Ordinanza sulla sicurezza delle informazioni (ISV) - Oggetto e Scopo (ISB)

1. Questo regolamento disciplina la sicurezza delle informazioni nel Canton Basilea Città.

2. La sicurezza delle informazioni mira a garantire la riservatezza, l'integrità e la disponibilità delle informazioni, nonché la tracciabilità e la trasparenza delle azioni o dei processi riguardanti tali informazioni attraverso misure adeguate.

1. Questo regolamento si applica alle unità organizzative del Cantone ai sensi del § 3 comma 1 lett. a IDG, ad eccezione dei tribunali.

1. Il Consiglio dei Ministri è responsabile complessivamente della sicurezza delle informazioni.

2. Esso stabilisce la strategia per la sicurezza delle informazioni e gestisce l'attuazione di tale strategia attraverso un sistema di gestione della sicurezza delle informazioni, assicurando un adeguamento tempestivo alle circostanze mutevoli.

1. L'organo direttivo per la sicurezza delle informazioni assiste il Consiglio di Governo come organo consultivo e presenta le proposte per l'adeguamento della strategia di sicurezza delle informazioni. La o il presidente dell'organo direttivo per la sicurezza delle informazioni riferisce al Consiglio di Governo una volta all'anno sui risultati raggiunti rispetto agli obiettivi della strategia nei dipartimenti.

2. L'organo direttivo per la sicurezza delle informazioni emana direttive e ne controlla l'osservanza tramite una relazione annuale da parte del o della responsabile cantonale per la sicurezza delle informazioni (ISB).

3. Decide in via definitiva sulle eccezioni alle misure di sicurezza delle informazioni.

1. L'ISB o la ISB conduce la centrale specializzata per la sicurezza delle informazioni e ha i seguenti compiti

a) l'elaborazione della strategia di sicurezza delle informazioni tenendo conto della strategia informatica cantonale;

b) la stesura di un rapporto annuale sulla sicurezza delle informazioni da inviare all'organo di controllo per la sicurezza delle informazioni;

c) la rilevazione dei rischi di sicurezza delle informazioni a livello cantonale basata su metodi riconosciuti;

d) la verifica delle analisi del fabbisogno di protezione e di rischio effettuate dalle o dai titolari dei dati e la raccomandazione di misure di riduzione del rischio;

e) la creazione e l'aggiornamento di un elenco dei patrimoni informativi e delle applicazioni di informazione e comunicazione (applicazioni ICT) esistenti, inclusa la lista dei rispettivi titolari dei dati responsabili, del livello di protezione nonché la gestione di un registro dei rischi e delle eccezioni;

f) la direzione della Commissione sicurezza delle informazioni;

g) il supporto dell'organo di controllo per la sicurezza delle informazioni e dei dipartimenti nello svolgimento dei loro compiti per il rispetto della sicurezza delle informazioni;

h) l'esecuzione di verifiche sulla sicurezza delle informazioni nei dipartimenti in accordo con il fornitore centrale di servizi;

i) la decisione in prima istanza sulle autorizzazioni eccezionali di misure di sicurezza delle informazioni - le autorizzazioni devono avere una durata limitata nel tempo;

j) l'elaborazione delle disposizioni di esecuzione per l'attuazione della strategia di sicurezza delle informazioni.

1. La Commissione per la Sicurezza delle Informazioni supporta l'organo di governo per la sicurezza delle informazioni e il/la responsabile ISB nell'espletamento dei compiti tattici loro assegnati.

2. Coordina le attività dei delegati dipartimentali per la sicurezza delle informazioni (ISBD) e sviluppa campagne di sensibilizzazione a favore dell'organo di governo per la sicurezza delle informazioni.

1. I dipartimenti garantiscono l'attuazione operativa della strategia di sicurezza delle informazioni con misure adeguate e con il sistema di gestione della sicurezza delle informazioni, nonché una rendicontazione annuale alla o al ISB.

2. Ogni dipartimento nomina una o un ISBD, che supporta i dipartimenti nell'attuazione delle misure e nella redazione dei rapporti conformemente al comma 1.

