Wortlaut

Il fatto che la RUAG specializzata negli ambiti "cyber" e "sicurezza" è stata vittima di un cyberattacco da parte di criminali anonimi risulta particolarmente problematico. Il 23 maggio 2016 il Consiglio federale ha informato sui primi risultati in relazione all'attacco di cyberspionaggio contro la RUAG. Ciò nondimeno, alcune questioni rimangono ancora aperte.

Il Consiglio federale è pertanto invitato a rispondere alle seguenti domande:

1. Come e perché è stato possibile che gli hacker abbiano potuto accedere a dati dell'amministrazione federale attraverso la RUAG? I sistemi informatici della RUAG e dell'amministrazione federale non dovrebbero essere separati meglio?

2. Negli scorsi anni sono già stati effettuati a più riprese cyberattacchi contro l'amministrazione federale, tra l'altro contro il DFAE.

a. In occasione di tali attacchi è stato utilizzato lo stesso malware?

b. Cosa intendono fare il Consiglio federale e in particolare il DDPS affinché in futuro si possano impedire simili cyberattacchi?

c. Esiste una "best practice" nei confronti del rischio di cyberattacchi e, in caso affermativo, la Confederazione si basa su di essa?

3. In che misura il Consiglio federale vede una necessità di effettuare un controllo generale di sicurezza dell'architettura dei sistemi informatici (centralizzazione dei dati, ecc.) per individuare possibili punti deboli e i rischi corrispondenti in materia di sicurezza?

4. Il Consiglio federale ritiene che la Centrale d'annuncio e d'analisi per la sicurezza dell'informazione (Melani) sia sufficiente oppure sono necessari ulteriori o nuovi competenze o servizi specializzati per la protezione di installazioni rilevanti per la sicurezza o una collaborazione più intensa con il settore privato?

5. La Svizzera non può combattere da sola la cybercriminalità.

a. Il Consiglio federale ritiene che gli accordi vigenti per la lotta contro la cybercriminalità siano sufficienti?

b. In che misura è possibile o occorrerebbe rafforzare la cooperazione internazionale in merito?

6. Il Consiglio federale come può garantire che la strategia nazionale per la protezione della Svizzera contro i cyber-rischi (SNPC) venga applicata in maniera unitaria da tutti i dipartimenti?

7. Sono noti altri cyberattacchi, intercettazioni, ecc. sui quali il pubblico non è stato finora informato?

Stellungnahme des Bundesrates

1. L'obiettivo dell'attacco era la RUAG, non l'amministrazione federale. Allo stato attuale delle conoscenze non risulta che vi è stato un accesso alle reti dell'amministrazione federale. Il Consiglio federale ha già ordinato una verifica della separazione delle reti.

2.a. L'analisi tecnica permette di concludere che si tratta della stessa famiglia di malware.

2.b. Non è possibile impedire in tutti i casi attacchi di questa portata. L'importante è un processo di gestione dei rischi efficiente che tenga conto dei processi critici e delle informazioni sensibili affinché si possano minimizzare anche i danni causati da un attacco riuscito. Questo caso ha altresì dimostrato quanto importante è la cooperazione nell'ambito di simili eventi in Svizzera e all'estero.

2.c. Sulla base della strategia nazionale per la protezione della Svizzera contro i cyberrischi (SNPC), la Confederazione utilizza vari strumenti per l'individuazione e la minimizzazione dei rischi informatici. Nella SNPC sono state definite 16 misure che si estendono su tutti i livelli e che si focalizzano altresì sugli eventi a livello internazionale. L'Ufficio federale della protezione della popolazione e l'Ufficio federale per l'approvvigionamento economico del Paese eseguono analisi dei rischi e della vulnerabilità basandosi sulla guida alla protezione delle infrastrutture critiche, che tiene conto degli standard e delle "best practice" usuali. Sulla base dei risultati di queste analisi vengono elaborate, unitamente alle autorità e ai gestori di infrastrutture critiche, misure volte a migliorare la capacità di resistenza e di rigenerazione.

