Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

dell’evoluzione tecnologica, la maggior parte delle misure concrete di protezione dovrà continuare a essere definita e fissata a livello di ordinanza o addirittura di istruzioni.

Di regola, i rapporti dettagliati riguardanti le lacune e i punti deboli nell’ambito delle TIC sono classificati. Nonostante la portata limitata del controllo, il primo rapporto di revisione del CDF dopo la decisione del Consiglio federale del 16 dicembre 2009 concernente le misure per aumentare la sicurezza delle informazioni nell’Amministrazione federale fornisce una buona panoramica della necessità d’intervento nel campo dell’impiego delle TIC (cfr. n. 1.1.3.2).

Spesso la sicurezza delle informazioni nell’ambito dell’impiego delle TIC è considerata una questione tecnica. In realtà, l’aspetto tecnico è solo marginale, in quanto la stragrande maggioranza delle misure di sicurezza relative alle TIC è di natura organizzativa. La responsabilità in tale ambito spetta prevalentemente alle autorità e alle organizzazioni che decidono di impiegare le TIC (beneficiari di prestazioni) e non alle organizzazioni che gestiscono i relativi mezzi su mandato di tali autorità e organizzazioni (fornitori di prestazioni). La maggiore necessità d’intervento si riscontra pertanto in ambito organizzativo.

Il disciplinamento proposto si fonda su processi e procedure che esistono già e che vengono adeguati in funzione del fabbisogno riconosciuto. Oltre al rafforzamento della gestione dei rischi (cfr. n. 1.2.3.2), ciò comprende principalmente quattro aspetti essenziali:

 chiaro disciplinamento delle competenze e delle responsabilità tra i beneficiari e i fornitori di prestazioni

TIC: la responsabilità principale della sicurezza nell’impiego dei mezzi TIC incombe ai beneficiari di prestazioni, che sono competenti per lo svolgimento della procedura di sicurezza. I fornitori di prestazioni hanno invece la responsabilità di garantire la sicurezza dei mezzi TIC durante il loro esercizio e devono osservare e attuare le misure e i requisiti contemplati dalla presente legge come pure i requisiti supplementari concordati con i beneficiari di prestazioni;

 valutazione della criticità dei mezzi TIC da impiegare dal punto di vista delle informazioni che devono

essere trattate con tali mezzi e dell’adempimento dei compiti dell’autorità o dell’organizzazione in questione (livelli di sicurezza): da un lato, l’attribuzione di un mezzo TIC a un determinato livello di sicurezza serve a rendere consapevoli le autorità della criticità delle loro informazioni e dei loro mezzi TIC affinché definiscano in seguito le misure di sicurezza focalizzandole sui loro valori più critici. Dall’altro, per ogni livello di sicurezza sono previste esigenze e misure di sicurezza minime standard che devono essere attuate prima della messa in esercizio del mezzo TIC;

 rafforzamento del ruolo operativo della direzione dell’autorità o dell’organizzazione assoggettata: la

direzione dell’autorità o dell’organizzazione deve essere coinvolta nella procedura di sicurezza nonché informata tempestivamente sui rischi affinché possa decidere le relative misure. Per questo l’avamprogetto prevede che la messa in esercizio di tutti i mezzi TIC da impiegare venga autorizzata, sotto il profilo della sicurezza, dall’autorità o dall’organizzazione in questione. Nel caso in cui la criticità di un mezzo TIC renda necessaria l’elaborazione di un concetto in materia di sicurezza delle informazioni, tale concetto deve essere approvato dall’autorità o dall’organizzazione interessata;

 rafforzamento dei controlli e delle verifiche: oltre ai controlli generali (art. 11), l’avamprogetto prevede

tre ulteriori verifiche nell’ambito dei mezzi TIC, ossia:

 una verifica della conformità: per ogni mezzo TIC da impiegare occorre verificare se la procedura di sicurezza è stata eseguita conformemente al diritto e se le misure decise sono state attuate. Si tratta pertanto di un controllo della qualità;

 una verifica dei concetti in materia di sicurezza delle informazioni: gli incaricati della sicurezza delle informazioni devono effettuare una verifica di tutti i concetti in materia di sicurezza delle informazioni prima che questi ultimi vengano sottoposti alla direzione per approvazione;

 una verifica dell’efficacia per i mezzi TIC maggiormente critici: prima di autorizzare mezzi TIC per i quali è richiesto il massimo livello di sicurezza («protezione molto elevata») occorre esaminare l’effettiva efficacia delle misure attuate. L’esecuzione di tali verifiche deve essere affidata esclusivamente a revisori qualificati e certificati. Questa verifica dell’efficacia è l’unica misura in grado di fornire un riscontro sull’effettiva sicurezza delle informazioni.

1.2.3.6 Misure riguardanti il personale

Nell’ambito della gestione delle informazioni e dei mezzi TIC, i collaboratori e i terzi incaricati di trattare informazioni della Confederazione sono responsabili del rispetto delle relative prescrizioni. Per poter assumere tale responsabilità è indispensabile disporre di una formazione adeguata e conforme al rispettivo livello. Si tratta di un settore in cui si registra una particolare necessità d’intervento.