Secure E-Mail della Suva
Opuscolo informativo per responsabili decisionali e informatici
Indice
Secure E-Mail della Suva in sintesi
3
Problemi legati alla posta elettronica tradizionale
4
Secure E-Mail della Suva: vantaggi per i clienti
e partner
5
Varianti disponibili
6
Informazioni tecniche per i responsabili informatici
8
Allegato – Informazioni generali sulla criptazione
delle e-mail
9
Contatto
12
Secure E-Mail della Suva in sintesi
La comunicazione via e-mail è immediata, facile e veloce. Perciò è molto diffusa
e apprezzata nel mondo del lavoro. Ma le
e-mail non protette possono essere lette
e modificate da persone non autorizzate
senza che il mittente o il destinatario se
ne accorgano. Perciò un numero sempre
maggiore di aziende adotta sistemi per
garantire la sicurezza della corrispondenza elettronica. La Suva è tra queste.
Grazie a Secure E-Mail i nostri clienti e
partner possono inviare e ricevere e-mail
contenenti dati sensibili in forma criptata
e quindi in tutta sicurezza.
Per chi non ha regolari rapporti di corrispondenza con la Suva ma invia e riceve
solo occasionalmente e-mail confidenziali, è disponibile Secure Webmail, un
servizio gratuito che i nostri clienti e partner possono utilizzare dopo essersi registrati sul Webmail-Server.
po nella fase iniziale ma ne vale decisamente la pena se si inviano spesso
e-mail dal contenuto riservato. Entrambe
le soluzioni permettono infatti di criptare
le e-mail senza uscire dal programma di
posta elettronica in uso. Un certificato
e-mail con tre anni di validità costa circa
120 franchi (il prezzo può variare da fornitore a fornitore). Le aziende che possiedono già un certificato per la criptazione
delle e-mail possono usarlo anche per
Secure E-Mail della Suva.
Si prega di notare che, indipendentemente da Secure E-Mail, le notifiche d’infortunio e le dichiarazioni dei salari elettroniche continueranno ad essere gestite
con i sistemi esistenti, come Sunet,
eGestInf, eSalario ecc. Secure E-Mail è
pensato esclusivamente per lo scambio
di informazioni sensibili non trasmissibili
con questi sistemi.
Per i clienti e i partner che invece trasmettono regolarmente dati confidenziali
alla Suva, consigliamo la variante con
certifi cato e-mail (da installare per ogni
singolo utente o client) oppure la variante con dominio o certifi cato aziendale (da installare a livello di appliance). Per
queste due soluzioni è necessario un
coordinamento tra i responsabili informatici dell’azienda e quelli della Suva. È
richiesto un piccolo investimento di tem3
Problemi legati alla posta
elettronica tradizionale
Rischi delle e-mail non protette
Le e-mail inviate in modalità non protetta
comportano i seguenti rischi:
• non è garantita la riservatezza del
contenuto, che potrebbe essere letto
da terzi non autorizzati
• non è garantita l’integrità del messaggio trasmesso, in quanto può essere
intercettato e modificato da altri
• non è certa l’autenticità del mittente
indicato, visto che l’e-mail potrebbe
essere stata generata da qualcun altro.
Requisiti legali
La criptazione delle e-mail garantisce
inoltre il rispetto di determinati requisiti
legali che senza Secure E-Mail non
possono essere dati per certi:
• protezione dei dati
• diritto alla personalità
• leggi speciali come la legge sulle
telecomunicazioni, sulle banche,
sul contratto d’assicurazione, sugli
avvocati ecc.
• diritto corporativo
• obbligo di diligenza secondo il
Codice delle obbligazioni
• convenzioni di tutela del segreto
• obbligo di discrezione.
4
Possibili conseguenze di una
corrispondenza e-mail non protetta
Lo scambio elettronico di informazioni
segrete o riservate dovrebbe sempre
avvenire in modalità criptata in modo da
evitare una serie di inconvenienti:
• danno di immagine (nel caso in cui i
media riportino episodi legati alla fuga
di informazioni riservate)
• conseguenze penali (multa o detenzione secondo quanto previsto dalla legge
sulla protezione dei dati e dal codice
penale)
• conseguenze economiche.
