L’Agenzia per l’Italia Digitale ha finalmente pubblicato sul proprio sito web la “Lista di riscontro per la visita ispettiva AgID e la certificazione di conformità”, un documento di assoluta importanza per i conservatori accreditati: chiariamone le ragioni.
Con circolare n. 65 del 10 aprile 2014, emanata ai sensi dall’articolo 13 del DPCM 3 dicembre 2013 (Regole tecniche in materia di sistema di conservazione) AgID ha definito le “Modalità per l’accreditamento e la vigilanza sui soggetti pubblici e privati che svolgono attività di conservazione dei documenti informatici”, seguita dal documento “Requisiti di qualità e sicurezza per l’accreditamento e la vigilanza”, finalizzati a garantire la standardizzazione dei rispettivi iter, di accreditamento e di vigilanza, che i conservatori sono tenuti ad osservare per ottenere e mantenere l’accreditamento. In tema di titolarità dei poteri di certificazione, occorre ribadire che l’articolo 44-bis del Codice dell’Amministrazione Digitale (Decreto Legislativo 7 marzo 2005, n. 82, recentemente modificato con D.Lgs. 179/2016) riconosce all’Agenzia il potere esclusivo di rilasciare l’accreditamento in favore dei soggetti che svolgono attività di conservazione dei documenti informatici e di certificazione dei relativi processi.
Già nella richiamata circolare n. 65/2014, era stato stabilito che per il mantenimento dell’accreditamento sarebbe stato necessario – dal momento indicato dall’Agenzia – ottenere una valutazione positiva di conformità del proprio sistema al DPCM 3 dicembre 2013 e agli standard ivi richiamati (su tutti, lo standard OAIS – ISO 14721 e lo standard ETSI 101 533). Con le modifiche apportate dal D. Lgs. 179/2016 all’art. 29 del CAD, è stato posto in capo a tutti i soggetti che intendano presentare istanza di accreditamento ad AgID (sia per quanto riguarda i prestatori di servizi di firme digitali, sigilli e/o marche temporali, sia per i fornitori di servizi di conservazione o di PEC) , accanto a quanto già previsto dalla circolare 65/2014, l’onere di presentare, unitamente alla domanda di accreditamento, la valutazione di conformità alle regole tecniche individuate per il servizio per il quale s’intende accreditarsi e agli standard ivi richiamati. Di fatto, quindi, la valutazione richiesta in fase di mantenimento è stata anticipata al momento della presentazione della stessa domanda di accreditamento.
Questa modifica (entrata in vigore, peraltro, il giorno successivo alla pubblicazione in G.U. del Decreto Legislativo di riforma del CAD, che ne ha disposto l’introduzione) ha causato non pochi disagi per i soggetti intenzionati, dal settembre scorso, ad accreditarsi come conservatori: soprattutto, in considerazione del fatto che, per poter adempiere al dettato normativo, sarebbe state necessario conoscere le regole per ottenere la valutazione di conformità sin dalla richiesta di accreditamento.
Con una prima circolare n 36/2016, del 16 dicembre 2016 e con una successiva DC n 5/2017, del 27 febbraio 2017, ACCREDIA ha dettato le regole per poter effettuare le attività di valutazione di conformità e ha avviato i corsi di preparazione per i certificatori che dovranno eseguire le verifiche.
Solo qualche settimana fa, infatti, è stata effettuata la prima valutazione di conformità e solo due giorni fa (8 maggio 2017) AgID ha reso pubblica la Lista di Riscontro da utilizzare per le valutazioni.
Attualmente, quindi, le tipologie di controlli previste nel sistema di certificazione per l’accreditamento dei conservatori digitali sono due:
- i controlli finalizzati al rilascio dell’accreditamento;
- i controlli finalizzati alla vigilanza periodica sul rispetto dei requisiti già riconosciuti in sede di certificazione.
Ad oggi, quindi, entrambe le attività di valutazione e di vigilanza, andranno effettuate mediante la lista di riscontro resa disponibile da AgID: una vera e propria check list ad uso dei valutatori redatta in conformità ai requisiti tecnici richiesti dalle regole tecniche sui sistemi di conservazione (DPCM 3 dicembre 2013 e allegato 3 ivi richiamato).
La Lista di Riscontro non include, se non quando siano ravvisati elementi di criticità, le attività di controllo già effettuate per il rilascio della certificazione ISO 27001 e quelle eseguite da AgID nel corso dell’istruttoria di accreditamento. Le ispezioni si concentreranno, pertanto, sull’approfondimento di aspetti specifici del sistema di conservazione quali, ad esempio, configurazioni, file di log, verbali di riunioni, risultati di sessioni di test, relazioni di incidenti ed interviste al personale. La checklist pubblicata da AgID, peraltro, risulta certamente utile per gli stessi conservatori soggetti ai poteri di certificazione per l’accreditamento, come strumento di autodiagnosi in previsione delle verifiche ispettive.
ANORC non può che rimarcare l’importanza di favorire la diffusione di una check list che contribuisca ad uniformare i criteri di qualificazione dei sistemi e delle procedure di conservazione e che garantisca, in piena trasparenza ed equità, l’affidabilità dei soggetti che custodiscono la nostra memoria digitale.
Scorrendo la lista, in realtà, sono riscontrabili alcune previsioni poco chiare sull’oggetto dei controlli, che si potrebbero prestare ad interpretazioni molto divergenti a seconda del valutatore chiamato ad applicare la check list. Siamo certi, però, che a seguito di una prima condivisione di valutazioni (coinvolgendo, possibilmente, anche i conservatori che sono chiamati ad adeguarsi alla lista di riscontro) sarà possibile perfezionare la formulazione del documento elaborato da AgID, in modo da sfrondare la lista da eventuali controlli ridondanti o superflui e precisare quelli poco chiari o troppo vaghi. Un lavoro nell’interesse di tutti, controllore e controllati, che permetterà di ottenere reale evidenza di come siano soddisfatti i requisiti di qualità e sicurezza richiesti per ottenere e mantenere l’accreditamento.
