Il 30 agosto 2013 la Delegazione delle Commissioni della gestione (DelCG) ha pubblicato un breve rapporto relativo alla verifica della sicurezza informatica in seno al Servizio delle attivit\u00e0 informative della Confederazione (SIC). Tale rapporto si basa su un'ispezione formale e sfocia in undici raccomandazioni al Consiglio federale.
Al centro delle critiche della DelCG non vi sono soltanto il DDPS e il SIC, ma anche il Consiglio federale in quanto collegio: secondo la DelCG ci\u00f2 \u00e8 stato il risultato di una pianificazione insufficiente, che ha avuto inizio nel maggio del 2008 con la decisione del Consiglio federale di trasferire le componenti di intelligence del SAP al DDPS. (pag. 2)
Invito il Consiglio federale a rispondere alle domande seguenti:
1. Nel 2011 e nel 2012 il Consiglio federale era gi\u00e0 a conoscenza dei rischi e delle lacune nella sicurezza informatica del SIC emerse in occasione dell'ispezione della DelCG (tra gli altri le carenze di personale nell'informatica e nei controlli di sicurezza relativi alle persone (CSP), la rinuncia al controllo globale di specialisti esterni nonch\u00e9 la rinuncia ad applicare le prescrizioni minime della Confederazione in materia di protezione dei dati)?
2. Nel 2009, su proposta del DDPS, il raggruppamento di SAP e SIS in un unico Ufficio federale sarebbe dovuto avvenire \"senza risorse supplementari\". Per quale motivo il Consiglio federale a suo tempo ha approvato tale proposta? Come \u00e8 impiegato attualmente in seno al Dipartimento federale di giustizia e polizia il personale del SAP competente per l'informatica?
3. Il 1\u00b0 maggio 2013, un anno dopo il furto di dati, il Consiglio federale ha deciso un incremento del personale addetto alla sicurezza informatica in seno al SIC a partire dal 2014/2015. Per quale motivo la protezione dei dati altamente sensibili del SIC non \u00e8 stata definita nel mese di maggio come massima priorit\u00e0 e il relativo effettivo di personale non \u00e8 stato rafforzato il pi\u00f9 presto possibile?
4. Il 12 maggio 2010 il Consiglio federale ha incaricato il DDPS di elaborare un concetto normativo e una base legale formale per la protezione delle informazioni della Confederazione, affidando in tal modo questo importante compito a un dipartimento che applica in maniera non impeccabile le prescrizioni federali vigenti. Il Consiglio federale \u00e8 disposto ad affidare a un altro dipartimento o al Consiglio federale in corpore invece che al DDPS la responsabilit\u00e0 di questo compito?
5. Il DDPS non \u00e8 competente soltanto per il SIC, ma anche per altri compiti rilevanti ai fini della sicurezza. Il Consiglio federale ritiene che le lacune riscontrate dalla DelCG nella gestione dei rischi, nella pianificazione delle risorse e nella vigilanza potrebbero comportare problemi anche in altri uffici del DDPS?
","ReasonText":null,"DocumentationText":null,"MotionText":null,"FederalCouncilResponseText":"Il 30 ottobre 2013 il Consiglio federale ha espresso il proprio parere in merito al rapporto della Delegazione delle Commissioni della gestione (DelCG) sulla sicurezza informatica in seno al Servizio delle attivit\u00e0 informative della Confederazione (SIC).
Il Consiglio federale risponde alle singole domande come segue:
1. Le decisioni di trasferire al DDPS componenti del Servizio di analisi e prevenzione (SAP) con compiti informativi e di raggruppare il Servizio informazioni strategico (SIS) e il SAP nel Servizio delle attivit\u00e0 informative della Confederazione (SIC) sono state prese con la consapevolezza della situazione finanziaria e in materia di personale. In relazione con la verifica dei compiti della Confederazione, nel 2011 il SIC \u00e8 stato incaricato di elaborare un rapporto in merito allo sfruttamento del potenziale di sinergie dei servizi informazioni civili. Da tale rapporto \u00e8 emerso che, a causa dei crediti limitati per il personale, il SIC \u00e8 in grado di sviluppare le funzioni di supporto necessarie nel campo dell'informatica, della sicurezza, ecc. unicamente a scapito degli ambiti fondamentali e che, dalla fusione, l'informatica si trova costretta a gestire, con risorse invariate, il doppio degli utenti. In seguito a tale rapporto il Consiglio federale ha escluso il SIC dalla verifica dei compiti.
