Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

tenariato pubblico-privato. Si tratta di una stretta collaborazione tra pubblica amministrazione e imprese private dei vari settori dell’economia che operano nel campo della sicurezza dei sistemi informatici e della rete Internet nonché della protezione delle infrastrutture critiche svizzere.

 Stato maggiore speciale per la sicurezza dell’informazione (SONIA): SONIA si riunisce in caso di crisi

provocate da perturbazioni delle infrastrutture di informazione e di comunicazione. È formato da decisori provenienti dagli ambienti dell’Amministrazione, dei Cantoni e dell’economia (infrastrutture critiche) e diretto dal delegato per la direzione informatica della Confederazione (ODIC). La centrale MELANI funge da centro incaricato dell’analisi permanente della situazione a favore di SONIA.

 Computer Security Incident Response Team (CSIRT): il CSIRT, aggregato all’UFIT in seno al DFF, si

occupa di proteggere le reti civili della Confederazione svolgendo attività di sorveglianza, prevenzione e reazione. Collabora strettamente con altri partner in seno alla Confederazione, per esempio con la centrale MELANI e l’Ufficio federale di polizia (fedpol), e adempie i seguenti compiti fondamentali: osservazione delle minacce attuali e analisi di log file; emanazione di raccomandazioni operative volte a ridurre al minimo i rischi, a garantire rapidamente il contenimento dei danni in caso di incidenti rilevanti per la sicurezza TIC e a proteggere i dati affidati all’UFIT (protezione operativa delle infrastrutture TIC centrali della Confederazione).

 Computer Emergency Response Team militare (MilCERT): il MilCERT, corrispettivo nel settore militare

del CSIRT dell’UFIT, si occupa di proteggere le reti dell’esercito e del DDPS. È integrato nel Centro operazioni elettroniche (COE) della Base d’aiuto alla condotta (BAC) in modo da poter effettuare, come unità indipendente, indagini sugli incidenti rilevanti per la sicurezza che si verificano nel DDPS e nell’esercito.

 Sicurezza dell’informazione e Crittologia (SI Critt): il settore SI Critt è anch’esso aggregato al COE della

BAC. I suoi crittologi valutano e sviluppano per conto proprio procedure e sistemi crittologici al fine di garantire la sicurezza delle informazioni dell’esercito, del DDPS e di altre unità dell’Amministrazione federale. Il lavoro di questo settore spazia dalla verifica di concetti crittologici di massima all’analisi di singole funzioni crittologiche e richiede pertanto profonde conoscenze dell’attuale ricerca in materia di crittoanalisi.

 armasuisse Scienza e tecnologia (S+T): il settore Informatica e cyberspazio di armasuisse S+T effettua

analisi dei rischi, controlli di sicurezza e audit nel campo della sicurezza informatica organizzativa e tecnica. I servizi di armasuisse S+T sono richiesti sempre più spesso anche da organi civili dell’Amministrazione federale, in particolare per la certificazione dell’effettività dei concetti in materia di sicurezza e dell’efficacia protettiva delle misure di sicurezza nonché per la realizzazione di test tecnici di verifica e di penetrazione. In questo campo, armasuisse S+T effettua anche un monitoraggio degli sviluppi tecnologici e delle minacce.

1.3.1.4 Confronto tra le competenze e le responsabilità

Ognuna delle tre organizzazioni specialistiche descritte adempie soltanto un mandato circoscritto nell’ambito della sicurezza delle informazioni. In tutti e tre i settori, la responsabilità per quanto attiene all’attuazione delle direttive è assunta dai dipartimenti e dalla Cancelleria federale. Inoltre, tutti i settori presentano in linea di principio la stessa identica struttura organizzativa, consistente in:

 un ente regolamentatore;

 incaricati a livello di dipartimento / Cancelleria federale e unità amministrativa; e

 un organo di coordinamento interdipartimentale.

Anche i titolari delle varie funzioni svolgono in linea di principio gli stessi compiti nei rispettivi settori specialistici. L’unica eccezione importante è rappresentata dai vari enti regolamentatori, i cui poteri presentano in certi casi importanti differenze. La tabella che segue fornisce una panoramica della situazione e comprende anche gli altri due settori direttamente connessi alla sicurezza delle informazioni, vale a dire la protezione delle opere e la gestione dei rischi.