Rapporto esplicativo

Sezione 6: Misure relative alle persone e protezione fisica Art. 31 Verifica dell’identità di persone e macchine

Capoverso 1: fondandosi sull’articolo 85 LSIn e previa consultazione del delegato alla trasformazione digitale e alla governance delle TIC (delegato TDT), il servizio specializzato della Confederazione per la sicurezza delle informazioni emana istruzioni concernenti requisiti tecnici minimi per la verifica basata sui rischi dell’identità di persone e macchine che necessitano di avere accesso a informazioni, mezzi informatici, locali e altre infrastrutture della Confederazione. Tali direttive si applicano soltanto ai servizi di cui all’articolo 2 capoversi 1–3.

Qui si tratta di stabilire la qualità delle prove che una persona deve fornire per dimostrare la propria identità fisica o elettronica al fine di ottenere l’accesso a informazioni, mezzi informatici, locali e altre infrastrutture della Confederazione. Il livello di sicurezza richiesto (il cosiddetto «level of assurance») sarà più elevato nel caso dei sistemi sensibili sotto il profilo della sicurezza che per le applicazioni normali. Non soltanto le persone, ma anche i computer e addirittura i processi devono «identificarsi» di conseguenza.

Art. 32 Sicurezza delle persone

Capoverso 1: le unità amministrative devono assicurare ogni anno di sensibilizzare i collaboratori soggetti a un CSP. I superiori devono assumersi attivamente la responsabilità dei rischi per la sicurezza riferiti a persone e integrarla nei compiti direttivi permanenti. Una siffatta sensibilizzazione potrebbe, ad esempio, avere luogo nell’ambito del colloquio con il collaboratore. Tale aspetto verrebbe così affrontato almeno una volta l’anno.

Capoverso 2: la prassi ha mostrato che, dopo il superamento di un CSP, soltanto in casi eccezionali la questione dei rischi per la sicurezza riferiti a persone viene affrontata di nuovo. Ai sensi di una gestione a posteriori (cosiddetta «aftercare»), usuale a livello internazionale, i collaboratori che sono stati sottoposti a CSP devono comunicare al proprio datore di lavoro le circostanze, nel proprio contesto privato e professionale, che pregiudicano la sicurezza. Siffatte circostanze possono consistere in incidenti che generano una ricattabilità realistica di un collaboratore (p. es. forte indebitamento nel contesto di una dipendenza da gioco, alcolismo o tossicodipendenza rivelato da un terzo, rapporto extraconiugale scoperto). In caso di comunicazione, si concorda con il servizio del personale come procedere.

Art. 33 Sospetto di reato

Capoverso 1: la disposizione mira a garantire che eventuali reati siano deferiti il più rapidamente possibile alle competenti autorità preposte al perseguimento penale senza che i dipartimenti debbano fare considerazioni dettagliate di diritto penale o addirittura di diritto processuale penale. In tal senso, un reato «è già ipotizzabile» se primi indizi, anche non del tutto concludenti, suggeriscono un comportamento punibile.

Capoverso 2: qui si tratta di accertare rapidamente prove tangibili e in parte effimere. A tal fine, non possono essere eretti ostacoli eccessivi. È importante che nell’ambito dell’accertamento delle prove le unità amministrative non cancellino, lascino o addirittura causino tracce fisiche o elettroniche. Con ciò che qui si intende per «mettere al sicuro le prove» non si intende quindi anche la loro valutazione; ciò spetta, se del caso, alle autorità preposte al perseguimento penale su ordine del tribunale.

Art. 34 Misure di protezione fisica

Capoverso 1: fondandosi sull’articolo 85 LSIn e previa consultazione dei servizi dell’Amministrazione federale e dell’esercito competenti per la sicurezza degli oggetti, il servizio specializzato della Confederazione per la sicurezza delle informazioni emana istruzioni concernenti le misure minime necessarie per la protezione fisica di informazioni e mezzi informatici. Tali direttive si applicano soltanto ai servizi di cui all’articolo 2 capoversi 1–3.

Capoversi 1 e 2: sono considerate misure di protezione fisica, ad esempio, l’allestimento di zone di sicurezza (cfr. l’art. 35 e il messaggio LSIn, pag. 2644 seg.), i controlli all’ingresso degli edifici, la sorveglianza mediante telecamere in determinate zone, i dispositivi di distruzione dei supporti di dati o i controlli sul posto di lavoro. Per l’attuazione di questi ultimi è ora competente l’incaricato della sicurezza delle informazioni delle unità amministrative (cfr. l’art. 37 cpv. 2 lett. j).