EUR-Lex Access to European Union law
This document is an excerpt from the EUR-Lex website
Document 32007D0170
2007/170/EC: Commission Decision of 16 March 2007 laying down the network requirements for the Schengen Information System II (1st pillar) (notified under document number C(2007) 845)
2007/170/CE: Decisione della Commissione, del 16 marzo 2007 , che stabilisce i requisiti di rete per il sistema d’informazione Schengen II (primo pilastro) [notificata con il numero C(2007) 845]
2007/170/CE: Decisione della Commissione, del 16 marzo 2007 , che stabilisce i requisiti di rete per il sistema d’informazione Schengen II (primo pilastro) [notificata con il numero C(2007) 845]
OJ L 79, 20.3.2007, p. 20–28
(BG, ES, CS, DA, DE, ET, EL, EN, FR, IT, LV, LT, HU, NL, PL, PT, RO, SK, SL, FI, SV)
OJ L 219M, 24.8.2007, p. 349–357
(MT)
In force
- Date of document:
- 16/03/2007
- Date of effect:
- 16/03/2007; entrata in vigore data della notifica
- Date of notification:
- 16/03/2007
- Date of end of validity:
- No end date
- Author:
- Commissione europea
- Responsible body:
- Directorate-General for Migration and Home Affairs
- Form:
- Decisione
- Addressee:
- Svezia, Belgio, Francia, Cipro, Lituania, Portogallo, Slovacchia, Lussemburgo, Bulgaria, Slovenia, Lettonia, Spagna, Cechia, Finlandia, Malta, Romania, Estonia, Grecia, Italia, Ungheria, Paesi Bassi, Austria, Polonia, Germania
- Authentic language:
- bulgaro, spagnolo, ceco, tedesco, estone, greco, francese, italiano, lettone, lituano, ungherese, maltese, neerlandese, polacco, portoghese, rumeno, slovacco, sloveno, finlandese, svedese
- Treaty:
- Trattato che istituisce la Comunità europea
- Legal basis:
-
- 32001R2424 - A04PTA)
- Link
- Link
- Link
- Select all documents mentioning this document
- Instruments cited:
- Link
- Link
- EUROVOC descriptor:
- Subject matter:
- Directory code:
|
20.3.2007 |
IT |
Gazzetta ufficiale dell'Unione europea |
L 79/20 |
DECISIONE DELLA COMMISSIONE
del 16 marzo 2007
che stabilisce i requisiti di rete per il sistema d’informazione Schengen II (primo pilastro)
[notificata con il numero C(2007) 845]
(I testi in lingua bulgara, spagnola, ceca, tedesca, estone, greca, francese, italiana, lettone, lituana, ungherese, maltese, olandese, polacca, portoghese, rumena, slovacca, slovena, finlandese e svedese sono i soli facenti fede)
(2007/170/CE)
LA COMMISSIONE DELLE COMUNITÀ EUROPEE,
visto il trattato che istituisce la Comunità europea,
visto il regolamento (CE) n. 2424/2001 del Consiglio, del 6 dicembre 2001, sullo sviluppo del Sistema d'informazione Schengen di seconda generazione (SIS II) (1), in particolare l’articolo 4, lettera a),
considerando quanto segue:
|
(1) |
Per sviluppare il SIS II è necessario stabilire specifiche tecniche per la rete di comunicazione e i suoi componenti, e specifici requisiti di rete. |
|
(2) |
Occorre attuare disposizioni pratiche fra la Commissione e gli Stati membri, specie per quanto riguarda gli elementi dell’interfaccia nazionale uniforme situata negli Stati membri. |
|
(3) |
La presente decisione fa salva l’adozione futura di altre decisioni della Commissione riguardanti lo sviluppo del SIS II e dei suoi requisiti di sicurezza in particolare. |
|
(4) |
