoscrivere un documento informatico ottenendo la garanzia di integrità dei dati oggetto della sottoscrizione e di autenticità delle informazioni relative al sottoscrittore. La garanzia che il documento informatico, dopo la sottoscrizione, non possa essere modificato in alcun modo, in quanto, durante la procedura di verifica, eventuali modifiche sarebbero riscontrate, la certezza che solo il titolare del certificato possa aver sottoscritto il documento perché non solo possiede il dispositivo di firma (smartcard/tokenUSB) necessario, ma è anche l’unico a conoscere il PIN (Personal Identification Number) necessario per utilizzare il dispositivo stesso, unite al ruolo del certificatore che garantisce la veridicità e la correttezza delle informazioni riportate nel certificato (dati anagrafici del titolare), forniscono allo strumento “firma digitale” caratteristiche tali da non consentire al sottoscrittore di disconoscere la propria firma digitale (fatta salva la possibilità di querela di falso).
Firmare digitalmente un documento, però, è un’operazione non rapidissima e ogniqualvolta sia necessario sottoscrivere digitalmente un nuovo documento, occorre utilizzare il proprio certificato conservato in una smart card o in un token usb e inserire nuovamente il codice PIN.
Tale complessità, se non viene avvertita quando si tratta di firmare pochi documenti, risulta sicuramente soffocante quando si ha la necessità di firmare grosse quantità di documenti come, ad esempio, nei grossi processi di conservazione digitale o di fatturazione elettronica.
Come gli operatori del settore sanno bene, il procedimento di validazione documentale può coinvolgere un numero elevatissimo di documenti informatici (milioni di fatture da dematerializzare!) e, per tali processi, non è assolutamente efficiente per il responsabile della conservazione o della fatturazione elettronica affidarsi ai dispositivi prima descritti.
A far fronte a questa problematica ha dato il suo apporto la tecnologia informatica che ha recuperato alcuni dispositivi di sicurezza militari e li ha rielaborati al fine di permettere la cosiddetta firma digitale massiva. Parliamo degli HSM (Hardware Security Module), dispositivi che permettono di firmare in remoto, ma anche in modalità automatica, più documenti contemporaneamente, garantendo di fatto migliori prestazioni rispetto ad una semplice smart card (o ad un token USB). Tali dispositivi, nati come sistemi in grado di garantire un utilizzo sicuro di chiavi crittografiche, sono configurati secondo elevatissimi standard di sicurezza informatica, tanto da permettere di digitare il PIN una sola volta a fronte della sottoscrizione di più documenti.
Le loro caratteristiche sono state considerate conformi ai requisiti di sicurezza richiesti dalla normativa europea ( Direttiva 99/93/CE , in particolare Allegati III e IV) e rientrano, inoltre, tra quei mezzi di generazione di firma elettronica qualificata previsti dalla normativa nazionale, perché garantiscono il controllo esclusivo ad opera del firmatario e permettono di collegare la firma ai dati cui essa si riferisce, consentendo di verificare se i dati stessi sono stati eventualmente modificati.
Anche l’art. 35 del Codice dell’Amministrazione Digitale ( D.Lgs. n. 82 del 7 Marzo 2005 ) ammette implicitamente l’utilizzo degli HSM al comma 3, riferendosi, in particolare, alle firme apposte con procedure automatiche e stabilendo che esse siano valide se ” l’attivazione della procedura medesima è chiaramente riconducibile alla volontà del titolare e lo stesso renda palese la sua adozione in relazione al singolo documento firmato automaticamente “.
Purtroppo però, allo stato attuale, la nostra normativa non chiarisce se sia lecito l’utilizzo di tali strumenti: sebbene le linee guida CNIPA già nel 2004 avessero chiarito che ” in numerose situazioni il procedimento di sottoscrizione può coinvolgere un elevato numero di documenti “, illustrando che ” non è quindi efficiente in tali procedimenti l’utilizzo della sottoscrizione ‘documento per documento’ quanto meno perché ogni sottoscrizione richiede la digitazione del PIN di sblocco della smart card di firma ” e stabilendo che ” è perfettamente legale l’utilizzo di procedure automatiche di sottoscrizione, purché ci si attenga a particolari cautele indicate anche dalla legislazione vigente ” e sebbene il Decreto del Presidente del Consiglio dei Ministri del 30 marzo 2009 relativo alle Regole tecniche in materia di generazione, apposizione e verifica delle firme digitali e validazione temporale dei documenti informatici , pare ammettere l’utilizzo dei dispositivi HSM, al momento tali utilissimi strumenti sono ancora illegali .
L’utilizzo degli HSM, infatti, sembra ostacolato dalla mancanza di un organismo che ne certifichi il livello di sicurezza e che, quindi, certifichi la sua idoneità per l’utilizzo in procedure automatiche di firma.
