Ordinanza sulla sicurezza delle informazioni (VIS) - Scopo e Obiettivi (VIS)

1. Questo regolamento disciplina la protezione dei sistemi informatici del Cantone contro i guasti di sistema e protegge le informazioni trattate con tali sistemi dalla perdita, dalla presa di conoscenza non autorizzata e dalle modifiche.

2. L'obiettivo principale è la conoscenza dei rischi attuali della sicurezza delle informazioni e il loro trattamento sistematico e proporzionato a costi adeguati.

3. I rischi individuati vengono valutati in modo uniforme a livello amministrativo e limitati a un rischio residuo accettabile tramite misure adeguate.

4. Un rischio che minaccia l'esistenza deve essere limitato a un livello economicamente accettabile. Se ciò non sembra possibile per motivi tecnici o finanziari, l'iniziativa deve essere rifiutata o interrotta.

5. La decisione circa l'ammissibilità di un rischio residuo e la sua copertura ideale spetta agli enti competenti in materia finanziaria.

6. I rischi sono sostenuti dalle unità di linea responsabili.

7. I rischi esistenti devono essere valutati complessivamente almeno ogni 3 anni e, se necessario, inseriti in una pianificazione migliorativa corrispondente.

1. Questo regolamento si applica alle direzioni e ai loro uffici (inclusi gli ospedali cantonali), alla cancelleria statale, al tribunale cantonale e alle scuole cantonali.

2. Si applica a tutti i sistemi informatici e alle informazioni elaborate su di essi.

3. Nella misura in cui non esistano altre norme, si applica anche alle informazioni non elaborate tramite informatica.

4. Nella collaborazione con organizzazioni e persone al di fuori dell'ambito di applicazione di questo regolamento, i principi qui stabiliti devono essere concordati contrattualmente per quanto possibile.

1. Le direzioni, la cancelleria di stato, il tribunale cantonale e le scuole cantonali possono stabilire requisiti di sicurezza più severi nel loro ambito di competenza.

2. Il gruppo di lavoro informatico (FGI) può concretizzare singoli aspetti di questo regolamento e emanare istruzioni complementari sulla sicurezza delle informazioni, in particolare per regolare le procedure da applicare, i requisiti minimi generalmente validi e per gestire i rischi di sicurezza derivanti dalla connettività.

3. L'FGI può concedere a singole istituzioni soggette a questo regolamento un maggiore grado di libertà, a condizione che

a. non ne derivi una maggiore minaccia per le restanti istituzioni;

b. venga gestito un proprio sistema di gestione della sicurezza delle informazioni di qualità conforme agli standard del settore e che annualmente vengano riportati i rischi esistenti per la sicurezza delle informazioni e la pianificazione delle migliorie;

c. almeno ogni 3 anni venga dimostrata la adeguatezza del management della sicurezza delle informazioni e dei rischi esistenti attraverso un ente indipendente a favore del o della responsabile centrale della sicurezza delle informazioni.

4. Il grado di libertà maggiore concesso può essere revocato se non sono più soddisfatte le condizioni.

1. Gli operatori dei sistemi informatici sono i prestatori di servizi.

2. Gli utenti dei sistemi informatici sono i beneficiari dei servizi.

1. **Informazioni ai sensi del presente regolamento** sono dati di qualsiasi tipo che sono significativi per i beneficiari o i fornitori di servizi.

2. **Le informazioni vengono classificate** sulla base di una griglia in base al loro bisogno di protezione.

3. **I criteri per la classificazione** sono la riservatezza, l'integrità e la disponibilità delle informazioni. Sono stabiliti in modo uniforme a livello amministrativo.

1. La sicurezza informatica serve alla protezione delle informazioni elaborate elettronicamente.

1. Le strutture fisiche necessarie per il funzionamento dell'infrastruttura informatica devono essere protette.

1. I beneficiari delle prestazioni e i prestatori di servizi stabiliscono tutte le condizioni relative al servizio, in particolare anche le condizioni per garantire la sicurezza delle informazioni, in un Service Level Agreement scritto.

2. Le misure di sicurezza devono essere stabilite per iscritto.

1. La consapevolezza della sicurezza dei dipendenti deve essere regolarmente addestrata e deve essere coltivata una cultura della sicurezza.

1. Si dovrebbe mirare a una gestione della sicurezza delle informazioni conforme alle norme della famiglia ISO 27000.

1. Le misure di protezione devono sempre essere proporzionate al possibile danno in modo economicamente ragionevole.

1. Nell'ambito di progetti e adattamenti di sistemi, l'ente responsabile deve stabilire e considerare preventivamente i requisiti per la sicurezza delle informazioni. Si applicano le linee guida secondo la metodologia di gestione dei progetti HERMES.

2. Un progetto può essere considerato concluso solo quando la sicurezza delle informazioni è garantita in misura sufficiente anche durante l'operatività e in occasione di lavori di adattamento successivi.

3. Per l'autorizzazione all'esercizio, è necessario disporre di una valutazione del rischio da parte di un esperto neutrale e di una conferma da parte del ricevente della prestazione dell'assunzione dei rischi residui.

1. Linee guida e direttive per l'utilizzo dell'informatica devono essere ulteriormente sviluppate dalla FGI e regolarmente monitorate per garantirne la conformità.

1. I costi per la sicurezza informatica fanno parte dei costi di progetto e di funzionamento e devono essere di conseguenza inclusi nel budget.

