Rapporto esplicativo

Rapporto esplicativo concernente l’avamprogetto di legge federale sulla sicurezza delle informazioni (LSIn)

Il capoverso 1 stabilisce il principio che le autorità e le organizzazioni assoggettate devono garantire la protezione fisica delle loro informazioni e dei loro mezzi TIC nei loro locali. Occorre in particolare impedire l’accesso non autorizzato a informazioni o mezzi TIC, ad esempio mediante controlli dell’entrata, videocamere, sistemi di chiusura, locali e contenitori di sicurezza, apparecchi di distruzione di documenti e di supporti di dati, protezione visiva ecc. Contro i danni causati da elementi naturali vengono ad esempio impiegati impianti di rivelazione e di segnalazione di incendi e impianti di spegnimento automatici.

Il capoverso 2 disciplina il caso di informazioni o mezzi TIC che sono accessibili pubblicamente. Si tratta, da un lato, di informazioni e mezzi TIC che vengono portati via dal loro posto abituale (ufficio) e che in seguito, al di fuori del perimetro di sicurezza abituale, devono essere protetti adeguatamente. Ma si tratta anche di informazioni e installazioni, cavi e linee di distribuzione che non stanno sotto il costante controllo dell’autorità o dell’organizzazione. Occorre prestare particolare attenzione, ad esempio, ai punti di accesso quali le zone di consegna e di carico.

Art. 31

Nella LSIn, la nozione di «zona di sicurezza» viene utilizzata per locali e settori nei quali sovente vengono trattate informazioni classificate del livello «CONFIDENZIALE» o «SEGRETO» o gestiti mezzi TIC del livello di sicurezza «protezione elevata» o «protezione molto elevata» e che a tale scopo vengono particolarmente protetti. L’esclusione di questi locali o settori quale zona di sicurezza rappresenta una misura fisica della sicurezza delle informazioni che già oggi viene parzialmente adottata presso la Confederazione, in particolare per proteggere i locali dei server o determinati locali di condotta. Una zona di sicurezza deve essere predefinita, identificabile ed essere protetta di conseguenza. Le disposizioni d’esecuzione del Consiglio federale definiranno probabilmente due generi di zone di sicurezza, secondo la criticità delle informazioni o dei mezzi TIC. Le misure nelle zone di sicurezza dei rispettivi livelli dovranno essere impostate in funzione dei rischi. Il Consiglio federale e i servizi federali competenti per la protezione delle opere (fedpol, UFCL, PIO e armasuisse), stabiliranno misure standard per le zone di sicurezza in collaborazione con il servizio specializzato della Confederazione per la sicurezza delle informazioni (si veda l’art. 88).

Nel capoverso 1 vengono dapprima stabiliti i presupposti per designare una zona di sicurezza in virtù della LSIn: nel settore da designare devono sovente venire trattate informazioni classificate «CONFIDENZIALE» o «SEGRETO» o gestiti mezzi TIC del livello di sicurezza «protezione elevata» o «protezione molto elevata». Contrariamente alla legislazione di altri Paesi o di organizzazioni internazionali (si veda anche cpv. 5), per le autorità e le organizzazioni assoggettate in virtù della LSIn non sussiste però alcun obbligo di designare simili settori quali zone di sicurezza. In merito al loro effettivo allestimento decide la valutazione dei rischi.

Il capoverso 2 stabilisce che solamente le persone identificate e autorizzate possono ottenere l’accesso a una zona di sicurezza. L’accesso deve dunque essere necessario per adempiere un determinato compito. Ciò presuppone corrispondenti controlli d’accesso e la verbalizzazione degli accessi.

Il capoverso 3 disciplina i particolari poteri dell’autorità o dell’organizzazione che allestisce una zona di sicurezza:

 lettera a: per il controllo dell’accesso l’autorità o l’organizzazione può utilizzare metodi di identificazione

biometrici (p. es. impronta digitale o scansione dell’iride). Questi metodi di identificazione sono nettamente più affidabili dell’identificazione mediante un normale documento. Già oggi vengono impiegati in taluni ambiti;

 lettera b: può essere limitata la possibilità di prendere con sé taluni oggetti in una zona di sicurezza. Di

regola, prendere con sé apparecchi per registrazioni audiovisive (incl. smartphone o notebook con pertinenti funzioni) è consentito soltanto con un’autorizzazione particolare;

 lettera c: settori della zona di sicurezza che sono particolarmente importanti per la sicurezza delle infor-

mazioni (p. es. la zona d’accesso a un particolare locale server, il posto di lavoro dell’amministratore del sistema o il locale archivio con informazioni classificate «SEGRETO»), possono venire essere mediante apparecchi di registrazione video;

 lettera d: all’entrata o all’uscita, l’autorità o l’organizzazione può far eseguire controlli di borse e persone.

In questo modo si intende impedire che persone portino con sé senza autorizzazione apparecchi nella zona di sicurezza (si veda la lettera b) o sottraggano informazioni (p. es. con una chiave USB);

 lettera e: per applicare prescrizioni in materia di sicurezza delle informazioni, devono essere possibili

controlli di uffici anche in una zona di sicurezza. Nei controlli di uffici viene fra l’altro verificato il rispetto della cosiddetta «Clean Desk Policy» (non devono esserci sulla scrivania o in altro luogo informazioni degne di protezione, il PC deve essere bloccato o spento, i supporti di dati devono essere tenuti sotto