Serie Generale n. 82 del 7-4-2022
DECRETI, DELIBERE E ORDINANZE MINISTERIALI
MINISTERO DELL'UNIVERSITA' E DELLA RICERCA
MINISTERO DELL'UNIVERSITA' E DELLA RICERCA
DECRETO 19 gennaio 2022
Prima attuazione delle disposizioni istitutive dell'Anagrafe nazionale dell'istruzione superiore (ANIS) di cui all'art. 62-quinquies del Codice dell'amministrazione digitale. (22A02177) (GU Serie Generale n.82 del 07-04-2022)

IL MINISTRO DELL'UNIVERSITÀ
E DELLA RICERCA

di concerto con

IL MINISTRO
PER L'INNOVAZIONE TECNOLOGICA
E LA TRANSIZIONE DIGITALE

e

IL MINISTRO
PER LA PUBBLICA AMMINISTRAZIONE

Visto il decreto-legge 31 maggio 2021, n. 77, recante «Governance
del Piano nazionale di ripresa e resilienza e prime misure di
rafforzamento delle strutture amministrative e di accelerazione e
snellimento delle procedure», convertito con modificazioni dalla
legge 29 luglio 2021, n. 108, e in particolare l'art. 39-quinquies
che, al comma 1, ha introdotto nel codice dell'amministrazione di cui
al decreto legislativo 7 marzo 2005, n. 82, l'art. 62-quinquies che
istituisce l'Anagrafe nazionale dell'istruzione superiore (ANIS) a
cura del Ministero dell'università e della ricerca e, al comma 5,
prevede: «Con decreto del Ministro dell'università e della ricerca,
di concerto con il Ministro per l'innovazione tecnologica e la
transizione digitale e con il Ministro per la pubblica
amministrazione, da adottare entro il 31 dicembre 2021, acquisito il
parere del Garante per la protezione dei dati personali, sono
stabiliti: a) i contenuti dell'ANIS, tra i quali i dati relativi alle
iscrizioni degli studenti, all'istituzione di appartenenza e al
relativo corso di studi, i titoli conseguiti e gli ulteriori dati
relativi presenti nelle altre banche di dati di rilevanza nazionale
di interesse del Ministero dell'università e della ricerca cui lo
stesso può accedere per le relative finalità istituzionali; b) le
garanzie e le misure di sicurezza da adottare nonchè le modalità di
alimentazione da parte delle istituzioni della formazione superiore
nonchè tramite l'Anagrafe nazionale degli studenti, dei diplomati e
dei laureati degli istituti tecnici superiori e delle istituzioni
della formazione superiore, nel rispetto della normativa in materia
di protezione dei dati personali e delle regole tecniche del sistema
pubblico di connettività. L'allineamento dell'ANIS con l'Anagrafe
nazionale degli studenti, dei diplomati e dei laureati degli istituti
tecnici superiori e delle istituzioni della formazione superiore, con
l'ANPR e con le altre anagrafi di interesse del Ministero
dell'università e della ricerca per le relative finalità
istituzionali avviene in conformità alle linee guida adottate
dall'AgID in materia di interoperabilita'»;
Visto il decreto-legge 6 novembre 2021, n. 152, recante
«Disposizioni urgenti per l'attuazione del Piano nazionale di ripresa
e resilienza (PNRR) e per la prevenzione delle infiltrazioni
mafiose», convertito, con modificazioni, da legge in corso di
pubblicazione, e in particolare l'art. 31-ter, comma 2, laddove
individua la società di cui il Ministero dell'università e della
ricerca si avvale per la progettazione e la gestione dell'ANIS sulla
base di specifica convenzione, anche di durata pluriennale, con la
quale è altresì disciplinato l'avvalimento della citata società
anche ai fini della digitalizzazione dei servizi e dei processi
organizzativi e amministrativi interni, nonchè per la gestione
giuridica ed economica del personale;
Visto il citato codice dell'amministrazione digitale di cui al
menzionato decreto legislativo n. 82, del 2005, e in particolare gli
articoli 50-ter - introdotto dall'art. 45, comma 2, del decreto
legislativo 13 dicembre 2017, n. 217, che istituisce la Piattaforma
digitale nazionale dati - e 62 - come sostituito dall'art. 2 del
decreto-legge 18 ottobre 2012, n. 179, convertito, con modificazioni,
dalla legge 17 dicembre 2021, n. 221 - che istituisce l'Anagrafe
nazionale della popolazione residente (ANPR) e, al comma 3, dispone
che a ciascun cittadino è attribuito un codice identificativo
univoco (ID ANPR) al fine di garantire la circolarità dei dati
anagrafici e l'interoperabilità con le altre banche dati delle
pubbliche amministrazioni e dei gestori di servizi pubblici;
Visto il decreto legislativo 30 giugno 2003, n. 196, recante
«Codice in materia di protezione dei dati personali», e successive
modificazioni;
Visto il decreto-legge 9 maggio 2003, n. 105, convertito, con
modificazioni, dalla legge 11 luglio 2003, n. 170, recante
«Disposizioni urgenti per le università e gli enti di ricerca
