Avamprogetto (Allegato)

Allegato del Regolamento tecnico Voto elettronico della Cancelleria federale del ... (RS ...)

E3.20 Competenze: l’efficacia e l’adeguatezza dell’ISMS devono essere provate presentando il

certificato rilasciato da un organismo di certificazione che attesta la certificazione dell’ISMS ai sensi dell’ISO/IEC 27001:2005. L’organismo deve altresì attestare che i requisiti descritti nei capitoli 2, 3 e 4 vengono adempiuti se essi non sono già coperti dall’audit ai sensi dell’ISO/IEC 27001:2005. L’organismo di certificazione deve essere accreditato dal Servizio di accreditamento svizzero (SAS) per eseguire questo tipo di audit.

E3.30 Durata di validità di un documento: audit di ripetizione devono essere svolti negli intervalli

stabiliti dall’ISO 27001. A ogni impiego deve esserci un certificato valido. Occorre procedere a un audit di ripetizione anche se si decide di rinunciare a una misura di sorveglianza che serve a un impiego sicuro e indipendente di componenti di controllo oppure di adeguarla in modo significativo. Se viene pubblicata una nuova versione dello standard ISO/IEC 27001:2005, al più tardi dopo la scadenza del termine transitorio deve essere provata una certificazione valida dell’ISMS secondo la nuova versione, senza ridurre il campo di applicazione di quest’ultimo.

5.4. Esame delle componenti di controllo

E4.10 Criteri di prova: le componenti di controllo devono adempiere i requisiti sanciti nel capitolo

4 o sostenere adeguatamente gli obiettivi predefiniti. Le funzioni la cui affidabilità è

determinante per la validità delle prove previste nell’ambito della verificabilità vanno esaminate accuratamente in base al codice fonte e al verbale crittografico. Occorre assicurare che siano attuati quali misure di sicurezza i Security Functional Requirements (SFR) indicati nel Protection Profile (PP) del Bundesamt für Sicherheit in der

Informationstechnik (BSI) o mezzi equivalenti. La funzionalità del VE va esaminata

secondo i criteri principali dell’EAL4 attenendosi al formalismo dei Common Criteria (CC). Per le componenti di base, quali i software, che servono all’impiego sicuro e indipendente di componenti di controllo, i sistemi operativi o i server impiegati deve essere dimostrato che corrispondono ai migliori standard.

E4.20 Competenze: l’esame è eseguito da un’istituzione accreditata dal Servizio di accredita-

mento svizzero (SAS).

E4.30 Durata di validità di un documento: nei seguenti casi vanno riesaminate le componenti di

controllo:

− a ogni modifica apportata al codice fonte delle funzioni la cui affidabilità è determinante per la validità delle prove previste nell’ambito della verificabilità; e

− in caso di rinuncia o di adeguamenti significativi a meccanismi che servono all’impiego sicuro e indipendente di componenti di controllo; e

− nel caso di un HSM (hardware security module), l’impiego delle funzioni la cui affidabilità è determinante per la validità delle prove previste nell’ambito della verificabilità deve in ogni caso avere luogo nell’ambito di un esame.

Se vengono impiegate nuove versioni di componenti di base (nuovi server, patch riguardanti sistema operativo o software che servono all’impiego sicuro e indipendente di componenti di controllo), non deve avere luogo alcun nuovo controllo se continua a essere dimostrato che le componenti corrispondono ai migliori standard.

5.5. Esame della protezione contro tentativi di introdursi nell’infrastruttura del VE

E5.10 Criteri di prova: aggressori competenti da Internet non devono potersi introdurre

nell’infrastruttura del VE per ottenere accesso a dati importanti o assumere il controllo su funzioni importanti. A tale scopo, un’istituzione specializzata tenta di verificare nell’ambito di un test di penetrazione se è in grado di introdursi nell’infrastruttura del VE sulla base della documentazione del sistema, tra cui essa deve avere almeno documenti inerenti all’architettura, al flusso di dati e alle tecnologie impiegate. L’istituzione esamina per lo meno i punti deboli documentati nell’Open Web Application Security Project (OWASP).

E5.20 Competenze: l’esame è eseguito da un’istituzione accreditata dal Servizio di accredita-

mento svizzero (SAS).

E5.30 Durata di validità di un documento: dopo tre anni deve avere luogo un nuovo esame.