Rapporto esplicativo

Art. 96e Gestione della sicurezza

L’infrastruttura di telefonia mobile 5G e le informazioni che genera ed elabora sono beni importanti che vanno gestiti in modo coscienzioso per garantire l’affidabilità e la disponibilità dei servizi.

Il capoverso 1 impone ai concessionari di radiocomunicazione mobile di sviluppare, implementare e verifi- care continuamente un sistema di gestione della sicurezza delle informazioni SGSI (Information Security Ma- nagement System, ISMS), conformemente a quanto già realizzato dalla maggior parte di questi.

L’implementazione di un SGSI richiede una fase di pianificazione durante la quale vengono identificati e va- lutati i rischi posti dall’organizzazione in questione. Questa prima fase permette di definire una politica di si- curezza che tiene conto dei rischi da considerare, e poi di descrivere gli obiettivi di sicurezza da raggiungere e il perimetro da proteggere. Su questa base l’organizzazione infine determinerà i controlli corrispondenti alla sua politica di sicurezza e ai rischi da cui ha scelto di proteggersi.

Nel settore delle tecnologie dell’informazione e della comunicazione, i SGSI sono stati sviluppati sotto forma di standard. Si tratta segnatamente della serie di norme ISO/IEC 2700x (Information technology - Security techniques - Information security management systems – Requirements; ISO/IEC 27002:2005 Information technology – Code of pratice for Information Security Management; ISO/IEC 27011:2008 Information techno- logy - Security techniques - Information security management guidelines for telecommunications organiza- tions based on ISO/IEC 27002), a cui si deve fare riferimento nelle prescrizioni tecniche e amministrative se- condo il capoverso 3.

Queste norme coprono in particolare gli aspetti della sicurezza fisica, della gestione degli accessi e della si- curezza dei software. Sebbene la gestione della continuità operativa e la gestione degli incidenti di sicurezza siano solitamente incluse anche nel SGSI come descritte negli standard ISO/IEC 2700x, questi aspetti sono ancora menzionati al capoverso 2 poiché devono essere obbligatoriamente presi in considerazione quando si forniscono servizi al grande pubblico. Per precisare i requisiti per la gestione della continuità e degli inci- denti, si prevede di fare riferimento allo standard ISO 22301:2019 Security and resilience — Business conti- nuity management systems — Requirements nelle prescrizioni tecniche e amministrative.

Un SGSI è rivolto alla direzione dell’impresa, ai collaboratori responsabili della sicurezza e ai valutatori esterni. Una valutazione indipendente da parte di un organo di certificazione accreditato può portare a una certificazione riconosciuta della capacità della società in questione di gestire la sicurezza. Attualmente non si prevede di imporre tale certificazione ai concessionari di radiocomunicazione mobile. Nell’ambito della vigi- lanza, l’UFCOM può tuttavia chiedere al concessionario di fornire informazioni sull’implementazione del SGSI (cfr. art. 96g).

Un SGSI è sviluppato in funzione di obiettivi, necessità, requisiti e rischi associati alle attività dell’organizza- zione in questione. Questo dipende anche dalle tecnologie utilizzate e dalla clientela, nonché dalle dimen- sioni e dalla struttura dell’organizzazione. Qualsiasi evoluzione di questi criteri deve portare ad un adegua- mento del sistema di gestione della sicurezza. Lo sforzo richiesto per implementare un SGSI è quindi

direttamente legato all’organizzazione e ai servizi proposti.

Art. 96f Esercizio degli impianti di telecomunicazione critici

I concessionari di radiocomunicazione mobile dovranno garantire che gli impianti di telecomunicazione critici per la sicurezza da loro utilizzati siano certificati in conformità con gli standard di sicurezza riconosciuti.

L’UFCOM definirà gli impianti di telecomunicazione critici per la sicurezza, se necessario, in collaborazione con l’industria. L’elenco degli impianti critici sarà riportato nelle relative prescrizioni tecniche e amministra- tive.

A livello europeo, e a seguito di una domanda della Commissione europea, l’ENISA (European Union

Agency for Cybersecurity) preparerà un nuovo schema di certificazione della sicurezza informatica 5G. Que- sto passo fa seguito al toolbox 5G sviluppato dall’Unione Europea per la sicurezza delle reti 5G. Dovrebbe contribuire a migliorare la sicurezza informatica di questo tipo di rete poiché aiuta a eliminare alcuni rischi. A tal fine, questo sistema di certificazione della sicurezza informatica 5G sarà basato su disposizioni e si- stemi di certificazione della sicurezza informatica già esistenti, nonché sull’esperienza già acquisita

dall’ENISA da quando ha iniziato a impegnarsi nella certificazione della sicurezza informatica. Questo pro- gramma è ora in corso e all’inizio dell’estate 2021 è stato lanciato un bando di concorso per ricercare esperti. Non appena questo sistema di certificazione sarà disponibile per lo standard 5G, l’UFCOM esaminerà le possibilità di utilizzarlo.

Tuttavia, ci sono già altri standard riconosciuti in questo settore, come quelli prescritti dal GSMA NESAS (Network Equipment Security Assurance Scheme³⁴). Il GSMA NESAS è un’iniziativa volontaria dell’industria