Linee Guida sull’interoperabilità tecnica delle Pubbliche Amministrazioni

Linee Guida sull’interoperabilità tecnica delle Pubbliche Amministrazioni

Le Linee Guida definiscono il quadro tecnico e organizzativo del Modello di Interoperabilità delle Pubbliche Amministrazioni (ModI), individuando tecnologie, standard e modalità di utilizzo delle API per lo scambio di dati e l’integrazione di processi tra PA, cittadini, imprese e sistemi dell’Unione europea. Il documento si colloca nel quadro del CAD e mira ad assicurare interoperabilità, sicurezza, riuso e governo coordinato degli e-service.

Ambito di applicazione e destinatari

Le Linee Guida sono emanate ai sensi dell’art. 71 CAD e richiamano, tra le basi normative, l’art. 14-bis, comma 2, lett. a), e l’art. 73, comma 3-ter, del CAD. I destinatari sono i soggetti di cui all’art. 2, comma 2, CAD, come richiamati dall’art. 75, quindi le pubbliche amministrazioni e gli altri soggetti inclusi nella disciplina codicistica. Il documento è inoltre rivolto ai soggetti privati che devono interoperare con la PA per accedere a dati e servizi digitali.

Per gli e-service già esistenti alla data di emanazione, le amministrazioni devono assicurare ai nuovi fruitori modalità di fruizione conformi alle Linee Guida e, dopo una valutazione di impatto che consideri sicurezza e effetti sui fruitori, prevedere la dismissione delle modalità difformi.

Quadro concettuale: ModI, e-service e API

Le Linee Guida completano l’evoluzione del precedente SPCoop verso il ModI, coerente con l’European Interoperability Framework. Il documento si concentra sui soli servizi digitali, definiti come e-service, cioè servizi erogati via rete attraverso processi digitali che consentono l’accesso ai dati o l’integrazione dei processi di un soggetto mediante l’interazione tra sistemi informatici.

L’API è assunta come elemento tecnologico di base del ModI. Il termine è usato in senso ampio per ricomprendere Web API, web service e API REST. Le Linee Guida richiamano esplicitamente l’approccio API-first, secondo il quale le interfacce applicative devono essere progettate ed evolute in modo interoperabile, indipendentemente dai canali di erogazione del servizio, e l’approccio contract-first, che valorizza la definizione condivisa delle API tramite linguaggi formali di descrizione.

Interazioni, ruoli e domini di interoperabilità

Il documento distingue i ruoli di erogatore e fruitore. L’erogatore è il soggetto che rende disponibili e-service; il fruitore è il soggetto che li utilizza. Le interazioni possono avvenire sia in modalità user agent/human sia in modalità server/machine, anche per abilitare nuovi servizi a valore aggiunto.

Le Linee Guida definiscono inoltre il dominio di interoperabilità come il contesto in cui più soggetti devono scambiare dati o integrare processi per dare seguito a obblighi normativi. Ogni dominio è caratterizzato da soggetti partecipanti, sistemi informatici, API implementate e criteri di sicurezza. Le PA possono adottare le Linee Guida anche per i servizi interni al proprio dominio, così da favorire riuso, integrazione e uniformità dei criteri di qualità e sicurezza.

Qualità del servizio, SLA e logging

Il documento attribuisce rilievo alla Quality of Service (QoS) delle API, intesa come capacità di soddisfare le aspettative dei fruitori. Gli elementi richiamati sono disponibilità, accessibilità, prestazioni, affidabilità, scalabilità, sicurezza e transazionalità. Gli erogatori devono adottare tutte le misure necessarie per mantenere i requisiti di QoS richiesti dal caso d’uso.

Gli SLA sono lo strumento di accordo tra erogatore e fruitore per regolare il livello di servizio. Possono contenere scopo, parti, periodo di validità, perimetro, SLO, SLI, penalità, esclusioni e modalità di amministrazione. Le Linee Guida ammettono SLA statici e dinamici.

Sul logging, l’erogatore deve documentare in modo puntuale formato, tracciatura, consultazione e reperimento dei dati di log. È vietato tracciare segreti come password, chiavi private o token di autenticazione. Per ogni richiesta deve essere registrato almeno: istante, identificativo del fruitore e dell’operazione, tipologia di chiamata, esito, eventuale identificativo del consumatore comunicato dal fruitore e, se presente, un identificativo univoco della richiesta.

Pattern e profili di interoperabilità

Le Linee Guida distinguono pattern di interoperabilità e profili di interoperabilità. I pattern di interazione descrivono il modello di comunicazione tra fruitore ed erogatore; i pattern di sicurezza definiscono le modalità tecniche per garantire autenticazione, autorizzazione, confidenzialità e integrità; i profili combinano più pattern per coprire esigenze specifiche, ad esempio il non ripudio.