1. Le misure di sicurezza sono di natura organizzativa, tecnica o fisica.

2. Devono essere eseguite in modo sistematico e in un quadro concettuale, oltre ad essere documentate per iscritto.

3. Per tutte le applicazioni, i progetti e le raccolte di dati viene mantenuto un elenco centrale con informazioni rilevanti per la sicurezza. Il/la responsabile della sicurezza informatica della direzione (DIT-SiBe) ha accesso al portafoglio o lo gestisce personalmente.

1. Nell'approvvigionamento di mezzi informatici per la gestione dei dati personali, occorre tenere adeguatamente conto dell'amichevolezza nei confronti della protezione dei dati delle tecnologie.

2. Prima dell'acquisto di mezzi informatici per questo scopo, è necessario consultare l'autorità competente per la protezione dei dati.

1. Durante la valutazione delle soluzioni di sicurezza viene valutata anche la loro facilità d'uso.

1. I profili utente devono limitare l'accesso alle informazioni necessarie per il completamento dei compiti.

1. I soggetti che ricevono e quelli che forniscono le prestazioni elaborano ciascuno i propri piani di emergenza e li coordinano tra di loro.

2. I piani di emergenza disciplinano le procedure da seguire in caso di interruzione dei sistemi informatici che si protrae oltre i requisiti di disponibilità definiti.

1. Tutti i dipendenti sono responsabili della salvaguardia della sicurezza nell'ambito delle loro attività.

1. La pianificazione e il coordinamento dell'informatica (IPK) assumono le funzioni del/della responsabile centrale della sicurezza delle informazioni (KIT-SIBE).

2. Il/la KIT-SIBE

a. coordina tutti gli aspetti della sicurezza delle informazioni a livello cantonale e inter-cantonale;

b. è a disposizione per la verifica dei requisiti e la supervisione nel campo della sicurezza delle informazioni, ma non è responsabile della loro attuazione;

c. redige periodicamente, almeno ogni 3 anni, un rapporto sui rischi e una pianificazione complessiva delle misure;

d. coordina tra le direzioni, la Cancelleria di Stato, il Tribunale cantonale e le scuole cantonali e fornisce procedure uniformi per la gestione della sicurezza delle informazioni e dell'informatica.

1. Ogni direzione, la cancelleria dello Stato, il tribunale cantonale e le scuole cantonali nominano un responsabile per la sicurezza delle informazioni o una responsabile per la sicurezza delle informazioni (DIT-SIBE).

2. Il o la DIT-SIBE coordina a livello di direzione, nell'ambito delle proprie mansioni, competenze e responsabilità, le questioni di sicurezza nel settore della sicurezza delle informazioni con particolare attenzione all'informatica e le armonizza con il o la KIT-SIBE centrale.

1. I beneficiari stabiliscono in accordo con il/la DIT-SIBE i requisiti di sicurezza per progetti, applicazioni e raccolte di dati e organizzano, coinvolgendo i committenti e i partner contrattuali, controlli periodici sull'attuazione delle misure di sicurezza.

2. Le direzioni, la cancelleria di Stato, il tribunale cantonale e le scuole cantonali sono responsabili affinché il loro personale conosca adeguatamente le autorità/organi competenti e le procedure di sicurezza delle informazioni nella gestione cantonale.

3. I fornitori di servizi devono rispettare le direttive definite dai beneficiari.

4. I responsabili assicurano che le misure di sicurezza nell'operazione delle tecnologie dell'informazione e della comunicazione vengano implementate su tutti i sistemi e per tutte le persone coinvolte.

5. Le responsabilità a livello operativo sono dettagliatamente riportate nei contratti di progetto e negli Accordi sul Livello di Servizio tra i beneficiari e i fornitori di servizi.

6. Il/la beneficiario/a deve effettuare, per conto del/la DIT-SIBE, una verifica periodica delle misure di sicurezza informatica attuate e dei rischi di sicurezza presenti presso di sé e presso il fornitore di servizi.

1. Le direzioni, la cancelleria di Stato, il tribunale cantonale e le scuole cantonali sono responsabili di proteggere adeguatamente le informazioni trattate nell'ambito delle loro competenze, secondo le istruzioni esistenti.

1. I dipendenti sono responsabili del rispetto delle normative sulla sicurezza nell'ambito delle loro mansioni.

2. In quanto autori delle informazioni, sono incaricati della loro classificazione e protezione.

1. Le Direzioni, la Cancelleria di Stato, il Tribunale cantonale e le scuole cantonali verificano almeno ogni 3 anni se le misure di sicurezza siano adeguate e se siano state attuate.

2. I risultati vengono riportati all'attenzione del/della KIT-SIBE e dell'ufficio di vigilanza sulla protezione dei dati.

3. Esiste un programma di miglioramento continuo.

1. Questo regolamento è attuato gradualmente in base ai rischi esistenti.

2. Entro 24 mesi dall'entrata in vigore di questo regolamento, devono essere

a. implementati l'organizzazione e le procedure per determinare le misure appropriate e i rischi esistenti;

b. adottate misure con un ottimo rapporto costo-beneficio;

c. creato il 1° rapporto sulla sicurezza delle informazioni;

d. preparata la 1ª versione del programma di miglioramento continuo a beneficio del Consiglio del Governo.

3. Le altre misure devono essere attuate il più rapidamente possibile.

4. Il/la responsabile della sicurezza informatica (KIT-SIBE) elabora insieme al FGI il programma di miglioramento continuo.

1. Il presente regolamento entra in vigore il 30 giugno 2008.