Sapere chi sta firmando.

Cosa significa verifica dell'identità nella firma elettronica?

Per impostazione predefinita, la maggior parte degli strumenti di firma elettronica, eSignSimple compreso, oggi identifica il firmatario tramite l'indirizzo e-mail a cui è stato inviato il link, supportato da un audit trail con orari, indirizzi IP e dispositivi. Si tratta di una firma elettronica semplice e, per la maggior parte dei documenti aziendali, è legalmente sufficiente e pratica.

La verifica dell'identità aggiunge un controllo più forte prima che qualcuno possa firmare: un codice via SMS, il controllo di un documento d'identità ufficiale o una verifica tramite banca o sistema nazionale di identità digitale (eID). La verifica dell'identità arriverà presto in eSignSimple e non è ancora attiva.

Cosa abbiamo in programma di realizzare?

Nulla di quanto descritto in questa sezione è disponibile oggi. Pensiamo di partire dai controlli che aggiungono una garanzia reale senza rendere la firma un tormento: un codice monouso inviato al telefono del firmatario come secondo fattore accanto all'e-mail. Se e quando sarà disponibile, l'esito di ogni controllo verrebbe registrato nell'audit trail e nel certificato di firma, così da poterlo esibire in seguito.

Stiamo anche valutando controlli dei documenti d'identità tramite fornitori specializzati per i documenti più delicati. Li lanceremo solo quando saremo sicuri del fornitore, delle condizioni sulla privacy e del costo per i nostri clienti.

Come affrontano la verifica dell'identità i concorrenti?

DocuSign, Adobe Acrobat Sign e altri offrono autenticazione via SMS, domande basate sulla conoscenza e verifica del documento d'identità, di solito come componenti aggiuntivi a pagamento addebitati per verifica o inclusi nei piani superiori. Nell'UE alcuni fornitori offrono anche firme elettroniche avanzate e qualificate tramite prestatori di servizi fiduciari, che comportano un'identificazione formale.

La nostra opinione: la verifica dell'identità ha valore, ma spesso viene sopravvalutata. Le domande basate sulla conoscenza costruite su dati creditizi sono deboli, e una verifica pesante su un normale NDA infastidisce soltanto i firmatari. Adegua il controllo al rischio del documento.

Quando serve davvero una verifica più forte?

Valuta controlli più forti per contratti di finanziamento e fideiussioni, vendite di valore elevato, documenti firmati da persone che non hai mai incontrato e situazioni in cui prevedi che il firmatario possa in seguito negare di aver firmato. Per i contratti di tutti i giorni con clienti che conosci, il link via e-mail più l'audit trail è di solito proporzionato.

Alcuni documenti richiedono più di una verifica. Quando una legge o la controparte richiede una firma elettronica qualificata (FEQ, in inglese QES), ti serve un prestatore di servizi fiduciari qualificato. eSignSimple fornisce firme elettroniche semplici e non offre la FEQ.

Cosa puoi fare oggi senza verifica dell'identità?

Invia documenti solo a indirizzi e-mail che hai confermato con il firmatario attraverso un altro canale, come una telefonata o uno scambio di e-mail già in corso. Usa l'ordine di firma per controfirmare per ultimo, dopo aver controllato chi ha firmato. Conserva il certificato di firma, che registra indirizzo IP, dispositivo e orari di ogni firma.

Chiunque può confermare che un PDF completato non è stato modificato controllandone l'impronta SHA-256 sulla nostra pagina di verifica pubblica. Da sola non prova l'identità, ma insieme all'audit trail costituisce una documentazione solida per la maggior parte dei documenti aziendali.

Cosa verrà verificato, e cosa puoi fare oggi?