Disciplinano lo sviluppo del SIS II il regolamento (CE) n. 2424/2001 e la decisione 2001/886/GAI del Consiglio (2). Affinché l’intero SIS II si sviluppi secondo un unico processo di attuazione, è opportuno che le disposizioni della presente decisione corrispondano a quelle della decisione della Commissione che stabilisce i requisiti di rete per il SIS II in applicazione della decisione 2001/886/GAI. |
|
(5) |
In conformità della decisione 2000/365/CE del Consiglio, del 29 maggio 2000, riguardante la richiesta del Regno Unito di Gran Bretagna e Irlanda del Nord di partecipare ad alcune disposizioni dell'acquis di Schengen (3), il Regno Unito non ha partecipato all’adozione del regolamento (CE) n. 2424/2001 che, costituendo uno sviluppo dell’acquis di Schengen, non lo vincola né è ad esso applicabile. Il Regno Unito non è pertanto destinatario della presente decisione. |
|
(6) |
In conformità della decisione 2002/192/CE del Consiglio, del 28 febbraio 2002, riguardante la richiesta dell'Irlanda di partecipare ad alcune disposizioni dell'acquis di Schengen (4), l’Irlanda non ha partecipato all’adozione del regolamento (CE) n. 2424/2001 che, costituendo uno sviluppo dell’acquis di Schengen, non la vincola né è ad essa applicabile. L’Irlanda non è pertanto destinataria della presente decisione. |
|
(7) |
A norma dell’articolo 5 del protocollo sulla posizione della Danimarca allegato al trattato sull’Unione europea e al trattato che istituisce la Comunità europea, la Danimarca ha deciso di recepire il regolamento (CE) n. 2424/2001 nel suo diritto interno. Il regolamento (CE) n. 2424/2001 vincola pertanto la Danimarca ai fini del diritto internazionale. |
|
(8) |
Per quanto riguarda l’Islanda e la Norvegia, il regolamento (CE) n. 2424/2001 e la decisione 2001/886/GAI costituiscono uno sviluppo dell’acquis di Schengen ai sensi dell’accordo concluso dal Consiglio dell’Unione europea con la Repubblica d’Islanda e il Regno di Norvegia sull’associazione di questi due Stati all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen (5), che ricade nell’ambito di cui all’articolo 1, lettera B, della decisione 1999/437/CE del Consiglio, del 17 maggio 1999, relativa a talune modalità di applicazione dell’accordo concluso dal Consiglio dell’Unione europea con la Repubblica d’Islanda e il Regno di Norvegia sull’associazione di questi due Stati all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen (6). |
|
(9) |
Per quanto riguarda la Svizzera, il regolamento (CE) n. 2424/2001 e la decisione 2001/886/GAI costituiscono uno sviluppo dell’acquis di Schengen ai sensi dell’accordo tra l’Unione europea, la Comunità europea e la Confederazione svizzera riguardante l’associazione di quest’ultima all’attuazione, all’applicazione e allo sviluppo dell’acquis di Schengen, che rientra nell’ambito contemplato all’articolo 4, paragrafo 1, della decisione del Consiglio relativa alla firma a nome della Comunità europea, nonché all’applicazione provvisoria di alcune disposizioni del suddetto accordo. |
|
(10) |
La presente decisione è un atto basato sull'acquis di Schengen o altrimenti ad esso correlato ai sensi dell'articolo 3, paragrafo 1, dell'atto di adesione. |
|
(11) |
Le misure di cui alla presente decisione sono conformi al parere del comitato istituito a norma dell’articolo 6, paragrafo 1, del regolamento (CE) n. 2424/2001, |
HA ADOTTATO LA PRESENTE DECISIONE:
Articolo 1
Le specifiche tecniche connesse alla progettazione dell’architettura fisica dell’infrastruttura di comunicazione del SIS II figurano in allegato.
