Avamprogetto (Allegato)

Allegato del Regolamento tecnico Voto elettronico della Cancelleria federale del ... (RS ...)

3. Requisiti di sicurezza

Non è possibile raggiungere con assoluta certezza gli obiettivi di sicurezza (cfr. art. 2 cpv. 1). In ogni caso si possono identificare rischi per la sicurezza. Sulla base di una valutazione dei rischi metodica (v. cap. 6 n. E 7.40) occorre fornire la prova che eventuali rischi per la sicurezza sono da considerarsi sufficientemente bassi (art. 2 cpv. 1).

È possibile identificare un rischio attraverso le minacce e i punti deboli del sistema di VE: un rischio insorge quando un punto debole di tale sistema viene sfruttato mediante una minaccia, mettendo potenzialmente in dubbio l’adempimento di un obiettivo di sicurezza. Per ridurre al minimo i rischi si attuano misure di sicurezza che devono adempiere i requisiti di sicurezza a livello di funzionalità, infrastruttura ed esercizio in modo da minimizzare a sufficienza i rischi identificati.

La sezione 3.1 elenca alcune minacce generali e le mette in relazione con gli obiettivi di sicurezza. Esse vanno considerate nell’identificare i rischi e, a seconda dei punti deboli identificati del sistema di VE, per quanto necessario rese concrete e integrate.

I requisiti di sicurezza sono riassunti nelle sezioni 3.2 – 3.15.

− da un lato, si riferiscono alle minacce. Per garantire gli obiettivi di sicurezza occorre prevedere, per tutti i punti deboli del sistema di VE esposti a minacce, misure di sicurezza che adempiono i requisiti di sicurezza secondo le pratiche ottimali;

− dall’altro, si riferiscono ai requisiti per strutturare processi elementari (cfr. cap. 2). Ciò serve da ausilio per capire quali punti deboli occorre considerare nell’applicare un requisito di sicurezza. Ulteriori punti deboli si identificano in virtù del sistema di VE concreto e i requisiti di sicurezza sono messi in relazione con essi in maniera analoga.

La sezione 3.15 comprende requisiti di sicurezza tratti dal profilo di protezione (PP) del Bundesamt für Sicherheit in der Informationstechnik (BSI) [4], pur ammettendo talune differenze. Le differenze e i riferimenti alle minacce e ai requisiti per configurare processi elementari sono indicati nella sezione 3.15.

3.1. Minacce

Min3.10 Un software nocivo modifica il voto sulla Obiettivo di sicurezza (OS): correttezza

piattaforma utenti del risultato

Min3.20 Il voto è deviato mediante DNS-spoofing OS: correttezza del risultato

Min3.30 Man In The Middle (MITM) modifica il voto OS: correttezza del risultato

Min3.40 MITM invia una scheda corrotta OS: correttezza del risultato

Min3.50 L’amministratore manipola il software che OS: correttezza del risultato

non memorizza il voto

Min3.60 L’amministratore modifica voti OS: correttezza del risultato

Min3.70 L’amministratore aggiunge voti OS: correttezza del risultato

Min3.80 Un’organizzazione criminale si introduce OS: correttezza del risultato (qui ai sensi

nel sistema e causa danni di Min3.50, Min3.60, Min3.70, Min3.90)

Min3.90 L’amministratore copia il materiale di voto OS: correttezza del risultato

e lo utilizza

Min2.10 Un software nocivo sulla piattaforma uten- OS: protezione del segreto di voto ed

ti invia il voto all’organizzazione esclusione di risultati parziali precoci

Min2.20 Un software nocivo sulla piattaforma uten- OS: correttezza del risultato, protezione

ti invia il voto all’organizzazione del segreto di voto ed esclusione di

risultati parziali precoci

Min2.30 Il voto è deviato mediante DNS-spoofing OS: correttezza del risultato, protezione

del segreto di voto ed esclusione di

risultati parziali precoci

Min2.40 L’amministratore utilizza una chiave e OS: correttezza del risultato, protezione

decritta voti non anonimi del segreto di voto ed esclusione di

risultati parziali precoci