Procedura di sicurezza
La procedura di sicurezza garantisce la sicurezza delle informazioni relative agli oggetti protetti dello Stato federale secondo un approccio basato sul rischio. È disciplinata dalla legge sulla sicurezza delle informazioni (LSIn, art. 16) e dall’ordinanza sulla sicurezza delle informazioni (OSIn, art. da 27 a 29) e comprende sei fasi coordinate: dall’identificazione di un oggetto protetto all’attuazione di misure di protezione adeguate, passando per la determinazione delle esigenze di protezione e la definizione dei requisiti di sicurezza, la valutazione dei rischi residui e la convalida formale prima della messa in servizio.
In caso di modifiche sostanziali dell'oggetto da proteggere, la procedura deve essere ripetuta e verificata almeno una volta all’anno per accertarne l’attualità e l’efficacia. In questa pagina sono disponibili le linee guida, le istruzioni e gli strumenti di supporto vigenti relativi ai singoli elementi della procedura di sicurezza.
Analisi del bisogno di protezione
Per ogni progetto TIC occorre dapprima eseguire un’analisi del bisogno di protezione. Il risultato dell’analisi del bisogno di protezione è una valutazione della classificazione dell’applicazione o del progetto.
È disponibile, nella versione 5.1,.1 un modello Excel adattato ai requisiti dell'Ordinanza sulla sicurezza delle informazioni (OSIn) per effettuare un'valutazione del bisogno di protezione.
Protezione di base delle TIC
La protezione di base delle TIC disciplina in maniera vincolante i requisiti minimi di sicurezza definiti nelle direttive (protezione di base) dal punto di vista organizzativo, tecnico e del personale nel settore della sicurezza informatica. Per ciascun oggetto informatico da proteggere si deve applicare almeno la protezione di base TIC.
Nel documento concernente l’attuazione delle misure per la protezione IT di base nell’Amministrazione federale sono elencati in forma tabellare i requisiti minimi di sicurezza informatica. Viene così fornito un ausilio per i resoconti sul grado di adempimento delle misure di sicurezza. I requisiti contrassegnati come «cancellati» o «spostati» nella protezione IT di base non sono più elencati nel documento di attuazione.
Piano per la sicurezza dell’informazione e la protezione dei dati (SIPD)
Se dall’analisi del bisogno di protezione risulta un bisogno di protezione elevato, in aggiunta alla documentazione relativa all’attuazione della protezione TIC di base deve essere elaborato un piano per la sicurezza delle informazioni e la protezione dei dati (piano SIPD). Il piano SIPD è considerato il documento principale per la sicurezza delle informazioni e la protezione dei dati nel corso del progetto e nella fase operativa. Contiene i dati necessari per mantenere e migliorare la sicurezza delle informazioni e la protezione dei dati e riassume gli aspetti della sicurezza delle informazioni e della protezione dei dati nel progetto.
Il documento piano SIPD è disponibile per la creazione di un piano SIPD.
Analisi dei rischi
L’analisi dei rischi contiene una descrizione dei fattori di rischio rilevanti (disponibilità [accessibilità], confidenzialità, integrità e tracciabilità) nonché un elenco e una valutazione dei rischi. Fornisce altresì una panoramica sul potenziale di rischio presente nel sistema esaminato.