Articolo 2
Sono destinatari della presente decisione il Regno del Belgio, la Repubblica di Bulgaria, la Repubblica ceca, la Repubblica federale di Germania, la Repubblica di Estonia, la Repubblica ellenica, il Regno di Spagna, la Repubblica francese, la Repubblica italiana, la Repubblica di Cipro, la Repubblica di Lettonia, la Repubblica di Lituania, il Granducato di Lussemburgo, la Repubblica di Ungheria, la Repubblica di Malta, il Regno dei Paesi Bassi, la Repubblica d’Austria, la Repubblica di Polonia, la Repubblica portoghese, la Romania, la Repubblica di Slovenia, la Repubblica slovacca, la Repubblica di Finlandia, il Regno di Svezia.
Fatto a Bruxelles, il 16 marzo 2007.
Per la Commissione
Franco FRATTINI
Vicepresidente
(1) GU L 328 del 13.12.2001, pag. 4. Regolamento modificato dal regolamento (CE) n. 1988/2006 (GU L 411 del 30.12.2006, pag. 1).
(2) GU L 328 del 13.12.2001, pag. 1.
(3) GU L 131 dell’1.6.2000, pag. 43. Decisione modificata dalla decisione 2004/926/CE (GU L 395 del 31.12.2004, pag. 70).
(4) GU L 64 del 7.3.2002, pag. 20.
(5) GU L 176 del 10.7.1999, pag. 36.
(6) GU L 176 del 10.7.1999, pag. 31.
ALLEGATO
INDICE
|
1. |
Introduzione … |
|
1.1. |
Acronimi e abbreviazioni … |
|
2. |
Quadro generale … |
|
3. |
Copertura geografica … |
|
4. |
Servizi di rete … |
|
4.1. |
Architettura di rete … |
|
4.2. |
Tipo di connessione CS-SIS principale — CS-SIS di riserva … |
|
4.3. |
Larghezza di banda … |
|
4.4. |
Classi di servizio… |
|
4.5. |
Protocolli supportati… |
|
4.6. |
Specifiche tecniche … |
|
4.6.1. |
Indirizzi IP … |
|
4.6.2. |
Supporto per IPv6 … |
|
4.6.3. |
Route statiche … |
|
4.6.4. |
Flusso sostenuto … |
|
4.6.5. |
Altre specifiche … |
|
4.7. |
Resilienza … |
|
5. |
Monitoraggio … |
|
6. |
Servizi generici … |
|
7. |
Disponibilità … |
|
8. |
Servizi di sicurezza … |
|
8.1. |
Crittazione della rete … |
|
8.2. |
Altri requisiti di sicurezza … |
|
9. |
Helpdesk e struttura di assistenza … |
|
10. |
Interazione con altri sistemi … |
1. Introduzione
Il presente documento descrive l’architettura della rete di comunicazione, i suoi componenti e gli specifici requisiti di rete.
1.1. Acronimi e abbreviazioni
La presente sezione spiega gli acronimi usati nel documento.
|
Acronimi e abbreviazioni |
Spiegazione |
|
BLNI |
Backup Local National Interface, interfaccia nazionale locale di riserva |
|
CEP |
Central End Point |
|
CNI |
Central National Interface, interfaccia nazionale centrale |
|
CS |
Sistema centrale |
|
CS-SIS |
Unità di supporto tecnico contenente la banca dati del SIS II |
|
DNS |
Domain Name Server, server di nome di dominio |
|
FCIP |
Fibre Channel su IP |
|
FTP |
File Transport Protocol, protocollo di trasferimento file in Internet |
|
HTTP |
Hyper Text Transfer Protocol, protocollo per il trasferimento di pagine ipertestuali |
|
IP |
Protocollo Internet |
|
LAN |
Local Area Network, rete locale |
|
LNI |
Local National Interface, interfaccia nazionale locale |
|
Mbps |
Megabits per second |
|
MDC |
Main Developer Contractor |
|
N.SIS II |
Sezione nazionale in ciascuno Stato membro |
|
NI-SIS |
Interfaccia nazionale uniforme |
|
NTP |
Network Time Protocol |
|
SAN |
Storage Area Network |
|
SDH |
Synchronous Digital Hierarchy, gerarchia digitale sincrona |
|
SIS II |
Sistema d’informazione Schengen di seconda generazione |
|
SMTP |
Simple Mail Transport Protocol, protocollo Internet standard per l'invio di messaggi di posta elettronica |
|
SNMP |
