15.3.93 GazzettaufficialedelleComunitàeuropee N.C73/19
—ilnumerodeipostidilavoroandatipersipotrebbe
sembrareridottoseparagonato alleperditemassicce
diimpieghidellegrandiimprese,maleripercussioni
sullePMIpotrebbero esserebenpiùgravi.—c'èilpericolochegliappaltatori faccianoricorso
allefontidirifornimento menocaredeipaesiterzi,
—nonostante lalorocapacitàdiadattamento ,lePMI
hannobisognodiessereaiutateconprogrammi di
diversificazione ,
FattoaBruxelles ,il27gennaio1993.
IlPresidente
delComitato economico esociale
SusanneTIEMANN
Parereinmeritoallapropostadiraccomandazione delConsigliorelativaacritericomuni
perlavalutazione dellasicurezzadelletecnologiedell'informazione (ITSEC)
(93/C73/05)
IlConsiglio ,indata29settembre 1992,hadeciso,conformemente aldispostodell'articolo
198delTrattatocheistituiscelaComunità economica europea,diconsultare ilComitato
economico esocialeinmeritoallapropostadicuisopra.
LaSezione«Industria,commercio ,artigianato eservizi»,incaricata dipreparare ilavoriin
materia,haformulato ilpareresullabasedelrapportointroduttivo dellaRelatriceDame
JocelynBarrow,indata6gennaio1993.
IlComitatoeconomico esocialehaadottatoall'unanimità il27gennaio1993,nelcorsodella
302asessioneplenaria,ilseguenteparere.
(iii)arivederelemisurepropostedopoilbiennioinizia­
leeproporrenuoveazioniopportune alivello
comunitario sullabasedelleraccomandazioni del
Sogis.
1.3.L'ITSECcomprende criteristandardperlavalu­
tazionedellasicurezzadeiprodottiedeisistemidiTdl,
tantoalivellodihardware chedisoftware .1.Introduzione
1.1.LapropostadellaCommissione intendegaranti­
reunamaggiorefiduciadeiconsumatori nellecaratteri­
stichedisicurezzadeiprodottidelletecnologiedell'in­
formazione ,istituendoparametriinbaseaiqualivaluta­
relecaratteristiche disicurezzaditaliprodotti.Essa
portaavantiillavorogiàsvoltonegliStatimembri,
negliStatiUnitieinGiapponesullosviluppodeicriteri
divalutazione dellasicurezzadelletecnologie dell'infor­
mazione .
1.2.Laraccomandazione delConsiglio inesameè
volta
(i)adadottarenell'interaComunità ,perunperiodo
inizialedidueanni,criteriperlavalutazione della
sicurezza delletecnologie dell'informazione
(«ITSEC»);
(ii)asviluppare ,sottogliauspicidelSOGIS(Senior
OfficiaisGroupforSecurityofInformation
Systems=Gruppod'altifunzionari competente
inmateriadisicurezzadeisistemid'informazione ),
l'armonizzazione el'uniformazione alivellointer­
nazionaledeicriteridicuisopra;ed,inoltre,1.4.Talicriteridovrannoessereapplicaticonforme­
menteaglischeminazionalidicertificazione daparte
dientinazionaliindipendenti edimparziali divalutazio­
nesurichiestadiuno«sponsor»(chedinormasaràil
venditoreol'utentedelprodotto,ecioèdelsistemadi
Tdl).Laprocedura dicertificazione èquindiinteramen­
tevolontaria .
1.5.Lasicurezzadellatecnologia dell'informazione
sicomponeditreelementi :
—riservatezza :prevenire ladivulgazione illecitadel­
l'informazione ,

N.C73/20 GazzettaufficialedelleComunità europee 15.3.93
—integrità :prevenirelamanipolazione illecitadell'in­
formazione ,
—accessibilità :prevenirechesiaillecitamente omessa
lacomunicazione d'informazioni orisorse.
1.6.Sitrattadicriteridisicurezza chenullahanno
achevedereconirequisitifisici(qualilucchettio
catenacci),macomprendono hardware ,software e
firmware ,tantoperiprodotticheperisistemidella
Tdl.