nonchè in materia di abilitazione all'esercizio delle attività
professionali» e in particolare l'art. 1-bis, come modificato
dall'art. 2 del decreto legislativo 11 maggio 2018, n. 71,
concernente l'Anagrafe nazionale degli studenti, dei diplomati e dei
laureati degli istituti tecnici superiori e delle istituzioni della
formazione superiore, e che ne stabilisce gli obiettivi;
Visto il decreto del Ministro dell'istruzione, dell'università e
della ricerca 30 aprile 2004, n. 9, concernente l'Anagrafe nazionale
degli studenti e dei laureati in attuazione, con riferimento alle
sole istituzioni universitarie, del citato art. 1-bis;
Visto il decreto del Ministro dell'università e della ricerca
scientifica e tecnologica 3 novembre 1999, n. 509, recante
«Regolamento recante norme concernenti l'autonomia didattica degli
atenei»;
Visto il decreto del Ministro dell'università e della ricerca
scientifica e tecnologica 22 ottobre 2004, n. 270, recante «Modifiche
al regolamento recante norme concernenti l'autonomia didattica degli
atenei», approvato con decreto del Ministro dell'università e della
ricerca scientifica e tecnologica 3 novembre 1999, n. 509;
Vista la legge 21 dicembre 1999, n. 508, recante «Riforma delle
accademie di belle arti, dell'Accademia nazionale di danza,
dell'Accademia nazionale di arte drammatica, degli istituti superiori
per le industrie artistiche, dei conservatori di musica e degli
istituti musicali pareggiati»;
Visto il decreto del Presidente della Repubblica 28 febbraio 2003,
n. 132, recante «Regolamento recante criteri per l'autonomia
statutaria, regolamentare e organizzativa delle istituzioni
artistiche e musicali», a norma della legge 21 dicembre 1999, n. 508;
Visto il decreto del Ministro dell'istruzione, dell'università e
della ricerca 10 gennaio 2002, n. 38, recante «Regolamento recante
riordino della disciplina delle scuole di cui alla legge 11 ottobre
1986, n. 697», in attuazione dell'art. 17, comma 96, lettera a),
della legge 15 maggio 1997, n. 127;
Visto il decreto del Ministro dell'università e della ricerca
scientifica e tecnologica 11 dicembre 1998, n. 509, recante
«Regolamento recante norme per il riconoscimento degli istituti
abilitati ad attivare corsi di specializzazione in psicoterapia ai
sensi dell'art. 17, comma 96, della legge 15 maggio 1997, n. 127».
Visto il decreto del Ministro dell'istruzione, dell'università e
della ricerca 7 settembre 2011, n. 8327, recante «Norme generali per
gli ITS»;
Visto il decreto del Ministro dell'istruzione, dell'università e
della ricerca, 7 febbraio 2013 recante «Linee guida di cui all'art.
52, commi 1 e 2, della legge n. 35 del 4 aprile 2012, contenente
misure di semplificazione e di promozione dell'istruzione tecnico
professionale e degli istituti tecnici superiori (I.T.S.)»;
Visto il regolamento (UE) n. 910/2014 del Parlamento europeo e del
Consiglio, del 23 luglio 2014, in materia di identificazione
elettronica e servizi fiduciari per le transazioni elettroniche nel
mercato interno e che abroga la direttiva 1999/93/CE;
Visto il regolamento (UE) n. 2016/679 del Parlamento europeo e del
Consiglio del 27 aprile 2016, relativo alla protezione delle persone
fisiche con riguardo al trattamento dei dati personali, nonchè alla
libera circolazione di tali dati, che abroga la direttiva 95/46/CE
(regolamento generale sulla protezione dei dati);
Visto il regolamento (UE) n. 2021/241 del Parlamento europeo e del
Consiglio del 12 febbraio 2021, che istituisce il dispositivo per la
ripresa e la resilienza dell'Unione europea;
Vista la comunicazione della Commissione europea C (2021) 1054
finale del 12 febbraio 2021, recante «Orientamenti tecnici
sull'applicazione del principio "non arrecare un danno significativo"
a norma del regolamento sul dispositivo per la ripresa e la
resilienza»
Visto il Piano nazionale di ripresa e resilienza (PNRR), presentato
alla Commissione europea in data 30 aprile 2021 ai sensi dell'art. 18
del regolamento (UE) n. 2021/241 e approvato con decisione del
Consiglio ECOFIN del 13 luglio 2021 e notificata all'Italia dal
Segretariato generale del Consiglio con nota LT161/21, del 14 luglio
2021;
Visto il decreto del Presidente della Repubblica in data 12
febbraio 2021 con il quale la prof.ssa Maria Cristina Messa è stata
nomina Ministro dell'università e della ricerca;
Acquisito il parere del Garante per la protezione dei dati
personali, che si è espresso con provvedimento n. 428, in data 2
dicembre 2021;
Di concerto con il Ministro per l'innovazione tecnologica e la
transizione digitale e il Ministro per la pubblica amministrazione;

