Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

TIC, non viene in genere né analizzata né ponderata con i costi dell’attuazione di eventuali misure volte a ridurre i rischi.

Per quanto concerne la protezione delle informazioni, si osserva una situazione simile anche a livello di Confederazione. Spesso, per esempio, la sicurezza TIC viene considerata una questione puramente tecnica e non è percepita come un compito direttivo. Per questo, di regola, la linea gerarchica mostra poca comprensione per il proprio ruolo nel processo di sicurezza e le comuni attività direttive (per es. definizione di obiettivi, controllo dell’attuazione o verifica dell’efficacia delle misure) vengono applicate soltanto raramente all’ambito della sicurezza. Non è inoltre possibile procedere a una presentazione trasparente dei costi della sicurezza, il che impedisce di valutare l’economicità delle misure (analisi costi-benefici). Solo raramente, infine, i responsabili di incidenti o di violazioni delle prescrizioni vengono chiamati a renderne conto.

Sussistono carenze anche nel quadro giuridico. In seno alla Confederazione, le basi legali per la protezione delle informazioni sono impostate in modo molto settoriale e risultano scarsamente coordinate nonché, spesso, lacunose. Attualmente, per esempio, la Confederazione gestisce sistemi paralleli, a livello giuridico e organizzativo, per la protezione dei dati, la protezione delle informazioni (protezione di informazioni classificate), la sicurezza informatica, la sicurezza fisica e la gestione dei rischi. Inoltre, i controlli di sicurezza relativi alle persone (cfr. n. 1.2.4) e le procedure di sicurezza relative alle aziende (cfr. n. 1.2.5) si applicano prevalentemente alle persone e alle imprese che trattano informazioni classificate della Confederazione ma non alle persone che amministrano o gestiscono i suoi mezzi TIC critici.

Va altresì osservato che non sempre le basi legali sono in linea con le esigenze pratiche legate al trattamento elettronico delle informazioni. A titolo di esempio:

 i segreti d’affari e di fabbricazione sono protetti prevalentemente da un obbligo di discrezione (segreto

d’ufficio) imposto alle persone incaricate di trattare questo tipo di informazioni. In una società dell’informazione, tuttavia, la tutela del segreto d’ufficio richiede qualcosa di più di un semplice obbligo personale di discrezione. Se vengono registrati elettronicamente, i segreti d’affari e di fabbricazione devono essere protetti anche sul piano organizzativo e tecnico conformemente alle rispettive necessità di protezione. Nella maggior parte dei casi, tuttavia, mancano direttive sul modo di definire, impostare, attuare e verificare questa protezione;

 per quanto riguarda la protezione di dati personali esiste invece un’alta densità normativa. Per le autorità

federali, l’accento è posto tuttavia sull’esistenza delle basi giuridiche necessarie per il trattamento legale, appropriato e proporzionato dei dati personali piuttosto che sull’effettiva e concreta gestione di tali dati da parte dei collaboratori (per es. trasmissione, conservazione, distruzione, cifratura ecc.);

 le direttive concernenti la protezione di informazioni classificate contengono numerose contraddizioni

rispetto alle prescrizioni in materia di informatica, tra l’altro per quanto concerne il disciplinamento delle competenze e determinate procedure.

Le informazioni possono essere degne di protezione per diverse ragioni. I pacchetti di misure organizzative e tecniche di volta in volta indispensabili per soddisfare le necessità di protezione specifiche sono tuttavia essenzialmente gli stessi. Disciplinando, organizzando e dirigendo l’attuazione di queste misure in modo uniforme, è possibile sfruttare le sinergie migliorando al tempo stesso anche la protezione. A tal fine, è necessaria una percezione più chiara dei propri compiti da parte della linea gerarchica e le basi legali devono essere obbligatoriamente armonizzate con le esigenze legate al trattamento elettronico delle informazioni.

1.2.1.3 Nuovo orientamento a una sicurezza integrale delle informazioni

Il Consiglio federale è consapevole delle crescenti interdipendenze tra la protezione tecnica e la protezione organizzativa delle informazioni, come pure delle carenze organizzative summenzionate. Quale misura immediata, ha pertanto deciso di introdurre, per i quadri dell’Amministrazione federale, una formazione sugli aspetti relativi alla sicurezza delle informazioni (cfr. n. 1.1.3.7). In occasione della seduta del 30 novembre 2011, il Consiglio federale ha inoltre affermato che limitare il campo d’applicazione materiale del presente avamprogetto di legge al ristretto ambito della protezione delle informazioni non sarebbe sufficiente a soddisfare il fabbisogno normativo riscontrato. Di conseguenza, ha incaricato il DDPS di impostare secondo un nuovo orientamento i lavori legislativi, mirando a una sicurezza delle informazioni completa che tenga conto anche degli aspetti organizzativi e tecnici e fondando il nuovo disciplinamento dell’organizzazione su standard internazionali riconosciuti.

Il nuovo orientamento verso una sicurezza integrale delle informazioni, richiesto dal Consiglio federale, corrisponde a ciò che, nell’economia privata e in molte pubbliche amministrazioni a livello mondiale, rappresenta già da alcuni anni la regola dell’arte. La sicurezza delle informazioni è codificata da alcuni standard internazionali, tra cui in particolare le norme ISO/IEC 27001/27002. Questi standard hanno poco a che vede-