Un cittadino, un dipendente, uno studente o un’azienda che desideri dimostrare una qualifica, una licenza o un dato anagrafico oltre confine non dovrebbe essere costretto a ricorrere a una serie di file PDF, e-mail, traduzioni certificate, richieste agli uffici anagrafici e visite di persona. Eppure, l’amministrazione transfrontaliera dipende ancora in larga misura dallo scambio di prove tra sistemi frammentati – e dalla decisione della parte ricevente in merito all’affidabilità di tali prove.
Il problema non è più semplicemente la digitalizzazione. Un file PDF può eliminare la carta, ma lascia irrisolto il problema di fondo legato alla fiducia: In che modo il destinatario può dimostrare che il documento è autentico, non alterato e conforme al documento originale dell'emittente?
Questa distinzione è importante per i team addetti alla conformità, i responsabili tecnologici del settore pubblico e le organizzazioni che operano in più giurisdizioni. L’Unione Europea sta già realizzando infrastrutture per lo scambio automatizzato di prove e credenziali digitali. La domanda successiva è se le prove stesse possano recare una garanzia di integrità verificabile in modo indipendente.
È qui che entra in gioco un livello di integrità come Truth Enforcer: non in sostituzione dei registri civili o dei sistemi di identificazione governativi, ma per fornire una prova neutrale dell’esistenza di un determinato documento digitale in uno stato specifico in un determinato momento.
Dalla carta alle credenziali digitali
La pubblica amministrazione sta passando dai certificati cartacei alle prove digitali che possono essere scambiate tra i vari sistemi.
La Commissione europea Sistema tecnico a utilizzo unico (OOTS) ne è un esempio significativo. La sua struttura è concepita per consentire alle autorità competenti dei diversi Stati membri dell’UE di scambiarsi automaticamente le informazioni quando un cittadino o un’impresa ne fa richiesta. Il sistema può riguardare informazioni relative all’istruzione, ai registri anagrafici, alle qualifiche professionali e ad altre procedure amministrative.
Credenziali digitali si stanno sviluppando in parallelo. Credenziali digitali europee per l'apprendimento possono rappresentare diplomi, certificati e altri risultati formativi sotto forma di credenziali firmate digitalmente. Sono concepite per rendere le credenziali leggibili da sistemi automatici, condivisibili e verificabili, anche a livello transnazionale.
Questa è la direzione giusta. Ma l'interoperabilità offre delle soluzioni come si diffondono le prove. Non risponde automaticamente a tutte le domande su in che modo viene garantita e preservata nel tempo l’integrità delle prove.
"Digitale" non significa "affidabile"
Si consideri un’operazione transfrontaliera in cui è necessario presentare un estratto del registro delle imprese a un’altra giurisdizione.
L'analisi d'impatto della Commissione europea descrive un esempio concreto di consulenza in cui uno studio legale ha riferito che per ottenere le informazioni necessarie a portare a termine l’acquisizione transfrontaliera di una società spagnola da parte di una società francese ci sono voluti quasi due mesi, principalmente a causa dei ritardi nell’ottenimento dell’apostille per i documenti ricevuti dal registro delle imprese. La stessa analisi evidenzia la persistente incertezza riguardo all’accettazione dei documenti, ai requisiti relativi all’apostille e alle traduzioni nelle operazioni societarie transfrontaliere.
La lezione importante va ben oltre le apostille.
Anche quando un documento assume forma digitale, il destinatario deve comunque poter contare sulla sua origine, integrità e valore probatorio. Un PDF inviato via e-mail può essere autentico. Può anche essere una copia alterata di un documento autentico. Un certificato scansionato può corrispondere a un documento cartaceo autentico. Può anche essere manipolato dopo la scansione.
Ciò crea una sottile lacuna a livello di controllo: le organizzazioni possono disporre di una procedura per l’acquisizione delle prove senza però disporre di un meccanismo indipendente che garantisca che tali prove siano rimaste inalterate rispetto al loro stato originario.
Per un CISO o un responsabile della conformità, si tratta fondamentalmente di un problema relativo all'integrità delle prove.
Il quadro normativo dell’UE in materia di fiducia in continua evoluzione
Il quadro normativo europeo sui servizi di fiducia costituisce una base fondamentale.
