Determinazione AGID n. 112/2021 del 02/02/2021

Approvazione della trattazione e dell’invito sulla segnalazione n. 37/2020

La determinazione conclude l’istruttoria svolta dall’Ufficio del difensore civico per il digitale su una segnalazione relativa al Comune di Falvaterra. L’atto ha natura amministrativa e riguarda l’esercizio delle funzioni del difensore civico digitale previste dall’art. 17, comma 1-quater, del CAD.

Oggetto della segnalazione

La segnalazione contestava due profili distinti:

• la mancata pubblicazione del manuale di gestione del protocollo informatico;
• la presenza di criticità di sicurezza nel sito istituzionale, segnalata dal browser con avviso di sito non sicuro.

L’istruttoria ha esaminato separatamente i due aspetti, acquisendo chiarimenti dall’amministrazione e supporto tecnico in materia di sicurezza.

Quadro normativo richiamato

Il provvedimento richiama, tra le altre, le norme e fonti rilevanti per la materia digitale:

• articolo 17, comma 1-quater, del decreto legislativo n. 82/2005, che disciplina il difensore civico per il digitale;
• articolo 5 del DPCM 3 dicembre 2013 sulle regole tecniche del protocollo informatico, che richiede la redazione e pubblicazione del manuale di gestione;
• articolo 51 del CAD sulla sicurezza dei dati, dei sistemi e delle infrastrutture;
• Circolare AgID 18 aprile 2017, n. 2/2017 sulle misure minime di sicurezza ICT;
• Piano triennale per l’informatica nella PA 2020-2022, in particolare gli obiettivi relativi all’aumento della consapevolezza del rischio cyber e al rafforzamento della sicurezza dei portali istituzionali.

Esito del primo profilo: manuale di gestione del protocollo

Per quanto riguarda il manuale di gestione documentale, l’amministrazione ha comunicato che esso era stato pubblicato nel portale dell’amministrazione trasparente gestito dal fornitore della soluzione informatica e che sarebbe stato mantenuto online anche negli aggiornamenti futuri.

Dalla verifica svolta da AgID è risultato che il manuale era effettivamente raggiungibile tramite il sito dell’amministrazione, benché collocato tecnicamente sul dominio del fornitore. Su questo punto la determinazione considera la questione sostanzialmente risolta e propone l’archiviazione del profilo segnalato.

Esito del secondo profilo: sicurezza del sito web

Sul fronte della sicurezza del sito istituzionale, l’istruttoria ha confermato che il portale era accompagnato dal messaggio di avvertimento del browser. Il problema è stato ricondotto all’assenza di un certificato SSL e, quindi, alla mancanza di connessione HTTPS.

AgID rileva che l’uso di HTTPS non risultava espresso come obbligo nelle misure minime di sicurezza ICT allora vigenti, ma ciò non escludeva la natura critica della situazione. La mancata adozione del protocollo sicuro è stata qualificata come carenza di sicurezza informatica, coerente anche con gli obiettivi del Piano triennale per l’informatica nella PA 2020-2022.

Disposizioni finali

La determinazione:

• approva la trattazione n. 37/2020, l’invito e la comunicazione al segnalante;
• autorizza la pubblicazione dell’invito nell’apposita area del sito internet dell’AgID.

L’invito all’amministrazione segnalata dispone di porre rimedio tempestivamente alla criticità, in particolare riconfigurando il sito con un certificato SSL per consentire sessioni cifrate tramite HTTPS e adeguandosi ad eventuali ulteriori misure di sicurezza che AgID dovesse successivamente indicare.

Effetti pratici

Per l’amministrazione segnalata, l’esito è duplice: nessun ulteriore intervento viene richiesto sul profilo del manuale di protocollo, mentre permane l’obbligo di intervenire sul sito istituzionale per risolvere la criticità di sicurezza. Per il segnalante, l’Ufficio comunica l’esito dell’istruttoria distinguendo tra profilo archiviato e profilo ritenuto fondato.