Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

quanto alla loro confidenzialità, non necessitano però di una protezione elevata, vengono trattate con mezzi così classificati.

Capoverso 2: ai mezzi TIC del livello di sicurezza «protezione elevata» si applicano, oltre ai requisiti della protezione di base, requisiti e misure di sicurezza particolari, ad esempio il requisito dell’allestimento di un concetto in materia di sicurezza delle informazioni, nonché l’esecuzione di un CSP per le persone che devono provvedere all’esercizio, all’amministrazione, alla manutenzione o alla verifica di simili mezzi.

 Lettera a: i mezzi TIC rientrano in questo livello di sicurezza se le informazioni che vanno trattate con

essi presentano requisiti elevati quanto a confidenzialità, disponibilità, integrità o verificabilità. I rispettivi requisiti vengono valutati riguardo a un pregiudizio potenzialmente considerevole per gli interessi di cui all’articolo 1 capoverso 2 che può essere causato dalla violazione di uno dei quattro criteri di protezione menzionati. Per le informazioni classificate «CONFIDENZIALE» il pregiudizio potenziale è già contenuto nella definizione del livello di classificazione (considerevole pregiudizio). I mezzi TIC con i quali vanno trattate le informazioni classificate «CONFIDENZIALE» rientrano quindi nel livello «protezione elevata». Ciò vale anche per i mezzi TIC che vanno utilizzati per il trattamento di dati personali degni di particolare protezione o di segreti professionali o di fabbricazione, sempre che il danno potenziale in caso di violazione della confidenzialità di queste informazioni sia considerevole.

 Lettera b: se con un mezzo TIC vengono supportati processi lavorativi il cui venire meno può comportare

un considerevole pregiudizio per la capacità d’azione di un’autorità, allora il mezzo TIC va parimenti assegnato a questo livello di sicurezza. Ma la lettera b è di fatto già contenuta nella lettera a, poiché le TIC servono esclusivamente al trattamento di informazioni e non sono fini a se stesse. I disturbi e l’utilizzazione abusiva della funzionalità del mezzo TIC stesso vengono però ripresi nella legge come motivo di classificazione perché questa norma è assai più comprensibile per molti non specialisti.

Capoverso 3: i mezzi TIC rientrano nel livello «protezione molto elevata» se le informazioni che vanno trattate con essi presentano requisiti molto elevati quanto a confidenzialità, disponibilità, integrità o verificabilità. Questa disposizione si sviluppa in modo identico al capoverso 2, ma il danno potenziale deve essere grave. Qui si tratta ad esempio di mezzi TIC con i quali vengono trattate informazioni classificate «SEGRETO», o di quelli il cui venire meno può arrecare gravi danni agli interessi di cui all’articolo 1 capoverso 2.

Art. 22

Capoverso 1: la prassi ha mostrato che con un adeguato numero di determinati e predefiniti requisiti e misure i rischi per una maggioranza dei mezzi TIC possono essere ridotti a un’entità accettabile. La totalità di tutti questi requisiti e misure forma la protezione di base. Il vantaggio di una protezione di base definita e standardizzata consiste nel fatto che, per i mezzi TIC di questo livello, le autorità e le organizzazioni non devono effettuare valutazioni dei rischi dettagliate e dispendiose. Le autorità assoggettate devono stabilire quale livello di sicurezza minimo vogliono richiedere per tutti i loro mezzi TIC. Fissare una protezione di base non è una faccenda tecnica che va decisa da esperti, bensì un compito direttivo che presuppone la ponderazione di obiettivi in materia di sicurezza e costi. Secondo l’intensità della protezione di base, le misure organizzative, in materia di personale, tecniche e fisiche da attuare possono infatti risultare più o meno costose.

Il capoverso 2 stabilisce il principio che, indipendentemente dal livello di sicurezza assegnato loro, tutti i mezzi TIC devono adempiere i requisiti della protezione di base. Essa viene quindi anche definita come fondamenta sulle quali devono svilupparsi mezzi TIC dei livelli di sicurezza «protezione elevata» e «protezione molto elevata». Le misure della protezione di base devono quindi essere configurate anche in maniera relativamente flessibile e modulare. Se determinate misure non sono attuabili per un particolare mezzo TIC, vanno applicate altre misure che consentono una protezione equivalente.

Art. 23

Capoverso 1: per i mezzi TIC dei livelli di sicurezza «protezione elevata» e «protezione molto elevata» non bastano i requisiti e le misure della protezione di base. Per simili mezzi viene dapprima richiesta l’esecuzione di un’analisi dei rischi riferita all’oggetto, dando la massima importanza alla protezione di quei criteri che hanno requisiti di protezione elevati. Se, a motivo di requisiti elevati posti alla disponibilità, un mezzo TIC viene classificato nel livello «protezione elevata», ma nel contempo non presenta requisiti elevati quanto alla protezione della confidenzialità, allora devono venire valutati in primo luogo i rischi per la disponibilità. Dopo l’analisi dei rischi, deve essere allestito un concetto in materia di sicurezza delle informazioni. La responsabilità in merito è del beneficiario delle prestazioni, ma è necessaria una stretta collaborazione con il fornitore di prestazioni. L’applicazione delle misure tecniche si situa infatti, in linea di principio, nell’ambito di competenza di quel servizio che provvederà all’esercizio del mezzo TIC e per questo dispone del knowhow tecnico.