8 agosto 2026
Introduzione
Quando un responsabile del rischio valuta la sicurezza della firma elettronica, un semplice sì non basta. Servono controlli coerenti con il documento, le minacce realistiche e le regole applicabili.
La matrice di rischio assegna a ogni classe di documento un profilo di firma con la sua giustificazione.
Nota Sign supporta FEA e QES nei flussi nazionali e transfrontalieri e collega documento, partecipanti, controlli ed evidenze. La funzione legale e il responsabile del rischio mantengono la scelta della classe e l'approvazione aziendale, senza trasformare l'esito tecnico in una garanzia. Per passare dalla matrice alla pratica, esegui un pilota di controllo in Nota Sign su un documento rappresentativo.
Definire il documento e l'impatto della decisione
Definisci il documento e l'impatto della decisione che porta. Un ordine interno e un contratto ad alto valore non condividono lo stesso profilo.
Registra chi firma, chi riceve e quale prova deve restare. L'impatto si scrive nella prima riga della matrice.
Un documento senza impatto definito non riceve un profilo di controllo.
Mappare le minacce al firmatario e al file
Mappa le minacce: identità sostituita, file alterato, accesso non autorizzato e recapito deviato. Ogni minaccia entra in una colonna della matrice.
Separa la minaccia al firmatario dalla minaccia al file. I controlli rispondono a una minaccia alla volta.
La matrice collega ogni minaccia al controllo corrispondente ed evita misure prive di una giustificazione verificabile.
Scegliere i controlli di identità e integrità
Scegli i controlli di identità richiesti dal documento e i controlli di integrità del file. Ogni controllo si registra con la sua funzione.
La conferma dell'identità e la rilevazione delle modifiche restano controlli distinti. La matrice li assegna per riga.
Un controllo scelto senza minaccia esce dalla matrice e torna alla revisione.
Collegare la classe di firma al quadro eIDAS
Collega la classe di firma al documento nel quadro eIDAS. La classe semplice, avanzata e qualificata restano righe separate.
La pagina AgID Servizi fiduciari qualificati definisce la firma elettronica qualificata (firma digitale) come servizio fiduciario qualificato regolato dal Regolamento eIDAS (UE) n. 910/2014, con la vigilanza di AgID per l'Italia.
La matrice sceglie la classe per documento, senza equiparare classi diverse.
Testare recupero e conservazione delle evidenze
Testa il recupero delle evidenze e la loro conservazione prima dell'uso in produzione. Il test registra documento, profilo ed esito.
Conserva la giustificazione di ogni riga con la fonte consultata e la data. La matrice resta riproducibile.
Il test di recupero riproduce il percorso dall'archivio al documento e al registro.
