Rapporto esplicativo

Capoverso 3: nel trattamento di informazioni o nell’utilizzo dei mezzi informatici della Confederazione i collaboratori devono rispettare le pertinenti prescrizioni di comportamento. L’assunzione di questa responsabilità presuppone che essi siano istruiti e formati di conseguenza (cfr. commento ad art. 4 cpv. 4 e ad art. 11).

Con «collaboratori dell’Amministrazione federale» si intendono i collaboratori interni ed esterni assoggettati alla facoltà di emanare istruzioni della Confederazione: i collaboratori «interni» sono impiegati della Confederazione ai sensi della LPers; i collaboratori «esterni» sono invece persone che sono impiegate mediante un contratto di fornitura di personale a prestito. Non sono per contro collaboratori della Confederazione persone esercitanti un’attività autonoma o collaboratori di imprese che, ad esempio, in base a un rapporto contrattuale operano a livello di consulenza per la Confederazione o le forniscono prestazioni di servizio o in natura (quali sviluppo di software, potenziamento della rete, costruzione di un locale dei server, assunzione della direzione del progetto ecc.). Siffatte persone sono considerate «terzi», cfr. commento ad articolo 10 OSIn. Nel caso di «terzi», la corretta manipolazione degli oggetti da proteggere deve essere assicurata, se del caso, mediante relativi contratti ai sensi dell’articolo 9 LSIn.

Capoverso 4: anche nell’ambito della sicurezza delle informazioni i superiori di tutti i livelli hanno la responsabilità per l’istruzione e la formazione conformi alla funzione e improntate alla prassi dei propri collaboratori nonché per la verifica del rispetto delle prescrizioni. Incombe così ai superiori spiegare ai propri collaboratori in modo pratico come devono gestire le informazioni protette, renderli attenti all’impiego coerente e conforme alle direttive di software di crittografia o assicurarsi che frequentino le formazioni proposte. Riguardo alla responsabilità delle unità amministrative, cfr. commento ad articolo 11.

Sezione 3: Gestione della sicurezza delle informazioni

Gli articoli 5–15 OSIn definiscono i requisiti minimi per la gestione della sicurezza delle informazioni nell’Amministrazione federale e nell’esercito. Definiscono per i compiti fondamentali della sicurezza delle informazioni le rispettive competenze degli uffici, dei dipartimenti e del servizio specializzato della Confederazione per la sicurezza delle informazioni. Quest’ultimo emanerà a tal fine direttive inerenti al trattamento (cfr. l’art. 21 cpv. 1 lett. c) o istruzioni generali e astratte (cfr. l’art. 29 cpv. 1), che considerano l’approccio basato sul rischio.

Art. 5 Sistema di gestione della sicurezza delle informazioni

Capoverso 1: un SGSI comprende procedure e norme che illustrano com’è organizzata la sicurezza delle informazioni in un sistema e rende visibile quali compiti, competenze e responsabilità sono riconducibili a pertinenti persone. Con il termine «SGSI» si rinvia implicitamente alla norma ISO/IEC 27001, che vale quale standard sia nel settore privato sia, sempre più, nelle amministrazioni pubbliche. Alle unità amministrative si chiede però semplicemente un SGSI light, vale a dire che non devono attuare l’intera norma ISO, ma soltanto i processi di gestione più importanti definiti nell’OSIn, che saranno precisati da future direttive. Non è richiesta una certificazione esterna. Le unità amministrative e i dipartimenti sono tuttavia liberi di fissare un livello di ambizione più elevato.

Mentre i responsabili della sicurezza delle unità amministrative (cfr. l’art. 36) assicurano lo sviluppo, il funzionamento, la verifica e i miglioramenti continui del SGSI, l’esercizio vero e proprio del SGSI incombe all’incaricato della sicurezza delle informazioni dell’unità amministrativa (cfr. l’art. 37 cpv. 2 lett. a) su mandato dei detti responsabili. Secondo l’articolo 48 capoverso 4, un SGSI deve essere creato entro tre anni al massimo dall’entrata in vigore dell’OSIn.

Capoverso 2: lo scopo di un SGSI è di gestire e di migliorare la sicurezza delle informazioni nell’unità amministrativa. A tal fine occorrono obiettivi concreti in base ai quali la direzione dell’ufficio può valutare se il SGSI produce gli effetti desiderati Questa definizione e misurazione di obiettivi annuale è un compito direttivo della direzione dell’ufficio e deve essere distinta dall’elaborazione del piano annuale dei controlli e degli audit.

Capoverso 3: per garantire una certa obiettività e comparabilità nella valutazione dell’attuazione e dell’efficacia del SGSI, è richiesta una verifica effettuata periodicamente dal dipartimento o da un servizio indipendente dall’Ufficio. Tale verifica indipendente del SGSI crea fiducia per gli altri uffici e, allo stesso tempo, assicura i miglioramenti continui della sicurezza nell’ufficio stesso.

Anche se la periodicità di tre anni si basa sul ciclo di certificazione ufficiale della norma ISO, l’entità della verifica obbligatoria è tuttavia nettamente meno ambiziosa di quella prevista dallo Standard ISO: non si richiede necessariamente un audit formale ai sensi della norma ISO, sebbene tale