Le PA devono usare i pattern e i profili previsti nei documenti operativi. Se non esiste un pattern adeguato o se occorre modificarne uno esistente, la PA deve segnalare ad AgID la nuova esigenza o la proposta di aggiornamento. AgID apre un tavolo pubblico di concertazione e poi introduce o modifica pattern e profili mediante circolari di aggiornamento dei documenti operativi.

Progettazione dei servizi digitali

La progettazione degli e-service è articolata in fasi. Nella fase di individuazione delle esigenze l’erogatore analizza la norma, individua funzioni di competenza, obiettivi, dati di input e output, e valuta se coinvolgere altre organizzazioni come fonti autoritative o soggetti che svolgano endoprocedimenti. Nella fase organizzativa si decide se il processo sarà semplice o collettivo e si definiscono ruoli, responsabilità e modalità di riuso o reingegnerizzazione degli e-service.

Le Linee Guida richiamano i principi del digital-by-default e del once-only: i servizi devono essere progettati per il canale digitale come canale prioritario e i dati già in possesso della PA non devono essere richiesti nuovamente al cittadino o all’impresa, nel rispetto della disciplina privacy.

Nella fase semantica le organizzazioni definiscono il modello dati condiviso, in coerenza con vocabolari controllati e modelli nazionali o internazionali. Nella fase tecnica si garantisce l’attuazione del modello dati e la conformità ai pattern/profili individuati. La fase di governance consente la pubblicazione delle API nel Catalogo e la formalizzazione degli accordi di interoperabilità.

Obblighi organizzativi per le PA

Le PA erogatrici devono: assicurare l’erogazione integrata degli e-service e gestire con attenzione modifiche e aggiornamenti; definire criteri per la gestione delle modifiche delle API; organizzarsi per garantire i livelli di servizio appropriati; predisporre ambienti di test per i fruitori; individuare un ufficio RTD o un ufficio equivalente per la gestione dell’interoperabilità; pubblicare e mantenere gli accordi di interoperabilità; individuare un punto di contatto tecnico; usare un linguaggio formale per rappresentare il processo digitale.

Nei processi digitali collettivi, oltre agli obblighi precedenti, devono essere individuate un’amministrazione coordinatrice e forme di coordinamento tramite gli RTD, con condivisione di obiettivi, calendari e priorità. Le amministrazioni dovrebbero inoltre coinvolgere cittadini e imprese sin dalla progettazione, anche in forma associata, per verifiche di usabilità e test.

Modello semantico e dati condivisi

Le comunicazioni tra soggetti devono basarsi su modelli dati condivisi, al fine di uniformare la rappresentazione dell’informazione e facilitare l’interoperabilità. I modelli dati derivano dalle ontologie e dalle rappresentazioni formali di un dominio di conoscenza.

Gli erogatori devono individuare i domini di interesse, determinare le entità da rappresentare e verificare la copertura di tali entità nei modelli definiti a livello nazionale da AgID. Se tutte le entità e proprietà sono già coperte, il modello dati può essere rappresentato; in caso contrario, amministrazione e AgID valutano se definire o aggiornare entità e proprietà a livello nazionale.

Tecnologie per le API

Le Linee Guida ammettono sia SOAP con lo stack WS-* sia REST basato su HTTP come tecnologie per l’implementazione delle API. Vengono descritti due paradigmi architetturali: RPC-like e resource-oriented. Il documento accoglie l’implementazione di API REST classificabili almeno al livello 1 del Richardson Maturity Model.

La scelta della tecnologia è rimessa alle PA che compongono il dominio di interoperabilità, in base alle esigenze specifiche. È ammessa anche l’erogazione contemporanea di e-service con API SOAP e REST.

Governance, Catalogo delle API e ruolo di AgID

AgID è responsabile della governance del ModI e deve definire, condividere e aggiornare continuamente tecnologie, pattern e profili di interoperabilità. Il documento riconosce il principio once-only e attribuisce a ciascun erogatore l’impegno a rendere accessibili le proprie API a chi ne abbia diritto e ne faccia richiesta.

Gli erogatori devono descrivere gli e-service classificando le informazioni scambiate e applicando etichette di categoria; possono delegare la registrazione al Catalogo a un ente capofila, ad esempio Regioni per il livello territoriale o amministrazioni centrali per specifici ambiti tematici.

Il Catalogo delle API è unico e centralizzato: consente pubblicazione, consultazione e fruizione degli e-service, riduce la duplicazione delle API, rende visibili gli SLO e gli SLA, e costituisce la base della governance distribuita degli e-service. AgID ne cura la disponibilità tramite una piattaforma dedicata e controlla continuativamente il rispetto dei requisiti di iscrizione e uso.