Art. 6 Specifiche tecniche PCT
Art. 6 Specifiche tecniche PCT (Identificazione informatica - Rif. art. 6 DM 44-2011)
1. L'identificazione informatica per i soggetti abilitati esterni e gli utenti privati avviene sul portale dei servizi telematici mediante carta d'identità elettronica o carta nazionale dei servizi e sul punto di accesso mediante autenticazione a due fattori oppure tramite token crittografico in conformità all'articolo 64 del decreto legislativo 7 marzo 2005, n. 82; in caso si utilizzi il token crittografico, l'identificazione avviene nel rispetto dei seguenti requisiti:
Il certificato deve essere rilasciato da un certificatore accreditato dall'Agenzia per l'Italia Digitale ai sensi dell'art. 29 del CAD, che si fa garante dell'identità del soggetto.
Il certificato deve rispettare il profilo del certificato previsto dalla Carta Nazionale dei Servizi, facendo riferimento all'Appendice 1 del documento rilasciato dal CNIPA: "Linee guida per l'emissione e l'utilizzo della Carta Nazionale dei Servizi". L'estensione Certificate Policy può essere valorizzata con un Object Identifier definito dalla CA.
In termini di sicurezza, i dispositivi ammessi sono i dispositivi personali consentiti per la firma elettronica qualificata e quindi smart card e token USB, secondo quanto previsto dalla normativa vigente. I dispositivi sicuri devono essere certificati Common Criterio EAL4+ con traguardo di sicurezza o profilo di protezione conforme alle disposizioni comunitarie.
d) In termini d'interoperabilità, sono ammissibili dispositivi che consentano la disponibilità di entrambe le interfacce PKCS#11 e CSP; in particolare, entrambe le interfacce devono consentire l'accesso alla procedura d'identificazione forte mediante digitazione del PIN da parte dell'utente; il dispositivo deve inoltre rispettare la strutturazione del file system come da specifiche CNS.
In fase di identificazione tramite token crittografico, il punto di accesso o il portale dei servizi telematici verifica la validità del certificato presente nel token crittografico utilizzato dall'utente che accede; prima di consentire qualunque operazione, inoltre, il punto di accesso verifica che il token crittografico sia collegato alla postazione; in caso contrario, invalida e termina la sessione.
Il Ministero della giustizia verifica, anche attraverso opportune visite ispettive, che i punti di accesso rispettino i predetti requisiti.
La violazione di queste regole di sicurezza comporta per il punto di accesso la sospensione dell'autorizzazione a erogare i servizi, fino al definitivo rispetto dei requisiti.
L'identificazione informatica per i soggetti abilitati interni avviene ai sensi dell'articolo 10.
