Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

 di regola, i rapporti dettagliati riguardanti le lacune e i punti deboli nell’ambito della sicurezza delle in-

formazioni sono classificati. Per questo nel presente rapporto non è possibile trattare in maniera più approfondita tutte le lacune e tutti i punti deboli.

1.2.1 Sicurezza delle informazioni

Oggi la maggior parte delle informazioni viene trattata in forma elettronica. Per questo motivo, la protezione delle informazioni dipende sempre più dalla sicurezza delle procedure e dei mezzi elettronici utilizzati per trattarle. Attualmente, il trattamento elettronico di informazioni di ogni genere degne di protezione presenta importanti lacune in materia di sicurezza.

1.2.1.1 Lacune tecniche

In un rapporto sull’esecuzione e sull’efficacia dell’ordinanza sulla protezione delle informazioni nonché sui costi occasionati dalla sua attuazione (cfr. n. 1.1.3.3), il DDPS ha dimostrato al Consiglio federale come gli obiettivi perseguiti dall’OPrI nel campo del trattamento elettronico di informazioni classificate, per quanto piuttosto modesti se confrontati con la realtà internazionale, nella maggior parte dei casi non possano essere rispettati in quanto le soluzioni e le prestazioni di servizi in materia di sicurezza necessari a tal fine non sono attualmente disponibili o, per ragioni di varia natura, finanziaria in particolare, non vengono utilizzate o proposte. Da questo stato di cose deriva una situazione paradossale: in certe circostanze, collaboratori della Confederazione che nella vita privata non utilizzerebbero mai un servizio di e-banking senza i prodotti e le procedure di sicurezza richiesti dallo stato della tecnica, memorizzano o trasmettono spensieratamente nel loro ambiente di lavoro informazioni classificate CONFIDENZIALE o SEGRETO senza preoccuparsi di cifrarle.

Tale riscontro non riguarda soltanto le informazioni classificate, che già oggi rappresentano soltanto una piccola parte di tutte le informazioni della Confederazione degne di protezione. Lacune simili sono presenti anche nell’ambito della protezione di dati personali, di segreti professionali, d’affari e di fabbricazione nonché di altre informazioni di cui è necessario tutelare la confidenzialità, la disponibilità, l’integrità o la tracciabilità. In caso di accresciute esigenze di protezione, devono essere adottate misure tecniche di sicurezza particolari. Queste misure presuppongono che sia preliminarmente garantita una solida protezione di base a livello di sicurezza informatica. Se non poggiano su un simile fondamento, i provvedimenti tecnici supplementari possono essere facilmente elusi. Le verifiche effettuate dall’UFIT hanno però evidenziato frequenti carenze nell’attuazione delle misure minime previste in tale ambito.

In uno scenario caratterizzato da importanti lacune a livello di protezione elettronica delle informazioni, va tuttavia precisato che, in brevissimo tempo, i compiti dei servizi competenti per la definizione o per l’attuazione delle direttive in materia di sicurezza informatica sono diventati molto più complessi. Questa evoluzione è da ricondurre in particolare alle continue innovazioni tecnologiche, ai nuovi pericoli e punti deboli ad esse legati e alla scarsità delle risorse finanziarie e di personale.

1.2.1.2 Carenze organizzative

Di fronte all’emergere delle suddette sfide in ambito tecnico, la Centrale d’annuncio e d’analisi per la sicurezza dell’informazione (MELANI) aveva annunciato già nel 2008, in occasione del suo rapporto semestrale, la necessità di un nuovo orientamento:

«Anche con l’ausilio di misure tecniche di sicurezza e una buona dose di buon senso gli attuali attacchi mirati IT non possono sempre essere parati efficacemente. È pertanto necessaria una nuova focalizzazione che riporti la protezione dell’informazione al centro delle preoccupazioni e non si limiti alla sola protezione dei computer e delle reti. [...] …, il che comporta una gestione rafforzata delle informazioni e dei dati, una classificazione delle informazioni e simili⁴.»

Queste affermazioni rivestono un’importanza centrale ai fini della comprensione del nuovo disciplinamento proposto. La sicurezza TIC a livello tecnico, da sola, non è più sufficiente. Per garantire una protezione efficace delle informazioni sono molto più importanti le misure di carattere organizzativo. In seno alla Confederazione sussistono carenze organizzative in particolare nella gestione della sicurezza delle informazioni e nelle basi legali.

Nell’economia privata, il fatto che la sicurezza sia un affare dei capi e che risulti utile anche dal punto di vista economico viene compreso al più tardi quando si verificano danni e occorre adottare misure atte a contenerli. Spesso, tuttavia, nelle pubbliche amministrazioni la sicurezza è considerata soltanto un fattore di costo e un ostacolo, soprattutto perché, in caso di incidente, il settore pubblico non può subire alcun danno concorrenziale. Di conseguenza, la perdita di produttività, causata per esempio dall’interruzione di servizi