[normattiva_dump]

Allegato 2 (articoli 13, comma 2, 18, 19 e 20) Procedura per la generazione e assegnazione delle credenziali di autenticazione 1. La registrazione al sistema informatico è effettuata personalmente da ciascun operatore attraverso una procedura che, mediante l'utilizzo di diverse tecnologie disaccoppiate tra loro, comunica direttamente con l'operatore a favore del quale è stato richiesto il rilascio delle credenziali di autenticazione. 2. La sezione centrale o provinciale riceve la richiesta di rilascio delle credenziali di autenticazione di cui agli articoli 19, comma 1, e 20, comma 1. La richiesta di rilascio contiene l'elenco degli operatori autorizzati alla consultazione della Banca dati nazionale ed è corredata per ogni operatore dei dati di cui all'articolo 19, comma 1, lettere da a) a g), di una copia del documento di identificazione dell'operatore (carta di identità, patente di guida o passaporto) e delle liberatorie debitamente firmate dall'operatore stesso. La richiesta viene inviata all'indirizzo di posta elettronica certificata della sezione centrale o provinciale pubblicata su Indice P.A. 3. La sezione centrale o provinciale invita ciascun operatore a presentarsi personalmente presso i propri uffici per l'identificazione dello stesso a mezzo del documento di identità in corso di validità la cui copia è stata trasmessa precedentemente (vedi punto 2) e per la creazione delle relative credenziali. Si evidenzia che per il rilascio di queste ultime l'operatore deve fornire obbligatoriamente un numero di telefonia mobile intestato all'operatore stesso. 4. Al termine delle operazioni di identificazione, la sezione centrale o provinciale completa la fase di registrazione a sistema dell'operatore e consegna le istruzioni necessarie ad effettuare il primo accesso alla Banca dati nazionale. In particolare le istruzioni riportano l'indicazione della username dell'operatore e della URL a cui collegarsi per il completamento della registrazione (http://certbdna.interno.it). La password iniziale è generata in modo automatico all'atto della registrazione dell'utenza e trasmessa alla casella di posta di tipo corporate dell'operatore (articolo 19, comma 1, lettera g). 5. Le istruzioni consegnate consentono a ciascun operatore di completare la fase di accesso alla Banca dati nazionale utilizzando tecnologie di "autenticazione forte". L'operatore procede preliminarmente con l'identificazione della propria postazione di lavoro che resterà la medesima per tutte le operazioni di accesso e consultazione della Banca dati nazionale. Tale procedura prevede il collegamento alla URL http://certbdna.interno.it. Nella schermata visualizzata l'operatore digita le credenziali di accesso, ovvero la username consegnata dalla sezione provinciale o centrale e la password ricevuta nella sua casella di posta elettronica corporate. A seguito dell'inserimento di tali campi, il sistema richiederà all'operatore di effettuare il cambio password secondo le regole di sicurezza previste dal sistema; la password deve contenere almeno un numero, un carattere speciale, una maiuscola per un minimo di 10 caratteri complessivi. Terminato con successo il cambio della password, l'operatore visualizzerà una pagina per la creazione del proprio certificato digitale. L'avvio della procedura di creazione del certificato digitale si perfeziona attraverso la ricezione di un SMS sul numero di telefonia mobile dell'interessato contenente una sequenza numerica casuale (OTP) che va inserito nell'apposito campo. Il sistema procede alla creazione del certificato digitale pubblico e richiede l'inserimento di una password legata al certificato digitale (PIN di protezione) creata sulla base delle regole di sicurezza previste. Essa deve contenere almeno un numero, un carattere speciale, una maiuscola per un minimo di 10 caratteri complessivi. Effettuata con successo la creazione del PIN, è possibile procedere al download e alla relativa installazione del certificato digitale sulla postazione di lavoro. 6. La procedura descritta consente di identificare in modo univoco la postazione di lavoro dell'operatore, il quale in fase di accesso alla Banca dati nazionale dovrà sbloccare il certificato digitale pubblico attraverso il PIN di protezione inserito in fase di creazione dello stesso. 7. L'accesso alla Banca dati nazionale avviene mediante un software dedicato atto a garantire l'identificazione della postazione dalla quale vengono eseguite le interrogazioni dei dati e un sistema di autenticazione forte abilitante all'identificazione univoca e tracciamento dell'operatore che effettua le operazioni di collegamento e trattamento dei dati. 8. Il sistema prevede quindi un doppio livello di verifica dell'identità: a) l'accesso in VPN. Esso consente di identificare sia la postazione mediante l'uso di certificati pubblici sia l'operatore in possesso del PIN di sblocco del certificato per raggiungere la rete dove è esposto il servizio applicativo; b) la autenticazione applicativa mediante l'uso di username, password e OTP per la consultazione della Banca dati nazionale.