Ordinanza sulla sicurezza informatica (Ordinanza sulla sicurezza informatica, ISV) (Informatiksicherheitsverordnung, ISV) - Principio (ISV)

1. Questo regolamento ha lo scopo di garantire un'informatica e una sicurezza delle informazioni ordinate, efficaci ed economiche.

2. Il regolamento determina

a) la procedura, le competenze e le responsabilità per garantire la sicurezza dei dati e delle informazioni trattati con sistemi e applicazioni informatiche

b) i requisiti di sicurezza fondamentali da rispettare durante il trattamento di dati o informazioni con sistemi e applicazioni informatiche

1. Questo regolamento si applica a

a) l'amministrazione cantonale, le autorità giudiziarie e gli enti di diritto pubblico

b) i comuni e tutti gli enti di diritto pubblico nel Cantone di Sciaffusa, nella misura in cui gestiscono sistemi e applicazioni informatiche congiuntamente con l'amministrazione cantonale, scambiano dati o informazioni o fanno gestire proprie applicazioni dal KSD

c) uffici o unità amministrative che eseguono il diritto federale o assolvono compiti federali e perciò utilizzano sistemi o applicazioni informatiche proprie o di terzi, nella misura in cui da parte della Confederazione non siano presenti requisiti di sicurezza

**1. I seguenti termini significano:**

a) Sistemi informatici: dispositivi e strutture, nonché l'infrastruttura e il software operativo ad essi associati, utilizzati per l'elaborazione elettronica o lo scambio elettronico di dati o informazioni

b) Applicazioni informatiche: programmi che consentono l'utilizzo di sistemi informatici per il compimento o il supporto di determinati compiti, inclusi i dati elaborati a tal fine

c) Informazioni: le informazioni sono i risultati di richieste concrete, ottenute da dati di carattere, finanziari o personali

d) Titolare della raccolta di dati: qualsiasi unità organizzativa dell'amministrazione pubblica del Cantone, dei Comuni o di altre corporazioni di diritto pubblico nel Cantone Sciaffusa, la quale è responsabile dell'elaborazione di dati o informazioni in base a una base legale

e) Operatore di banche dati centrali: di norma, il fornitore di servizi informatici cantonale KSD, in casi eccezionali altri operatori terzi o il rispettivo titolare della raccolta dati, nella misura in cui la banca dati venga gestita in modo decentralizzato

**2. Se, in base a un compito legale, non è chiaramente determinato o non è determinabile chi sia il titolare di una raccolta di dati o l'operatore di una banca dati, ciò deve essere concordato per iscritto tra tutte le parti coinvolte e deve essere designato un titolare responsabile della raccolta di dati.**

1. Il titolare di una raccolta di dati e l'operatore di un database centrale sono nei rispettivi ambiti di competenza obbligati a proteggere i sistemi informatici, le applicazioni, i dati o le informazioni contro la perdita e le influenze indesiderate, a proteggerli da accessi non autorizzati e manipolazioni non autorizzate, a garantire le misure di emergenza necessarie a tale riguardo e a far rispettare congiuntamente i principi di questo regolamento.

2. Salvo diversa disposizione legislativa, per la regolarità e la sicurezza nella gestione dei sistemi informatici, delle applicazioni, dei dati o delle informazioni, si applicano gli standard internazionali e nazionali riconosciuti per la sicurezza informatica e la gestione delle informazioni.

