Indice

• Descrizione della versione

• Scopo

• Campo di applicazione

• Riferimenti normativi

• Termini e definizioni

• Ruoli e responsabilità

• Obiettivi di sicurezza delle informazioni

• Principi fondamentali di sicurezza delle informazioni

• Protezione degli asset fuori sede

• Archiviazione e aggiornamento

• Documenti di riferimento

1. Descrizione della versione

• Rispetto alla versione precedente, le principali modifiche sono:

• Introduzione della sezione dedicata alla protezione degli asset fuori sede, che formalizza i principi di custodia, segnalazione e restituzione dei beni aziendali utilizzati al di fuori delle sedi dell'organizzazione.

• Ampliamento del quadro normativo di riferimento con l'inclusione di ISO/IEC 27017, relativa ai controlli di sicurezza per i servizi di cloud computing.

• Integrazione dei principi di sicurezza specifici per gli ambienti cloud, in coerenza con il duplice ruolo dell'organizzazione quale fornitore e cliente di servizi cloud.

• Adeguamento della denominazione del sistema di gestione a Sistema di Gestione Integrato (SGI), in linea con il perimetro complessivo di certificazione dell'organizzazione. 
  
  

2. Scopo

Con la presente politica, Cyber Grant Italia dichiara l'impegno del proprio CEO / Top Management verso la protezione degli asset informativi dell'organizzazione. Il documento stabilisce il quadro strategico per istituire, attuare, mantenere e migliorare continuamente il Sistema di Gestione Integrato (SGI), al fine di preservare la riservatezza, l'integrità e la disponibilità delle informazioni e di sostenere gli obiettivi strategici aziendali.

Cyber Grant Italia opera nel settore della cybersecurity, progettando, sviluppando e commercializzando soluzioni tecnologiche per la protezione delle informazioni aziendali a supporto della holding americana di appartenenza. In tale contesto, la politica estende il proprio perimetro alla sicurezza delle informazioni gestite negli ambienti di cloud computing, coerentemente con il ruolo dell'organizzazione sia come fornitore sia come cliente di servizi cloud. Il presente documento si colloca al vertice della struttura documentale del SGI, in coerenza con gli indirizzi espressi dalla POL Politica del sistema di gestione , e orienta l'intero corpo delle politiche e delle procedure di sicurezza delle informazioni adottate.

3. Campo di applicazione

La presente politica si applica a tutte le attività, i processi, gli asset informativi e i sistemi tecnologici di Cyber Grant Italia, inclusi quelli gestiti in ambienti di cloud computing. Coinvolge tutto il personale, compresi dipendenti, collaboratori a contratto e terze parti che accedono alle informazioni o ai sistemi aziendali, indipendentemente dalla loro ubicazione geografica.

Il perimetro comprende la sede legale di Milano (Corso Giacomo Matteotti, 1) e tutte le postazioni operative remote, poiché l'organizzazione svolge le proprie attività prevalentemente in modalità smart working.

Non rientrano nel campo di applicazione le misure di sicurezza fisica perimetrale di sedi dedicate, in quanto l'organizzazione non dispone di locali propri con aree protette, sale server o infrastrutture di rete locale, avvalendosi interamente di servizi cloud per l'elaborazione e l'archiviazione dei dati.

4. Riferimenti normativi

• ISO/IEC 27001:2022

• ISO/IEC 27002:2022

• ISO/IEC 27017

• Regolamento (UE) 2016/679

   

5. Termini e definizioni

• Sicurezza delle informazioni: preservazione della riservatezza, dell'integrità e della disponibilità delle informazioni.
• Riservatezza: proprietà per cui le informazioni non sono rese disponibili o divulgate a individui, entità o processi non autorizzati.
• Integrità: proprietà di accuratezza e completezza delle informazioni e dei relativi metodi di elaborazione.
• Disponibilità: proprietà di essere accessibile e utilizzabile su richiesta di un'entità autorizzata.
• Rischio: effetto dell'incertezza sugli obiettivi.
• Evento di sicurezza delle informazioni: occorrenza identificata in un sistema, servizio o rete che indica una possibile violazione della politica di sicurezza delle informazioni o un fallimento dei controlli, oppure una situazione precedentemente sconosciuta che può avere rilevanza per la sicurezza.
• Cloud computing: paradigma che consente l'accesso in rete a un insieme scalabile e flessibile di risorse informatiche condivise.