Ai sensi del quadro normativo eIDAS, i sigilli elettronici possono stabilire il origine e integrità dei documenti elettronici, mentre i timestamp elettronici forniscono la prova dell’esistenza di informazioni elettroniche in un determinato momento. Anche la raccomandata elettronica può fornire prove relative alla trasmissione e alla consegna dei dati.
Il nuovo quadro europeo sull'identità digitale amplia il servizi di fiducia il paesaggio più in là, compreso attestazioni elettroniche di attributi, servizi di convalida e conservazione, marcature temporali elettroniche e archiviazione elettronica.
La direzione da seguire è quindi chiara: l’amministrazione digitale si sta orientando verso documenti che possano essere autenticati elettronicamente, anziché limitarsi a essere presentati come semplici file.
Tuttavia, le organizzazioni dovrebbero distinguere tra autenticazione dell'emittente e prova della costante integrità del documento. Si tratta di controlli correlati, non intercambiabili.
Aggiunta di una prova di integrità indipendente
Il modello pratico consiste nell'introdurre un livello di integrità indipendente a protezione dei documenti e dei registri importanti.
Quando viene creato o ricevuto un documento autorevole, è possibile calcolare un’impronta crittografica a partire dal suo contenuto. Tale impronta può quindi essere sigillata e provvista di marcatura temporale senza che il documento sottostante venga archiviato nel sistema di integrità. Successivamente, è possibile calcolare nuovamente l’impronta del documento attuale e confrontarla con quella originale.
Se le impronte digitali coincidono, il contenuto corrisponde allo stato registrato. In caso contrario, il documento è stato modificato.
Questo è il ruolo Truth Enforcer può funzionare in un ambiente già esistente.
La distinzione è importante: Truth Enforcer fornisce una registrazione aggiuntiva e verificabile in modo indipendente dell'integrità delle informazioni digitali. Ciò non sostituire l'autorità che ha rilasciato un certificato di nascita, un'abilitazione professionale, un titolo di studio o un estratto del registro delle imprese. Ciò non non stabilire se una persona possieda i requisiti legali per esercitare una professione.
Ciò lo rende potenzialmente utile nel punto di transizione tra la fonte autorevole e la verifica a valle.
La Commissione europea Architettura OOTS dimostra già il valore dell'integrazione dei sistemi nazionali esistenti, anziché sostituirli con un'unica banca dati centrale. Un livello di integrità segue lo stesso principio: potenziare l'ecosistema delle prove esistente, anziché tentare di ricostruirlo.
Il criterio decisionale è chiaro: se domani venisse messa in discussione una credenziale fondamentale, la vostra organizzazione sarebbe in grado di dimostrare non solo la sua provenienza, ma anche che le prove presentate corrispondono esattamente allo stato verificato originariamente registrato?
Se la risposta è no, La digitalizzazione del flusso di lavoro non ha risolto completamente il problema della fiducia.
Il futuro dei servizi pubblici transfrontalieri non consiste semplicemente in un’amministrazione senza carta. OOTS, Credenziali digitali europee e il quadro europeo sull'identità digitale dimostrano che l'infrastruttura per uno scambio digitale affidabile è già in fase di sviluppo.
Il prossimo passo verso la maturità consiste nel rendere le prove stesse verificabili in modo indipendente.
Questo è il ruolo di un livello di integrità come Truth Enforcer: conservare una prova attendibile dello stato digitale della credenziale mentre questa transita attraverso i sistemi sempre più complessi dell'amministrazione transfrontaliera.
Vuoi vedere come funziona nella pratica una verifica indipendente dell'integrità?
Provalo gratuitamente, senza alcun impegno:
Verificatore di verità per i creatori di PI: https://truth-verifier.com/landing
Verificatore di verità per giornalisti: https://truthverifier.news/landing
Contattaci per discutere dell'implementazione aziendale di Truth Enforcer: https://www.connecting-software.com/truth-enforcer-sign-up/
Da Francisco Rodrigues, Responsabile di prodotto
"Scrivo di come le integrazioni software possano adattarsi agli ambienti aziendali e rispondere alle esigenze specifiche del settore. Voglio mostrare alle aziende la strada per snellire i processi, eliminare i colli di bottiglia e garantire la conformità, mettendo a disposizione dei team e dei dirigenti C-suite gli strumenti giusti".