Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

mazioni e dei dati, inoltre, operano soprattutto giuristi, i quali di regola hanno poca dimestichezza con la sicurezza informatica. Inoltre, i giuristi tendono a considerare la questione facendo prevalere l’aspetto giuridico e spesso non sono in grado di seguire o verificare l’effettiva attuazione dei requisiti di sicurezza nell’ambito dei progetti TIC. Nel caso degli specialisti della sicurezza TIC, invece, la situazione risulta capovolta, in quanto spesso tali specialisti non dispongono di conoscenze sufficienti in materia di protezione delle informazioni o dei dati.

Tali constatazioni si applicano anche ai servizi specializzati. Rispetto alla mole di lavoro, in quasi tutti questi servizi si riscontra una sottodotazione di personale. La massa critica non viene mai raggiunta. Inoltre, talvolta mancano sufficienti conoscenze specialistiche degli altri settori e, soprattutto nel settore della sicurezza informatica, vi sono moltissimi attori che svolgono compiti complementari. Alcuni di questi compiti o servizi non sono però coordinati, oppure i servizi non vengono affatto richiesti (per es. i servizi dei crittologi del DDPS).

Oggi gli specialisti della sicurezza delle informazioni sono più che mai richiesti, sia nell’ambito tecnico sia in quello della gestione. La Confederazione dispone di tali specialisti, ma spesso essi non vengono destinati completamente a compiti nel campo della sicurezza delle informazioni. È dunque legittimo chiedersi se queste scarse risorse vengano impiegate adeguatamente.

 I poteri di cui dispongono i vari attori sono spesso insufficienti.

Una constatazione importante consiste nel fatto che l’attuazione delle misure adottate in materia di sicurezza delle informazioni viene verificata soltanto in casi estremamente rari. Di solito, infatti, né i servizi specializzati né i vari incaricati hanno la facoltà di effettuare controlli. Senza controlli, però, è impossibile valutare se le misure sono efficaci o se esistono invece lacune e punti deboli.

 Vi è scarsa consapevolezza in materia di sicurezza.

In seno ai dipartimenti e alla Cancelleria federale, l’importanza attribuita ai temi della sicurezza informatica varia enormemente. La sensibilizzazione dei collaboratori dipende in primo luogo dall’impegno dei superiori e in particolare delle direzioni.

1.3.1.6 Bilancio della situazione e conseguenze

L’attuale organizzazione si è sviluppata sotto la spinta di necessità giuridiche e materiali settoriali. Per lungo tempo, ha dato risultati sufficienti. Con l’evoluzione in atto verso una società dell’informazione, tuttavia, le minacce che incombono sulle informazioni e sui mezzi TIC sono diventate sempre più complesse e dinamiche. Queste minacce devono essere affrontate con un approccio integrale, che richiede un corrispondente assetto giuridico e organizzativo e maggiori conoscenze e competenze specialistiche. Evidentemente l’organizzazione della Confederazione non soddisfa queste esigenze.

Gli aspetti importanti di cui tenere conto per ottenere un miglioramento della situazione a livello organizzativo sono i seguenti:

 la responsabilità dell’attuazione delle direttive deve essere lasciata alla linea gerarchica, la quale deve

però essere consigliata e coadiuvata a tutti i livelli con maggiore competenza;

 la futura organizzazione della sicurezza delle informazioni deve concentrarsi maggiormente

sull’identificazione e sul trattamento precoci dei rischi. La realizzazione di questo obiettivo presuppone una gestione sistematica dei rischi nel campo della sicurezza delle informazioni, presupposto che oggi è ancora largamente inadempiuto. È però indispensabile anche un migliore controllo per quanto riguarda l’attuazione delle misure volte a ridurre al minimo i rischi;

 i vari organi specializzati devono essere per quanto possibile raggruppati per sfruttare le sinergie e ottene-

re effetti di scala. Ciò consentirebbe anche di trovare una soluzione sistematica ai problemi di competenza e di accumulare maggiori conoscenze specialistiche interdisciplinari. Un raggruppamento di tutti gli organi specializzati non risulta possibile, ma per gli organi rimanenti occorre in ogni caso definire con maggiore chiarezza competenze e responsabilità e migliorare il coordinamento e lo scambio di conoscenze;

 le competenze dei vari incaricati possono essere sviluppate grazie alla crescente professionalizzazione. La

professionalità migliorerebbe se i compiti legati alla gestione della sicurezza delle informazioni fossero concentrati su un numero di titolari il più possibile ridotto;

 occorre dedicare un’attenzione particolare alla separazione delle funzioni e al loro inquadramento. Gli

incaricati non dovrebbero essere subordinati a un settore specialistico di cui devono valutare i rischi in modo oggettivo e indipendente e non dovrebbero neppure ricevere compiti che potrebbero dare adito a un conflitto di interessi.