Simple Network Management Protocol, protocollo per i servizi di gestione di reti Internet |
|
s-TESTA |
Rete di servizi transeuropei sicuri per la comunicazione telematica tra amministrazioni, iniziativa del programma IDABC (erogazione interoperabile di servizi paneuropei di governo elettronico alle amministrazioni pubbliche, alle imprese e ai cittadini. Decisione 2004/387/CE del Parlamento europeo e del Consiglio, del 21 aprile 2004). |
|
TCP |
Transmission Control Protocol |
|
VIS |
Visa Information System, sistema d'informazione visti |
|
VPN |
Virtual Private Network, rete virtuale privata |
|
WAN |
Wide Area Network, rete geografica |
2. Quadro generale
Il SIS II consta:
|
— |
di un sistema centrale (di seguito «SIS II centrale») costituito da:
|
|
— |
di una sezione nazionale (di seguito «N.SIS II») in ciascuno Stato membro, costituita dai sistemi di dati nazionali connessi con il SIS II centrale. Un N.SIS II può contenere un archivio di dati (di seguito «copia nazionale»), costituito da una copia completa o parziale della banca dati del SIS II; |
|
— |
di un’infrastruttura di comunicazione fra il CS-SIS e l’NI-SIS (di seguito «infrastruttura di comunicazione») che è dotata di una rete virtuale cifrata dedicata ai dati SIS II e provvede allo scambio di informazioni tra uffici SIRENE. |
L’NI-SIS consta:
|
— |
di un’interfaccia nazionale locale (di seguito «LNI») in ciascuno Stato membro che connette fisicamente lo Stato membro con la rete di comunicazione sicura e contiene i dispositivi crittografici dedicati al traffico del SIS II e della rete SIRENE. L’LNI è situato nello Stato membro; |
|
— |
di un’interfaccia nazionale locale di riserva facoltativa (di seguito «BLNI»), con contenuti e funzioni identici all’LNI. |
L’LNI e il BLNI sono a uso esclusivo del SIS II e della rete SIRENE. La specifica configurazione dell’LNI e del BLNI sarà stabilita e concordata con i singoli Stati membri per tener conto dei requisiti di sicurezza, della collocazione fisica e delle condizioni di installazione, compresi i servizi prestati dall’operatore di rete, in modo che la connessione fisica s-TESTA possa contenere più tunnel VPN per altri sistemi, per esempio il VIS e Eurodac;
|
— |
di un’interfaccia nazionale centrale (di seguito «CNI»), di un’applicazione cioè che permette l’accesso sicuro al CS-SIS. Ciascuno Stato membro dispone di punti di accesso logico distinti al CNI attraverso un firewall centrale. |
L’infrastruttura di comunicazione fra il CS-SIS e l’NI-SIS consiste
|
— |
nella rete di servizi transeuropei sicuri per la comunicazione telematica tra amministrazioni (di seguito «s-TESTA») che è una rete privata virtuale e cifrata, dedicata ai dati SIS II e al traffico SIRENE. |
3. Copertura geografica
L’infrastruttura di comunicazione deve essere in grado di coprire e fornire a tutti gli Stati membri i servizi richiesti.
Sono interessati tutti gli Stati membri dell’UE (Belgio, Francia, Germania, Lussemburgo, Paesi Bassi, Italia, Portogallo, Spagna, Grecia, Austria, Danimarca, Finlandia, Svezia, Cipro, Repubblica Ceca, Estonia, Ungheria, Lettonia, Lituania, Malta, Polonia, Slovacchia, Slovenia, Regno Unito e Irlanda), nonché Norvegia, Islanda e Svizzera.
Occorre inoltre provvedere alla copertura dei paesi di recente adesione, la Romania e la Bulgaria.
Da ultimo, l’infrastruttura di comunicazione deve poter essere estesa a qualunque altro paese od organo che abbia accesso al SIS II centrale (ad esempio Europol, Eurojust).
