Politica di Sicurezza delle Informazioni

1. Approvazione ed entrata in vigore

La presente Politica di Sicurezza delle Informazioni è efficace dalla sua approvazione da parte della Direzione fino alla sua sostituzione con una nuova Politica.

2. Missione dell'organizzazione

QUABU fornisce servizi di consulenza, advisory e audit in materia di tecnologie dell'informazione, protezione dei dati, sicurezza e conformità normativa, offrendo soluzioni personalizzate che aiutano aziende ed enti a operare con successo e in sicurezza nell'ambiente digitale in conformità con l'ENS.

Per raggiungere i propri obiettivi, QUABU si impegna per la sicurezza delle informazioni e la loro corretta gestione, al fine di offrire a tutte le parti interessate le massime garanzie sulle informazioni utilizzate.

I sistemi devono essere gestiti con diligenza, adottando misure adeguate per proteggerli da danni accidentali o intenzionali che possano compromettere la disponibilità, l'integrità o la riservatezza delle informazioni trattate o dei servizi erogati.

L'obiettivo della sicurezza delle informazioni è garantire la qualità delle informazioni e la continuità dei servizi, agendo in modo preventivo, monitorando l'attività quotidiana e reagendo prontamente agli incidenti.

I sistemi ICT devono essere protetti da minacce in rapida evoluzione. Per questo si applicano le misure minime di sicurezza richieste dall'ENS, si monitorano costantemente i livelli di servizio, si analizzano le vulnerabilità segnalate e si prepara una risposta efficace agli incidenti.

La sicurezza ICT è parte integrante di ogni fase del ciclo di vita del sistema, dalla progettazione alla dismissione. I reparti devono essere pronti a prevenire, rilevare, reagire e riprendersi dagli incidenti, in conformità con l'articolo 8 dell'ENS.

3. Ambito di applicazione

La presente politica si applica a tutti i sistemi ICT dell'ente e a tutti i membri dell'organizzazione coinvolti nei sistemi informativi che supportano i servizi di implementazione e configurazione di soluzioni Atlassian, manutenzione e supporto di prodotti Atlassian, e sviluppo di software e soluzioni tecnologiche associate, secondo la Dichiarazione di Applicabilità vigente, senza eccezioni.

4. Obiettivi

La Direzione stabilisce i seguenti obiettivi di sicurezza delle informazioni:

• Fornire un quadro per aumentare la resilienza e garantire una risposta efficace.
• Assicurare un ripristino rapido ed efficiente dei servizi a fronte di qualsiasi disastro o contingenza che metta a rischio la continuità operativa.
• Prevenire gli incidenti di sicurezza nella misura tecnicamente ed economicamente possibile e mitigare i rischi derivanti dalle nostre attività.
• Garantire riservatezza, integrità, disponibilità, autenticità e tracciabilità delle informazioni.

5. Quadro normativo

Ci impegniamo a rispettare i requisiti legali applicabili e gli impegni assunti con i clienti, mantenendoli costantemente aggiornati. Il quadro normativo comprende:

• Regolamento (UE) 2016/679 (GDPR) sulla protezione delle persone fisiche con riguardo al trattamento dei dati personali.
• Legge Organica spagnola 3/2018 sulla Protezione dei Dati Personali e garanzia dei diritti digitali.
• Regio Decreto 311/2022 che regola lo Schema Nazionale di Sicurezza (ENS).

6. Sviluppo

Per raggiungere questi obiettivi è necessario:

• Migliorare continuamente il nostro sistema di sicurezza delle informazioni.
• Identificare le minacce potenziali e l'impatto che potrebbero avere sulle operazioni aziendali.
• Tutelare gli interessi di clienti, azionisti, dipendenti e fornitori, nonché la reputazione e il marchio.
• Collaborare con fornitori e subappaltatori per migliorare i servizi, la loro continuità e la sicurezza delle informazioni.
• Valutare e garantire la competenza tecnica e la motivazione del personale, con formazione e comunicazione interna adeguate.
• Garantire il corretto stato delle strutture e delle attrezzature.
• Analizzare costantemente i processi rilevanti e introdurre i miglioramenti opportuni.
• Strutturare il sistema di gestione in modo comprensibile su tre livelli: politiche, procedure e registrazioni.