1.7.Unosponsorchedesideriottenereunavalutazio­
nedisicurezzaperunsuoprodottoosistemadiTdl
devedefinirel'obiettivoglobaledisicurezzaperilpro­
dottoosistemaspecificorispettoalqualetaleprodotto
osistemaverràvalutato .Taleobiettivoglobaledisicu­
rezzadevedefiniregli«obiettividisicurezza »chelo
specificoprodottoosistemadovrebbeconseguire ,le
«funzionid'implementazione dellasicurezza »(funzioni
disicurezza )necessarie ,lepotenziali «minacce»peril
prodottoosistemaspecificoe,facoltativamente ,isuoi
«meccanismi disicurezza »(lalogicaoglialgoritmiche
svolgonolefunzionidisicurezza).
1.8.Lavalutazione vieneeffettuata aduelivelli:il
primolivelloèlavalutazione dellacorrettezza omeno
dellaselezione edell'incorporazione dellefunzionidi
sicurezzanelcorsodellosviluppodelprodottoosiste­
ma,edellemodalitàd'utilizzoditaleprodottoosiste­
ma;ilsecondolivelloconsistenelvalutareseilprodotto
osistemainquestionesiaefficacenelsoddisfare gli
obiettividisicurezza .
1.9.Losponsorchiederàchelacorrettezza eilgiusto
svolgimento dellefunzionidisicurezzavenganovalutati
sullabased'unagraduatoria chevadaE0(minimo)ad
Eé(massimo).Ciascunlivellodivalutazione comporta
unesameviaviapiùrigorosodelprodottoosistema.
Lavalutazione dell'efficaciadelprodottoosistema
nelsoddisfare gliobiettividisicurezzavienequindia
poggiaresullavalutazione dicorrettezza ,mentrela
capacitàdeimeccanismi disicurezzadiresistereadun
attaccodirettoverràvalutataadunlivellodeterminato ,
chepuòesseredibase,medioodelevato.
1.10.Alterminedellavalutazione ,l'entenazionale
indipendente conferiràunacertificazione daE0adE6
laqualeconfermerà cheilprodottoosistemahasoddi­
sfattotuttiicriteridicorrettezza edèrealmente efficace
allivellopreteso.ribaditoinpiùoccasionil'importanza delproblema ,in
particolare nelparereinmeritoallapropostadidiretti­
vasullaprotezione dellepersoneperquantoriguarda
iltrattamento deidatipersonaliedinmeritoalladeci­
sionedelConsiglionelcampodellasicurezzadeisistemi
d'informazione (*).
2.2.L'introduzione dicritericomuniperlavaluta­
zionedellecaratteristiche disicurezzapermetterà agli
utentichehannoidentificato leminaccecuisonocon­
frontatidisceglierequaliprodottiosistemisianoade­
guatialleproprienecessitàediconseguenza liaiuterà
adevitarediinvestireeccessiverisorseinrequisitiinutili
edimpediràlorodinonriuscireacontrollare ipericoli
perlasicurezza .
2.3.Unoschemadicertificazione aiuteràaltresìa
garantirechelepretesedeifornitoricircalasicurezza
inerenteailoroprodottiesistemidiTdlsianogiustifica­
te;inoltre,sevisarannocritericomunipervalutarele
capacitàdellefunzionid'implementazione dellasicurez­
zachefannopartedelprodottodisventareleminacce
dicuisopra,saràpiùfacilecomparare traloroiprodotti
inconcorrenza ,cosaparticolarmente importante nel
settoredegliappaltipubblici,machepuòesserealtresì
d'aiutonell'industriaprivataenelcommercio .
2.4.Utilizzando lecertificazioni nelmodoappro­
priatoivenditoridiprodottidisicurezzasottoposti a
valutazione dovrebbero poteraumentare levendite;
essidovrebbero poterpoiadeguarepiùfacilmente alle
esigenzedelmercatoglisviluppifuturideiprodotti .
2.5.L'esistenza dicritericomunidovrebbe facilitare
l'introduzione dicodicidipraticacorrettaodilegisla­
zionecheintroduca normeminimedisicurezza accetta­
bilineisistemieneiprodottidiTdl,laddovequeste
sianogiustificate ,adesempionelsettoredellaprotezio­
nedeidati.