3. Il KSD

a) amministra le infrastrutture di base

b) supporta tutte le unità organizzative subordinate a questo regolamento nella creazione e gestione di sistemi informatici sicuri e nell'implementazione e controllo delle misure di sicurezza

c) monitora il rispetto dei requisiti tecnici di sicurezza

d) è il referente per tutte le unità organizzative sottoposte a questo regolamento in materia di sicurezza informatica

4. Il titolare di una raccolta di dati e l'operatore di un database centrale sono nel loro ambito di competenza responsabili in relazione ai sistemi informatici, applicazioni, dati o informazioni impiegati, di

a) determinare gli obiettivi di protezione

b) classificare secondo gli obiettivi di protezione

c) elaborare un piano di misure per il raggiungimento degli obiettivi di protezione e l'attuazione dei requisiti di sicurezza

d) controllare il funzionamento informatico e la sicurezza informatica rientranti nel loro ambito di competenza

5. Il responsabile della sicurezza informatica (ISB) della KSD è responsabile della costruzione, attuazione, implementazione e adattamento di tutti i principi di sicurezza per le operazioni informatiche e di telecomunicazioni della KSD come fornitore centrale di servizi IT e nei confronti di tutte le unità organizzative soggette a questo regolamento.

6. Il comitato tecnico della KSD nomina un comitato di sicurezza (Security-Board), composto da almeno tre persone, di cui almeno due specialisti esperti e informati in materia di sicurezza informatica. Questo comitato consiglia l'ISB, è organo di controllo delle attività dell'ISB e funge da organo di escalation ai sensi del § 16 paragrafo 1 di questo regolamento.

1. Per i sistemi informatici, le applicazioni e le informazioni valgono i seguenti obiettivi di protezione

a) Disponibilità: i sistemi informatici, le applicazioni, i dati o le informazioni sono accessibili e utilizzabili

b) Riservatezza: i dati o le informazioni sono accessibili solo alle persone autorizzate

c) Integrità: i sistemi informatici, le applicazioni, i dati o le informazioni sono protetti da modifiche non autorizzate. Tutti i dati e le informazioni sono completi e corretti

d) Tracciabilità: è possibile ricostruire in seguito una catena di eventi

e) Idoneità probatoria e sicurezza di revisione: secondo il § 12 comma 3 di questa regolazione

2. Il titolare della raccolta dati e il gestore di un database devono stabilire il fabbisogno di protezione dei dati e delle informazioni in base a questi obiettivi di protezione.

1. I sistemi informatici, le applicazioni, i dati e le informazioni devono essere classificati da tutte le unità organizzative soggette a questo regolamento secondo i seguenti criteri

a) Disponibilità: Durata dell'interruzione 3 giorni o più (livello basso); Durata dell'interruzione 1-3 giorni (livello medio); Durata dell'interruzione fino a un giorno (livello alto)

b) Riservatezza: Livello P (pubblico), Livello N (dati interni non classificati), Livello V (riservato), Livello G (particolarmente protetto)

c) Integrità: Portata di un compromesso nell'uso dei dati per diversi anni (livello molto alto); massimo fino a un anno (livello alto); ha un impatto significativo, ma non superiore a un anno, sui risultati aziendali (livello medio)

d) Tracciabilità: nessuna tracciabilità; tracciabilità anonima; tracciabilità personale

e) Adeguatezza della prova e sicurezza della revisione: tramite la firma elettronica e i periodi di conservazione

2. La KSD emette una direttiva relativa alla classificazione dei dati e delle informazioni.

3. I titolari di una raccolta di dati e gli operatori di una banca dati centrale sono autorizzati a perfezionare la classificazione per il loro ambito di competenza e ad emettere ulteriori direttive interne per la loro propria unità organizzativa.

1. I titolari di una raccolta di dati e i gestori di una banca dati centrale elaborano un piano delle misure organizzative e tecniche che garantisce il raggiungimento degli obiettivi di protezione individuati. Le misure si basano sui requisiti per il funzionamento e la sicurezza (§ 9 e seguenti) e sulle ulteriori disposizioni della KSD (§ 14 e § 17). In tal caso, si devono considerare il principio di proporzionalità, lo stato della tecnica e i mezzi disponibili.

2. Il piano delle misure contiene per tutti i sistemi informatici, applicazioni, dati o informazioni utilizzati le seguenti indicazioni

a) Obiettivi di protezione e classificazione

b) Contenuto

c) Costi

d) Responsabilità

e) Passaggi di attuazione e scadenze

f) Rischio residuo

g) Documentazione

1. I titolari di una raccolta di dati e gli operatori di una banca dati centrale informano i loro collaboratori sulle misure di sicurezza che devono rispettare.

2. Essi garantiscono un'istruzione periodica dei loro collaboratori.

1. Per prevenire la perdita, il danneggiamento e l'abuso di sistemi informatici, applicazioni, dati o informazioni e per prevenire un'interruzione delle attività aziendali, gli edifici, i locali e le attrezzature devono essere protetti dalle minacce alla sicurezza.

2. Il KSD garantisce che le violazioni dei principi di sicurezza secondo il presente regolamento possano essere tracciate e riprodotte in modo probante con uno sforzo ragionevole.

1. L'accesso ai sistemi informatici, applicazioni, dati o informazioni è regolato attraverso l'appartenenza a gruppi di autorizzazione e/o ruoli. Gli utenti sono inseriti nei gruppi di autorizzazione e/o ruoli necessari per l'esercizio delle loro attività. Devono autenticarsi nei sistemi informatici in modo conforme.

2. L'assegnazione dei diritti di accesso e il loro aggiornamento continuo sono di competenza e responsabilità del titolare di una raccolta di dati. I sistemi informatici devono essere in grado di autenticare gli utenti in base alle loro autorizzazioni.

3. I metodi di autenticazione devono essere costantemente adattati alla situazione di rischio e allo stato dell'arte.

1. I diritti di accesso dei dipendenti, appaltatori o utenti terzi ai sistemi informatici, applicazioni, dati o informazioni devono essere immediatamente revocati dal titolare di una raccolta di dati quando il loro impiego, incarico o l'uso corrispondente termina o viene accertato un abuso o una violazione dei principi di sicurezza secondo il presente regolamento.

2. In caso di modifica dell'impiego, dell'incarico o dell'uso, i diritti di accesso devono essere immediatamente adeguati dal titolare di una raccolta di dati.

1. La responsabilità per il salvataggio dei dati sui sistemi informatici centrali dell'amministrazione cantonale spetta alla KSD. Il salvataggio include

a) le identificazioni degli utenti e i loro diritti di accesso (oggetti)

b) le applicazioni specialistiche e i loro dati

c) gli archivi di dati

d) i dati di connessione del traffico Internet e e-mail

e) tutte le aree di dati e di programmi necessarie per la ricostruzione dei sistemi informatici

2. Il salvataggio dei dati può comprendere anche file di registrazione.

3. I dati salvati vengono conservati separatamente e in sicurezza e possono essere utilizzati per la ricostruzione di dati persi e valutati nell'ambito dei concetti di salvataggio stabiliti. La loro conservazione conforme alla legge, adatta come prova e sicura per le revisioni, così come l'archiviazione digitale a lungo termine, sono di competenza del responsabile di una raccolta dati.

4. La responsabilità per il salvataggio dei dati sui sistemi informatici locali o decentralizzati ricade sul responsabile di una raccolta dati.

1. La KSD può, nell'ambito di linee guida o istruzioni, definire o specificare ulteriormente i requisiti necessari per l'operatività e la sicurezza, in particolare riguardo a

a) la standardizzazione e l'organizzazione delle infrastrutture

b) la protezione degli accessi e le analisi di sicurezza

c) la comunicazione elettronica dei dati

d) lo scambio di dati

e) il backup e l'archiviazione dei dati

f) la garanzia dell'operatività aziendale

g) l'uso di Internet e della posta elettronica

h) la protezione dalle minacce come malware, virus informatici, ingegneria sociale, phishing, ecc.

i) i supporti di memorizzazione mobili e i dispositivi terminali

j) i requisiti per l'uso e le misure di sicurezza sui social media

k) la gestione da parte dei dipendenti dell'informatica sul posto di lavoro e al di fuori degli uffici

l) la gestione in caso di cessazione o modifica del rapporto di lavoro

m) nuove tecnologie e infrastrutture

2. La KSD può coinvolgere e ascoltare gli esperti dei titolari delle raccolte di dati per l'elaborazione di linee guida o istruzioni.

1. Eventuali irregolarità, comportamenti inspiegabili del sistema, perdita o modifica di sistemi informatici, applicazioni, dati o informazioni, sospetto di abuso della propria identificazione utente o altri eventi rilevanti per la sicurezza devono essere immediatamente segnalati al Responsabile della sicurezza informatica della KSD (RSI). Il RSI informa il Responsabile della protezione dei dati.

2. Il titolare di una raccolta di dati e il gestore di una banca dati centrale istituiscono procedure che consentano una rapida, efficace e pianificata individuazione e reazione agli eventi rilevanti per la sicurezza. La KSD fornisce loro supporto in tale ambito.

1. I titolari di una raccolta di dati e il gestore di una banca dati centrale verificano regolarmente, ma almeno una volta all'anno, gli obiettivi di protezione e la classificazione dei sistemi informatici, delle applicazioni, dei dati e delle informazioni che rientrano nel loro ambito di competenza, la conformità e l'adeguatezza delle misure di sicurezza, nonché i diritti di accesso.

2. Il titolare di una raccolta di dati e il gestore di una banca dati centrale mantengono aggiornate le documentazioni necessarie in conformità con il presente regolamento e informano adeguatamente e tempestivamente la KSD.

3. Qualora cambino le mansioni, l'organizzazione o i sistemi informatici, le applicazioni utilizzate o i dati e le informazioni trattati con essi, il titolare di una raccolta di dati e il gestore di una banca dati centrale adottano le necessarie modifiche (cfr. anche § 11).

4. Il titolare di una raccolta di dati e il gestore di una banca dati centrale possono, in coordinamento con la KSD, far esaminare ulteriormente gli obiettivi di protezione, la classificazione e le misure adottate da un ente esterno indipendente qualificato. La Finanza pubblica del Cantone e della Città di Sciaffusa, la KSD e il o la responsabile della protezione dei dati cantonale possono prendere visione dei rapporti.

1. Se il titolare di una raccolta di dati o il gestore di una banca dati centrale non concordano con le direttive del KSD, è necessario rivolgersi al Comitato di Sicurezza del KSD (§ 4 comma 6). Il Comitato di Sicurezza tenta di trovare una soluzione consensuale coinvolgendo la parte richiedente.

2. Se entro tre mesi dalla notifica della divergenza al Comitato di Sicurezza non si trova una soluzione consensuale, decide il Consiglio di Stato. Il garante della privacy può essere ascoltato in precedenza.

1. La KSD emette e pubblica tutte le istruzioni, linee guida o regolamenti necessari sull'utilizzo dei sistemi informatici, delle applicazioni, dei dati e delle informazioni, al fine di garantire un impiego e un funzionamento sicuro ed economico dell'informatica e per rendere concreti gli obiettivi di protezione e i requisiti di sicurezza.

2. La KSD supporta i detentori di una raccolta di dati e gli operatori di una banca dati centrale in tutti gli aspetti dell'esecuzione di questo regolamento.

1. I titolari di una raccolta di dati e il gestore di una banca dati centrale devono, entro due anni dall'entrata in vigore del presente regolamento, predisporre gli obiettivi di protezione (§ 5), la classificazione (§ 6) e il piano delle misure (§ 7) per tutti i sistemi informatici, le applicazioni, i dati e le informazioni, in coordinamento con la KSD.

1. Il Regolamento sulla protezione e la sicurezza dei dati presso la «KSD Elaborazione Dati Cantonale e Città di Sciaffusa» (Regolamento sulla protezione dei dati) del 22 aprile 1980 è abrogato.

1. Questo regolamento entra in vigore il 1º gennaio 2015.

2. Esso deve essere pubblicato nel Bollettino ufficiale e incluso nella raccolta legislativa cantonale.