DECRETO 7 dicembre 2023, n. 234

Articolo 6 Articolo 7, comma 2. Allegato 2 «Servizi resi disponibili da ANIST» Il presente documento descrive i servizi che ANIST assicura ai soggetti di cui agli articoli 6 e 7 del decreto. Servizi di consultazione per i cittadini 1. Accesso ai servizi L'accesso ai servizi da parte del cittadino registrato in ANIST e' possibile dall'area riservata del Portale ANIST, previa identificazione mediante le modalita' di cui al comma 2-quater dell'articolo 64 del CAD, ovvero tramite il punto di accesso di cui all'articolo 64-bis del medesimo CAD. 2. Profilo utente Dopo aver completato l'accesso all'area riservata del Portale ANIST, il cittadino registrato in ANIST puo' decidere se completare un proprio profilo utente, fornendo un proprio indirizzo email di contatto e/o numero telefonico. 3. Servizio per la consultazione e richiesta di rettifica dei propri dati Dopo aver completato l'accesso all'area riservata del Portale ANIST, il cittadino registrato in ANIST puo' consultare esclusivamente i dati personali contenuti in ANIST ad esso riferiti. E' assicurata la possibilita' di presentare richiesta di rettifica dei dati contenuti in ANIST, presentando apposita istanza tramite il Portale ANIST. 4. Servizio per la richiesta di certificati Dopo aver completato l'accesso all'area riservata del Portale ANIST, il cittadino registrato in ANIST puo' richiedere e ottenere in via telematica il rilascio di un certificato concernente esclusivamente i dati personali contenuti in ANIST ad esso riferiti. I certificati disponibili sono i seguenti: - certificato relativo alla verifica della frequenza del percorso di studio degli studenti (dati di cui all'articolo 4, comma 1, lettera a) del presente decreto); - certificato relativo ai titoli conseguiti presso qualsiasi istituzione scolastica (dati di cui all'articolo 4, comma 1, lettera c) del presente decreto). La lista e i modelli dei certificati disponibili sono pubblicati sul portale ANIST, dove sono resi disponibili anche eventuali aggiornamenti e le lingue straniere in cui possono essere rilasciati. Prima della formazione del certificato, viene visualizzata un'anteprima del certificato per consentire al richiedente di verificare la correttezza dei dati. Nell'Anteprima non e' apposto alcun contrassegno e, in diagonale, e' apposta la dicitura «ANTEPRIMA». A seguito della conferma di emissione da parte del richiedente, viene prodotto il certificato in formato .pdf, con le seguenti caratteristiche: riporta il logo del Ministero dell'Istruzione e del merito e la dicitura: «Anagrafe nazionale dell'istruzione»; e' sottoscritto con il sigillo elettronico qualificato del Ministero dell'Istruzione e del merito, ai sensi del Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio, del 23 luglio 2014; e' apposto il contrassegno ai sensi dell'articolo 23, comma 2-bis, del CAD. In caso di mancata emissione del certificato, verra' restituito un apposito codice di errore. Il certificato prodotto sara' disponibile immediatamente per il download da parte del cittadino e comunque conservato nella sua Area riservata per il periodo di validita' del certificato stesso, per successive consultazioni e/o download. A scelta del cittadino, il certificato prodotto potra' altresi': a) essere inviato all'indirizzo e-mail disponibile nel profilo utente del cittadino (ove disponibile); b) essere inviato al domicilio digitale del cittadino (ove disponibile); c) reso disponibile tramite il punto di accesso telematico di cui all'articolo 64-bis del CAD (ove disponibile). Servizi di consultazione per le regioni, i comuni, le citta' metropolitane, le province, le istituzioni scolastiche e altre pubbliche amministrazioni Per consentire alle pubbliche amministrazioni e alle istituzioni scolastiche di fruire dei dati e/o di un insieme di dati in essa contenuti per le finalita' di cui all'articolo 7 del presente decreto, ANIST rende disponibili appositi servizi (web service) fruibili per il tramite della PDND, usufruendo dei relativi meccanismi di autenticazione, accesso e sicurezza. Al fine di garantire l'accesso ai soli dati strettamente necessari per il conseguimento delle specifiche finalita' motivo di ogni singolo trattamento, in conformita' alla normativa vigente, sono resi disponibili i seguenti servizi per la verifica e/o la consultazione puntuale dei dati associati a ciascun soggetto registrato in ANIST: 1) Servizi per la verifica / consultazione dei dati relativi alle frequenze in corso di validita' presso qualsiasi istituzione scolastica: a) Servizio per verificare la frequenza di uno specifico soggetto presso un'istituzione scolastica: il servizio restituisce un valore booleano (vero/falso); b) Servizio per verificare la frequenza di uno specifico soggetto presso una specifica istituzione scolastica: il servizio restituisce un valore booleano (vero/falso); c) Servizio per consultare le informazioni disponibili relative alla frequenza di uno specifico soggetto presso una specifica istituzione scolastica: il servizio restituisce un valore booleano (vero/falso) se il soggetto e' o meno frequentante e, in caso positivo, restituisce il codice meccanografico e la denominazione del plesso presso cui risulta frequentante, il codice meccanografico e la denominazione dell'istituto, l'anno di corso, l'esito sulla verifica della frequenza e il percorso di studi (ove applicabile); d) Servizio per consultare le informazioni disponibili relative alla frequenza di uno specifico soggetto presso le istituzioni scolastiche: il servizio restituisce un valore booleano (vero/falso) se il soggetto e' o meno frequentante un'istituzione e, in caso positivo, restituisce, per ogni frequenza in essere, il codice meccanografico e la denominazione del plesso presso cui risulta frequentante, il codice meccanografico e la denominazione dell'istituto, l'anno di corso, l'esito sulla verifica della frequenza e il percorso di studi (ove applicabile). 2) Servizi per la verifica / consultazione dei dati relativi ai titoli di studio conseguiti presso qualsiasi istituzione scolastica di ogni ordine e grado: a) Servizio per verificare se uno specifico soggetto risulta titolare di almeno un titolo di studio di una data tipologia (es. diploma di istruzione liceale, di istruzione tecnica, di istruzione professionale, .) rilasciato da una istituzione scolastica: il servizio restituisce un valore booleano (vero/falso); b) Servizio per verificare se uno specifico soggetto risulta titolare di almeno un titolo di studio di una data tipologia (es. diploma di istruzione liceale, di istruzione tecnica, di istruzione professionale, .) rilasciato da una specifica istituzione scolastica: il servizio restituisce un valore booleano (vero/falso); c) Servizio per consultare le informazioni disponibili circa i titoli di studio rilasciati da una specifica istituzione scolastica a un soggetto specifico: restituisce un valore booleano (vero/falso) se il soggetto risulta aver conseguito almeno un titolo di studio dall'istituzione indicata e, in caso positivo, restituisce, per ogni titolo di studio conseguito, la tipologia di qualifica/diploma conseguito (denominazione e codice del titolo conseguito), il voto finale (ove applicabile) e l'indicazione della lode, e l'istituto di conseguimento; d) Servizio per consultare le informazioni disponibili circa i titoli di studio rilasciati da una istituzione scolastica a un soggetto specifico: restituisce un valore booleano (vero/falso) se il soggetto risulta aver conseguito almeno un titolo di studio e, in caso positivo, restituisce, per ogni titolo di studio conseguito, l'istituto scolastico che lo ha rilasciato, la tipologia di qualifica/diploma conseguito (denominazione e codice del titolo conseguito), il voto finale (ove applicabile) e l'indicazione della lode, e l'istituto di conseguimento. La lista dei servizi resi disponibili e le relative specifiche tecniche e' pubblicata sul Portale ANIST, ai sensi dell'articolo 11 del presente decreto.

