Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Ai fini della tutela della sicurezza delle informazioni è inoltre di fondamentale importanza prevedere un rilascio restrittivo delle autorizzazioni. Secondo questo principio, per il trattamento delle informazioni e l’accesso a queste ultime, come pure per l’accesso a determinati locali e aree, devono essere concesse esclusivamente le autorizzazioni di cui le persone in questione necessitano effettivamente per adempiere i propri compiti. Le autorizzazioni devono inoltre essere oggetto di verifiche periodiche. Attualmente questa regola, volta in particolare a scongiurare il pericolo di attacchi interni, non viene impiegata e attuata ovunque.

L’avamprogetto fissa pertanto entrambi i principi (formazione e rilascio restrittivo di autorizzazioni) come requisiti minimi riguardanti il personale. Nell’ambito dell’elaborazione delle rispettive disposizioni esecutive, le autorità e le organizzazioni assoggettate dovranno emanare direttive dettagliate.

1.2.3.7 Protezione fisica di informazioni e mezzi TIC

Troppo spesso ci si dimentica di quanto i controlli all’entrata e altre misure di protezione fisica siano efficaci per garantire la sicurezza delle informazioni. In tale ambito, l’avamprogetto fissa il requisito minimo necessario per disciplinare questa protezione.

L’avamprogetto crea inoltre una base per l’allestimento delle cosiddette zone di sicurezza, ossia locali e settori in cui sono trattate frequentemente informazioni classificate CONFIDENZIALE o SEGRETO o vengono gestiti mezzi TIC del livello di sicurezza «protezione elevata» o «protezione molto elevata» e che sono pertanto protetti in modo particolare. Queste zone di sicurezza sono diffuse a livello internazionale, mentre risultano pressoché sconosciute in seno alla Confederazione. L’allestimento di zone di sicurezza è concepito non come misura vincolante, bensì come norma potestativa. Per allestire tali zone è necessaria una base legale formale, in quanto le zone di sicurezza possono essere associate a misure che rappresentano una profonda ingerenza nei diritti della personalità (per es. metodi di identificazione biometrici o videosorveglianza permanente). Per l’accesso alle zone di sicurezza può anche essere necessario effettuare previamente un controllo di sicurezza relativo alle persone. Nella prassi, queste zone di sicurezza vengono allestite principalmente per proteggere i locali che ospitano server, i locali di condotta o i locali di sicurezza.

1.2.4 Controlli di sicurezza relativi alle persone

Una delle minacce più sensibili e intense per la sicurezza si verifica quando persone che hanno accesso a informazioni con una classificazione di livello elevato o che amministrano o gestiscono mezzi TIC particolarmente critici commettono atti di tradimento o sabotaggio oppure hanno intenzione di modificare illecitamente le istituzioni statali. Le funzioni sensibili devono quindi essere affidate esclusivamente a persone che offrono le più ampie garanzie possibili sul fatto che non abuseranno della fiducia loro concessa. Tali garanzie non sono date in particolare se una persona presenta indizi di ricattabilità o corruttibilità. L’esperienza insegna che queste due caratteristiche sono in molti casi riconducibili a una situazione preesistente, per esempio difficoltà personali o finanziarie. Un controllo di sicurezza relativo alle persone (CSP) può indicare ai superiori gerarchici eventuali rischi legati al passato della persona controllata o al suo ambiente (cfr. anche il Messaggio concernente la legge federale sulle misure per la salvaguardia della sicurezza interna e sull’iniziativa popolare «S.o.S. - per una Svizzera senza polizia ficcanaso» del 7 marzo 1994, FF 1994 II 1004).

Il CSP è una misura preventiva per la protezione contro attacchi interni. Il suo obiettivo è quello di identificare l’eventuale rischio che, in seguito all’esercizio di un’attività sensibile sotto il profilo della sicurezza da parte di una determinata persona, vengano pregiudicati intenzionalmente o per negligenza interessi pubblici essenziali. Al termine del controllo, spetta esclusivamente all’autorità o all’organizzazione competente per l’attribuzione del mandato alla persona interessata o per la sua assunzione decidere se assumersi un eventuale rischio più elevato, se ridurlo ponendo determinate condizioni o evitarlo non assumendo o licenziando la persona interessata. Anche in caso di valutazione positiva da parte del servizio specializzato per i controlli di sicurezza relativi alle persone (servizio specializzato CSP), i superiori gerarchici non vengono in alcun modo svincolati dalla propria responsabilità direttiva e dal loro obbligo di identificare e gestire i rischi nell’ambito del personale. I CSP hanno pertanto caratteristiche simili agli assessment che spesso i datori di lavoro commissionano prima dell’assunzione di persone destinate a ricoprire funzioni dirigenziali o posizioni chiave.

1.2.4.1 Trasferimento del disciplinamento dalla LMSI nella legge sulla sicurezza delle informazioni

Le basi legali formali per l’esecuzione di CSP si trovano attualmente in due leggi. Per quanto concerne la Confederazione, al momento i CSP sono disciplinati dalla LMSI, ma anche la LENu prevede, all’articolo 24, controlli dell’affidabilità per il personale impiegato dagli esercenti di centrali nucleari. Per lo svolgimento dei controlli, il Consiglio federale ha istituito due servizi specializzati CSP: uno è integrato nel DDPS ed è responsabile della maggior parte dei controlli, mentre l’altro è aggregato amministrativamente alla Cancelle-