Maturità eIDAS · Protezione e gestione delle identità digitali dei cittadini
La vostra gestione delle identità digitali, situata su eIDAS e tradotta in un piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità eIDAS · Protezione e gestione delle identità digitali dei cittadini
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Regolamento (UE) n. 910/2014 (eIDAS), rivisto dal regolamento (UE) 2024/1183 (eIDAS 2) avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
Il livello di garanzia richiesto per l’accesso a ciascun servizio telematico è definito e applicato?
- N1
Nessuna classificazione dei servizi telematici per livello di garanzia. Il mezzo di identificazione scelto dipende dal progetto e dal suo integratore.
- N2
Una parte dei servizi telematici è classificata in un documento di riferimento, ma la classificazione non viene ripresa nei progetti e coesiste con pratiche ereditate.
- N3
Ogni servizio telematico è collegato a un livello basso, significativo o elevato, sulla base di un’analisi documentata. La classificazione è applicata al momento della messa in produzione, con eccezioni puntuali.
- N4
La classificazione condiziona sistematicamente la configurazione del fornitore di identità. Gli scostamenti sono rilevati automaticamente e tracciati, le deroghe validate dal livello gerarchico appropriato.
- N5
La classificazione è rivista periodicamente in base all’evoluzione degli utilizzi, degli incidenti e del quadro normativo, con uno storico delle revisioni e una misura dell’effetto sul tasso di completamento dei percorsi.
Azione per passare da N2 a N3
Completare la mappatura dei servizi telematici con il livello di garanzia richiesto e la relativa motivazione, integrarla come criterio bloccante della revisione di architettura, e verificarne l’applicazione durante il comitato digitale trimestrale.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu eIDAS.
Di cosa parla questo quadro di riferimento
Il regolamento (UE) n. 910/2014, detto eIDAS, organizza il riconoscimento reciproco dei mezzi di identificazione elettronica tra Stati membri e disciplina cinque famiglie di servizi fiduciari: firma elettronica, sigillo elettronico, validazione temporale, servizio di invio raccomandato elettronico e certificato di autenticazione di siti web. Distingue tre livelli di garanzia per l’identificazione (basso, significativo, elevato) e separa i prestatori qualificati da quelli non qualificati, i primi essendo sottoposti a vigilanza e iscritti negli elenchi di fiducia nazionali. Per una pubblica amministrazione o un’azienda che espone servizi online ai cittadini, eIDAS determina chi può accedere a cosa, con quale livello di prova e quale valore giuridico ne deriva.
In pratica, l’argomento si governa con difficoltà perché attraversa più direzioni. La direzione sistemi informativi porta la federazione di identità, l’ufficio legale porta il valore probatorio, la direzione servizi agli utenti porta il percorso di registrazione, la sicurezza porta l’autenticazione. Le domande concrete tornano sempre le stesse: quale livello di garanzia richiede realmente ciascuno dei vostri servizi telematici, e su quale analisi si basa questa esigenza? I vostri percorsi accettano i mezzi di identificazione notificati dagli altri Stati membri, o solo il vostro? Le vostre firme sono avanzate, qualificate, o semplicemente elettroniche nel senso più ampio, e sapete distinguerle nei vostri flussi?
La revisione entrata in vigore nel 2024 cambia la scala dell’argomento. Il regolamento (UE) 2024/1183 impone a ogni Stato membro di proporre almeno un portafoglio europeo di identità digitale, e obbliga un ampio insieme di attori pubblici e privati ad accettarlo per l’autenticazione degli utenti. Introduce l’attestazione elettronica di attributi, che permette di provare un titolo di studio, un’età o una qualifica professionale senza divulgare il resto dell’identità. La confusione più frequente consiste nel ridurre eIDAS alla firma elettronica. La parte identificazione, a lungo discreta, diventa il cuore del dispositivo e riguarda ormai i percorsi di accesso stessi.
Un audit di conformità pone una domanda binaria: il servizio rispetta l’esigenza, sì o no. La diagnosi di maturità pone un’altra domanda: a quale livello di padronanza si situa la pratica, e quale azione precisa fa passare al livello successivo. Tra un’organizzazione che accetta un mezzo di identificazione transfrontaliero caso per caso e un’organizzazione che l’ha integrato nella propria base di autenticazione, lo scostamento non è uno scostamento di conformità, è uno scostamento di maturità. La diagnosi lo rende visibile, ambito per ambito, e quantifica lo sforzo associato.
In Datamensio, questo quadro di riferimento è pronto all’uso e modificabile. L’IA adegua gli ambiti, riformula le domande al vocabolario della vostra organizzazione e affina i livelli secondo il metodo CMMI. Può anche costruire una declinazione a partire dai vostri documenti: politica di autenticazione, mappatura dei servizi telematici, dottrina di identità digitale. Il quadro di riferimento ottenuto resta vostro, pubblicabile presso le vostre business unit o entità.