Allegato 3

Articolo 8, comma 1 Allegato 3 «Consultazione ANIST-ANPR»

Dati identificativi degli studenti,che sono allineati con ANPR

Descrizione campo

Codice Fiscale/ ID ANPR ove attribuito per legge

Cognome

Nome

Data di Nascita

Comune o Stato estero di nascita

Sesso

Cittadinanza

Comune e indirizzo di residenza

Allegato 4

Articolo 8, comma 2. Allegato 4 «Allineamento ANIST-ANNCSU» Di seguito si illustra il dettaglio delle variabili oggetto di allineamento tra ANIST e ANNCSU. Con particolare riferimento ai dati relativi alla codifica ed al georiferimento degli indirizzi e dei numeri civici contenuti nelle banche dati degli edifici scolastici, le variabili in costante allineamento con ANNCSU sono le seguenti: Dati relativi agli edifici scolastici, presenti nell'Anagrafe nazionale dell'edilizia scolastica, oggetto di allineamento tra ANIST e ANNCSU - Classe «Stradario ANNCSU» (ST - 030201)

Denominazione Descrizione

codice agenzia delle entrate Codice amministrativo assegnato ai Comuni italiani dall'Agenzia delle Entrate e utilizzato nella composizione dei codici fiscali

codice ISTAT Codice amministrativo assegnato ai Comuni italiani dall'Istat, ottenuto dalla concatenazione del Codice Provincia con il progressivo del Comune

denominazione urbanistica generica (dug) [0..1] Denominazione Urbanistica Generica o specie, identificativa della tipologia di area di circolazione

denominazione ufficiale [0..1] Denominazione Ufficiale attribuita all'area di circolazione, dal Comune, ai sensi delle norme vigenti

