Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

La valutazione dei rischi presuppone profonde conoscenze dei compiti legali e dei corrispondenti processi lavorativi critici, la valutazione periodica delle minacce e dei pericoli per i valori da proteggere, l’analisi dei punti deboli, nonché la stima della probabilità che si verifichi un evento e della portata potenziale dei danni che possono risultare da taluni rischi. Il processo di gestione dei rischi nell’ambito della sicurezza delle informazioni deve venire svolto in maniera continua. Ciò vale in particolare per il settore informatico, poiché ogni giorno vengono sviluppati programmi dannosi. Di conseguenza, le applicazioni e i software di sicurezza devono venire aggiornati costantemente.

Secondo il capoverso 2 devono essere adottate le misure necessarie per evitare o ridurre i rischi. Ovviamente i rischi possono anche essere accettati o sostenuti (si veda il cpv. 3). Non dovrebbero però venire ignorati. I rischi possono essere evitati rinunciando del tutto a una determinata attività troppo rischiosa (p. es. si rinuncia a un progetto informatico per il quale l’applicazione di misure in funzione dei rischi non è economicamente sostenibile o si vieta ad esempio di trattare informazioni classificate «SEGRETO» con mezzi TIC in rete). Le misure da adottare appartengono alle seguenti categorie che in parte si sovrappongono:

 misure organizzative: ad esempio, emanazione di basi giuridiche, definizione della politica e

dell’organizzazione di sicurezza, attribuzione di chiare responsabilità e competenze, classificazione delle informazioni, separazione delle funzioni sensibili sotto il profilo della sicurezza, normative e controlli di accesso per persone, controlli generali, normative di accesso ai sistemi, realizzazione di piani di sicurezza delle informazioni per mezzi TIC, organizzazione del trattamento di incidenti.

 misure in materia di personale: ad esempio, formazione e sensibilizzazione, obbligo contrattuale di ri-

spettare la sicurezza delle informazioni, esecuzione di CSP, colloqui personali periodici con persone chiave per promuovere la percezione consapevole di determinati pericoli, definizione e applicazione di sanzioni.

 misure tecniche: ad esempio, crittaggio di informazioni, ridondanza di servizi importanti, protezione dai

programmi dannosi, forte autenticazione, limitazione all’accesso a reti.

 misure edili: ad esempio, recinzione di perimetri sensibili sotto il profilo della sicurezza, utilizzazione di

sistemi di chiusura di sicurezza, allestimento di zone e locali di sicurezza, impiego di impianti di sorveglianza.

Il capoverso 3 stabilisce che vanno chiaramente dimostrati i rischi che permangono dopo l’attuazione delle previste misure di sicurezza (cosiddetti rischi residui) o i rischi che non vanno ridotti. Affinché possano procedere alla pertinente ponderazione degli interessi, ai responsabili vanno segnalati in forma documentata questi rischi e le potenziali ripercussioni. I rischi rimanenti devono essere accettati in maniera dimostrabile e di conseguenza anche essere sostenuti.

Il capoverso 4 rileva che la gestione dei rischi nell’ambito della sicurezza delle informazioni deve essere imperativamente integrata a tutti i livelli nel processo generale di gestione dei rischi della Confederazione. Anche se la gestione dei rischi richiesta nel presente caso è specifica e perciò deve essere gestita ed esercitata da specialisti, la sicurezza delle informazioni rimane un obiettivo che riguarda la gestione di rischi d’esercizio abituali. Le autorità assoggettate devono perciò disciplinare la collaborazione dell’organizzazione specialistica della gestione generale dei rischi con l’organizzazione specialistica della sicurezza delle informazioni.

Art. 7

Il capoverso 1 richiede che nel definire i loro requisiti e le loro misure di sicurezza le autorità e le organizzazioni si orientino ai requisiti e alle misure standard del Consiglio federale di cui all’articolo 88. Per le autorità e le organizzazioni che non sono subordinate al Consiglio federale non sussiste alcun obbligo di seguire questi standard. Poiché un obiettivo importante di questa legge consiste nel raggiungere standard di sicurezza il più possibile uniformi per tutte le autorità, il Consiglio federale viene incaricato di definire requisiti e misure standardizzati secondo lo stato della dottrina e della tecnica. L’economicità impone che non tutte le autorità o organizzazioni debbano «reinventare la ruota» se sono state sviluppate o trovate da un’altra autorità o organizzazione buone soluzioni sperimentate nella pratica.

Capoverso 2: le misure di sicurezza devono orientarsi allo stato della dottrina e della tecnica. La sicurezza delle informazioni è un settore di compiti relativamente recente che evolve periodicamente. Anche se i principi organizzativi hanno raggiunto una certa stabilità e maturità perché sono conformi ai principi organizzativi generali nell’ambito della gestione dei rischi, periodicamente vengono sviluppate misure organizzative migliori che sono più efficaci o più economiche. «Orientarsi allo stato della dottrina» significa dunque nel contesto del presente capoverso che le autorità e le organizzazioni assoggettate devono applicare soluzioni e approcci organizzativi collaudati (best practices).