Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

levante anche per informazioni destinate a essere pubblicate. È decisiva anche per il corretto funzionamento dei mezzi TIC.

 lettera d: la tracciabilità del trattamento delle informazioni è di notevole rilevanza in particolare per tutte le procedure pubbliche (procedimenti penali, procedure di ricorso ecc.), ma anche per l’esercizio delle funzioni di controllo e di vigilanza e il modo di procedere in caso di abusi.

Le autorità e le organizzazioni assoggettate devono dunque procedere a una valutazione della necessità di protezione di informazioni e stabiliscono, per quale aspetto e in che misura le informazioni devono essere protette (requisiti di sicurezza). La protezione della confidenzialità è, ad esempio, necessaria solamente se tale confidenzialità deve essere garantita per una ragione giuridica (p. es. LPD, segreti d’affari o di fabbricazione di terzi o art. 14 LSIn). Occorre però anche osservare che determinate informazioni possono avere requisiti più elevati rispetto alla protezione della loro integrità o disponibilità, senza che questi particolari requisiti siano stabiliti per legge, per esempio se le relative informazioni devono essere necessariamente corrette o disponibili affinché un’autorità possa adempiere i propri compiti. Ciò riguarda in particolare le informazioni e i mezzi TIC che supportano processi lavorativi critici. La necessità di protezione risulta dunque anche dall’importanza dell’adempimento dei compiti legali nei quali o per sostenere i quali vengono utilizzate le informazioni.

Capoverso 3: per una sicurezza integrale delle informazioni, la protezione della disponibilità e dell’integrità dei mezzi TIC rappresenta un’importante complemento dei quattro criteri menzionati. Sebbene questo requisito, in linea di massima, risulti già dal capoverso 2 lettere b e c, il requisito di una protezione adeguata dall’utilizzazione abusiva e dai disturbi viene ancora menzionato esplicitamente perché il supporto delle TIC ai processi lavorativi assume una rilevanza sempre maggiore. Il loro buon funzionamento rappresenta oggi addirittura un presupposto indispensabile per l’adempimento efficace dei compiti delle autorità federali.

Capoverso 4: la sicurezza delle informazioni deve essere attuata in base ai rischi e in maniera adeguata ed economica. Una valutazione possibilmente obiettiva dei rischi deve essere determinante per l’applicazione di misure di sicurezza (si vedano gli art. 6 e 7). Rimane inteso che una sicurezza assoluta costituisce un ideale irraggiungibile e che l’onere per eliminare le esigue lacune di sicurezza rimanenti può diventare eccessivamente elevato. Le autorità e le organizzazioni competenti devono perciò badare a che le loro misure siano adeguate ed economiche. Di conseguenza, nel definire le misure di protezione la linea gerarchica deve procedere a una ponderazione degli interessi tra i costi legati alla sicurezza e i benefici derivanti da essa.

In questo contesto viene anche menzionato il principio della praticità. Le persone che trattano informazioni o gestiscono mezzi TIC, spesso devono rispettare determinate norme di comportamento affinché sia garantita la sicurezza delle informazioni (p. es. si deve chiudere a chiave la porta dell’ufficio o crittare una mail). Se però le misure di sicurezza rendono troppo difficile ai collaboratori adempiere i propri compiti, per esperienza è grande la probabilità che non vengano rispettate oppure vengano addirittura eluse di proposito.

Art. 5

La sicurezza è affare dei capi. L’articolo 5 definisce il contenuto della massima responsabilità direttiva nell’ambito della sicurezza delle informazioni ed è diretto perciò soltanto alle autorità assoggettate (art. 2 cpv. 1), che, sole, assumono questa responsabilità.

Nel capoverso 1 le autorità assoggettate vengono invitate a organizzare la sicurezza delle informazioni nel loro ambito di competenza.

 Lettera a: la sicurezza delle informazioni deve essere organizzata, attuata e verificata secondo lo stato

della dottrina e della tecnica. Varie norme tecniche non vincolanti formulano cosiddette migliori prassi (best practices) in relazione alla gestione della sicurezza delle informazioni (p. es. norme DIN ISO/IEC 27001 e 27002). Particolarmente importante riguardo a queste norme è che, da un lato, sono state sperimentate nella pratica e, dall’altro, sono strutturate secondo il necessario approccio integrale. Stabiliscono inoltre requisiti per l’applicazione di misure di sicurezza che possono essere adeguati ai bisogni delle rispettive autorità, organizzazioni o di parti di esse.

Autorità più piccole (p. es. Tribunale federale dei brevetti, Tribunale militare di cassazione e autorità di vigilanza sul Ministero pubblico della Confederazione) non potranno ovviamente realizzare da sole una siffatta organizzazione. La legge consente però, ad esempio, ai tribunali della Confederazione di decidere di costituire un’unica organizzazione comune che nel contempo tuteli l’autonomia dei vari tribunali;

 lettera b: la realizzazione della sicurezza delle informazioni concerne molti ambiti specialistici, ad esem-

pio le finanze (ripercussioni finanziarie dell’organizzazione e delle misure), i servizi del personale (compiti del personale), i settori diritto e compliance (basi giuridiche della sicurezza delle informazioni), l’informatica (influssi della sicurezza delle informazioni sull’impiego delle TIC nonché applicazione dei