Rapporto esplicativo

dell’attualità della documentazione di sicurezza o la verifica del rispetto della «Clean Desk Policy». Gli «audit» seguono invece una procedura formalizzata e vengono spesso svolti da un organismo indipendente. Durante un audit si esamina se sistemi, processi o sistemi di gestione rispettano le direttive vigenti o gli standard e le norme richiesti.

Capoverso 2: sempreché i contratti con terzi lo consentano, i controlli e gli audit possono anche contemplare il rispetto delle prescrizioni da parte di terzi, ad esempio di fornitori. Se è previsto un siffatto controllo e se il terzo dispone di una dichiarazione di sicurezza aziendale (cfr. gli art. 61 segg. LSIn), un coordinamento con il servizio specializzato PSA responsabile di quest’ultima è inteso servire a che la Confederazione non controlli più volte le stesse cose presso un partner.

Capoverso 3: su richiesta delle autorità federali, il servizio specializzato della Confederazione per la sicurezza delle informazioni può svolgere verifiche (cfr. l’art. 83 cpv. 1 lett. c LSIn). Il livello di ambizione viene consapevolmente mantenuto basso e per il momento si rinuncia a potenziare la capacità di audit di suddetto servizio specializzato. Da anni il Controllo federale delle finanze (CDF) svolge infatti audit di elevata qualità ed esami trasversali nell’ambito della sicurezza delle informazioni. Tali audit prendono di mira i rischi su cui si focalizza il servizio specializzato e coprono così il fabbisogno a livello di Confederazione.

Art. 14 Rapporti

Capoversi 1 e 2: il rapporto comprende, in particolare, lo stato e l’efficacia del SGSI delle unità amministrative; lo stato degli oggetti da proteggere, dell’attuazione delle misure di sicurezza e dell’assunzione dei rischi residui; lo stato della formazione; i dati concernenti i controlli di sicurezza relativi alle persone e le procedure di sicurezza relative alle aziende svolti per il Dipartimento o la CaF; i riscontri derivanti dagli incidenti legati alla sicurezza e dalle lacune nella sicurezza nonché le misure di miglioramento adottate e previste; i riscontri derivanti dai controlli e dagli audit nonché le misure di miglioramento adottate e previste.

Capoverso 3: per conseguire un miglioramento duraturo della sicurezza delle informazioni in seno alla Confederazione, sono necessari una verifica critica continua dell’efficacia della sicurezza delle informazioni e un costante adeguamento di opportune misure di sicurezza.

Art. 15 Direttive concernenti la gestione della sicurezza delle informazioni

Questo articolo è retto dall’articolo 85 LSIn. Il servizio specializzato ha ricevuto dal Consiglio federale la competenza di emanare le direttive concernenti la gestione della sicurezza delle informazioni (artt. 5– 14). Tali direttive si applicano ai servizi di cui all’articolo 2 capoversi 1–3 che si trovano nell’ambito di competenza del Consiglio federale.

Sezione 4: Informazioni classificate

Gli articoli 18–20 descrivono i presupposti materiali per la classificazione delle informazioni (cfr. il messaggio LSIn, commento ad art. 13). Rispetto all’attuale OPrI sono stati innalzati i valori soglia per la classificazione AD USO INTERNO, CONFIDENZIALE e SEGRETO. Innalzando la soglia per le informazioni classificate AD USO INTERNO, CONFIDENZIALE e SEGRETO, in futuro dovrebbe essere possibile classificarle in modo più mirato. In futuro nell’Amministrazione federale dovrebbero così esserci complessivamente meno informazioni classificate, con conseguente impatto sulle risorse. Tale misura ha inoltre un impatto diretto sul numero di controlli di sicurezza relativi alle persone (CSP). Con l’innalzamento della soglia di classificazione in futuro dovrebbero esserci meno funzioni per il cui adempimento è necessario trattare informazioni classificate CON-FIDENZIALE (cfr. OCSP nonché il relativo commento).

Art. 16 Principi

Capoverso 1: la classificazione è obbligatoria, purché siano soddisfatti i pertinenti criteri secondo gli articoli 18 segg. OSIn. Deve essere rispettato rigidamente il principio del «need-to-know», ossia della necessità di sapere di cui all’articolo 14 LSIn. La classificazione di materiale è un caso d’applicazione della classificazione di informazioni per la quale, in linea di principio, valgono gli stessi metodi di valutazione e le stesse misure di protezione (incl. prescrizioni ai sensi di OCSP e OPSAz; cfr. il messaggio LSIn, pag. 2633).

Capoverso 2: dall’aggregazione di informazioni classificate o informazioni non classificate o di supporti di dati (quali carta, hardware, apparecchi radio) può risultare una collezione che presenta una necessità di protezione superiore rispetto a un’informazione isolata contenuta in essa. Questo