Decreta:

Art. 1

Definizioni

1. Ai fini del presente decreto si intende per:
a) ANIS: l'Anagrafe nazionale dell'istruzione superiore di cui
all'art. 62-quinquies del CAD;
b) ANIST: l'Anagrafe nazionale dell'istruzione di cui all'art.
62-quater del CAD;
c) ANPR: l'Anagrafe nazionale della popolazione residente di cui
all'art. 62 del CAD;
d) ANS: l'Anagrafe nazionale degli studenti e dei laureati delle
università di cui al decreto-legge 9 maggio 2003, n. 105,
convertito, con modificazioni, dalla legge 11 luglio 2003, n. 170, e
successive modificazioni;
e) CAD: il codice dell'amministrazione digitale di cui al decreto
legislativo 7 marzo 2005, n. 82;
f) ID ANPR: il codice identificativo univoco associato ad ogni
iscritto in ANPR al fine di garantire la circolarità dei dati
anagrafici e l'interoperabilità con le altre banche dati delle
pubbliche amministrazioni e dei gestori di servizi pubblici;
g) istituzione della formazione superiore: ogni istituto che
eroga corsi di istruzione superiore atto a rilasciare diplomi di
laurea e post lauream o titoli equipollenti;
h) Ministero: il Ministero dell'università e della ricerca;
i) PDND: la Piattaforma digitale nazionale dati di cui all'art.
50-ter del CAD;
j) portale ANIS: sito web dedicato all'ANIS che rende fruibili
servizi erogati da ANIS.

Art. 2

Oggetto

1. Con il presente decreto, in via di prima attuazione dell'art.
62-quinquies, comma 5, del CAD, e fermo restando quanto previsto
nell'art. 10, relativamente alla realizzazione dell'ANIS sono
stabiliti:
a) le finalità;
b) i dati contenuti;
c) le banche dati di interesse nazionale contenenti dati cui i
dati dell'ANIS si allineano o con le quali ANIS interagisce;
d) le modalità di alimentazione;
e) i soggetti che possono accedervi, le modalità di fruizione
dei dati contenuti e i servizi per i cittadini;
f) la titolarità del trattamento dei dati;
g) le principali garanzie e misure di sicurezza.