3. Il Consiglio federale vede tale necessità e ha emanato direttive corrispondenti in materia di sicurezza TIC. Esse prevedono che per ogni sistema informatico in seno all'amministrazione federale si determini la necessità di protezione e si stabiliscano e applichino le necessarie misure di sicurezza. In tale contesto viene anche controllata l'architettura e sono identificati i punti deboli e i rischi in materia di sicurezza. Nell'ambito delle verifiche sull'efficacia della SNPC è stato possibile desumere ulteriori misure.

4. Il partenariato pubblico-privato (PPP) gestito da Melani congiuntamente all'economia costituisce l'approccio giusto per una collaborazione efficiente con il settore privato e va ulteriormente intensificato. In tale contesto ci si basa in primo luogo sulle strutture e le forme di collaborazione esistenti e sull'ulteriore rafforzamento delle competenze di cui già si dispone. Il PPP è stato avviato con la creazione nel 2014 dell'associazione "Swiss Cyber Experts" che raggruppa le perizie di economia, amministrazione e scienza.

5. La cybercriminalità può essere combattuta con successo soltanto nell'ambito di una cooperazione internazionale. Nel 2012 la Svizzera ha aderito alla "Convenzione del Consiglio d'Europa sulla cibercriminalità". Ciò facilita la cooperazione con gli altri Paesi nella lotta contro la cybercriminalità. L'Ufficio federale di polizia (Fedpol) collabora altresì strettamente con le organizzazioni di polizia internazionali Interpol ed Europol. In tale contesto il Centro europeo per la lotta alla criminalità informatica (EC3) costituisce un'importante interfaccia. Inoltre, Fedpol aderirà alla rete di organi di contatto del G-7 contro la cybercriminalità, che dovrebbe facilitare lo scambio di informazioni con molti Paesi per esempio in Asia o in Africa.

La ratificazione della Convenzione del Consiglio d'Europa è aperta - su invito - anche a Stati che non sono membri del Consiglio d'Europa. La Svizzera si impegna in vista di un ulteriore sviluppo della convenzione e partecipa a un gruppo di lavoro del Consiglio d'Europa dedicato al tema "Evidence in the cloud" e all'accesso a dati al di fuori dei confini nazionali.

Inoltre esistono anche altre iniziative per la lotta alla cybercriminalità a cui partecipa la Svizzera, per esempio la "Global Alliance against Child Sexual Abuse Online" e la "Virtual Global Task Force". Questa alleanza è stata lanciata nel 2012 sulla base di un'iniziativa congiunta dell'UE e degli USA e conta, nel frattempo, 54 Stati membri tra cui la Svizzera (rappresentata dalla Fedpol). Il suo obiettivo consiste nel rafforzamento della cooperazione internazionale nella lotta contro l'abuso sessuale di minori on line.

Il Consiglio federale ritiene che queste misure bastano per lottare effettivamente anche in futuro contro la cybercriminalità.

6. A livello strategico l'applicazione della SNPC è seguita da vicino da un comitato interdipartimentale di pilotaggio e a livello operativo è appoggiata dal Servizio di coordinamento SNPC. Quest'ultimo informa semestralmente il Consiglio federale ed è inoltre il committente della verifica dell'efficacia che è effettuata attualmente da una ditta esterna. I primi risultati saranno disponibili nell'autunno 2016. La verifica dell'efficacia permetterà di valutare se la SNPC ha portato a effetti positivi, se l'approccio decentralizzato ha dato buoni risultati e quale sarà l'ulteriore modo di procedere.

7. Attualmente cyberattacchi di vari tipi hanno luogo quotidianamente. Pertanto, il Consiglio federale è consapevole che non è possibile venire informato su ognuno dei numerosi attacchi. Il Consiglio federale è informato su tutti gli attacchi importanti.

Risposta del Consiglio federale.