Assistenza in protezione dai cyber-rischi

I servizi d’informazione e di comunicazione sono indispensabili per garantire l’approvvigionamento di beni e servizi d’importanza vitale in Svizzera. Per tutelare i gestori dai cyber-rischi, che costituiscono una minaccia crescente per questi servizi, l’Ufficio federale per l’approvvigionamento economico del Paese (UFAE) ha elaborato uno standard minimo.

Nell’ambito della Strategia nazionale per la protezione della Svizzera contro i cyber-rischi (SNPC) varata dal Consiglio federale nel 2012, l’UFAE ha analizzato la vulnerabilità ai cyber-rischi in svariati rami d’importanza vitale. Sono stati esaminati l’approvvigionamento di elettricità, acqua potabile e derrate alimentari, ma anche i trasporti su gomma e ferrovia. In base ai risultati l’UFAE ha elaborato uno standard minimo per rafforzare la resilienza informatica. È pensato in particolare per i gestori di infrastrutture critiche in Svizzera, ma può essere applicato da qualsiasi azienda.

Oltre 100 istruzioni concrete

Lo standard minimo per rafforzare la resilienza informatica comprende diverse funzioni (identificare, proteggere, intercettare, reagire e ripristinare) e offre agli utenti 106 istruzioni concrete per migliorare la resilienza informatica ai cyber-rischi. I provvedimenti proposti sono di natura organizzativa o tecnica, tra cui prescrizioni per stilare un inventario completo dell’hardware e del software, formare e addestrare i collaboratori, garantire la protezione dei dati, individuare con anticipo le minacce ecc.

Lo standard minimo per le TIC si ispira al Framework del NIST (National Institute of Standards and Technology, USA), riconosciuto a livello internazionale, ed è compatibile con altri standard di cybersicurezza. In collaborazione con diverse associazioni economiche lo standard minimo è stato integrato con le peculiarità di singoli rami. Per esempio esiste già una norma per il ramo dell’elettricità grazie al coinvolgimento dell’Associazione delle aziende elettriche svizzere (AES).

Diviso in diverse sezioni

Lo standard TIC comprende tre parti: La prima parte contiene informazioni pratiche sulla resilienza informatica e funge da guida di riferimento. La seconda parte, il “framework” offre agli utenti una ricca gamma di provvedimenti, suddivisi in cinque tematiche: identificare, proteggere, intercettare, reagire e ripristinare. E la terza parte, il tool di valutazione, permette alle aziende di misurare il proprio grado di resilienza informatica, o di farlo verificare da società esterne (audit).

Ulteriori informazioni e video!