Requisits legals identificació i Signatura Electrònica. Febrer 2016

Transcripción

1 Requisits legals identificació i Signatura Electrònica Febrer 2016

2 Normativa Real Decret 3/2010, pel qual es regula l Esquema Nacional de Seguretat. L annex II defineix nivells de seguretat pels mecanismes d autenticació i signatura electrònica i deixa en mans de cada administració portar a terme el seu pròpi anàlisi de riscos per tal de poder escollir. Reglament (UE) Nº 910/2014 relatiu a la identificació i serveis de confiança per les transaccions electròniques. Estableix un mecanisme multinivell de sistemes d autenticació i signatura electrònica. Permet la signatura electrònica centralitzada per persones físiques (signatura remota) Modificació de la Llei 59/2003 de Signatura electrònica, que permet la signatura electrònica remota a l estat espanyol. D acord amb aquesta modificació, només els prestadors de serveis de certificació poden oferir el servei aquest tipus de servei. Llei 39/2015 de Procediment Administratiu Comú. Al seu Capítol II obre la porta a cada administració a decidir quins sistemes de signatura electrònica seran admissibles per cada tipus d actuació. També limita la necessitat de signatura electrònica formal a 5 supòsits, i admet la possibilitat d emprar mecanismes d autenticació com a mecanismes de signatura.

3 ENS Nivells de Seguretat L Annex I defineix tres nivells de seguretat que un tipus d actuació pot requerir: BAIX: Se utilizará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio limitado sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados. MIG: Se utilizará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio grave sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados. ALT: Se utilizará cuando las consecuencias de un incidente de seguridad que afecte a alguna de las dimensiones de seguridad supongan un perjuicio muy grave sobre las funciones de la organización, sobre sus activos o sobre los individuos afectados.

4 ENS Mecanismes d autenticació (Annex II op.acc.5) Nivell BAIX Es pot emprar qualsevol mecanisme. Si s empren contrasenyes, s hauran d aplicar regles bàsiques de qualitat. Usuaris i passwords Nivel MIG No es recomana l ús de claus. Es recomana l ús de dispositius físics o components lògics com els certificats en software. Les poñlítiques de qualitat de les contrasenyes haurà de ser rigurosa. Certificats en software i autenticació de dos factors Nivel ALT No s admeten claus concertades i s exigeix l ús de dispositius físics. S empraran algorismes acreditats pel CCN i, preferentment, productes certificats. Certificats en targeta

5 ENS Mecanismes de signatura (Annex II mp.info.4) Nivell BAIX Qualsevol mecanisme de signatura dels previstos per la legislació Nivel MIG Signatura avançada (certificat software) + segell de temps. Nivel ALT Signatura reconeguda (certificat dispositiu)

6 Seguretat Usabilitat

7 Servei de Validació de certificats digitals i signatures electròniques FNMT OVT Generalitat DNIe Carpeta Salut Ajuntament BCN E-TRAM (+800 Aj) Validador Certificats Firma Profesional Camerfirma 15 Entitats Certificació 123 perfils

8 Servei de Validació de credencials d Identitat OVT Generalitat Certificats Digitals Carpeta Salut Ajuntament BCN E-TRAM (+800 Aj) Cl@ve idcat-sms VALid pin24h stork BBDD Seu Electrònica Generalitat de Catalunya

9 En l àmbit de l Administració de la Generalitat de Catalunya ORDRE GRI/233/2015, de 20 de juliol, per la qual s'aprova el Protocol d'identificació i signatura electrònica. Estableix els nivells de seguretat d acord a ENS i ReIdAS per a signatura electrònica i autenticació Descriu els mecanismes de signatura electrònica i autenticació per a ciutadans, persones jurídiques, empleats públics i l Administració de la Generalitat de Catalunya Estableix quin és el nivell de seguretat de cada mecanisme Estableix crietris comuns per l ús dels mecanismes d identificació i signatura electrònica en la implantació de serveis electrònics. Regula, a nivell organitzatiu, la revisió del propi protocol.

10 Criteris d implantació PISE Nivell mitjà o substancial per defecte Nivell baix per: Identificació i/o signatura en tràmits de pagament o autoliquidacions de taxes i tributs. Tot els tràmit electrònics o serveis electrònics d un procediment administratiu, a excepció de les actuacions següents: formular sol licituds, presentar declaracions responsables, interposar recursos, desistir d accions o renunciar a drets, així com aquells tràmits que continguin una informació d un nivell més elevat de seguretat. Altres tràmits o procediments en què la normativa específica estableix un sistema d identificació i signatura de nivell baix de seguretat. Nivell alt per: Tràmits que donin accés o transfereixin dades d alt nivell de protecció segons l article 7 de la Llei orgànica de protecció de dades de caràcter personal (LOPD) o quan l accés a les dades pugui afectar els drets de terceres persones especialment protegides per la LOPD. Tràmit o procés de contractació, de conformitat amb la disposició addicional setzena f), de la Llei 59/2003, de 19 de desembre, de signatura electrònica. Tràmit o procés de concessió de subvencions o altres tràmits amb un contingut econòmic de més de euros o quan així estigui establert en les bases reguladores de les convocatòries. Tràmits o procediments que la normativa específica estableixi amb un nivell alt d identificació o signatura electrònica.

11 L Administració Oberta a tots Reconeixement - NoComercial - CompartirIgual (by-nc-sa): No es permet un ús comercial de l'obra original ni de les possibles obres derivades, la distribució de les quals s'ha de fer amb una llicència igual a la que regula l'obra original.