6. Ruoli e responsabilità

• CEO / Top Management: approva la presente politica, assicura la disponibilità delle risorse necessarie e promuove la cultura della sicurezza delle informazioni a livello strategico.
• Responsabile del Sistema Integrato: sovrintende all'attuazione, al mantenimento e alla revisione periodica della politica, garantendone la coerenza con il SGI.
• CTO: indirizza la strategia tecnica di sicurezza delle informazioni e ne verifica l'allineamento con gli obiettivi di business.
• Responsabile IT: assicura l'applicazione delle misure di sicurezza operative all'infrastruttura IT e ai servizi cloud utilizzati dall'organizzazione.
• Responsabile H&R: coordina le attività di sensibilizzazione e formazione del personale in materia di sicurezza delle informazioni.
• Tutto il personale, i collaboratori e le terze parti: applicano i principi e le disposizioni della presente politica e segnalano tempestivamente eventi di sicurezza osservati o sospetti.

7. Obiettivi di sicurezza delle informazioni

Cyber Grant Italia riconosce nella sicurezza delle informazioni un pilastro della propria strategia aziendale. Tale visione si traduce in una serie di obiettivi chiari, misurabili e coerenti con il contesto operativo, riesaminati periodicamente dal CEO / Top Management in sede di riesame di direzione.

L'organizzazione persegue anzitutto il pieno allineamento alle leggi, ai regolamenti e agli obblighi contrattuali applicabili, assicurando che le pratiche di sicurezza riflettano costantemente l'evoluzione del quadro normativo. Il MOD Elenco norme viene aggiornato con regolarità per identificare e monitorare la normativa rilevante, incluse le giurisdizioni che possono interessare i fornitori di servizi cloud di cui l'organizzazione si avvale.

Oltre alla conformità, Cyber Grant Italia tutela attivamente i propri asset informativi e le informazioni affidate dai clienti, proteggendoli con determinazione da minacce sia interne sia esterne. In ambito cloud, questa tutela si concretizza nella verifica che i dati custoditi negli ambienti di cloud computing siano soggetti a misure di protezione coerenti con la politica interna e che i fornitori di servizi cloud dimostrino la propria conformità attraverso certificazioni riconosciute e audit indipendenti.

Un ulteriore traguardo è la resilienza operativa: l'organizzazione non si limita a prevenire gli incidenti, ma si prepara a gestirli con prontezza, preservando la continuità delle operazioni critiche e ripristinando i servizi con il minimo impatto sul business e sulla clientela.

L'organizzazione promuove altresì una cultura della sicurezza diffusa e consapevole, nella quale ogni membro del personale comprenda il valore del proprio contributo alla protezione delle informazioni. La formazione continua e le iniziative di sensibilizzazione costituiscono lo strumento privilegiato per raggiungere questo traguardo.

Tutte le iniziative di sicurezza sono infine guidate da un approccio maturo alla gestione del rischio, che consente di identificare, valutare e trattare le minacce in modo sistematico e proporzionato, concentrando le risorse dove possono generare il massimo beneficio. La PRO Procedura di gestione dei rischi formalizza la metodologia e i criteri adottati a questo scopo.

8.Principi fondamentali di sicurezza delle informazioni

La strategia di sicurezza delle informazioni di Cyber Grant Italia non si fonda su un singolo controllo, bensì su un insieme di principi interconnessi che costituiscono l'ossatura del SGI e guidano ogni decisione e comportamento all'interno dell'organizzazione.

Il pilastro su cui si regge l'intera struttura è la responsabilità condivisa: la sicurezza delle informazioni non è un compito relegato a una singola funzione aziendale, ma un dovere che appartiene a ogni persona che opera per conto dell'organizzazione. Cyber Grant Italia promuove un ambiente in cui ciascun dipendente, collaboratore o terza parte sia consapevole del proprio ruolo e si senta tenuto a segnalare tempestivamente qualsiasi evento, debolezza o anomalia di sicurezza osservata o sospetta. A questo scopo, l'organizzazione mette a disposizione canali di segnalazione dedicati, secondo le modalità definite nella PRO Procedura di gestione degli incidenti di sicurezza delle informazioni, e gli eventi rilevanti vengono tracciati nel MOD Registro degli incidenti di sicurezza delle informazioni. Le responsabilità specifiche di ciascun ruolo aziendale in materia di sicurezza sono formalmente definite nella POL Politica dei ruoli e delle responsabilità in materia di sicurezza delle informazioni. In ambito cloud, la responsabilità condivisa si declina nel modello di suddivisione degli obblighi tra cliente e fornitore di servizi cloud, i cui dettagli sono formalizzati nella POL Politica di sicurezza del cloud.

Questa responsabilità diffusa è sostenuta da un approccio proattivo alla gestione del rischio. Le decisioni in materia di sicurezza non sono arbitrarie: derivano da un'analisi formale delle minacce e delle vulnerabilità, che consente di selezionare controlli proporzionati ai rischi identificati. L'organizzazione si impegna a riesaminare periodicamente il proprio profilo di rischio, adattando le misure di sicurezza all'evoluzione del contesto interno ed esterno, secondo la metodologia stabilita nella PRO Procedura di gestione dei rischi.