2. Nel 2009 il Consiglio federale ha dato seguito all'iniziativa Hofmann Hans 07.404, \"Trasferimento dei compiti dei servizi informazioni civili a un dipartimento\", che aveva come obiettivo l'incremento delle prestazioni dei servizi informazioni. Anche il parere del Consiglio federale del 28 aprile 2008 in merito al rapporto della Commissione della gestione del Consiglio degli Stati del 29 febbraio 2008 era quindi incentrato sull'ottimizzazione dell'impiego delle risorse disponibili (cfr. FF 2008 3460 seg.). L'informatica del SAP si basava sul fornitore di servizi informatici del DFGP (CSI-DFGP), il quale si occupa ancora oggi del sistema d'informazione sicurezza interna (ISIS) del SIC.
3. Immediatamente dopo la breccia nella sicurezza verificatasi nel maggio 2012 numerosi servizi interni ed esterni all'amministrazione sono stati incaricati di analizzare la situazione e di indicare le necessit\u00e0 d'intervento. Di propria iniziativa il SIC ha individuato e avviato circa 40 misure. Si tratta di misure tecnico-organizzative e di limitazioni degli accessi. La protezione dei dati del SIC ha sempre avuto la massima priorit\u00e0. Il 1\u00b0 maggio 2013 il Consiglio federale ha preso atto dell'ulteriore fabbisogno di personale del SIC, pari a 11 posti di lavoro, necessario per garantire il rafforzamento della sicurezza e della sicurezza informatica. Gli otto posti prioritari sono stati accordati dal Consiglio federale il 26 giugno 2013, mentre i tre posti rimanenti saranno inclusi nella valutazione globale delle risorse del settore del personale per il 2014. Il DDPS ha gi\u00e0 concesso al SIC nel 2013 le risorse finanziarie per gli otto posti prioritari.
4. In considerazione della crescente importanza politica e della complessit\u00e0 del progetto, il DDPS ha istituito un gruppo di esperti diretto dal prof. dott. Markus M\u00fcller dell'Universit\u00e0 di Berna. Il 30 novembre 2011, dopo essere stato informato in merito ai punti fondamentali del concetto normativo, il Consiglio federale ha quindi deciso di ampliare l'ambito normativo dalla protezione delle informazioni alla sicurezza delle informazioni. Il gruppo di esperti \u00e8 stato ampliato e comprende: Servizi del Parlamento, tribunali della Confederazione, Conferenza dei cantoni (Conferenza svizzera sull'informatica), CaF, IFPDT, DFAE, DFGP, DDPS e DFF nonch\u00e9 UFG, OSIC, UFIT, PIO e UFCOM. Tale gruppo elabora, sulla base del concetto normativo, il disegno di legge sulla sicurezza delle informazioni. L'avvio della consultazione \u00e8 previsto per il primo trimestre 2014. Il Consiglio federale non ravvisa alcun motivo per trasferire a un altro dipartimento la responsabilit\u00e0 di questo progetto.
5. La DelCG raccomanda al Consiglio federale di elaborare proposte volte a migliorare la procedura di valutazione dello stato della sicurezza informatica nell'amministrazione federale. Tali provvedimenti devono permettere al Consiglio federale di individuare tempestivamente, nel quadro di una procedura istituzionalizzata, i rischi nella sicurezza informatica nonch\u00e9 di decidere le misure necessarie volte a ridurre i rischi e di seguirne la concretizzazione. Il Consiglio federale accoglie suddetta raccomandazione.
Risposta del Consiglio federale.","FederalCouncilProposal":8,"FederalCouncilProposalText":null,"FederalCouncilProposalDate":"\/Date(1384905600000)\/","SubmittedBy":"Rytz Regula","BusinessStatus":229,"BusinessStatusText":"Liquidato","BusinessStatusDate":"\/Date(1386892800000)\/","ResponsibleDepartment":6,"ResponsibleDepartmentName":"Dipartimento della difesa, della protezione della popolazione e dello sport","ResponsibleDepartmentAbbreviation":"DDPS","IsLeadingDepartment":true,"Tags":"9","Category":null,"Modified":"\/Date(1690529393493)\/","SubmissionDate":"\/Date(1380153600000)\/","SubmissionCouncil":1,"SubmissionCouncilName":"Consiglio nazionale","SubmissionCouncilAbbreviation":"CN","SubmissionSession":4910,"SubmissionLegislativePeriod":49,"FirstCouncil1":1,"FirstCouncil1Name":"Consiglio nazionale","FirstCouncil1Abbreviation":"CN","FirstCouncil2":null,"FirstCouncil2Name":null,"FirstCouncil2Abbreviation":null,"TagNames":"Politica di sicurezza"}}