Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Strettamente collegata alla gestione dei rischi è anche la cosiddetta gestione della continuità operativa («Business Continuity Management», BCM), volta a garantire l’adempimento dei compiti fondamentali da parte delle autorità entro i termini previsti anche in situazioni straordinarie. Vista la crescente dipendenza dell’adempimento dei compiti dall’impiego delle TIC, i rischi nell’ambito della sicurezza delle informazioni possono mettere a repentaglio l’adempimento di compiti legali critici (cfr. anche art. 6 cpv. 3 LOGA). Di conseguenza, le autorità federali vengono esortate ad allestire appositi piani per la prevenzione di incidenti in materia di sicurezza delle informazioni che possono minacciare l’adempimento di compiti irrinunciabili e a svolgere esercitazioni in tale ambito.

1.2.3.3 Controlli e audit

Ogni singola misura ordinata nel settore della sicurezza delle informazioni deve essere verificabile e verificata. Soltanto grazie a controlli adeguati le autorità e le organizzazioni possono comprendere lo stato della sicurezza delle proprie informazioni, come pure i rischi esistenti e le eventuali misure correttive necessarie. Oggi i controlli sono uno dei principali punti deboli nell’ambito della sicurezza delle informazioni della Confederazione, in quanto vengono effettuati soltanto in singoli casi o dopo un incidente. Inoltre, data la pressoché totale assenza di controlli, attualmente mancano il know-how e il personale necessari per il loro svolgimento. Occorre pertanto partire dal presupposto che, per adempiere tale compito, le autorità e le organizzazioni assoggettate non potranno fare a meno di impiegare risorse supplementari.

I meccanismi e gli strumenti di controllo devono necessariamente essere rafforzati per tutti i settori della sicurezza delle informazioni. Per questo l’avamprogetto prevede un obbligo di controllo generale (art. 11). Nei casi in cui sono necessari controlli, verifiche e audit mirati, questi ultimi vengono espressamente richiesti (per le TIC: cfr. n. 1.2.3.5). In linea di principio, i controlli e gli audit nell’ambito delle attività correnti dovranno rimanere nella sfera di competenza della linea gerarchica. L’attuazione delle misure ordinate figura tra i compiti fondamentali a livello direttivo. L’avamprogetto rafforza tuttavia anche gli strumenti a disposizione della linea gerarchica per lo svolgimento di audit e controlli nell’ambito della sicurezza delle informazioni. Gli incaricati della sicurezza delle informazioni devono per esempio poter svolgere controlli su mandato della rispettiva autorità. In caso di audit complessi o di controlli indipendenti, le autorità devono inoltre poter affidare il relativo mandato al servizio specializzato della Confederazione per la sicurezza delle informazioni o al Controllo federale delle finanze (CDF).

1.2.3.4 Classificazione delle informazioni

La classificazione è una misura che viene da sempre impiegata da qualsiasi organizzazione per proteggere informazioni interne la cui conoscenza da parte di persone non autorizzate può pregiudicare gli obiettivi perseguiti o addirittura danneggiare l’organizzazione stessa. Attualmente la classificazione delle informazioni viene disciplinata dall’OPrI soltanto per l’Amministrazione federale e l’esercito. Uno degli obiettivi del presente avamprogetto è quello di introdurre un sistema di classificazione valido per tutte le autorità e attuato secondo principi uniformi tenendo conto delle maggiori aspettative dei cittadini per quanto concerne la trasparenza dell’operato delle autorità federali. La classificazione deve pertanto essere concepita come un’eccezione da motivare. È inoltre necessario un parziale innalzamento degli attuali valori soglia per la classificazione.

Il sistema a tre livelli consente di garantire una protezione delle informazioni adeguata ai rischi: quanto maggiore è il rischio per gli interessi pubblici da proteggere, tanto più onerose e costose risulteranno le misure di sicurezza. Il livello di classificazione AD USO INTERNO consente un trattamento più semplice e poco oneroso di informazioni che, pur essendo degne di protezione, non presentano un fabbisogno di protezione tale da giustificare l’onere necessario per il trattamento di informazioni classificate CONFIDENZIALE. Il livello di classificazione AD USO INTERNO garantira un livello di sicurezza uniforme anche nel contesto internazionale. La maggior parte degli Stati utilizza un sistema a quattro livelli (per es. nell’UE: RESTRICTED, CONFIDENTIAL, SECRET e TOP SECRET).

1.2.3.5 Sicurezza nell’impiego delle TIC

Le disposizioni in materia di sicurezza nell’impiego delle TIC sono oggi disciplinate a livello di ordinanza oppure, nella maggior parte dei casi, a livello di istruzioni. A causa della crescente interconnessione dei sistemi TIC e della sempre maggiore dipendenza delle autorità federali da questi mezzi per l’adempimento dei loro compiti legali, da qualche anno a questa parte l’importanza della sicurezza dei mezzi TIC è notevolmente aumentata. Numerosi incidenti avvenuti all’estero o in Svizzera dimostrano la vulnerabilità dei mezzi TIC e le potenziali conseguenze di simili episodi. Oggi è impossibile fare a meno di prevedere a livello di legge formale determinati parametri della sicurezza TIC, in particolare perché l’interconnessione di questi mezzi tra tutte le autorità e lo scambio di informazioni per via elettronica sono destinati a intensificarsi ulteriormente ed esigono pertanto soluzioni e processi comuni a tutte le autorità. Tuttavia, considerata la rapidità