Rapporto sui risultati

[Geben Sie Text ein]

LB ritiene che i requisiti per la sicurezza di mezzi TIC debbano poter essere soddisfatti anche mediante l’impiego di prodotti certificati. Per prodotti certificati nel quadro di una determinata procedura e secondo gli standard di sicurezza riconosciuti a livello internazionale (per es. «Common Criteria») non dovrebbe essere necessaria un’ulteriore verifica della conformità e dell’efficacia. In considerazione del continuo alternarsi dei mezzi impiegati e del numero sempre maggiore di apparecchi terminali privati usati a fini commerciali, l’obbligo d’inventario dei mezzi TIC potrebbe comportare un importante onere organizzativo e amministrativo.

Articolo 25 Nullaosta di sicurezza

Per TG non è comprensibile per quale motivo con il nullaosta di sicurezza l’autorità può accettare i rischi residui. Per evitare un uso sconsiderato dei nullaosta è necessario rinunciare al secondo capoverso. Se all’articolo 23 dell’avamprogetto della LSIn viene stabilito che il concetto in materia di sicurezza delle informazioni deve essere costantemente aggiornato, due articoli dopo non si può affermare che con il nullaosta di sicurezza non occorre più preoccuparsi dei rischi esistenti, ma semplicemente accettarli. La disposizione secondo cui si accettano i rischi residui deve essere eliminata; se si potesse semplicemente fare affidamento sul nullaosta di sicurezza e non pensare più agli ulteriori rischi, le tecnologie dell’informazione e della comunicazione verrebbero utilizzate in modo superficiale e sconsiderato.

Articolo 27 Sicurezza nell’esercizio

VD reputa utile precisare che la sicurezza prevede quattro criteri: «confidenzialità», «integrità», «disponibilità» e «tracciabilità».

La FER ritiene che le nozioni di conservazione e backup, per quanto riguarda l’accesso da parte dei tecnici, siano sottointese. Tuttavia, considerando i furti avvenuti sarebbe opportuno affrontare questi due punti.

Articolo 28‒29 Misure in materia di personale

Per quale motivo manca una distinzione tra le misure preventive e correttive? La sezione 4 con gli articoli 28 e 29 potrebbe essere denominata «Misure preventive in materia di personale».

Secondo il Consiglio dei PF questo articolo è eccessivo per quanto riguarda i mandatari che devono gestire informazioni o mezzi TIC dei PF o della Confederazione. Nella prassi ciò significherebbe che nel quadro dell’assegnazione di mandati a terzi (imprese) i PF dovrebbero assicurare la formazione e il perfezionamento adeguati dei mandatari nell’ambito della sicurezza delle informazioni. L’applicazione di tale disciplinamento nella pratica avrebbe ripercussioni finanziarie.

Articolo 29 Rilascio restrittivo di autorizzazioni

TG accoglie favorevolmente il fatto che in questo articolo non vi siano diverse categorie di controlli di sicurezza generali, ma che vengano rilasciate soltanto le autorizzazioni necessarie per l’adempimento di compiti. Tutt’al più sarebbe opportuno definire chiaramente, analogamente a quanto previsto dall’articolo 50 dell’avamprogetto della LSIn per il controllo di sicurezza relativo alle persone, un periodo di tempo entro il quale ripetere il controllo di sicurezza. Il capoverso 2 stabilisce che le autorizzazioni possono essere revocate anche solo se sussistono «indizi» di un pericolo per la sicurezza delle informazioni. Per la persona interessata ciò potrebbe rappresentare una misura alquanto severa; nel caso concreto, un analisi più attenta potrebbe escludere in un secondo momento l’esistenza di una minaccia effettiva, nonostante la presenza di indizi. Se una persona interessata si unisce in matrimonio con una persona proveniente da una zona di crisi, ciò potrebbe rappresentare in un primo momento un indizio di pericolo. In seguito si dovrebbe tuttavia poter dimostrare che, nonostante la presenza di indizi, è escluso il pericolo concreto. In base al principio giuridico «audiatur et altera pars», ovvero il diritto di essere sentiti, nel quadro di misure in materia di personale la persona interessata a cui è stata revocata provvisoriamente l’autorizzazione deve poter esporre in un’ampia procedura che nonostante i presunti indizi non vi sia alcun pericolo.