2.6.L'esistenzadicriteridisicurezzadovrebbe incre­
mentarealdifuoridell'Europalafiducianeiprodotti
eneisistemicomunitari eaumentare leesportazioni
europee .
2.7.L'armonizzazione dellenormeèdesiderabile
ancheperfacilitarelaliberacircolazione dellemerci
nellaCEEeridurrealminimosiailricorsoall'artico­
lo36dapartedegliStatimembri,siailnumerodi
ricorsidinanziallaCortedigiustizia .IlComitatoha
giàribaditol'importanza dellastandardizzazione perla
realizzazione delmercatointerno,nellarelazione enel
pareresullastandardizzazione esullasoppressione degli
ostacolitecnicialcommercio (2).
2.8.IlComitatoapprovailfattocheicriterisiano
statielaboratitenendocontodiquelliesistentiinaltri2.Osservazioni dicaratteregenerale
2.1.IIComitatoapprovalaproposta,enecondivide
gliobiettivi .Iprodottieisistemidelletecnologiedell'in­
formazione svolgonounruolosemprepiùimportante
nellasocietàedidannichepuòcomportare laviolazio­
nedellalorosicurezzasonoaumentati inproporzione .
IlParlamento europeoelostessoComitatohannoWGUn.C159del17.6.1991.
(2)GUn.C14del20.1.1992.

15.3.93 GazzettaufficialedelleComunità europee N.C73/21
paesiextraeuropei ,inparticolare gliStatiUnitid'Ame­
rica.InpassatoilComitatohachiestochevenissero
presiinconsiderazione imeritidiunastandardizzazione
alivellomondiale ,nellaprospettiva dievitareostacoli
tecnicialcommercio conipaesialdifuoridellaComu­
nità.IlComitato ribadiscechenondesiderachegli
ITSECeuropeidivengano unabarrierainvisibileal
commercio .
2.9.IlComitato vedefavorevolmente ilfattochei
critericomuniperlavalutazione dellasicurezzadelle
tecnologie dell'informazione sianostatielaboratidopo
averconsultato quantisonocoinvoltinellaproduzione e
nell'usodeiprodottiedeisistemidelleTdl,esottolinea
l'importanza diunaconsultazione continua .3.3.IlComitatoapproval'intenzione ,dopoil.perio­
dobiennaledisorveglianza dapartedelSOGIS,edopo
ulterioreconsultazione conl'industriaecongliutenti,
dirivedereglisviluppidellasicurezzadelletecnologie
dell'informazione .IlComitatoapprovaaltresìl'inten­
zioneditendereversol'importante obiettivodelricono­
scimentoreciproco dellecertificazioni nazionali ,ma
ritienesianecessario tenerulteriormente contoditalune
preoccupazioni espressedagliutenti:
a)senellaprassisaràpossibilerenderelevalutazioni
abbastanza precisedapoteresserecommercialmen­
teutili;
b)cometrattareledifferenze traivarimodellidi
ciascunprodottodiTdl,chepotrebbero essere
numerose ;
c)qualimetodologie applicarenelprocessodivaluta­
zioneedinchemodogarantirel'armoniatraivari
organisminazionalidicertificazione ;
d)seinfuturoundeterminato standardsaràomeno
richiestoinsistemidestinatiadunusopubblicoo
privatoinbasealeggicomunitarie oinbaseadun
qualchecodicedipraticacorretta,adesempioper
quantoriguarda isistemiditrattamento deidati
personali ;edinoltre
e)nelcontestodiquestosettoreinrapidosviluppo,in
chemodogarantirechelevalutazioni dellasicurezza
sianoeffettuateconsufficienterapiditàecheicriteri
divalutazione venganoaggiornati regolarmente .3.Osservazioni dicaratterespecifico
3.1.IlComitatolamental'usodiunlinguaggio tecni­
cocosìpocochiaroneltestodellaraccomandazione ,
cherendeinutilmente difficilelacomprensione della
proposta .
3.2.IlComitatoesprimesoddisfazione perlasepara­
zionetrafunzionalità erequisitidigaranzianeicriteri;
ciòpermetteagliITSECd'essereapplicatiadun'ampia
gammadiprodottiosistemidelleTdl.
FattoaBruxelles ,il27gennaio1993.
IlPresidente
delComitato economico esociale
SusanneTIEMANN