La documentazione di sicurezza è organizzata in: Politica di Sicurezza, normativa di sicurezza, documenti specifici sviluppati secondo le guide CCN-STIC applicabili e procedure di sicurezza. È conservata in repository ad accesso limitato in base ai profili autorizzati.

7. Organizzazione della sicurezza

La responsabilità principale spetta alla Direzione Generale, che organizza ruoli e responsabilità e fornisce le risorse adeguate per raggiungere gli obiettivi dell'ENS. I dirigenti devono dare l'esempio rispettando le norme di sicurezza stabilite.

I ruoli di sicurezza definiti sono:

• Responsabile delle Informazioni: prende le decisioni relative alle informazioni trattate.
• Responsabile del Servizio: coordina l'implementazione del sistema e il suo miglioramento continuo.
• Responsabile della Sicurezza / Responsabile del SGSI (CISO): valuta l'idoneità delle misure tecniche.
• Responsabile del Sistema: coordina l'implementazione e il miglioramento tecnico del sistema.
• Direzione: fornisce le risorse necessarie e guida il sistema.

Le divergenze saranno trattate in seno al Comitato di Sicurezza; prevarrà in ogni caso il criterio della Direzione Generale.

8. Comitato di Sicurezza

Il Comitato di Sicurezza è l'organo con la massima responsabilità all'interno del sistema di gestione della sicurezza delle informazioni; le decisioni più importanti in materia vengono prese al suo interno.

È composto dal Responsabile della Sicurezza, dal Responsabile del Sistema, dal Responsabile del Servizio e dal Responsabile delle Informazioni. I membri sono nominati, rinnovati e revocati dal Comitato stesso, che agisce come organo autonomo ed esecutivo.

9. Gestione dei rischi

Tutti i sistemi soggetti alla presente Politica effettueranno un'analisi dei rischi, rivista:

• almeno una volta all'anno;
• quando cambiano le informazioni trattate;
• quando cambiano i servizi erogati;
• quando si verifica un grave incidente di sicurezza;
• quando vengono segnalate vulnerabilità gravi.

Il Comitato di Sicurezza stabilirà una valutazione di riferimento per i diversi tipi di informazioni e servizi e promuoverà le risorse necessarie a soddisfare le esigenze di sicurezza.

10. Gestione del personale

Tutti i membri di QUABU sono tenuti a conoscere e rispettare la presente Politica e la normativa di sicurezza.

Tutto il personale parteciperà ad almeno una sessione annuale di sensibilizzazione sulla sicurezza, con un programma continuo rivolto in particolare ai nuovi assunti. Chi gestisce o amministra sistemi ICT riceverà la formazione necessaria prima di assumere tale responsabilità.

11. Professionalità e sicurezza delle risorse umane

La presente Politica si applica a tutto il personale di QUABU e al personale esterno che svolge attività in azienda. Le funzioni di sicurezza sono incluse nelle descrizioni dei ruoli e vengono gestiti accordi di riservatezza.

• Il Responsabile della Sicurezza monitora, documenta e analizza gli incidenti segnalati e ne riferisce al Comitato.
• Tutto il personale deve segnalare tempestivamente le debolezze e gli incidenti di sicurezza rilevati.
• Viene determinata e documentata la competenza necessaria del personale in materia di sicurezza.
• Si riducono i rischi di errore umano, uso improprio delle risorse e trattamento non autorizzato delle informazioni.
• Vengono predisposti strumenti per segnalare debolezze e incidenti e prevenirne il ripetersi.

