Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Nel capoverso 3 viene stabilito il principio che la procedura di sicurezza (o almeno le relative fasi procedurali) deve essere ripetuta in caso di mutamento dei rischi. La sicurezza delle informazioni è una condizione che cambia in modo continuo e dinamico. Le autorità assoggettate devono perciò fissare la verifica periodica o in base ai rischi delle condizioni di sicurezza e la ripetizione della procedura.

Art. 20

L’analisi delle necessità di protezione di cui al capoverso 1 rappresenta la prima fase della procedura di sicurezza. Un servizio che esegue lo sviluppo, l’acquisizione o la modifica di un mezzo TIC o conferisce un mandato in tal senso, vuole impiegare questo mezzo TIC per determinati scopi e per una durata stabilita. Questa prima fase in relazione all’attuazione della sicurezza delle informazioni consiste, nella definizione della finalità d’impiego del mezzo TIC, nel determinare i processi lavorativi che vanno supportati con il mezzo TIC da impiegare e nell’identificare le informazioni che vanno trattate con esso. A quel momento, dunque nella fase di pianificazione, il beneficiario di prestazioni deve rilevare la necessità di protezione delle informazioni di cui all’articolo 4 capoverso 1 e valutare le potenziali ripercussioni di disturbi o di un’utilizzazione abusiva del mezzo TIC da impiegare sugli interessi di cui all’articolo 1 capoverso 2. Nella valutazione della necessità di protezione occorre anche considerare che i mezzi TIC per lo più vengono messi in rete e gestiti in un determinato ambiente tecnico e/o logico (cosiddetta architettura). L’identificazione precoce delle interconnessioni e dipendenze aiuta anche ad attuare le misure di sicurezza là dove sono più efficaci.

Oggigiorno, in parte non si procede ad alcuna valutazione della necessità di protezione oppure essa viene avviata solamente quando il mezzo TIC è già in funzione. L’attuazione a posteriori di misure di sicurezza è però, di regola, molto più difficile da realizzare e genera costi nettamente maggiori.

Dall’analisi delle necessità di protezione risultano i requisiti posti alla protezione della confidenzialità, disponibilità, integrità e verificabilità delle informazioni, nonché alla disponibilità e all’integrità del mezzo TIC. L’analisi delle necessità di protezione è anche determinante per i livelli di sicurezza dei mezzi TIC di cui all’articolo 21.

Nel capoverso 2 viene disciplinato il caso di un’autorità o di un’organizzazione che vuole impiegare una nuova tecnologia (hardware o software), dunque non solamente un nuovo mezzo TIC. L’autorità o l’organizzazione interessata deve valutare i rischi connessi con l’impiego di questa nuova tecnologia prima di impiegarla. Si richiede poi che l’autorità o l’organizzazione comunichi la sua valutazione dei rischi al servizio specializzato della Confederazione per la sicurezza delle informazioni. Informando il servizio specializzato si intende garantire che le nuove tecnologie possibilmente vengano valutate soltanto una volta e che tutte le autorità e le organizzazioni assoggettate ne possano trarre un adeguato vantaggio. Le valutazioni dei rischi eseguite devono servire anche a esaminare la conformità delle nuove tecnologie con le basi, anche strategiche, esistenti.

Conformemente all’articolo 86 capoverso 1 lettera d, le autorità assoggettate hanno la possibilità di incaricare il servizio specializzato della Confederazione di eseguire questa valutazione dei rischi.

Art. 21

L’articolo 21 sistematizza e uniforma i livelli di sicurezza dei mezzi TIC per tutte le autorità e le organizzazioni assoggettate. Le vigenti prescrizioni dell’Amministrazione federale prevedono soltanto due livelli: una necessità di protezione generale e una necessità di protezione elevata. Il nuovo modello di classificazione con tre livelli si rifà allo standard del Bundesamt für Sicherheit in der Informationstechnik (BSI) tedesco.

I livelli di sicurezza sono in primo luogo una misura per identificare la criticità di un determinato mezzo TIC in relazione agli interessi pubblici di cui all’articolo 1 capoverso 2. L’assegnazione a un livello di sicurezza stabilisce anche quali requisiti di sicurezza si applicano e come devono essere definite le misure di protezione (si vedano gli art. 22-24). Per ogni livello di sicurezza, il Consiglio federale deve fissare requisiti e misure di sicurezza standardizzati quanto a protezione della confidenzialità, integrità, disponibilità e verificabilità (si veda l’art. 88). La standardizzazione dei requisiti e delle misure di sicurezza è obbligatoriamente necessaria per uno scambio di informazioni tra autorità efficiente e sicuro. Essa presenta un importante vantaggio: ai servizi di sviluppo e agli organi di acquisizione di mezzi TIC vengono indicati sin dall’inizio chiari requisiti di sicurezza da adempiere che li aiuteranno nell’implementare la sicurezza nei mezzi TIC. I costi della sicurezza diventano più trasparenti e più semplici da calcolare e pianificare (i costi legati alla sicurezza sono costi progettuali).

Capoverso 1: il livello di sicurezza «protezione di base» si applica a tutti i mezzi TIC che non presentano requisiti di protezione delle informazioni particolarmente elevati (si veda anche l’art. 22). Dati personali, informazioni classificate «AD USO INTERNO» e ulteriori informazioni che, pur dovendo essere protette