4. Servizi di rete
Ogni qualvolta si citi un protocollo o un’architettura, si intendono ugualmente accettabili le tecnologie, i protocolli o le architetture equivalenti future.
4.1. Architettura di rete
L’architettura del SIS II si avvale di servizi centralizzati accessibili dai diversi Stati membri. Per ragioni di resilienza, i servizi centralizzati sono duplicati in due sedi distinte: Strasburgo, Francia, e Sankt Johann im Pongau, Austria, dove si trovano rispettivamente il CS-SIS principale (CU) e il CS-SIS di riserva (BCU).
Le unità centrali — principale e di riserva — devono essere accessibili dai diversi Stati membri. I paesi partecipanti possono avere punti d’accesso multipli (un LNI e un BLNI) per interconnettere il rispettivo sistema nazionale ai servizi centrali.
Oltre alla funzione principale di collegamento ai servizi centrali, l’infrastruttura di comunicazione deve assicurare lo scambio bilaterale di informazioni supplementari fra gli uffici SIRENE dei diversi Stati membri.
4.2. Tipo di connessione CS-SIS principale — CS-SIS di riserva
Il tipo di connessione richiesta per l’interconnettività CS-SIS principale — CS-SIS di riserva deve definirsi in un anello SDH o equivalente, in modo che la connessione sia possibile in futuro anche con nuove architetture e tecnologie. Si userà l’infrastruttura SDH per ampliare le reti locali di entrambe le unità centrali e creare un’unica LAN senza interruzioni, che servirà in seguito per la sincronizzazione continua fra il CU e il BCU.
4.3. Larghezza di banda
Requisito critico dell'infrastruttura di comunicazione è la larghezza di banda che può mettere a disposizione dei diversi siti interconnessi, e la capacità di supportare tale quantità lungo la dorsale di rete.
La larghezza di banda necessaria per l’LNI e il BLNI facoltativo varierà da uno Stato membro all'altro, principalmente in funzione della scelta che intende operare: consultazione di copie nazionali, ricerca centrale e scambio di dati biometrici.
La quantità di banda effettiva che l’infrastruttura di comunicazione deciderà di offrire è irrilevante fintanto che risponde alle esigenze minime di ciascuno Stato membro.
Ognuno dei tipi di sito citati potrà trasferire grossi pacchetti di dati (alfanumerici, biometrici e documenti completi) in entrambe le direzioni. Di conseguenza, l’infrastruttura di comunicazione deve offrire e garantire, per ciascuna connessione, velocità minime di caricamento e scaricamento sufficienti.
L’infrastruttura di comunicazione deve assicurare una portata di connessione compresa tra i 2 e 155 Mbps, o superiore. La rete deve offrire e garantire velocità minime di caricamento e scaricamento sufficienti per ciascuna connessione, e deve essere in grado di supportare la dimensione di banda totale dei punti di accesso alla rete.
4.4. Classi di servizio
Il SIS II centrale sarà in grado di trattare, per ordine di priorità, le interrogazioni e le segnalazioni. Come requisito derivato, l’infrastruttura di comunicazione dovrà anche prioritarizzare il traffico.
A fissare i parametri di prioritarizzazione sarà presumibilmente il SIS II centrale per tutti i pacchetti che lo richiedano. Sarà scelto il WFQ (weighted fair queuing) come disciplina di coda. Ne consegue che l’infrastruttura di comunicazione deve essere in grado di recepire l’ordine di priorità assegnato ai pacchetti sulla LAN di origine, e di trattarli di conseguenza all’interno della sua dorsale. Inoltre, deve consegnare al sito remoto i pacchetti iniziali contenenti lo stesso ordine di priorità fissato nella LAN di origine.
4.5. Protocolli supportati
Il SIS II centrale farà uso di diversi protocolli di rete e l’infrastruttura di comunicazione dovrà essere in grado di supportarne un’ampia gamma, in particolare i protocolli standard HTTP, FTP, NTP, SMTP, SNMP e DNS.