Art. 3

Finalità dell'ANIS

1. L'ANIS, attraverso le relative componenti tecnologiche, mira ad
assicurare:
a) la disponibilità dei dati e degli strumenti alla singola
istituzione della formazione superiore per lo svolgimento delle
funzioni di propria competenza, con particolare riferimento alla
finalità di certificazione; in particolare al fine di consentire la
consultazione dei dati da parte dei cittadini, anche per le
richiamate finalità di certificazione;
b) l'accesso ai dati in essa contenuti da parte delle pubbliche
amministrazioni per le relative finalità istituzionali; e da parte
dei soggetti privati che vi abbiano diritto e nei limiti consentiti
ai sensi delle leggi vigenti;
c) la disponibilità dei dati necessari per automatizzare le
procedure di iscrizione on-line alle istituzioni della formazione
superiore;
d) l'interoperabilità con le altre banche dati, indicate
nell'art. 5 e fermo restando il rinvio di cui all'art. 10, anche di
interesse nazionale ai sensi dell'art. 60 del CAD, che sono
d'interesse del Ministero per le relative finalità istituzionali;
e) il riconoscimento nell'Unione europea e all'estero dei titoli
di studio i cui dati sono ivi contenuti, attraverso tecnologie idonee
a garantire l'autenticità dei titoli medesimi;
f) all'automazione delle procedure di iscrizione on-line ai corsi
delle istituzioni della formazione superiore, anche attraverso
l'accesso, in consultazione, alle banche dati di altre
amministrazioni;
g) alla disponibilità, per ciascuna istituzione della formazione
superiore e per le pubbliche amministrazioni, dei dati necessari per
lo svolgimento delle funzioni di competenza;
h) alle specifiche finalità istituzionali in relazione alle
quali possono accedervi determinate categorie di soggetti in
relazione a determinate categorie di dati.
2. L'ANIS è organizzata secondo modalità funzionali e operative
che garantiscono l'univocità dei dati stessi nell'ambito delle altre
banche dati del Ministero dell'università e della ricerca.

Art. 4

Dati contenuti nell'ANIS

1. Nell'ANIS sono contenuti:
a) i dati relativi alle iscrizioni in corso degli studenti;
b) i dati relativi all'istituzione di appartenenza degli
studenti;
c) i dati relativi al corso di studi;
d) i dati relativi ai titoli conseguiti, ai sensi del decreto
ministeriale 30 aprile 2004, n. 9;
e) i dati anagrafici relativi al nome, al cognome, al codice
fiscale dello studente e, ove attribuito ai sensi di legge, all'ID
ANPR.
2. I dati di cui alle lettere a), b) e d) sono analiticamente
indicati nel decreto di cui all'art. 10.
3. I dati indicati nel comma 1, lettere a), b) e c) sono conservati
per il periodo di validità dell'iscrizione dello studente e, in ogni
caso, per il periodo di dieci anni dal conseguimento del più elevato
titolo di studio conseguito dallo studente stesso, ferma restando,
per gli altri dati indicati nel comma 1, la distinta disciplina dei
tempi di conservazione dei dati contenuti nell'ANS.

Art. 5

Banche dati di interesse nazionale contenenti dati
cui i dati dell'ANIS si allineano

1. Al fine di assicurare la correttezza, l'esattezza e
l'aggiornamento dei dati contenuti, come indicati nell'art. 4, questi
sono costantemente allineati, in conformità alle linee guida
adottate dall'AgID in materia di interoperabilità, con i dati
contenuti nell'ANS e, relativamente ai dati indicati nella lettera
e), nell'ANPR. Tale allineamento non determina in alcun caso
duplicazione del dato. Per lo svolgimento delle funzioni di propria
competenza, al fine di disporre, ove necessario, dei dati anagrafici
degli studenti registrati nell'ANPR, quali nome, cognome, luogo e
data di nascita e residenza, l'ANIS accede, esclusivamente in
consultazione, alla medesima ANPR, ai sensi del comma 5 dell'art. 62
del CAD, mediante servizi resi fruibili dalla PDND.
2. Per gli studenti registrati nell'ANPR, l'ID ANPR e il codice
fiscale sono resi disponibili all'ANIS dall'ANPR.

Art. 6

Modalità di alimentazione dell'ANIS

1. Le istituzioni della formazione superiore alimentano l'ANIS
attraverso la comunicazione al Ministero dei dati ivi previsti ai
sensi dell'art. 4, necessari per la costituzione della stessa e i
successivi aggiornamenti.
2. Le comunicazioni di cui al comma 1 sono effettuate utilizzando i
servizi resi fruibili dalla PDND.
3. Nell'ambito delle attività di cui al presente decreto le
istituzioni della formazione superiore mantengono la titolarità del
trattamento dei dati di propria competenza e ne assicurano la
correttezza, l'esattezza e l'aggiornamento attraverso l'ANS, in
conformità alle linee guida di Agid in materia di interoperabilità.
Resta fermo quanto previsto dall'art. 10 relativamente ai contenuti
del successivo decreto e, in particolare, alla possibilità che le
attività dell'ANS e delle istituzioni della formazione superiore,
descritte nel presente comma, siano svolte attraverso la PDND.

