[normattiva_dump]

A tendere, in relazione al grado di evoluzione e dispiegamento del SPC e delle relative regole tecniche e di sicurezza, l'infrastruttura INA utilizzerà pienamente tale sistema, prevedendo anche l'interfacciamento del sistema di sicurezza INA CNSD per fornire informazioni di monitoraggio al CERT-SPC. 4. Architettura di cooperazione e sicurezza del CNSD applicata all'INA. L'architettura di cooperazione e sicurezza del Ministero dell'interno presso il CNSD si basa sull'infrastruttura di intermediazione, cooperazione e sicurezza «Backbone» che provvede a garantire la cooperazione applicativa, la sicurezza, la protezione dei dati e la tutela della privacy, per una molteplicità di servizi informativi utilizzati da PA centrali, PA locali ed Enti. Tale coordinamento e composizione dei servizi erogati online dal CNSD è sostenuto, inoltre, dal Sistema di monitoraggio, tracciatura e allarme. Il Backbone utilizza un protocollo che separa nettamente la componente applicativa da quella di autenticazione e da quella di gestione del trasporto delle informazioni associate ai servizi applicativi. La figura seguente schematizza l'architettura di cooperazione e sicurezza del CNSD. Parte di provvedimento in formato grafico Nella figura la Regione rappresenta un esempio tipico di ente connesso al CNSD per i processi di circolarità anagrafica. La stessa architettura viene utilizzata dagli enti centrali autorizzati ai processi di circolarità anagrafica in quanto la logica di funzionamento rimane identica. Presso la Porta di Dominio dell'ente connesso con il CNSD è presente il modulo SS_BKPDD ENTE, mentre presso il CNSD è presente il modulo SS_BKPDD CNSD della Porta di Dominio del CNSD; tali componenti costituiscono l'infrastruttura di sicurezza Backbone per la gestione della sicurezza delle comunicazioni tra Regione e CNSD. Presso i Comuni e alcuni enti centrali l'architettura di sicurezza per l'accesso al CNSD si può basare, invece che su Porta di Dominio integrata con modulo SS_BKPDD, anche sulla Porta di Accesso Comunale ai domini applicativi del CNSD (d'ora in avanti anche «Porta di Accesso») e sul canale sicuro Backbone per la comunicazione su rete Internet. In ogni caso la logica di funzionamento rimane identica e le funzionalità e le misure di sicurezza assicurate dall'infrastruttura di cooperazione e sicurezza «Backbone» sono uguali per cui, nel seguito, non si faranno distinzioni. a. Infrastruttura di cooperazione e sicurezza «Backbone». Tutti i servizi applicativi afferenti al CNSD vengono incapsulati in un canale di autenticazione e autorizzazione basato sull'infrastruttura di cooperazione e sicurezza «Backbone» che controlla i permessi di Accesso alle singole componenti applicative del soggetto che ha effettuato l'autenticazione sulla postazione dotata di Backbone. Si tratta di una autenticazione all'infrastruttura di sicurezza «Backbone» del CNSD che gestisce i profili di autorizzazione di tutti i servizi applicativi del CNSD e non di una semplice autenticazione al sistema operativo della postazione. Il Backbone consente infatti di individuare la terna «postazione-utente-servizio» tramite una gestione delle credenziali che assicura la possibilità di individuare quale utente da quale postazione è stato autenticato per usare un determinato servizio applicativo. Anche la postazione viene autenticata tramite un identificativo univocamente associato alla postazione stessa. In particolare per ogni postazione viene creato un identificativo hardware «Backbone» che consente di associare univocamente la postazione all'ente cui è assegnata. L'identificativo è costituito da una chiave hardware univoca creata nel momento della inizializzazione e abilitazione della postazione. Utilizzando il Sistema di monitoraggio, tracciatura e allarme è possibile associare i flussi applicativi ai profili di autorizzazione nonché verificare la conformità del flusso rispetto agli schemi applicativi (ad esempio XSD) e relativi tracciati record. I server applicativi hanno necessità di riconoscere il tipo di flusso in funzione del servizio applicativo e di un identificativo ad esso associato. A tal fine l'identificativo serve a distinguere la versione del software utilizzato sulla postazione per erogare uno specifico servizio. Ogni versione di software applicativo ha un identificativo diverso. L'identificativo viene utilizzato dal sistema di Sistema di monitoraggio, tracciatura e allarme per classificare univocamente ciascuna transazione. I servizi di autenticazione e autorizzazione dell'infrastruttura sono gestiti dal Backbone. Il Backbone incapsula i servizi applicativi nel canale di autenticazione e autorizzazione secondo il seguente paradigma di funzionamento: La componente di Accesso del Backbone («Porta di Accesso» di front end oppure la Porta di Dominio integrata con modulo «Backbone» SS-BKPDD) verso un punto di cooperazione con un ente che accede ai servizi del CNSD viene definita sulla base di uno o più procedimenti amministrativi che determinano la necessità di cooperazione tra l'organizzazione e il Ministero dell'interno. La Porta di Accesso (o modulo SS-BKPDD della Porta di Dominio) consente quindi di assicurare la corrispondenza selettiva dei profili di autorizzazione sia degli enti, sia degli incaricati, sia dei punti di Accesso utilizzati per usufruire dei servizi applicativi relativi ai procedimenti. Infatti la Porta di Accesso (o modulo SS-BKPDD della Porta di Dominio) è definita attraverso un servizio di autenticazione che identifica l'amministrazione che coopera con il Ministero dell'interno, determina in modo univoco e certifica il punto di origine della comunicazione e associa al punto di origine le credenziali che definiscono in modo univoco il responsabile della sicurezza del dispositivo fisico presso il quale è situata la componente di front end del Backbone della Amministrazione che coopera con il Ministero dell'interno. L'accesso al servizio applicativo esposto dal Ministero dell'interno-CNSD prevede che la richiesta venga consegnata all'agente di sicurezza Backbone presso il dispositivo (Porta di Accesso o modulo SS-BKPDD della Porta di Dominio) che risiede presso l'unità organizzativa dell'ente abilitato a cooperare con il Ministero dell'interno. La componente Backbone verifica che il servizio applicativo appartenga ai profili di autorizzazione consentiti per quella Porta di Accesso (o modulo SS-BKPDD della Porta di Dominio). Questi profili di autorizzazione consentono di discriminare la tipologia di servizi applicativi cui l'ente è stato abilitato e le caratteristiche di utilizzo di tali servizi ad esso riservate. Una volta consegnata alla Porta di Accesso (o modulo SS-BKPDD della Porta di Dominio), la componente di richiesta del servizio applicativo e i dati ad essa associati vengono crittografati con algoritmo a standard RSA 2048 bit e incapsulati dall'agente di sicurezza Backbone in una apposita struttura per il servizio di invio su rete. La struttura, crittografata attraverso un sistema di cifratura asimmetrica con mutua autenticazione dei peer, basato sul profilo dei servizi applicativi e delle credenziali delle postazioni, viene quindi inviata al CNSD su canale di comunicazione SSL. I certificati client e server necessari per la mutua autenticazione sono emessi dalla Certification Authority del CNSD. L'agente di sicurezza Backbone invia le comunicazioni solo dopo aver verificato la corretta corrispondenza dell'insieme di regole di sicurezza che gli sono assegnate. Tra queste regole si hanno il controllo: