Risoluzione della Commissione di Stato sull'uso dell'informatica - Ambito di applicazione

1. Questa delibera regola l'uso dell'informatica da parte dei dipendenti cantonali nell'ambito del loro impiego.

2. La delibera si applica anche al centro sanitario di Appenzell. I compiti e i diritti del capo del dipartimento secondo questa delibera sono esercitati dal direttore dell'ospedale.

3. Nei corpi e nelle imprese con un diritto contrattuale di utilizzo dei mezzi informatici cantonali, l'autorità o la direzione dell'azienda competente garantisce che, nell'uso da parte dei membri delle loro autorità o dei dipendenti, siano rispettate le disposizioni contenutistiche dei capitoli II e III di questa delibera.

4. Per i membri della commissione degli stadi si applica per analogia il comma 3.

1. La Commissione di Stato nomina un responsabile della sicurezza informatica e un supplente per l'amministrazione cantonale. Con l'accordo degli enti e delle imprese collegati alla rete AINet, essi possono esercitare la loro funzione anche per questi ultimi.

1. I mezzi informatici sono dispositivi e loro parti che possono essere impiegati nell'elaborazione, memorizzazione o trasmissione di dati elettronici.

2. Sono considerati mezzi informatici in particolare

1. Computer di ogni tipo, inclusi notebook, assistenti digitali e smartphone;

2. Supporti di memorizzazione di ogni tipo, ad esempio hard disk, dischetti o chiavette USB;

3. AINet, Internet e servizi di posta elettronica;

4. Dati elettronici e programmi.

1. L'uso degli strumenti informatici è destinato a fini aziendali.

2. L'uso privato è consentito occasionalmente. Non deve né compromettere le prestazioni del dipendente né l'infrastruttura informatica, né arrecare oneri aggiuntivi al datore di lavoro o comportare rischi per la sicurezza. Può essere limitato o vietato in casi giustificati.

1. L'archiviazione dei dati sui dispositivi collegati all'AINet deve essere eseguita su un'unità server del Cantone.

2. I dati privati devono essere generalmente archiviati su supporti di dati privati, ad esempio su una chiavetta USB appositamente destinata a tale scopo.

3. Non è consentito l'archiviazione di dati aziendali su sistemi remoti, come ad esempio in cloud.

1. Programmi e dispositivi sono considerati estranei se non sono stati forniti dal Cantone o non sono espressamente autorizzati dall'Ufficio per l'informatica (AFI).

2. Non devono essere installati programmi estranei né collegati dispositivi estranei, a meno che l'incarico lavorativo non richieda tale utilizzo.

3. I dati riservati di natura aziendale devono essere memorizzati su dispositivi estranei in forma criptata e devono essere immediatamente eliminati da tali dispositivi quando non sono più necessari.

1. I dipendenti proteggono i mezzi informatici da loro utilizzati secondo lo stato della tecnica contro l'uso non autorizzato, in particolare tramite

1. il blocco dei computer o la disconnessione dal sistema quando si lascia il posto di lavoro;

2. la riservatezza delle password personali;

3. la custodia e il monitoraggio accurato dei dispositivi mobili.

2. I programmi, i file, le e-mail e gli allegati sospettati di contenere virus non devono essere aperti o inoltrati e devono essere eliminati. In caso di dubbio, è possibile consultare l'AFI.

3. I dipendenti informano immediatamente il superiore in caso di rischi relativi alla sicurezza, ad esempio dopo la perdita di un dispositivo mobile.

1. I mezzi informatici non possono essere aperti contemporaneamente nell'AINet e in un'altra rete, ad esempio in una rete pubblica senza fili.

1. Le modifiche ai mezzi informatici forniti, in particolare alla configurazione dell'hardware, alle impostazioni di sistema e al software, nonché l'aggiramento o la rimozione delle misure di sicurezza, non sono consentite.

2. La copia dei programmi è vietata, fatta eccezione per le copie di sicurezza effettuate dall'AFI.

1. In caso di cessazione del rapporto di lavoro, i mezzi informatici messi a disposizione devono essere restituiti in ordine.

2. I dati e le e-mail privati devono essere cancellati. Per i dati e le e-mail professionali si deve procedere secondo le istruzioni del superiore.

3. Se il dipendente uscente non adempie a questi obblighi, l'AFI può, in accordo con il superiore, sgomberare i mezzi informatici.

