Rapporto sui risultati

l’ISO/IEC 27001:2013 non descrive un sistema di gestione della protezione e sicurezza dei dati, ma un Information Security Management System (ISMS). Il sistema di gestione della protezione e sicurezza dei dati dovrebbe basarsi sulla norma ISO/IEC 27001 o soddisfarla. Più adatte alla descrizione di un sistema di gestione della protezione e sicurezza dei dati sono invece le «Direttive del 14 giugno 2014 sulle esigenze minime che un sistema di gestione della protezione dei dati deve adempiere» rilasciate dall’IFPDT (Direttive sulla certificazione dell’organizzazione e della procedura), che vengono applicate in caso di certificazione ai sensi dell’articolo 11 LPD. SQS propone le seguenti due varianti per il numero 4.2.1: «Gemeinschaften müssen ein Informations- und Managementsystem betreiben, wie in der Norm ISO/IEC 27001:2013 beschrieben wird, das: […]» und «Gemeinschaften müssen ein Datenschutz- und Datensicherheitsmanagementsystem betreiben, wie in den Richtlinien über die Mindestanforderungen an ein Datenschutzmanagementsystem (Richtlinien über die Zertifizierung von Organisation und Verfahren) vom 14. Juni 2014 des EDÖB beschrieben wird, das: […]». I Cantoni ZH e ZG, ZAD, K3 e VZK considerano il numero 4.2.1 non opportuno e ne chiedono lo stralcio. OFAC scrive che i sistemi di gestione della protezione dei dati (SGPD) e i sistemi di gestione della sicurezza dell’informazione (SGSI) funzionano perfettamente insieme, ma non devono essere confusi. Entrambi i sistemi dovrebbero essere gestiti separatamente. Alla stessa stregua di SQS, segnala inoltre che la norma ISO/IEC 27001:2013 non definisce i sistemi di gestione della protezione dei dati e quindi la frase dovrebbe essere riformulata.

4.2.2 / 4.2.3: ISSS afferma che attraverso i numeri 4.2.2.3.1 – 4.2.2.3.3 e 4.2.2.3.5 si dovrebbero richiedere esplicitamente anche i componenti per le discipline specifiche dell’ICT, come ad esempio la sicurezza contro gli attacchi, contro le interruzioni dell’esercizio e il backup dei sistemi e dei dati. Ciò aumenterebbe la consapevolezza e fungerebbe da base per i Management Review / audit / certificazioni. Ai suddetti numeri propone le seguenti aggiunte: numero 4.2.2.3.1: «Hardware (Inventar der Datenspeicher, Server, Backup-Systeme, Sicherheitsfunktionen); numero 4.2.2.3.2: Software (Inventar von Betriebs- und EPD-Anwendungssystem, Endpoint Protection, Backup, Monitoring, Update- und Patch-Management); numero 4.2.2.3.3: Datenbestände (Beschreibung zu Datenhaltung, Datenorganisation, Datensicherheit, Berechtigungen); numero 4.2.2.3.5: Prozesse (zu Datenschutz- und Datensicherheitsmanagementsystem, insbesondere auch zu Ausfallszenarien, Recovery, Tests, Audits, Verantwortlichkeiten). Riguardo al numero 4.2.2.3, Posta chiede se l’inventario comprende tutti i sistemi primari collegati o se nella fattispecie si tratta solo dei componenti centrali. Desidera che il campo di applicazione delle CTO venga definito in modo chiaro. SQS critica che le disposizioni di cui ai numeri 4.2.2 e 4.2.3 non collimano con quelle dell’articolo 11 OCIP. O si deve completare l’articolo 11 OCIP o adeguare i due numeri. In riferimento al numero 4.2.2.3, SQS ritiene che nell’ISO/IEC 27001:2013 l’inventario non riguardi solo gli strumenti di esercizio. La norma parla di asset / valori dell’organizzazione, fra cui rientrano per esempio i collaboratori. L’organizzazione strutturale non è definita in modo abbastanza esauriente. Si propone pertanto il seguente testo: «Ein aktuelles Inventar der folgenden Werte der Organisation». Anche il numero 4.2.3 deve essere modificato di conseguenza: «[…] an den Werten der Organisation sind zu […]».

4.3 Responsabile della protezione e della sicurezza dei dati (cpv. 1 lett. a)

20 partecipanti¹¹² chiedono di rinunciare alla designazione di un responsabile della protezione e della sicurezza dei dati. 14 partecipanti¹¹³ aggiungono che tale responsabile non aumenta la sicurezza. I costi per la creazione di una funzione di questo tipo sono inoltre molto elevati. ZAD, CDS e 8 Cantoni¹¹⁴ evidenziano che le CTO non coincidono con le spiegazioni sull’articolo 11 OCIP, dove si parla di un responsabile indipendente dal punto di vista tecnico e organizzativo. Il Cantone AR ritiene che, in caso di sufficiente capacità, questa funzione potrebbe essere affidata al responsabile della protezione dei dati, evitando di dover assumere un’altra persona. 6 partecipanti¹¹⁵ vogliono lo stralcio del numero 4.3.