Art. 7

Soggetti che possono accedervi

1. L'ANIS, attraverso l'apposita interfaccia on-line resa
disponibile dal portale ANIS, consente agli studenti i cui dati sono
ivi contenuti l'accesso e la consultazione dei predetti dati, con le
modalità di cui al comma 2-quater dell'art. 64 del CAD ovvero
tramite il punto di accesso di cui al successivo art. 64-bis, anche a
fini certificativi, nonchè la presentazione della istanza di
rettifica degli stessi.
2. Nell'ambito dei servizi di accesso e consultazione di cui al
comma 1, in attuazione dell'art. 3, comma 1, lettera a), i soggetti
ivi indicati possono altresì fruire dei servizi di certificazione
che restano di competenza esclusiva delle istituzioni della
formazione superiore ai sensi della normativa vigente.
3. Al fine di consentire il tempestivo adeguamento dei servizi
dell'ANIS alle modifiche normative, i relativi aggiornamenti
tecnologici sono descritti anche nella documentazione tecnica
pubblicata nella interfaccia on-line di cui al comma 1, e fermo
restando che le modalità operative di alimentazione, correttezza,
esattezza e aggiornamento dei dati contenuti nell'ANS, come saranno
definite nel decreto previsto nell'art. 10 anche per quanto attiene
alla possibilità che l'ANIS metta a disposizione delle pubbliche
amministrazioni, per le relative finalità istituzionali, nonchè ai
soggetti privati che vi abbiano diritto e nei limiti consentiti ai
sensi delle leggi vigenti, i dati in essa contenuti, per il tramite
dei servizi resi disponibili dal PDND.

Art. 8

Titolarità del trattamento dei dati

1. Il Ministero è titolare del trattamento dei dati contenuti
nell'ANIS.
2. Per la realizzazione e la gestione dell'ANIS, il Ministero può
fare ricorso a soggetti terzi, preventivamente nominati responsabili
del trattamento ai sensi dell'art. 28 del regolamento (UE) n.
679/2016.
3. Per le attività delle istituzioni della formazione superiore
previste nell'art. 6 resta fermo quanto ivi previsto in ordine al
mantenimento della titolarità del trattamento dei dati di loro
competenza.

Art. 9

Principali garanzie e misure di sicurezza dell'ANIS

1. Fermo restando quanto previsto nell'art. 10, il Ministero
implementa le principali garanzie e misure di sicurezza, appropriate
e specifiche, finalizzate a tutelare i diritti fondamentali e gli
interessi delle persone fisiche i cui dati sono coinvolti nelle
attività di trattamento previste nel presente decreto. I relativi
requisiti di sicurezza così implementati garantiscono, in ogni caso:
a) l'integrità e la riservatezza dei dati;
b) la sicurezza del sistema e degli accessi;
c) il tracciamento delle operazioni effettuate.
2. Le misure di cui al comma 1 sono descritte nell'allegato A
«Principali garanzie e misure di sicurezza», che costituisce parte
integrante e sostanziale del presente decreto.
3. Il Ministero, prima dell'inizio dell'attività di trattamento,
effettua la valutazione di impatto ai sensi dell'art. 35 del
regolamento (UE) n. 679/2016 e consulta il Garante per la protezione
dei dati personali ai sensi del successivo art. 36. Nella valutazione
di impatto sono indicate, tra l'altro, le misure tecniche e
organizzative idonee a garantire un livello di sicurezza
costantemente adeguato al rischio, nonchè le eventuali misure poste
a tutela dei diritti e delle libertà degli interessati.