1. L'AFI può, in casi giustificati e in accordo con il superiore, permettere eccezioni alle restrizioni previste da questo capitolo.

2. La Commissione per la strategia informatica del Cantone può emanare linee guida per l'uso dei mezzi informatici e per un utilizzo sicuro degli stessi.

1. L'utilizzo di Internet e l'accesso ai siti web sono vietati se compromettono il lavoro, sovraccaricano l'infrastruttura informatica, comportano rischi per la sicurezza o violano la legge o i buoni costumi.

2. La Commissione di strategia informatica del Cantone stabilisce gli usi e gli accessi vietati nell'ambito di questa disposizione in un elenco che deve essere comunicato e reso accessibile ai dipendenti in forma appropriata. Gli usi e gli accessi vietati possono essere bloccati elettronicamente.

3. È considerato vietato in particolare l'accesso a siti web con contenuti erotici o pornografici o con contenuti che esaltano la violenza, razzisti, sessisti o estremisti.

1. Il reindirizzamento automatico delle e-mail verso indirizzi e-mail esterni è vietato.

2. L'AFI può limitare il numero dei destinatari e la dimensione degli allegati per motivi operativi o tecnici.

1. Il capo del dipartimento può consentire eccezioni alle restrizioni di questo capitolo per motivi commerciali.

1. L'AFI è autorizzato a registrare i dati di traffico degli accessi a Internet e della corrispondenza e-mail.

2. In caso di accessi a Internet, è consentito registrare i nomi utente, gli indirizzi Internet visitati, l'ora e la data dell'accesso, nonché le dimensioni dei file scaricati.

3. Nella corrispondenza e-mail, è possibile registrare gli indirizzi del mittente e del destinatario, la riga dell'oggetto, l'ora e la data della trasmissione, la dimensione delle e-mail e la denominazione e dimensione degli allegati.

4. I dati di controllo saranno eliminati, salvo i casi sospetti, entro e non oltre 12 mesi.

1. I dipendenti che rilevano segni di una violazione di questa delibera o di una norma penale hanno il diritto di segnalare al responsabile della sicurezza informatica.

2. L'AFI e il responsabile della sicurezza informatica hanno il diritto di informare gli enti responsabili sui segni rilevati.

3. Fatte salve le denunce penali ai sensi dell'art. 15 della legge introduttiva al Codice di procedura penale svizzero (EG StPO).

1. In caso di indizi di violazioni, devono essere esaminate misure tecniche o organizzative per prevenire ulteriori violazioni.

2. Il responsabile della sicurezza informatica può ordinare una valutazione personalizzata dei dati di controllo da parte dell'AFI in caso di indizi di una violazione.

3. Il responsabile della sicurezza informatica notifica l'esecuzione di una valutazione personalizzata al dipendente interessato e al rispettivo capo del dipartimento. Il dipendente ha il diritto di consultare i dati e i risultati.

4. Se il sospetto non è confermato dalla valutazione dei dati disponibili, la valutazione personalizzata deve essere interrotta. I dati personali devono essere immediatamente cancellati. Il responsabile della sicurezza informatica informa il dipendente interessato e il rispettivo capo del dipartimento.

1. In caso di violazione, il responsabile della sicurezza informatica informa la persona responsabile, il suo superiore e il rispettivo capo dipartimento.

2. I dati personali che documentano una violazione vengono conservati e annotati nel fascicolo personale.

1. Il Responsabile della Sicurezza Informatica può disporre valutazioni di dati personali, nella misura in cui ciò sia indispensabile per determinare le cause dei problemi tecnici o per garantire la funzionalità del sistema informatico.

2. È necessario informare le persone interessate solo se ci sono indicazioni che la causa dei problemi tecnici e la minaccia alla funzionalità siano violazioni della presente decisione.

1. In caso di violazioni contro questa decisione, oltre alle conseguenze penali, vi sono misure disciplinari e richieste di risarcimento danni.

2. L'AFI, in accordo con il superiore, può in particolare

1. ritirare o limitare l'uso dei mezzi informatici;

2. limitare o bloccare l'accesso a Internet o alle e-mail;

3. bloccare o eliminare dati o programmi.

1. Questa delibera sostituisce le precedenti direttive per gli utenti di informatica, in particolare le linee guida per le utilizzatrici e gli utilizzatori di informatica.

1. Questa delibera entra in vigore il 1º agosto 2013.