3. I compiti dei dipartimenti comprendono in particolare

a) la messa a disposizione delle risorse finanziarie e personali per l'attuazione delle misure di sicurezza delle informazioni;

b) la creazione di un elenco delle risorse informative e delle applicazioni ICT esistenti, dei loro livelli di protezione, incluso l'indicazione del responsabile dei dati o della responsabile dei dati, nonché un registro dei rischi;

c) l'aggiornamento regolare dell'elenco secondo la lettera b e la comunicazione delle modifiche alla o al ISBD.

1. La responsabilità per la gestione delle informazioni spetta all'organo pubblico che elabora le informazioni per adempiere ai suoi compiti legali. Questo è in particolare incaricato della determinazione della necessità di protezione dei patrimoni informativi esistenti e delle applicazioni ICT secondo gli obiettivi di protezione di cui al § 8 comma 2 IDG. Se una tale determinazione rivela una necessità di protezione che va oltre la protezione di base, deve essere effettuata un'analisi dei rischi inclusa un piano di misure per la riduzione del rischio.

2. Il piano di misure deve essere rivisto annualmente per verificare la sua adeguatezza e attualità e deve contenere almeno le seguenti regolamentazioni come parte della protezione di base

a) la creazione e gestione di un concetto di accesso e autorizzazione;

b) la conservazione e l'eliminazione dei dati nel rispetto delle normative di archiviazione;

c) lo scambio sicuro di informazioni con terzi;

d) l'inclusione dei dipendenti nel processo di sicurezza e

e) la documentazione delle eccezioni autorizzate e respinte alle misure di sicurezza delle informazioni, nonché del registro dei rischi.

3. La proprietaria o il proprietario dei dati riferisce sull'attuazione delle misure di sicurezza delle informazioni nel contesto della rendicontazione annuale dipartimentale.

1. Il o la ISBD

a) è il referente per l'ISB e il responsabile della protezione dei dati;

b) conduce e aggiorna un registro dei rischi a livello di Dipartimento e documenta le autorizzazioni eccezionali;

c) verifica l'implementazione delle misure di sicurezza organizzative e tecniche;

d) raccomanda misure di sicurezza da implementare;

e) è il punto di riferimento centrale per le questioni di sicurezza nel campo delle applicazioni ICT;

f) supporta la direzione del Dipartimento nella redazione delle direttive di sicurezza organizzative;

g) assiste il proprietario o la proprietaria dei dati affinché le informazioni nel Dipartimento siano protette da misure organizzative e tecniche adeguate;

h) gestisce le verifiche di sicurezza interne ed esterne;

i) segnala le lacune tecniche nella sicurezza delle informazioni all'ISB;

j) rappresenta il Dipartimento nella Commissione sicurezza delle informazioni;

k) organizza eventi informativi sulla sicurezza delle informazioni a livello di Dipartimento.

1. Il fornitore centrale dei servizi è responsabile dello sviluppo, dell'acquisizione, della fornitura, della manutenzione delle applicazioni ICT, nonché del rispetto e dell'attuazione delle direttive nel settore della sicurezza delle informazioni, che i dipartimenti necessitano per adempiere i loro compiti legali in conformità con le disposizioni legali in materia di protezione dei dati e sicurezza delle informazioni, purché tali applicazioni non siano acquisite in modo decentralizzato.

2. Qualora le applicazioni ICT siano fornite da terzi, è necessario garantire che queste rispettino le direttive secondo comma 1.

3. Il fornitore centrale dei servizi redige il relativo rapporto secondo § 7 comma 1.

4. Il responsabile della sicurezza delle informazioni del fornitore centrale dei servizi (ISBZ) assume presso di questo le funzioni del o della ISBD.

5. Il fornitore centrale dei servizi è autorizzato a fornire servizi a terzi al di fuori dell'ambito di applicazione secondo § 2, se questi si impegnano a garantire almeno le direttive di sicurezza cantonali. Il fornitore centrale dei servizi è autorizzato a effettuare o delegare i controlli corrispondenti.