Art. 10

Ulteriori elementi di disciplina

1. Con successivo decreto, emanato ai sensi dell'art. 62-quinques
di cui in premessa entro novanta giorni dal presente decreto, sono
individuati, ai fini dell'operatività dell'ANIS, i seguenti elementi
della disciplina:
a) la data di avvio dell'operatività che dovrà, in ogni caso,
essere compatibile con i termini stabiliti per il perseguimento di
milestone e target del PNRR di competenza delle pubbliche
amministrazioni interessate dal funzionamento dell'ANIS;
b) i dati contenuti, ivi compresi quelli di cui alle lettere a),
b) e d) del comma 1 dell'art. 4, e i relativi tempi di conservazione
e, in particolare, il set di dati relativo a ciascun interessato con
la precisa individuazione dei dati che sono trattati, in relazione
alle specifiche finalità di ciascuna attività di trattamento, e
previa valutazione della necessità di tale trattamento in
proporzione con la finalità perseguita;
c) le altre banche dati, anche di interesse nazionale ai sensi
dell'art. 60 del CAD, tra cui l'ANIST, i cui dati siano necessari per
lo svolgimento delle funzioni di competenza del Ministero o per
l'allineamento degli ulteriori dati contenuti nell'ANIS, anche per il
tramite dei servizi resi fruibili dalla PDND, e nel rispetto dei
principi dell'art. 50-ter del CAD e delle relative linee guida;
d) i soggetti diversi da quelli di cui all'art. 7 che possono
accedervi, anche per quanto attiene, tra l'altro, alla possibilità
che l'ANIS metta a disposizione delle pubbliche amministrazioni per
le relative finalità istituzionali, nonchè ai soggetti privati che
vi abbiano diritto e nei limiti consentiti ai sensi delle leggi
vigenti, i dati in essa contenuti, per il tramite dei servizi resi
disponibili dal PDND;
e) le specifiche tecniche e le modalità operative di
alimentazione, correttezza, esattezza e aggiornamento dei dati
contenuti nell'ANIS, anche attraverso la PDND;
f) la descrizione dettagliata delle modalità di funzionamento
delle caratteristiche tecniche, delle regole tecniche e dei requisiti
delle garanzie e delle misure di sicurezza di cui all'art. 9 e
all'allegato «A», e del relativo manuale operativo, l'indicazione
della ubicazione della infrastruttura fisica nonchè le modalità
operative di alimentazione e aggiornamento di cui al comma 3
dell'art. 7;
g) le regole tecniche di realizzazione e di funzionamento
dell'interfaccia on-line prevista nel comma 1 dell'art. 7 e delle
interfacce con cui l'ANIS interagisce, e ogni conseguente modifica e
integrazione all'allegato «A» al presente decreto;
h) le modalità per assicurare il rilascio di certificazioni da
parte delle istituzioni della formazione superiore, attraverso
l'ANIS, ai sensi del comma 4 dell'art. 62-quinquies del CAD anche
mediante l'emissione on-line di documenti digitali muniti di sigillo
elettronico qualificato ai sensi del regolamento (UE) n. 910/2014 del
Parlamento europeo e del Consiglio, del 23 luglio 2014;
a) le ulteriori finalità dell'ANIS, anche mediante i servizi
resi fruibili dalla PDND, con particolare riguardo: al riconoscimento
nell'Unione europea e all'estero dei titoli di studio i cui dati sono
ivi contenuti, attraverso tecnologie idonee a garantire
l'autenticità dei titoli medesimi; all'automazione delle procedure
di iscrizione on-line ai corsi delle istituzioni della formazione
superiore, anche attraverso l'accesso, in consultazione, alle banche
dati di altre amministrazioni; alla disponibilità, per ciascuna
istituzione della formazione superiore e per le pubbliche
amministrazioni, dei dati necessari per lo svolgimento delle funzioni
di competenza; alle specifiche finalità istituzionali in relazione
alle quali possono accedervi determinate categorie di soggetti in
relazione a determinate categorie di dati.
Il presente decreto sarà pubblicato nella Gazzetta Ufficiale della
Repubblica italiana.
Roma, 19 gennaio 2022

Il Ministro dell'università
e della ricerca
Messa

Il Ministro
per l'innovazione tecnologica
e la transizione digitale
Colao

Il Ministro
per la pubblica amministrazione
Brunetta


Registrato alla Corte dei conti il 7 marzo 2022
Ufficio di controllo sugli atti del Ministero del lavoro e delle
politiche sociali, del Ministero dell'istruzione, del Ministero
dell'università e della ricerca, del Ministero della cultura, del
Ministero della salute, n. 483

Allegato A

«Principali garanzie e misure di sicurezza»