(1) Si fa riferimento al documento «Modellazione dati della Specifica ANNCSU» emanato dall'Agenzia per l'Italia digitale in data 12 novembre 2021, citato nel testo e i relativi aggiornamenti sono pubblicati sul Portale ANIST Dati relativi agli edifici scolastici, presenti nell'Anagrafe nazionale dell'edilizia scolastica, oggetto di allineamento tra ANIST e ANNCSU - Classe «Indirizzario ANNCSU» (IN NC - 030202)

Denominazione Descrizione

civico Valore del numero civico assegnato all'accesso esterno secondo la successione naturale dei numeri. Corrisponde all'attributo «numero - CIVICO NUM» della Classe 030102 «Numero civico - CIVICO» del DBGT.

esponente [0..1] Parte letterale del numero civico, ove presente

specificita' [0..1] Valore utilizzato in presenza di uno specifico metodo di classificazione della numerazione civica, validata dall'Istat (es. ROSSO e NERO)

metrico [0..1] Valore del numero civico assegnato all'accesso esterno espresso in metri, utilizzato in caso di adozione del sistema metrico anziche' della successione naturale dei numeri

Allegato 5

Articolo 10 Allegato 5 «Garanzie e misure di sicurezza» 1. Introduzione Il presente allegato descrive le principali garanzie e misure di sicurezza dell'ANIST, in conformita' all'articolo 62-quater, comma 6, del CAD. Per le predette finalita', l'ANIST e' dotata di: - un sistema di Identity & Access Management per l'identificazione dell'utente e della postazione, la gestione dei profili autorizzativi, la verifica dei diritti di accesso, il tracciamento delle operazioni; - un sistema di tracciamento e di conservazione dei dati di accesso alle componenti applicative e di sistema; - sistemi di sicurezza per la protezione delle informazioni e dei servizi erogati dalla base dati; - un sistema di log analysis per l'analisi periodica dei file di log, in grado di individuare, sulla base di regole predefinite e formalizzate, eventi potenzialmente anomali e di segnalarli al Ministero dell'Istruzione e del merito tramite funzionalita' di alert; - una Certification Authority; - sistemi e servizi di backup per il salvataggio dei dati e delle applicazioni; - sistemi e servizi di Disaster Recovery. Il piano di continuita' operativa esplicitera' le procedure relative ai sistemi ed ai servizi di backup e di Disaster Recovery. 2. Integrita' e riservatezza dei dati L'integrita' (la protezione dei dati e delle informazioni nei confronti delle modifiche del contenuto, che siano accidentali oppure effettuate volontariamente da una terza parte) e la riservatezza dei dati presenti nelle banche dati sono garantite da opportune regole di profilazione e secondo il principio dei minimi privilegi necessari. Tutti gli accessi, inoltre, sono tracciati e registrati in file di log. La riservatezza dei dati e', inoltre, garantita attraverso l'adozione di misure di pseudonimizzazione tramite il disaccoppiamento dei dati e il mascheramento delle chiavi di correlazione. I dati ulteriori, necessari ai soli servizi di monitoraggio, sono memorizzati in forma pseudonimizzata in una sezione segregata e distinta della base dati ANIST. Nel caso di servizi fruiti tramite il Portale ANIST, il non ripudio (condizione secondo la quale non si puo' negare la paternita' e la validita' del dato) e' garantito sia dalla non modificabilita' dei log di tracciamento, sia dall'identificazione certa dell'utente da parte del sistema informatico, mediante un meccanismo di autenticazione forte (metodo di autenticazione basato sull'utilizzo di piu' di un fattore di autenticazione) per l'accesso ai servizi. L'integrita' e il non ripudio dei documenti scaricabili dal Portale ANIST sono garantiti attraverso l'apposizione di un sigillo elettronico ad ogni documento. Per la fruizione dei servizi resi fruibili dalla PDND l'integrita' e il non ripudio sono garantiti dalle policy proprie della PDND. 3. Tracciamento delle operazioni effettuate E' previsto un sistema di log analysis per l'analisi periodica delle informazioni registrate degli accessi applicativi, tale da individuare, sulla base di regole predefinite e formalizzate e attraverso l'utilizzo di indicatori di anomalie (alert), eventi potenzialmente anomali che possano configurare trattamenti illeciti. I file di log registrano le informazioni riguardanti le operazioni per la verifica della correttezza e legittimita' del trattamento dei dati, presentando le caratteristiche di integrita' e inalterabilita', ed essendo