IT Gazzetta ufficiale dell'Unione europea CE 84/766

(2004/C 84 E/0862)

INTERROGAZIONE SCRITTA E-0183/04

di Charlotte Cederschiöld (PPE-DE) alla Commissione

(29 gennaio 2004)

Oggetto: Sicurezza delle reti e dell'informazione

La sicurezza della tecnologia informatica continua ad essere un settore di cui la Commissione ed altri organismi a livello dell'UE devono occuparsi al fine di proteggere i loro sistemi interni. La Commissione conviene che i «criteri comuni» forniscano degli standard accettati a livello internazionale per stabilire la sicurezza dei prodotti TIC? In caso affermativo, come può l'Agenzia europea per la sicurezza delle reti e dell'informazione utilizzare i criteri comuni nel momento in cui provvede all'approvvigionamento dei propri prodotti e alla guida all'approvvigionamento degli organismi dell'UE e dei paesi membri?

Risposta comune

data dal sig. Liikanen in nome della Commissione

alle interrogazioni scritte E-0181/04, E-0182/04 e E-0183/04

(10 marzo 2004)

Per quanto riguarda la standardizzazione in materia di sicurezza delle reti e dell'informazione, e in particolare i criteri comuni, la Commissione ha partecipato all'intero processo di elaborazione di tali criteri, sin dai lavori sui criteri precedenti, detti ITSEC, nel 1991. La Commissione ha altresì collaborato con gli Stati membri per la definizione della norma ISO/IEC 15408 relativa all'accordo di riconoscimento reciproco dei criteri comuni.

L'Agenzia europea per la sicurezza delle reti e dell'informazione (ENISA), menzionata dallo stesso onorevole parlamentare quale possibile strumento di promozione di questa norma in Europa, darà inizio alle proprie attività nei prossimi mesi. La Commissione partecipa attualmente all'elaborazione del suo programma di lavoro. In risposta all'interrogazione dell'onorevole parlamentare, la Commissione può fornire alcune indicazioni circa i compiti di normalizzazione che potrebbero essere attribuiti all'Agenzia ENISA ma non è in grado, in questa fase, di dare risposte definitive in merito al suo programma di lavoro.

Dal punto di vista della Commissione, l'utilizzo di norme riconosciute per la valutazione e la certificazione di prodotti TIC è da tempo un elemento fondamentale della politica relativa alla sicurezza delle reti e dell'informazione. La raccomandazione 95/144/CE del Consiglio, del 7 aprile 1995, incoraggiava già l'uso di tali norme per le attività di approvvigionamento (1). Nella comunicazione «Sicurezza delle reti e sicurezza dell'informazione: proposta di un approccio strategico europeo» (2), la Commissione ha sottolineato l'importanza della certificazione di sicurezza dei prodotti quale elemento indispensabile per suscitare la fiducia degli utenti. A tale riguardo, la norma sui criteri comuni rappresenta un quadro stabile, riconosciuto internazionalmente, per la certificazione di sicurezza dei prodotti e, in quanto tale, viene regolarmente applicata ai fini dell'approvvigionamento di prodotti TIC.

È tuttavia risultato difficile, anche negli Stati Uniti, convincere il settore commerciale (e in particolare il settore finanziario) ad adottare la norma ISO/IEC 15408 e a impegnarsi in questo senso. Tale situazione è emersa chiaramente in occasione della conferenza sui criteri comuni tenutasi a Stoccolma nel settembre 2003. Per ovviare a questa situazione, l'Agenzia ENISA potrebbe sostenere l'adozione di questa norma invitando le parti interessate ad avviare una discussione sui problemi e sui vantaggi legati all'applicazione dei criteri comuni.

Per quanto riguarda la normalizzazione in materia di sicurezza delle reti e dell'informazione, la Commissione sta valutando le implicazioni della recente relazione comune CEN-ETSI (3), che tratta questi aspetti di sicurezza dal punto di vista degli organismi di normalizzazione europei. Sarà su questa base che verranno definite le future azioni e iniziative politiche in questo campo.

A livello tecnico, la Commissione ha inserito lo sviluppo di prodotti e di sistemi sicuri fra le priorità del programma TSI (Tecnologie della società dell'informazione) e ciò contribuirà indubbiamente al miglioramento delle pratiche di sviluppo di prodotti TIC in Europa. L'Agenzia ENISA potrebbe contribuire a queste attività aiutando gli Stati membri a elaborare adeguati programmi di formazione sulla sicurezza e a organizzare scambi di esperienze e campagne comuni di sensibilizzazione destinate in particolare alle piccole e medie imprese (PMI).

Poiché la norma sui criteri comuni stabilisce un quadro di riferimento per la sicurezza e la certificazione dei prodotti, la Commissione potrebbe decidere di adottarla, come buona prassi, per tutte le attività di approvvigionamento che esigono una sicurezza rigorosa e verificabile. Pertanto, sarebbe auspicabile, a seconda dei casi, che l'Agenzia ENISA applicasse i criteri comuni per i propri approvvigionamenti o consigliasse la Commissione e i governi degli Stati membri in merito all'applicazione dei criteri comuni nelle attività di approvvigionamento. La Commissione dovrà tuttavia essere sempre consapevole del fatto che la certificazione della sicurezza ha un costo elevato.

Infine, occorre notare che l'applicazione della norma tecnica ISO/IEC 15408 non basta a garantire un adeguato livello di sicurezza in un'organizzazione. Infatti, ogni organizzazione o impresa deve scegliere e applicare anche una norma di gestione di sicurezza (ad es. la norma ISO/IEC 17799) per definire e gestire i processi e le pratiche di sicurezza necessari.

(1) GU L 93 del 26.4.1995.

(2) COM(2001) 298 def.

(3) ETSI SR 002 298.