Norma di riferimento: Regolamento (UE) n. 910/2014 (eIDAS), rivisto dal regolamento (UE) 2024/1183 (eIDAS 2)
Gli ambiti valutati
Governance dell’identità digitale
Dottrina formalizzata, designazione di un responsabile, articolazione tra sistemi informativi, sicurezza, legale e funzioni operative, arbitraggio dei livelli di garanzia, budget dedicato.
Identificazione elettronica e livelli di garanzia
Classificazione dei servizi telematici per livello basso, significativo o elevato, giustificazione della scelta, conformità al regolamento di esecuzione 2015/1502, revisione periodica.
Registrazione e verifica dell’identità
Procedure di verifica a distanza e in presenza, prove d’identità accettate, rilevamento della frode documentale, tracciabilità della registrazione.
Autenticazione e gestione del ciclo di vita
Meccanismi di autenticazione multifattore, gestione delle abilitazioni, sospensione, revoca e rinnovo dei mezzi, gestione delle deleghe e dei mandati.
Interoperabilità transfrontaliera
Accettazione dei mezzi di identificazione notificati da altri Stati membri, collegamento al nodo eIDAS, corrispondenza degli attributi, trattamento dei casi di fallimento dell’abbinamento.
Portafoglio europeo di identità digitale
Preparazione all’accettazione del portafoglio, attestazioni elettroniche di attributi, gestione del consenso dell’utente, registrazione delle parti utilizzatrici.
Servizi fiduciari
Ricorso alla firma, al sigillo, alla validazione temporale, all’invio raccomandato elettronico e ai certificati di autenticazione di siti, scelta tra qualificato e non qualificato, verifica degli elenchi di fiducia.
Valore probatorio e conservazione
Politica di firma, validazione e rivalidazione delle firme nel tempo, archiviazione a valore probatorio, capacità di produrre la prova in caso di contestazione.
Protezione dei dati e minimizzazione
Articolazione con il GDPR, minimizzazione degli attributi trasmessi, informazione delle persone, tempi di conservazione, gestione delle richieste di esercizio dei diritti.
Monitoraggio, incidenti e miglioramento
Indicatori di monitoraggio, registrazione, rilevamento e notifica di incidenti e violazioni, test regolari dei percorsi, ritorni di esperienza e aggiornamento della dottrina.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
eIDAS è certificabile?
Il regolamento non certifica le organizzazioni che utilizzano servizi fiduciari. Prevede una qualificazione per i prestatori di servizi fiduciari, rilasciata dopo audit da parte di un organismo di valutazione della conformità e iscrizione nell’elenco di fiducia nazionale. La diagnosi Datamensio misura la maturità delle vostre pratiche e prepara questi confronti, non rilascia alcuna qualificazione.
Che differenza c’è tra questa diagnosi e un audit di conformità?
L’audit conclude con uno scostamento o una conformità su un’esigenza data. La diagnosi colloca ogni pratica su una scala progressiva e indica l’azione che fa passare al livello successivo. I due si completano: la diagnosi costruisce la traiettoria, l’audit convalida il risultato.
Quanto tempo richiede la valutazione?
La versione breve si compila in una sessione di lavoro. La versione completa, in modalità collaborativa, si estende su una o due settimane: la maggior parte del tempo serve a raccogliere gli elementi presso i sistemi informativi, il legale e le funzioni operative. I tempi dipendono dalla disponibilità dei collaboratori.
Si può adattare il quadro di riferimento al nostro contesto?
Sì. Le domande, i livelli e gli ambiti sono modificabili, e potete aggiungere i vostri. L’IA riformula il contenuto al vocabolario della vostra organizzazione oppure costruisce una declinazione a partire dai vostri documenti interni. Il quadro di riferimento pubblicato resta sotto il vostro controllo.
La diagnosi copre la revisione eIDAS 2 e il portafoglio europeo?
Sì, un ambito riguarda specificamente la preparazione all’accettazione del portafoglio europeo di identità digitale e le attestazioni elettroniche di attributi. Le domande distinguono ciò che riguarda la base esistente e ciò che riguarda la messa in conformità con il regolamento (UE) 2024/1183.
Serve una competenza tecnica per rispondere?
Le domande riguardano le pratiche di gestione, non le configurazioni dei protocolli. Un responsabile di progetto digitale o un auditor interno può rispondere alla maggior parte di esse. La modalità collaborativa permette di assegnare le domande tecniche a un referente identificato.
Come confrontare più entità tra loro?
Lo stesso quadro di riferimento viene diffuso a ogni business unit o entità, e i risultati vengono confrontati per ambito. Una roadmap trasversale consolida poi i piani d’azione senza duplicare i cantieri comuni, ad esempio il collegamento al nodo eIDAS.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.