protetti attraverso idonee misure contro ogni uso improprio. Sono registrati anche i file di log relativi agli accessi e alle operazioni effettuate sulle basi dati, nonche' i log di servizio. Sulla base di quanto monitorato dal sistema di log analysis, devono essere generati periodicamente dei report sintetici sullo stato di sicurezza del sistema (es. accessi ai dati, rilevamento delle anomalie, etc.). Il periodo di retention dei dati e dei log sara' definito in apposita policy del Ministero dell'Istruzione e del merito e reso noto ai cittadini nelle informative che saranno rilasciate, rispettando il principio di non eccedenza e, piu' in generale, la normativa in materia di data protection. 4. Infrastruttura fisica L'infrastruttura di ANIST e' installata nei locali individuati dal Ministero dell'istruzione e del merito aventi specifici requisiti di sicurezza che garantiscano la continuita' di servizio tramite soluzioni di alta affidabilita' (HA) e un rigido controllo dell'accesso anche fisico in ambienti ad accesso limitato e sottoposti a videosorveglianza continua. Qualsiasi altra operazione manuale e' consentita solo a personale autorizzato dal Ministero dell'istruzione e del merito. 5. Protezione da attacchi informatici Al fine di protezione dei sistemi operativi da attacchi informatici, eliminando le vulnerabilita', si utilizzano: a) in fase di configurazione, procedure di hardening finalizzate a limitare l'operativita' alle sole funzionalita' necessarie per il corretto funzionamento dei servizi; b) in fase di messa in esercizio, oltre che ad intervalli prefissati o in presenza di eventi significativi, processi di vulnerability assessment and mitigation nei software utilizzati e nelle applicazioni dei sistemi operativi; c) piattaforma di sistemi firewall e sonde anti-intrusione; d) ogni altra soluzione tecnologica aggiuntiva che sia utile all'innalzamento del livello di sicurezza e protezione del sistema. Per proteggere i sistemi dagli attacchi informatici e' adottata una procedura di gestione degli incidenti informatici e sono, inoltre, rispettate le seguenti tecnologie e/o procedure: a) aggiornamenti periodici dei sistemi operativi e dei software di sistema e hardening delle macchine; b) adozione di una infrastruttura di sistemi firewall e sistemi IPS (Intrusion Prevention System), che consentono la rilevazione dell'esecuzione di codice non previsto nonche' di azioni in tempo reale quali il blocco del traffico proveniente da un indirizzo IP attaccante; c) esecuzione di WAPT (Web Application Penetration Test), per la verifica della presenza di eventuali vulnerabilita' sul codice sorgente; d) adozione di meccanismi, tipo captcha, sul Portale ANIST e di sistemi di rate-limit (limitanti il numero di transazioni nell'unita' di tempo), al fine di mitigare il rischio di accesso automatizzato alle applicazioni, che genererebbe un traffico finalizzato alla saturazione dei sistemi e quindi al successivo blocco del servizio; e) presenza di sistemi di backup e disaster recovery. Il backup dovra' riguardare i seguenti elementi: dati, configurazioni dei sistemi, software applicativo, file di log e di alert. 6. Accesso L'accesso all'ANIST avviene in condizioni di pieno isolamento operativo e di esclusivita', in conformita' ai principi di esattezza, disponibilita', accessibilita', integrita' e riservatezza dei dati, dei sistemi e delle infrastrutture di cui all'articolo 51 del CAD. I sistemi di sicurezza garantiscono che l'infrastruttura di produzione sia logicamente distinta da altre infrastrutture, anche di competenza di soggetti terzi di cui il Ministero dell'istruzione e del merito si avvalga e che l'accesso alla stessa avvenga in modo sicuro, controllato, e costantemente tracciato, esclusivamente da parte di personale autorizzato dal Ministero dell'istruzione e del merito, e con il tracciamento degli accessi e di qualsiasi attivita' eseguita. L'ANIST invia e riceve le comunicazioni in modalita' sicura, su rete di comunicazione SPC ovvero, tramite Internet, mediante protocollo Transport Layer Security (TLS) per garantire la riservatezza dei dati su reti pubbliche secondo le pertinenti raccomandazioni AgID in materia (Determinazione n. 471 del 5 novembre 2020).

Allegato 6

Articolo 11, comma 3. Allegato 6 «Cronoprogramma»

Attivita' Scadenza

1.Analisi II semestre 2024

2.Progettazione II semestre 2025

3.Sviluppo I semestre 2026

4.Attivazione II semestre 2026