Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

sente legge. Le autorità e le organizzazioni assoggettate che danno mandato di gestire i mezzi TIC devono convenire con il fornitore di prestazioni i loro requisiti inerenti ai mezzi.

Nell’esercizio, quanto alla sicurezza delle informazioni, il fornitore di prestazioni deve assicurare le seguenti capacità e attività:

 gestione della rete, ad esempio: ruoli e responsabilità; design della rete; audit di sicurezza;

 gestione del traffico, ad esempio: configurazione di dispositivi di rete; normative per la gestione degli

accessi, crittaggio e autenticazione; firewall; accessi esterni; accessi attraverso tecnologie wireless;

 esercizio della rete, ad esempio: descrizioni dettagliate delle prestazioni e osservanza degli accordi sui

livelli di servizio SLA; monitoraggio (incl. sorveglianza della rete); release-, change-, life-cyclemanagement; incident- e security-management; capacity- e ressource-management; desaster- e recoverymanagement;

 rapporto di audit al beneficiario delle prestazioni.

Art. 28

Le persone che devono gestire informazioni o mezzi TIC della Confederazione, devono soddisfare determinati requisiti. Spetta al datore di lavoro o al mandante provvedere affinché i lavoratori o i mandatari adempiano questi requisiti.

 Lettera a: nella scelta delle persone da assumere o da incaricare, i criteri devono corrispondere a quelli per

le informazioni degne di protezione o alla criticità dei mezzi TIC. I datori di lavoro sono responsabili delle loro decisioni in materia di personale. L’assoggettamento di una persona al CSP non li dispensa da questa responsabilità;

 lettera b: le autorità e le organizzazioni assoggettate devono formare a sufficienza i propri impiegati e

mandatari. Nell’ambito della sicurezza delle informazioni non basta fornire una formazione una tantum. I lavoratori e i mandatari devono essere formati e sensibilizzati periodicamente. Occorre prestare particolare attenzione all’istruzione dei superiori;

 lettera c: sempre che gli impiegati o i mandatari debbano gestire informazioni che presentano requisiti

elevati quanto alla protezione dalla confidenzialità, devono essere tenuti a mantenere il segreto. In virtù dell’articolo 22 LPers, gli impiegati della Confederazione che sono sottoposti alla LPers devono mantenere il segreto d’ufficio. Per i terzi che eseguono mandati per la Confederazione, l’obbligo di mantenere il segreto deve essere stabilito per scritto nel contratto ed essere connesso a chiare conseguenze in caso di inosservanza.

Art. 29

Chi lavora o esegue un mandato per un’autorità federale necessita eventualmente, per adempiere i compiti, di un accesso a determinate informazioni, mezzi TIC o locali. Il capoverso 1 enuncia un principio centrale della sicurezza delle informazioni. I lavoratori e i mandatari devono ricevere soltanto le autorizzazioni di cui effettivamente necessitano per adempiere i propri compiti. Il rischio di un’utilizzazione abusiva può essere ridotto considerevolmente se una persona non può trattare senza motivo informazioni di un altro settore.

Il capoverso 2 richiede l’amministrazione permanente di queste autorizzazioni. Succede che, al termine del rapporto di lavoro, scaduto il contratto o ultimato un compito particolare, ex impiegati o mandatari non vengano invitati a restituire la propria chiave o il proprio badge, oppure che il loro conto di utente non venga bloccato. Simili autorizzazioni «scadute» possono in seguito venire utilizzate per agire contro gli interessi del datore di lavoro o del mandante. Quando un impiego, un contratto o un compito è terminato, le pertinenti autorizzazioni devono essere revocate. Se vi è motivo di supporre di essere in presenza di una minaccia per la sicurezza delle informazioni, le autorizzazioni devono essere subito bloccate o revocate. Entrambe le misure devono contribuire a ridurre il rischio di un reato dall’interno.

Il capoverso 3 richiede un processo adeguato per verificare periodicamente le autorizzazioni.

Art. 30

Con le misure di protezione fisiche si tratta di ridurre i rischi dovuti a minacce fisiche. Fanno tra l’altro parte di questi rischi atti umani quali lo spionaggio, il furto, il vandalismo o il sabotaggio, ma anche i danni causati da elementi naturali, quali quelli dovuti al calore, al fuoco, all’acqua, alla polvere, alle vibrazioni ecc. Per la valutazione delle misure di protezione fisica, della cosiddetta protezione delle opere, è competente fedpol in collaborazione con l’UFCL. Per parti del DDPS e l’esercito, è competente la PIO in collaborazione con armasuisse o l’UFCL.