Secure E-Mail della Suva:
vantaggi per i clienti e partner
Grazie a Secure E-Mail i nostri clienti e
partner possono inviarci informazioni
sensibili in tutta sicurezza anche via
e-mail. In particolare, ricevono le seguenti garanzie:
• rispetto dei requisiti legali vigenti e
dell’obbligo di diligenza nel trattamento
dei dati sensibili
• risparmio in termini di tempo
(le informazioni riservate possono
essere inviate per posta elettronica
invece di ricorrere alla posta «fisica»)
• nessuna intercettazione da parte di
soggetti non autorizzati (le e-mail non
possono essere né lette né modificate
da altri)
• identifi cazione certa del mittente grazie
alla firma digitale.
5
Varianti disponibili
I clienti e partner della Suva possono
scegliere fra le seguenti varianti per l’utilizzo di Secure E-Mail:
Secure Webmail
Per chi invia solo occasionalmente delle
e-mail riservate alla Suva consigliamo
Secure Webmail.
Quando l’utente riceve la prima e-mail
criptata dalla Suva, gli viene chiesto di
registrarsi sul Webmail-Server con il proprio nome e una password personale. In
seguito può usare l’account Webmail per
tutte le comunicazioni confidenziali con
la Suva, mantenendo il proprio indirizzo
e-mail. Ogni volta che la Suva gli invia
un’e-mail criptata, riceve un avviso al
proprio indirizzo abituale e un link per
accedere al messaggio nell’account
Webmail.
6
Per usare Secure Webmail della Suva
basta disporre di un accesso a Internet
(protocollo https) e di un comune browser. Il servizio è gratuito per i nostri clienti
e partner.
Si prega di notare che la memoria disponibile in un account Webmail è limitata a
20 MB e le e-mail (allegati compresi) vengono cancellate automaticamente dopo
60 giorni previo avviso all’utente.
Certifi cato e-mail
(installazione su e-mail client)
La cirptazione delle e-mail tramite certificato digitale è una soluzione molto pratica per l’utente in quanto gli permette di
ricevere e inviare e-mail riservate con il
suo programma di posta elettronica, ad
esempio Microsoft Outlook: al momento
di inviare un messaggio, deve solamente
selezionare l’opzione di criptazione. Consigliamo questa soluzione ai clienti e ai
partner che inviano e ricevono spesso
dalla Suva e-mail dal contenuto riservato.
Un sistema di criptazione con certificato
richiede un investimento iniziale per l’acquisto e l’installazione dei certificati. Le
aziende che possiedono già un certificato per la criptazione delle e-mail possono
usarlo anche per Secure E-Mail della
Suva.
Domain / certifi cato aziendale
Le aziende che usano un’e-mail appliance come Totemo, SEPPmail, IncaMail
ecc. possono optare per la variante con
dominio / certificato aziendale. Per realizzare questa soluzione, gli amministratori
di sistema devono scambiarsi i certificati
delle rispettive aziende e installarli. Una
volta effettuata l’installazione, tutte le
e-mail vengono automaticamente criptate.
I nostri specialisti sono disponibili ad
aiutare le aziende nella valutazione delle
varie opzioni per scegliere quella più
adatta alle loro esigenze. Il prossimo
capitolo è dedicato ai responsabili informatici.
7
Informazioni tecniche per
i responsabili informatici
Secure E-Mail della Suva è in linea con
gli attuali standard nel campo delle infrastrutture a chiave pubblica (PKI). È quindi
compatibile con tutte le soluzioni e i prodotti conformi agli standard di sicurezza
e-mail secondo il protocollo S/MIME o
PGP.
Se si opta per la variante con certifi cato e-mail occorre tenere conto di
quanto segue:
• Secure E-Mail della Suva accetta certificati S/MIME o PGP.
• I certificati S/MIME possono essere
acquistati da fornitori autorizzati come
QuoVadis, SwissSign, VeriSign ecc. e
sono disponibili in diverse classi di
attendibilità. Più alta è la classe, più è
attendibile l’identità del possessore e
dell’ente rilasciante. Per lo scambio di
e-mail criptate la Suva accetta tutte le
classi di certificati a condizione che siano stati rilasciati per lo scopo previsto.
Attualmente un certificato e-mail con
tre anni di validità costa circa 120 franchi (il prezzo può variare a seconda del
fornitore.
• L’utente deve custodire la chiave privata
(private key, contenuta ad esempio nel
file .pfx) in modo sicuro in modo che
non possa entrare in possesso di persone non autorizzate. Si tenga presente
che le e-mail archiviate possono essere
decriptate soltanto con il file .pfx originale.