1. Introduzione
Il presente allegato descrive le principali garanzie e misure di
sicurezza dell'ANIS, in conformità all'art. 62-quinquies, comma 5,
del CAD.
Per le predette finalità, l'ANIS è dotata di:
un sistema di Identity &amp; Access Management per
l'identificazione dell'utente e della postazione, la gestione dei
profili autorizzativi, la verifica dei diritti di accesso, il
tracciamento delle operazioni;
un sistema di tracciamento e di conservazione dei dati di
accesso alle componenti applicative e di sistema;
sistemi di sicurezza per la protezione delle informazioni e dei
servizi erogati dalla base dati;
un sistema di log analysis per l'analisi periodica dei file di
log, in grado di individuare, sulla base di regole predefinite e
formalizzate eventi potenzialmente anomali e di segnalarli al
Ministero tramite funzionalità di alert;
una Certification Authority;
sistemi e servizi di backup per il salvataggio dei dati e delle
applicazioni;
sistemi e servizi di Disaster Recovery.
Il piano di continuità operativa espliciterà le procedure
relative ai sistemi ed ai servizi di backup e di Disaster Recovery.
2. Infrastruttura fisica
L'infrastruttura di ANIS è installata nei locali individuati dal
Ministero aventi specifici requisiti di sicurezza che garantiscano la
continuità di servizio tramite soluzioni di alta affidabilità (HA)
e un rigido controllo dell'accesso anche fisico in ambienti ad
accesso limitato e sottoposti a videosorveglianza continua.
Qualsiasi altra operazione manuale è consentita solo a personale
autorizzato dal Ministero.
3. Protezione da attacchi informatici
Al fine di protezione dei sistemi operativi da attacchi
informatici, eliminando le vulnerabilità, si utilizzano:
a) in fase di configurazione, procedure di hardening
finalizzate a limitare l'operatività alle sole funzionalità
necessarie per il corretto funzionamento dei servizi;
b) in fase di messa in esercizio, oltre che ad intervalli
prefissati o in presenza di eventi significativi, processi di
vulnerability assessment and mitigation nei software utilizzati e
nelle applicazioni dei sistemi operativi;
c) piattaforma di sistemi firewall e sonde anti-intrusione;
d) ogni altra soluzione tecnologica aggiuntiva che sia utile
all'innalzamento del livello di sicurezza e protezione del sistema.
4. Accesso
L'accesso all'ANIS avviene in condizioni di pieno isolamento
operativo e di esclusività, in conformità ai principi di esattezza,
disponibilità, accessibilità, integrità e riservatezza dei dati,
dei sistemi e delle infrastrutture di cui all'art. 51 del CAD.
I sistemi di sicurezza garantiscono che l'infrastruttura di
produzione sia logicamente distinta da altre infrastrutture, anche di
competenza di soggetti terzi di cui il Ministero si avvalga ai sensi
dell'art. 8, comma 2, e che l'accesso alla stessa avvenga in modo
sicuro, controllato, e costantemente tracciato, esclusivamente da
parte di personale autorizzato dal Ministero, e con il tracciamento
degli accessi e di qualsiasi attività eseguita.
L'ANIS invia e riceve le comunicazioni in modalità sicura, su
rete di comunicazione SPC ovvero, tramite internet, mediante
protocollo Transport Layer Security (TLS) per garantire la
riservatezza dei dati su reti pubbliche.
4.1. Accesso degli aventi diritto ai sensi dell'art. 7
L'accesso degli aventi diritto ai sensi dell'articolo avviene
esclusivamente mediante uno degli strumenti di autenticazione
indicati nell'art. 7.
4.2. Accesso delle istituzioni della formazione superiore, delle
pubbliche amministrazioni e degli organismi che erogano pubblici
servizi per alimentazione e consultazione
Fermo restando quanto previsto dall'art. 10, l'accesso delle
istituzioni della formazione superiore, delle pubbliche
amministrazioni e degli organismi che erogano pubblici servizi,
rivolto all'alimentazione dell'ANIS, avverrà nell'osservanza dei
rispettivi compiti istituzionali e della normativa in materia di
protezione dei dati personali nonchè delle regole tecniche del
sistema pubblico di connettività. Il conseguente allineamento
dell'ANIS con le altre banche di dati di interesse nazionale,
regionale, provinciale e locale avverrà in conformità alle linee
guida adottate dall'AgID in materia di interoperabilità. L'accesso
dei medesimi soggetti di cui al periodo precedente rivolto alla
consultazione dell'ANIS avverrà nel rispetto di quanto previsto
all'art. 50-ter del CAD e, in particolare, nei limiti di garanzia e
di sicurezza previsti al comma 2 del citato articolo.