Determinazione AGID n. 112/2021 del 02/02/2021

Approvazione della trattazione e dell’invito sulla segnalazione n. 37/2020

La determinazione è un atto amministrativo dell’AgID adottato nell’ambito delle funzioni dell’Ufficio del difensore civico per il digitale. Essa approva gli esiti dell’istruttoria relativa a una segnalazione contro il Comune di Falvaterra, distinguendo tra il profilo del manuale di protocollo informatico e quello della sicurezza del sito istituzionale.

Contesto e oggetto della segnalazione

La segnalazione n. 37/2020, acquisita al protocollo AgID n. 5118/2020, lamentava due criticità:

• la mancata pubblicazione del manuale di gestione del protocollo informatico comunale;
• l’avviso di insicurezza del sito web istituzionale, con segnalazione del browser circa il rischio di intercettazione dei dati.

L’istruttoria è stata svolta dall’Ufficio del difensore civico per il digitale, con acquisizione di chiarimenti dall’amministrazione segnalata e supporto tecnico da strutture competenti in materia di sicurezza informatica.

Quadro normativo richiamato

Nel provvedimento sono richiamati, in particolare:

• l’articolo 17, comma 1-quater, del Codice dell’amministrazione digitale, che istituisce presso AgID l’Ufficio del difensore civico per il digitale e disciplina le segnalazioni;
• il DPCM 3 dicembre 2013 sulle regole tecniche del protocollo informatico, con riferimento all’articolo 5 sulla funzione e pubblicazione del manuale di gestione;
• l’articolo 51 del CAD in materia di sicurezza e custodia dei documenti informatici delle pubbliche amministrazioni;
• la Circolare AgID n. 2/2017 sulle misure minime di sicurezza ICT;
• il Piano triennale per l’informatica nella PA 2020-2022, in particolare gli obiettivi relativi all’aumento della consapevolezza del rischio cyber e al miglioramento della sicurezza dei portali istituzionali.

Esito sul manuale di gestione del protocollo informatico

Per il primo profilo, AgID ha verificato che il manuale di gestione documentale risultava pubblicato nel portale di amministrazione trasparente del Comune e raggiungibile dal sito istituzionale tramite collegamento alla pagina dedicata. Sebbene il documento fosse collocato su un dominio gestito dal fornitore della soluzione informatica, l’Agenzia ha ritenuto che il manuale fosse comunque accessibile attraverso il sito dell’amministrazione. Di conseguenza, questo aspetto è stato considerato risolto e archiviato.

Esito sul profilo di sicurezza del sito istituzionale

Per il secondo profilo, l’istruttoria ha accertato che il sito non era dotato di certificato SSL e che ciò determinava il messaggio di warning visualizzato dai browser moderni. AgID ha rilevato che l’adozione del protocollo HTTPS non risultava espressamente imposta come misura minima dalla Circolare n. 2/2017, ma ha comunque qualificato la situazione come una criticità di sicurezza informatica, coerente con gli obiettivi del Piano triennale.

Invito all’amministrazione e conseguenze

Sulla base di tali esiti, l’Ufficio del difensore civico per il digitale ha approvato un invito al Comune di Falvaterra a:

• riconfigurare il sito istituzionale dotandolo di un certificato SSL;
• consentire sessioni cifrate tramite protocollo HTTPS;
• conformarsi ad ogni ulteriore misura di sicurezza informatica che AgID dovesse successivamente indicare.

L’invito richiama anche l’avvertenza che, in caso di mancato riscontro, l’inadempienza può essere segnalata all’ufficio competente per i procedimenti disciplinari, con possibili riflessi sulla performance e sulla responsabilità dirigenziale.

Dispositivo della determinazione

Con la determinazione il Direttore generale dispone:

• l’approvazione della trattazione n. 37/2020, dell’invito e della comunicazione al segnalante, allegati e parte integrante dell’atto;
• l’autorizzazione alla pubblicazione dell’invito nella specifica area del sito internet di AgID.

In sostanza, l’atto chiude il procedimento interno di esame della segnalazione, confermando l’archiviazione del profilo documentale e l’adozione dell’invito per la criticità di sicurezza del sito.