Oltre ai protocolli standard, l'infrastruttura di comunicazione deve poter gestire diversi protocolli di tunneling, protocolli di replicazione SAN e i protocolli proprietari di connessione Java-to-Java di BEA WebLogic. I protocolli di tunneling — ad esempio IPsec in modalità tunnel — saranno usati per il trasferimento di messaggi cifrati a destinazione.
4.6. Specifiche tecniche
4.6.1. Indirizzi IP
L’infrastruttura di comunicazione deve disporre di una gamma di indirizzi IP riservati utilizzabili esclusivamente dentro la rete. All’interno di questa gamma IP riservata, il SIS II centrale userà una serie dedicata di indirizzi IP che non saranno utilizzati altrove.
4.6.2. Supporto per IPv6
Si può presumere che il protocollo usato nelle reti locali degli Stati membri sarà il TCP/IP. Alcuni siti saranno tuttavia basati sulla versione 4, altri sulla versione 6. I punti d’accesso alla rete devono poter fungere da gateway ed essere in grado di operare indipendentemente dai protocolli di rete usati nel SIS II centrale e nell’N.SIS II.
4.6.3. Route statiche
Il CU e il BCU possono usare un unico e stesso indirizzo IP per le comunicazioni destinate agli Stati membri. L’infrastruttura di comunicazione deve quindi supportare route statiche.
4.6.4. Flusso sostenuto
Fintanto che il CU o il BCU hanno un tasso di carico inferiore a 90 %, un dato Stato membro deve essere in grado di mantenere di continuo il 100 % della sua quantità di banda.
4.6.5. Altre specifiche
Per supportare il CS-SIS, l’infrastruttura di comunicazione deve soddisfare una serie di specifiche tecniche minime.
Il ritardo di transito (ore piene comprese) deve essere inferiore o pari a 150 ms per il 95 % dei pacchetti, e inferiore a 200 ms per il 100 % dei pacchetti.
La probabilità di perdita (ore piene comprese) deve essere inferiore o pari a 10-4 per il 95 % dei pacchetti, e inferiore a 10-3 per il 100 % dei pacchetti.
Le specifiche tecniche citate si applicano a ciascun punto di accesso separatamente.
La connessione fra CU e BCU deve avere tempi di attraversamento andata-ritorno (round trip delay) inferiori o pari a 60 ms.
4.7. Resilienza
Il CS-SIS è concepito per soddisfare requisiti di elevata disponibilità, per questo offre una resilienza integrata al disfunzionamento dei suoi costituenti duplicando l’intera apparecchiatura.
I componenti dell’infrastruttura di comunicazione devono anch’essi sopperire a eventuali guasti di altri componenti. In altri termini, devono essere ridondati i seguenti elementi:
|
— |
dorsale di rete |
|
— |
dispositivi di istradamento (router) |
|
— |
punti di presenza (POP) |
|
— |
connessioni del local loop (compresi i cavi fisicamente ridondanti) |
|
— |
dispositivi di sicurezza (crittografici, firewall, ecc.) |
|
— |
tutti i servizi generici (DNS, NTP, ecc.) |
|
— |
LNI/BLNI. |
I meccanismi di failover dovranno attivarsi, per l’intera attrezzatura della rete, senza intervento manuale.
5. Monitoraggio
Per agevolare il monitoraggio, gli strumenti di monitoring dell’infrastruttura di comunicazione devono potersi integrare nelle funzionalità di monitoring dell’organizzazione responsabile della gestione operativa del SIS II centrale.
6. Servizi generici
Oltre alla rete dedicata e ai servizi di sicurezza, l’infrastruttura di comunicazione deve offrire servizi generici.
I servizi dedicati devono essere implementati in entrambe le unità centrali, per ragioni di ridondanza.
