Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Direttive Dipartimento/CaF Unità amministrativa Coordinamento

Protezione delle CSG Incaricati della prote- Incaricati/consulenti Comitato di coordinainformazioni zione delle informa- per la protezione delle mento/organo di coordi-

zioni informazioni namento

Protezione dei dati IFPDT Consulenti per la Consulenti per la prote-GLID Protezione dei dati

protezione dei dati zione dei dati

Sicurezza TIC CF/ODIC Incaricati della sicu- Incaricati della sicurez- Settore specialistico

rezza informatica za informatica Sicurezza dell’ODIC (ODIC SEC)/C-SI

Protezione delle fedpol/ Servi- Incaricati della sicu- Incaricati della sicurez- Comitato di coordinaopere zio federale di rezza za mento Sicurezza

sicurezza

(SFS)

Gestione dei rischi CF/CSG Gestore dei rischi Coach in materia di Organo di coordinamen-

rischi to AFF

1.3.1.5 Carenze organizzative

L’attuale organizzazione presenta molteplici lacune e punti deboli.

 Le competenze dei vari settori non sono sempre chiare e l’attenzione dedicata alle interfacce tra i singoli ambiti specialistici della sicurezza informatica non è sufficiente.

La mancanza di chiarezza che caratterizza le competenze è evidente a tutti i livelli. Per il trattamento elettronico dei dati personali degni di particolare protezione o di informazioni classificate a partire dal livello di classificazione CONFIDENZIALE, per esempio, è necessario un concetto per la sicurezza delle informazioni e la protezione dei dati (concetto SIPD). Si tratta di una questione di protezione dei dati, di protezione delle informazioni o di sicurezza TIC? Chi è competente per la corretta classificazione delle informazioni e per il controllo dell’attuazione delle misure? La protezione delle linee di rete è una questione di sicurezza informatica oppure di protezione delle opere? La distruzione degli atti è una questione di protezione delle informazioni, di protezione dei dati o di sicurezza fisica e chi definisce i requisiti in materia? Chi li attua? Una penna USB è un supporto di informazioni ai sensi dell’OPrI o un mezzo TIC ai sensi dell’OIAF?

I problemi evocati hanno ripercussioni dirette anche sul piano internazionale. A causa della mancanza di chiarezza riguardo alla ripartizione di competenze e responsabilità all’interno dell’Amministrazione federale, per esempio, sinora non è stato possibile trovare una soluzione con l’UE per la trasmissione elettronica di informazioni classificate. Di conseguenza, persino le informazioni del livello più basso di classificazione previsto dall’UE vengono tuttora scambiate esclusivamente su carta. Problemi analoghi si riscontrano anche nell’ambito della collaborazione con l’Agenzia spaziale europea (ESA). In tale contesto ci si

domanda per esempio chi sia competente per il settore della sicurezza delle comunicazioni (COMSEC)7. La questione condiziona pesantemente anche la riuscita della partecipazione di istituzioni e imprese svizzere alle attività dell’ESA, ma sinora è rimasta irrisolta.

I settori specialistici sono anche tenuti ad attuare misure di formazione e di sensibilizzazione. Spesso, tuttavia, le misure di sensibilizzazione e di formazione dei vari servizi non sono coordinate tra loro, benché abbiano contenuti analoghi.

 Gli attori sono troppo numerosi e in parte non dispongono di conoscenze specialistiche o risorse di personale sufficienti. Le risorse disponibili sono in parte mal utilizzate. La massa critica non viene mai raggiunta.

Nei sottosettori esaminati, oltre ai compiti in materia di sicurezza delle informazioni gli elenchi degli obblighi degli incaricati prevedono in genere anche altri obblighi. Spesso, alle persone incaricate di compiti riguardanti la sicurezza delle informazioni rimangono soltanto ritagli di tempo per tali mansioni e possono quindi dedicarvisi soltanto marginalmente. Di conseguenza, non tutti dispongono delle conoscenze specialistiche richieste, il che penalizza gravemente la sicurezza. Nel campo della sicurezza delle infor-