8
•
La chiave pubblica (public key, contenuta ad esempio nel file .cer o .crt) può
e deve essere diffusa il più possibile. Ad
esempio, può essere inviata ai partner
dell’azienda tramite un’e-mail con firma
digitale.
Variante con domain / certifi cato
aziendale
Per criptare le e-mail la Suva usa Totemo
TrustMail ® Secure Messaging Gateway
(www.totemo.ch). Le aziende che utilizzano lo stesso prodotto oppure uno
simile devono solo scambiarsi la chiave
del Secure Mail Gateway con la Suva, di
modo che i due Gateway possano comunicare tra loro. Si ricorda che il certificato
di dominio deve contenere il dominio
(secondo RFC822) dell’indirizzo e-mail
del destinatario.
Allegato - Informazioni generali
sulla criptazione delle e-mail
Come funziona un certifi cato digitale?
Un certificato digitale contiene una chiave privata (private key) e una chiave pubblica
(public key). La prima serve al mittente per apporre la firma digitale sulle e-mail e al
destinatario per decriptare le e-mail ricevute. La seconda, invece, serve al mittente
per criptate le e-mail e al destinatario per verificare la firma digitale. Un certificato valido contiene inoltre una conferma dell’autenticità dell’ente che lo ha rilasciato (QuoVadis, SwissSign o altri).
privata
confermato
pubblica
confermato
[email protected]
attendibile
Francesco
Rossi
Anna Bianchi
ente di certificazione
9
Come funziona la fi rma digitale?
Se l’utente appone la propria firma digitale su un’e-mail, al momento dell’invio il programma di posta elettronica calcola il valore hash del messaggio, lo cripta con la
chiave privata del mittente e lo trasmette al destinatario assieme al valore hash criptato e alla chiave pubblica.
Il destinatario, dal canto suo, calcola un valore hash per il messaggio ricevuto, decripta quello inviato dal mittente tramite la chiave pubblica che quest’ultimo gli ha fornito
e confronta i due valori. Se sono identici, significa che il messaggio è autentico e
integro, ossia che proviene effettivamente dal mittente indicato e che non è stato
modificato durante il suo percorso.
mittente Anna Bianchi
destinatario Francesco Rossi
[email protected]
firma digitale
il mittente appone
la firma digitale con
il proprio certificato
10
il destinatario verifica
la firma con il certificato
del mittente
Come funziona la criptazione delle e-mail?
Essenzialmente il messaggio viene criptato con la chiave pubblica del destinatario e
inviato. Siccome solo il destinatario è in possesso della chiave giusta (chiave privata),
è il solo che può decriptare il messaggio. Affinché sia possibile criptare un’e-mail,
quindi, sia il mittente che il destinatario devono avere un certificato (ossia un paio di
chiavi, una pubblica e una privata) installato sul proprio computer e devono scambiarsi le proprie chiavi pubbliche.
mittente Anna Bianchi
criptazione
e-mail
destinatario Francesco Rossi
[email protected]
il mittente cripta l’e-mail
con il certificato
del destinatario
il destinatario decripta
l’e-mail con il proprio
certificato
11
In caso di domande, i nostri esperti
sono a vostra completa disposizione.
Per maggiori informazioni e per le
domande più frequenti consultare il
nostro sito Internet.
Contatto:
Suva
Distribuzione E-Services
Rösslimattstrasse 39
6005 Lucerna
Telefono: 0848 820 820
e-mail: [email protected]
Internet: www.suva.ch/securemail
12
Il modello Suva
I quattro pilastri della Suva
• La Suva è più che un’assicurazione perché
coniuga prevenzione, assicurazione e riabilitazione.
• La Suva è gestita dalle parti sociali: i rap-
presentanti dei datori di lavoro, dei lavoratori e della Confederazione siedono nel
Consiglio di amministrazione. Questa composizione paritetica permette di trovare
soluzioni condivise ed efficaci.
Suva
Casella postale, 6002 Lucerna
Telefono 041 419 58 51
www.suva.ch
Codice
2979_01.i
Edizione dicembre 2012
• Gli utili della Suva ritornano agli assicurati
sotto forma di riduzioni di premio.
• La Suva si autofinanzia e non gode di
sussidi.