L’infrastruttura di comunicazione deve offrire i seguenti servizi generici facoltativi:
|
Servizio |
Informazioni aggiuntive |
|
DNS |
Attualmente la procedura di failover per commutare dal CU al BCU in caso di guasto della rete è basata sul cambiamento di indirizzo IP nell’ambito del server DNS generico. |
|
Mail relay |
Usare un mail relay generico può aiutare a standardizzare la configurazione mail dei diversi Stati membri e, diversamente da un server dedicato, non comporta uso di risorse di rete dal CU/BCU. Le mail che passano per un mail relay generico devono comunque conformarsi al rispettivo template di sicurezza. |
|
NTP |
Questo servizio può essere usato per sincronizzare gli orologi delle apparecchiature di rete. |
7. Disponibilità
Il CS-SIS, l’LNI e il BLNI devono garantire una disponibilità del 99,99 % su un periodo continuo di 28 giorni, indipendentemente dalla disponibilità della rete.
La disponibilità dell’infrastruttura di comunicazione deve essere del 99,99 %.
8. Servizi di sicurezza
8.1. Crittazione della rete
Il SIS II centrale non autorizza il trasferimento in chiaro al di fuori della LAN di dati soggetti a requisiti di alta o altissima protezione. Deve essere garantito con ogni mezzo che l’operatore di rete non avrà accesso ai dati operativi del SIS II né ai connessi scambi SIRENE.
Per mantenere un alto livello di sicurezza, l’infrastruttura di comunicazione deve permettere la gestione di certificati/chiavi. Deve essere possibile gestire e monitorare a distanza i dispositivi crittografici. Gli algoritmi crittografici devono quanto meno rispettare i seguenti requisiti:
|
— |
algoritmi simmetrici:
|
|
— |
algoritmi asimmetrici:
|
Sarà usato il protocollo Encapsulated Security Payload (ESP, RFC2406) implementato in Tunnel Mode. Il carico utile (payload) e l’header IP originale devono essere cifrati.
Per lo scambio di chiavi di sessione va usato il protocollo IKE (Internet Key Exchange).
La durata delle chiavi IKE non deve superare 1 giorno.
La durata delle chiavi di sessione non deve superare l’ora.
8.2. Altri requisiti di sicurezza
Oltre ai punti di accesso al SIS II, l’infrastruttura di comunicazione deve proteggere i servizi generici facoltativi. Questi devono comportare misure di protezione comparabili a quelle del CS-SIS. Tutti i servizi generici devono pertanto, come minimo, essere protetti da un firewall, un antivirus e un sistema anti-intrusione. Inoltre, i dispositivi dei servizi generici e le relative misure di protezione devono essere tenuti perennemente sotto controllo (logging e follow-up).
Per mantenere un alto livello di sicurezza, l’organizzazione responsabile della gestione operativa del SIS II centrale deve essere informata di tutti gli incidenti di sicurezza riguardanti l’infrastruttura di comunicazione. L’infrastruttura di comunicazione deve pertanto permettere che tutti i principali incidenti di sicurezza siano riferiti senza indugio all’organizzazione responsabile della gestione operativa del SIS II centrale. Tutti gli incidenti di sicurezza devono essere riferiti con regolarità, per esempio una volta al mese e su base puntuale.
9. Helpdesk e stuttura di assistenza
Il fornitore dell’infrastruttura di comunicazione deve prevedere un servizio di helpdesk che interagisca con l’organizzazione responsabile della gestione operativa del SIS II centrale.
10. Interazione con altri sistemi
L’infrastruttura di comunicazione deve fare in modo che le informazioni non fuoriescano dai canali dedicati. Ai fini dell’applicazione tecnica, ciò comporta che:
|
— |
sia strettamente vietato l’accesso, non autorizzato e/o non controllato, ad altre reti, compresa l’interconnettività a Internet; |
|
— |
non si verifichino perdite di dati verso altri sistemi in rete, vietando per esempio l’interconnessione di reti private virtuali diverse. |
Oltre a comportare queste restrizioni tecniche, l’interazione con altri sistemi ha un impatto anche sull’helpdesk. Questo infatti può non divulgare informazioni riguardanti il SIS II centrale a terzi diversi dall’organizzazione responsabile della sua gestione operativa.