Il problema della certificazione della sicurezza dei sistemi di firma elettronica non è affatto nuovo . Fin dal 1999, per ovviare al problema, con un metodo tutto italiano, sono stati emanati vari Decreti con i quali si riconosce ai Certificatori la possibilità di attestare, mediante autocertificazione, la rispondenza dei propri prodotti e dispositivi relativi alle firme elettroniche ai requisiti di sicurezza previsti dalla vigente normativa. Nell’attesa che venisse individuato un Organismo statale di certificazione della sicurezza il 12 ottobre 2007 è stato differito, di ulteriori 24 mesi, l’ultimo termine con cui i certificatori qualificati potevano effettuare l’auto-dichiarazione relativamente ai dispositivi di firma mediante procedure automatiche. Entrato in vigore nel gennaio 2008, il Decreto del 12 ottobre 2007 è scaduto nel gennaio dell’anno corrente e, anche se talun coraggioso certificatore, accogliendo il repentino aiuto mosso dal legislatore, avesse pur accettato di assumersi la responsabilità di certificare la rispondenza dei propri prodotti ai rigidi standard previsti dalla normativa, permettendo con i suoi certificati di firma di attivare gli HSM, regolarmente acquistati dagli imprenditori, quello stesso certificatore coraggioso si sarebbe ritrovato in un contesto temporaneo di illegalità. Mentre da un lato i suoi HSM, in effetti, non sono ancora stati palesemente riconosciuti come validi dal legislatore, la sua autocertificazione dal gennaio del 2010 aveva, per di più, perduto la sua validità a causa della scadenza del decreto.
Questa situazione di illegalità, protrattasi per diversi mesi, è stata, per fortuna, risanata pochi giorni fa, quando l’autocertificazione del coraggioso certificatore è ritornata ad essere legittima. L’ennesimo decreto tappabuchi è stato infatti emanato ed è stato pubblicato sulla G.U. n. 98 dello scorso 28 aprile. Si tratta del DPCM del 10 febbraio 2010 che stabilisce testualmente che ” A decorrere dal l° febbraio 2010 e per i ventuno mesi successivi i certificatori di firma elettronica attestano, mediante autocertificazione, la rispondenza dei propri dispositivi per l’apposizione di firme elettroniche con procedure automatiche ai requisiti di sicurezza previsti dalla vigente normativa “.
Purtroppo, questo decreto non conferisce maggiore chiarezza alla materia e l’unico elemento aggiuntivo rispetto ai decreti precedenti è rappresentato dal tentativo del legislatore di voler definire la procedura per accertare la conformità dei dispositivi ai requisiti di sicurezza richiesti dalla direttiva 1999/93/CE, compito demandato alla competenza dell’OCSI (Organismo di certificazione della sicurezza informatica) di cui al DPCM del 30 ottobre 2003, che dovrà provvedere entro centoottanta giorni dall’entrata in vigore del decreto.
In ogni caso, al momento, la situazione è ancora poco chiara e provoca una certa diffidenza in tutti gli operatori del mercato digitale che hanno interesse all’utilizzo degli HSM, primi tra tutti gli operatori della dematerializzazione.
In molti processi di conservazione digitale, infatti, l’utilizzo di un HSM è indispensabile in quanto si ha la necessità, in tempi brevi, di dover firmare migliaia e migliaia di documenti. Si pensi ad un processo di fatturazione elettronica, dove le fatture vanno conservate digitalmente entro 15 giorni dalla loro emissione: riuscite ad immaginare quante volte dovrà essere inserito, manualmente, il PIN in aziende che emettono anche 5000 fatture al giorno?
Negozi giuridici sottoscritti con clienti, processi di conservazione da avviare, ma arrestati, già avviati, ma forse illegittimi (o meglio, sottoscritti con dispositivi HSM che, al momento, potrebbero essere non conformi ai requisiti di sicurezza richiesti), nell’attesa, come sempre fiduciosa, dell’emanazione di un serio e chiaro decreto con cui si spieghi una buona volta e definitivamente con quali limiti i dispositivi HSM di firma massiva sono legittimamente utilizzabili.
Tutti i riflettori sono attualmente puntati sulla dematerializzazione dei documenti, anche fiscalmente rilevanti, sull’innovazione tecnologica della macchina amministrativa, sulla riduzione di tempi, spazi e costi attraverso la conservazione sostitutiva, eppure manca all’appello uno specifico provvedimento, proprio quello che permetterebbe di concretizzare il vero snellimento di molti processi.
Avv. Annalisa Spedicato
Avv. Luigi Foglia
Digital&Law Department – Studio Legale Lisi
Ti potrebbe interessare
11 mag 2010