[normattiva_dump]

le regioni e le province autonome di Trento e di Bolzano (art. 3, commi 1 e 2 e art. 8, commi 3 e 4, lettera a)); il Ministero dell'economia e delle finanze (art. 3, commi 1, 2, e 4 nelle more dell'attivazione dell'Anagrafe nazionale degli assistiti, istituita ai sensi dell'art. 62-ter del CAD, art. 8, comma 4); Il Ministero della salute (art. 3, commi 3 e 4, e art. 8, commi 3 e 4, lettera b). 4 Descrizione della piattaforma NSIS 4.1 Caratteristiche infrastrutturali Date le caratteristiche organizzative, le necessità di scambio di informazioni tra sistemi eterogenei e le caratteristiche dei dati trattati, il NSIS è basato su un'architettura standard del mondo Internet: utilizza lo standard XML per definire in modo unificato il formato e l'organizzazione dei dati scambiati nelle interazioni tra le applicazioni; attua forme di cooperazione applicativa tra sistemi; prevede un'architettura di sicurezza specifica per la gestione dei dati personali trattati. Ogni sistema informativo che ne fa parte, è costituito, a livello nazionale, da: un sistema che ospita il front-end web del sistema informativo (avente la funzione di web server); un sistema che ospita il sistema informativo (avente la funzione di application server); un sistema dedicato alla memorizzazione dei dati (data server); un sistema dedicato alla autenticazione degli utenti e dei messaggi; un sistema dedicato a funzioni di Business Intelligence. In aggiunta a questi sistemi esiste un sistema infrastrutturale trasversale denominato "piattaforma codice univoco nazionale dell'assistito", dedicato alla procedura di cui all'art. 3, che provvede alla generazione ed assegnazione del codice univoco nazionale dell'assistito, che non consente la identificazione diretta dell'interessato, utilizzato per l'interconnessione dei sistemi informativi su base individuale. Le specifiche caratteristiche e modalità di trattamento che si applicano a tale sistema sono riportate nella sezione 0. Tutti i succitati sistemi sono collegati in rete locale e connessi alle infrastrutture comunicative attraverso firewall opportunamente configurati. Inoltre, la sicurezza degli stessi è incrementata mediante: strumenti IPS/IDS (Intrusion Prevention System/Intrusion Detection System) collocati nei punti di accesso alla rete al fine di consentire l'identificazione di attività ostili, ostacolando l'accesso da parte di soggetti non identificati e permettendo una reazione automatica alle intrusioni; aggiornamenti dei software, secondo la tempistica prevista dalle case produttrici ovvero, periodicamente, a seguito di interventi di manutenzione; configurazioni delle basi di dati per consentire un ripristino completo delle informazioni senza causarne la perdita di integrità e disponibilità; gruppi di continuità che, in caso di mancanza di alimentazione elettrica di rete, garantiscono la continuità operativa; un sistema di gestione degli accessi e di profilazione utenti, che prevede anche, ove opportuno, strumenti di autenticazione forte e certificazione digitale delle postazioni; un sistema di tracciatura delle operazioni di accesso ai sistemi (sia tramite funzioni applicative o tramite accesso diretto), al fine di permettere l'individuazione di eventuali anomalie. 4.1.1 Gestione dei supporti di memorizzazione I supporti di memorizzazione, che includono nastri magnetici, dischi ottici e cartucce, possono essere fissi o rimovibili. Sui supporti di memorizzazione non vengono, comunque, conservate informazioni in chiaro; ciò malgrado, per ridurre al minimo il rischio di manomissione delle informazioni, viene identificato un ruolo di custode dei supporti di memorizzazione, al quale è attribuita la responsabilità della gestione dei supporti di memorizzazione rimovibili. Per la gestione dei supporti di memorizzazione sono state adottate, in particolare, le seguenti misure: tutti i supporti sono etichettati a seconda della classificazione dei dati contenuti; viene tenuto un inventario dei supporti di memorizzazione secondo controlli predefiniti; sono state definite ed adottate misure di protezione fisica dei supporti di memorizzazione. I supporti di memorizzazione non più utilizzati saranno distrutti e resi inutilizzabili. 4.1.2 Misure idonee a garantire la continuità del servizio A garanzia della corretta operatività del servizio sono state attivate procedure idonee a definire tempi e modi per salvaguardare l'integrità e la disponibilità dei dati e consentire il ripristino del sistema in caso di eventi che lo rendano temporaneamente inutilizzabile. In particolare, per quel che riguarda i dati custoditi presso il Centro Elaborazione Dati (CED), sono previste: procedure per il salvataggio periodico dei dati (backup sia incrementale che storico); procedure che regolamentano la sostituzione, il riutilizzo e la rotazione dei supporti ad ogni ciclo di backup; procedure per il data recovery; procedure per la verifica dell'efficacia sia del backup che del possibile, successivo ripristino. La struttura organizzativa del CED e le procedure adottate consentono, in caso di necessità, di operare il ripristino dei dati in un arco di tempo inferiore ai sette giorni. 4.2 Modalità di abilitazione degli utenti Gli utenti accedono ai servizi del NSIS attraverso gli strumenti definiti dalla vigente normativa (art. 64 del Codice dell'amministrazione digitale) per l'autenticazione telematica ai servizi erogati in rete dalle pubbliche amministrazioni. In fase di prima attuazione, qualora compatibile con la tipologia dei dati trattati, come meglio specificato nei paragrafi che seguono, gli utenti possono accedere al sistema tramite credenziali di autenticazione generate secondo le modalità riportate sul sito del Ministero, in conformità all'art. 64 del Codice dell'amministrazione digitale. Il NSIS dispone di un sistema di gestione delle identità digitali, attraverso il quale vengono definiti i profili di autorizzazione previsti per ogni sistema, definiti secondo le logiche del Controllo degli accessi basato sui ruoli, declinati nello specifico in relazione al ruolo istituzionale, alle funzioni svolte e all'ambito territoriale delle azioni di competenza. Gli amministratori del sistema, nominati dal Ministero della salute, gestiscono la designazione degli utenti e l'assegnazione dei privilegi di accesso. Per l'accesso, l'architettura prevede un'abilitazione in due fasi. 4.2.1 Fase A - Abilitazione alla piattaforma NSIS La prima fase consente la registrazione da parte dell'utente mediante l'inserimento delle generalità e del proprio indirizzo di posta elettronica ove ricevere le credenziali di autenticazione nonché dei dettagli inerenti la struttura organizzativa di appartenenza. Successivamente, il sistema di registrazione invia una e-mail contenente l'identificativo e la password che l'utente è obbligato a cambiare al primo accesso e, periodicamente, con cadenza trimestrale. La parola chiave dovrà avere le seguenti caratteristiche: sarà composta da almeno otto caratteri; non conterrà riferimenti facilmente riconducibili all'incaricato. Le credenziali di autorizzazione non utilizzate da almeno sei mesi sono disattivate. 4.2.2 Fase B - Abilitazione ai servizi Nella seconda fase, l'utente (che viene definito utente NSIS) può chiedere l'abilitazione ad un profilo di un sistema informativo censito nel NSIS. Il sistema permette di formulare richieste solo per le applicazioni associate alla struttura organizzativa di appartenenza dell'utente. L'amministratore del sistema effettua un riscontro della presenza del nominativo nella lista di coloro che sono stati formalmente designati dal referente competente (ad es. della regione o provincia autonoma di appartenenza).