Ruoli nella gestione dello SPID e focus sugli aggregatori

Lunedì 25 Ottobre 2021

Il Sistema Pubblico di Identità Digitale si compone dell’attività di:

• GESTORI dell’identità digitale (identity provider o IdP): soggetti privati, accreditati da AgID, che si occupano della creazione e gestione delle identità digitali (SPID) dei cittadini.
• FORNITORI di servizi (service provider o SP): organizzazioni pubbliche o private, abilitate da AgID, che consentono l’accesso ai propri servizi on-line tramite SPID.
• AGGREGATORI: soggetti pubblici o privati, intermediari tra i gestori dell’identità e le piccole realtà pubbliche che non hanno le risorse tecniche ed economiche per divenire autonomamente fornitori di servizi on-line tramite SPID.

In pratica, gli aggregatori consentono a tutte queste realtà di realizzare quanto previsto dalle specifiche tecniche emesse da AgID per fornire servizi di autenticazione tramite SPID.

Focus sugli aggregatori

In questo sistema, gli aggregatori svolgono un ruolo di facilitatori perché si occupano di tutto ciò che è previsto dalla normativa sia da un punto di vista tecnico che amministrativo.

In particolare, questi soggetti assumono, nei confronti di AgID, una serie di obblighi definiti da una specifica convenzione, emanata da AgID con Determinazione n. 80/2018 e sottoscritta sia dall’aggregatore che dalla stessa AgID.

Questi obblighi riguardano, ad esempio, la comunicazione ad AgID di:

• elenco dei soggetti aggregati e relativi aggiornamenti
• elenco dei servizi erogati in rete dai soggetti aggregati e il rispettivo livello di sicurezza adottato
• lista degli attributi SPID necessari per ciascun servizio erogato
• ecc.

Inoltre, ogni aggregatore si assume anche questi obblighi:

• garantire la protezione dei dati personali 
  (il soggetto aggregato, infatti, affida in outsourcing all’aggregatore l’attività di autenticazione con il relativo transito per quest’ultimo dei dati forniti dal Gestore dell’Identità digitale al momento dell’autenticazione)
• rispettare le specifiche tecniche stabilite e garantire continuità di servizio
• comunicare tempestivamente malfunzionamenti o incidenti sulla sicurezza oppure relativi a violazione di dati
• assistere l’utente nella risoluzione di eventuali problematiche (assistenza di primo livello)
• mantenere tutti i LOG delle autenticazioni per 2 anni
• rispettare le normative attuali e seguire l’evoluzione normativa e tecnica
• ecc.

Il soggetto aggregatore svolge, quindi, un ruolo importante nei confronti della realtà pubblica che si avvale dei suoi servizi per consentire l’accesso tramite SpID ai cittadini.

Per una Pubblica Amministrazione, pertanto, è molto importante scegliere con cura l’aggregatore a cui affidarsi. Questa particolare figura, infatti, dovrebbe essere valutata non solo in base ai costi, ma soprattutto in base a quanto previsto dall’accordo che l’aggregatore è tenuto a proporre alla PA aggregata.

A riguardo segnaliamo che al momento ci sono 78 aggregatori di servizi pubblici, riconosciuti da AgID tramite una specifica procedura. 

Cliccando qui è possibile visualizzare l’elenco aggiornato di tutti i soggetti che svolgono questo ruolo.

Ad oggi ci sono solo aggregatori di servizi pubblici, mentre non è ancora disponibile una convenzione per gli eventuali aggregatori di servizi privati. In ogni modo, è certo che la nuova convenzione potrà essere sottoscritta anche dai soggetti già aggregatori di servizi pubblici.