Sicurezza della PEC: regole dei gestori e scelte che contano

Perché nessuna PEC è sicura al cento per cento, cosa rende affidabile un gestore, quali regole tecniche proteggono i messaggi e cosa rende sicura una casella

La sicurezza di una PEC poggia su regole uguali per tutti i gestori, fissate dalla legge e vigilate da AgID: per questo non c'è una casella più sicura per definizione.

Contano invece i limiti del sistema, come il phishing da caselle compromesse, e i servizi che riducono gli errori di chi la usa.

Regole e usi della posta certificata sono spiegati nella guida a regole e sicurezza della PEC.

Takeaways - Punti chiave dell'articolo

• Regole comuni: I gestori sono iscritti in un elenco pubblico e, se privati, devono avere almeno 1 milione di euro di capitale versato (art. 14, DPR 68/2005).
• Firme e log: Buste e ricevute sono firmate dal gestore (art. 9) e i log dei messaggi sono conservati per 30 mesi (art. 11, DPR 68/2005).
• Disponibilità minima: Il servizio deve essere disponibile almeno al 99,8% nel quadrimestre, con orario allineato a UTC entro 1 secondo (DM 2 novembre 2005).
• Limite del sistema: Il CERT-AGID ha segnalato phishing inviato da caselle PEC compromesse: il canale certificato non garantisce il contenuto.
• Identità del titolare: Per AgID la PEC non prevede una verifica certa dell'identità di chi richiede la casella.

Perché la PEC non è completamente sicura?

La PEC non è completamente sicura perché certifica la trasmissione, non il contenuto né l'identità di chi scrive: un messaggio può partire da una casella vera ma compromessa, come nelle campagne di phishing segnalate dal CERT-AGID.

In più, per AgID la PEC non prevede una verifica certa dell'identità del richiedente, e credenziali rubate permettono di spedire a nome di altri. Come riconoscere i messaggi sospetti è spiegato nell'articolo sul phishing via PEC e come difendersi.

Qual è la PEC più affidabile?

La PEC più affidabile è quella di un gestore iscritto nell'elenco AgID che, oltre alle regole comuni, identifica con certezza il titolare e garantisce continuità alla casella, senza interruzioni per scadenze o spazio esaurito.

L'identificazione certa è uno dei requisiti che mancano alla PEC per diventare recapito qualificato europeo, come spiega l'articolo su SERCQ e garanzie eIDAS.

Quali sono le regole che regolano la sicurezza della PEC?

La sicurezza della PEC è regolata dal DPR 68/2005 e dalle regole tecniche del DM 2 novembre 2005, che fissano obblighi uguali per tutti i gestori.

• Firme del gestore: su buste di trasporto e ricevute, per garantire provenienza e integrità (art. 9 DPR).
• Tracciabilità: log dei messaggi conservati per trenta mesi (art. 11).
• Antivirus: i messaggi con virus non vengono accettati né inoltrati (art. 12).
• Tempo e continuità: orario allineato a UTC entro 1 secondo e disponibilità almeno del 99,8% (DM, artt. 9 e 12).

Il quadro normativo completo è nell'articolo sulle norme italiane sulla PEC.

Cosa rende sicura una casella PEC?

Una casella PEC è più sicura quando, oltre alle regole comuni, riduce gli errori e i rischi operativi: titolare identificato, controlli prima dell'invio, avvisi a ogni arrivo e spazio che non si esaurisce.

Nella PEC SuperPEC con identità certa il titolare è identificato con la firma digitale cheFIRMA!, la webmail segnala se il destinatario è una PEC o un'email ordinaria, ogni arrivo è notificato gratis e lo spazio è illimitato.

Perché la casella piena è un rischio è spiegato nell'articolo sulla casella piena e la responsabilità.

Conclusione

Tutte le PEC dei gestori iscritti nell'elenco AgID rispettano le stesse regole di sicurezza; la differenza la fanno l'identificazione del titolare, i controlli sugli invii e la continuità della casella. Il contenuto dei messaggi va comunque verificato.

Per una casella con titolare identificato e spazio illimitato c'è la PEC di LetteraSenzaBusta con identità verificata.