Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

torità interessate. Per questo è indispensabile che le autorità federali coinvolte applichino criteri e metodi equivalenti per la valutazione del rischio e che nell’impiego delle TIC le rispettive misure di sicurezza organizzative, in materia di personale, tecniche e fisiche siano coordinate tra loro.

Il campo d’applicazione istituzionale non deve limitare l’indipendenza delle autorità interessate, prevista dalla Costituzione. Le autorità federali devono eseguire la legge in maniera autonoma e si rinuncia pertanto all’istituzione di un organo di controllo con la facoltà di impartire istruzioni a tutte le autorità. Lo svantaggio rappresentato dall’esecuzione autonoma è che i requisiti minimi relativi all’organizzazione per la sicurezza delle informazioni, che tutte le autorità federali sono tenute a rispettare, devono obbligatoriamente essere fissati a livello di legge. Di conseguenza, l’avamprogetto contiene anche numerose disposizioni che, dal punto di vista della gerarchia normativa, corrispondono piuttosto al livello di un’ordinanza.

1.2.3 Misure generali in materia di sicurezza delle informazioni

1.2.3.1 Gestione della sicurezza delle informazioni

La sicurezza delle informazioni è affare dei capi. La relativa responsabilità incombe alla direzione dell’autorità in questione e non può essere delegata. In tale ambito, l’avamprogetto fissa determinati obblighi che possono essere adempiuti esclusivamente dalle singole autorità coinvolte. Le massime autorità dovranno per esempio:

 emanare le disposizioni esecutive necessarie per l’esecuzione della presente legge (cfr. art. 87);

 organizzare, dirigere, attuare e verificare la sicurezza delle informazioni secondo lo stato della dottrina

(per es. secondo la norma ISO 27001), fissando tra l’altro in modo chiaro i compiti, le competenze e le responsabilità (cfr. art. 5 cpv. 1 lett. a e cpv. 2);

 fissare i loro obiettivi in materia di sicurezza delle informazioni nonché il livello di sicurezza da raggiun-

gere (cfr. art. 5 cpv. 3 lett. a);

 fissare i parametri per la gestione dei rischi (cfr. art. 5 cpv. 3 lett. b);

 stabilire e spiegare le conseguenze in caso di inosservanza delle prescrizioni (cfr. art. 5 cpv. 3 lett. c);

 ordinare la verifica periodica dell’attuazione e dell’efficacia delle misure (cfr. art. 11);

 emanare un elenco delle funzioni da sottoporre al controllo di sicurezza relativo alle persone (cfr. art. 33).

Infine, l’avamprogetto rafforza il ruolo operativo della linea gerarchica nell’ambito dell’impiego delle TIC (cfr. art. 23-26).

1.2.3.2 Gestione dei rischi

Con l’evoluzione in atto verso una società dell’informazione, le minacce e i pericoli che incombono sulle informazioni e sui mezzi TIC sono diventati sempre più complessi e dinamici. Il contesto descritto esige inoltre che le autorità federali si focalizzino maggiormente su una valutazione sistematica delle necessità di protezione delle informazioni e su un’analisi continua dei relativi rischi. Ciò presuppone però una gestione dei rischi efficace nel campo della sicurezza delle informazioni e una verifica periodica dell’attuazione delle misure di riduzione dei rischi. Queste due condizioni sono oggi quasi completamente inadempiute. Viene pertanto avviato anche un processo destinato a garantire in maniera duratura ed economica la sicurezza delle informazioni.

Per le autorità federali, la gestione dei rischi è un’esigenza sia politica che economica. Nell’avamprogetto, le autorità assoggettate sono esortate a stabilire il livello di sicurezza delle informazioni che intendono raggiungere (obiettivi in materia di sicurezza delle informazioni). Tale livello è determinante per la definizione delle misure di sicurezza e per la valutazione della relativa efficacia. In relazione alle gestione dei rischi, le autorità assoggettate devono inoltre stabilire chi può sostenere quali rischi e che cosa accade in caso di rischi residui troppo elevati.

La gestione dei rischi nell’ambito della sicurezza delle informazioni è una questione che presenta specificità proprie al singolo settore, ma deve essere comunque integrata nel processo generale di gestione dei rischi per tutte le autorità assoggettate, poiché, naturalmente, anche i rischi per la sicurezza delle informazioni sono da annoverare tra i rischi commerciali generali.

Nell’ambito della gestione dei rischi vengono valutate le necessità di protezione delle informazioni (riguardo a confidenzialità, integrità, disponibilità e tracciabilità) e si procede all’analisi dei pericoli di origine umana, tecnica o naturale nonché dei corrispondenti punti deboli. La valutazione del rischio deve essere effettuata nel modo più obiettivo e sistematico possibile e le misure necessarie al raggiungimento del livello di sicurezza determinante devono essere fissate dalla linea gerarchica. Infine, occorre garantire la sorveglianza dei rischi identificati.