12. Autorizzazione e controllo degli accessi

• Impedire l'accesso non autorizzato a sistemi, banche dati e servizi informativi.
• Implementare tecniche di autenticazione e autorizzazione.
• Controllare la sicurezza delle connessioni tra la rete di QUABU e altre reti.
• Esaminare gli eventi critici e le attività degli utenti.
• Sensibilizzare sull'uso responsabile di password e dispositivi.
• Garantire la sicurezza nell'uso di portatili e nel lavoro da remoto.

13. Protezione delle strutture

• Prevenire accessi non autorizzati, danni e interferenze a strutture e informazioni.
• Proteggere le apparecchiature critiche in aree con perimetro di sicurezza e controlli di accesso adeguati.
• Controllare i fattori ambientali che possono influire sulle apparecchiature.
• Fornire una protezione proporzionata ai rischi individuati.

Tutto il personale è responsabile del rispetto della politica di schermo e scrivania puliti.

14. Acquisizione di prodotti

La sicurezza è integrata nello sviluppo, nell'acquisizione e nella manutenzione dei sistemi informativi. I requisiti di sicurezza sono individuati e inclusi nella pianificazione e nelle richieste di offerta dei progetti ICT, limitando e gestendo il cambiamento.

15. Sicurezza by default

Sistemi e servizi includono la sicurezza by default dalla creazione alla dismissione, come processo integrale e trasversale.

16. Integrità e aggiornamento del sistema

QUABU garantisce l'integrità del sistema attraverso un processo di gestione delle modifiche con autorizzazione preventiva, valutandone l'impatto sulla sicurezza. Revisioni periodiche valutano lo stato di sicurezza rispetto alle specifiche dei produttori, alle vulnerabilità e agli aggiornamenti.

17. Protezione delle informazioni archiviate e in transito

Sono previste misure di protezione per le informazioni archiviate o in transito attraverso ambienti non sicuri, come portatili, dispositivi periferici, supporti di memorizzazione e comunicazioni su reti aperte o con cifratura debole.

18. Dati personali

QUABU tratta i dati personali in conformità alla normativa vigente. Solo le persone autorizzate vi hanno accesso e i sistemi rispettano i livelli di sicurezza richiesti dalla natura e dalla finalità dei dati.

19. Terze parti

Quando QUABU fornisce servizi ad altre organizzazioni o utilizza servizi di terzi, questi saranno resi partecipi della presente Politica e della normativa applicabile, con canali di coordinamento e procedure di risposta agli incidenti. Il personale di terzi dovrà avere una sensibilizzazione alla sicurezza almeno pari a quella prevista dalla presente Politica. Se un aspetto non può essere soddisfatto, i rischi saranno analizzati e formalmente approvati prima di procedere.

20. Sistemi informativi interconnessi

Il perimetro e le connessioni alle reti pubbliche sono particolarmente protetti, analizzando i rischi derivanti dall'interconnessione con altri sistemi e controllandone i punti di collegamento.

21. Registri di attività e gestione degli incidenti

QUABU registra l'attività degli utenti con le informazioni necessarie per monitorare, analizzare e indagare attività improprie o non autorizzate. Gli obiettivi della gestione degli incidenti sono:

• Disporre di un sistema di rilevamento e risposta al codice malevolo.
• Disporre di procedure di gestione di incidenti e debolezze, con rilevamento, classificazione, analisi, risoluzione, comunicazione e registrazione.
• Ripristinare le prestazioni ottimali dei servizi e ridurre l'impatto degli incidenti.
• Tutelare l'integrità dei sistemi e comunicarne l'impatto il prima possibile.
• Utilizzare le registrazioni per il miglioramento continuo della sicurezza.

22. Continuità operativa

QUABU predispone copie di backup e i meccanismi necessari a garantire la continuità operativa in caso di perdita dei normali strumenti di lavoro.

23. Miglioramento continuo

QUABU applica un processo di miglioramento continuo della sicurezza delle informazioni secondo i criteri e la metodologia di norme internazionali come la ISO/IEC 27001.