Uno dei principali frutti di tale approccio è il principio del controllo degli accessi: l'accesso alle informazioni e ai sistemi, tanto negli ambienti locali quanto in quelli cloud, viene concesso esclusivamente secondo le logiche di minimo privilegio e necessità di sapere (need-to-know), cosicché ogni utente disponga unicamente delle autorizzazioni indispensabili allo svolgimento delle proprie mansioni. La PRO Procedura di gestione e controllo degli accessi logici disciplina in dettaglio le fasi di provisioning, modifica e revoca delle utenze.

Accanto al controllo degli accessi, l'organizzazione stabilisce regole chiare per l'uso accettabile delle informazioni e delle risorse associate, affinché il personale conosca i confini entro i quali operare nella gestione quotidiana degli asset informativi. Le norme di dettaglio per l'utilizzo dei dispositivi, dei servizi aziendali e dei dati classificati sono contenute nella POL Politica di sicurezza operativa, nella POL Politica di classificazione ed etichettatura delle informazioni e nel Codice di condotta. L'assegnazione formale delle risorse al personale e la documentazione dei relativi diritti di utilizzo sono gestite attraverso il MOD Modulo di assegnazione dei beni e il Registro degli utenti autorizzati all'uso delle informazioni. Tra le misure previste rientrano le regole di scrivania e schermo puliti, che richiedono di non lasciare informazioni sensibili esposte sulle postazioni di lavoro e di attivare il blocco automatico dello schermo in caso di inattività, indipendentemente dal luogo in cui il personale opera.

Poiché l'organizzazione svolge le proprie attività prevalentemente in modalità di lavoro da remoto, la protezione degli asset e delle informazioni al di fuori delle sedi fisiche tradizionali assume un rilievo centrale. Cyber Grant Italia adotta misure specifiche per garantire che i dispositivi utilizzati in smart working o in trasferta siano soggetti ai medesimi requisiti di sicurezza applicabili in qualsiasi altra condizione operativa, inclusi l'uso della crittografia, la protezione delle reti domestiche e l'adozione di connessioni sicure. Le disposizioni operative per il lavoro remoto e l'utilizzo dei dispositivi mobili sono definite nella POL Politica di sicurezza operativa.

I controlli non sono elementi isolati. Il principio della sicurezza integrata (security-by-design) garantisce che la sicurezza sia una componente nativa, e non un'aggiunta tardiva, considerata fin dalla fase di progettazione di nuovi processi, sistemi o servizi. Questa visione si concretizza nell'integrazione dei requisiti di sicurezza nel ciclo di vita dello sviluppo del software e nella valutazione preventiva dei rischi associati a ogni cambiamento significativo.

L'organizzazione adotta infine una strategia di difesa in profondità, implementando più livelli di controlli di sicurezza (tecnologici, organizzativi e procedurali) in modo che, qualora una barriera dovesse risultare insufficiente, altre siano pronte a intervenire. Tale approccio stratificato consolida la resilienza complessiva del SGI e riduce l'esposizione al rischio.

Cyber Grant Italia riconosce inoltre che la sicurezza delle informazioni non può prescindere dal pieno rispetto del quadro normativo e degli impegni contrattuali assunti. L'organizzazione si impegna a identificare e monitorare costantemente la legislazione e i regolamenti applicabili, incluse le giurisdizioni rilevanti per i propri fornitori di servizi cloud, e a verificare che le proprie pratiche risultino sempre conformi ai requisiti in vigore.

9. Protezione degli asset fuori sede

Cyber Grant Italia riconosce che la protezione degli asset informativi non si arresta ai confini di una sede fisica. Poiché l'organizzazione opera prevalentemente in modalità di lavoro da remoto, la quasi totalità dei dispositivi aziendali viene utilizzata al di fuori di locali controllati direttamente. L'impegno a salvaguardarne la sicurezza si articola nei principi seguenti.

• Custodia e trasporto: il personale assegnatario è personalmente responsabile della custodia dei dispositivi aziendali affidati. I dispositivi non sono lasciati incustoditi in veicoli, mezzi pubblici, aree comuni di strutture ricettive o spazi di coworking condivisi. Durante gli spostamenti, gli asset rimangono sempre sotto il diretto controllo fisico della persona a cui sono assegnati.
• Protezione logica: ogni dispositivo assegnato è protetto da crittografia del disco e da credenziali di autenticazione robuste. Il blocco automatico dello schermo si attiva dopo un breve periodo di inattività, a tutela delle informazioni anche in caso di momentanea assenza dall'area di lavoro.
• Segnalazione di smarrimento, furto o danneggiamento: qualunque smarrimento, furto o danneggiamento di un asset aziendale fuori sede è notificato senza indugio al Responsabile IT. La segnalazione avvia il blocco remoto del dispositivo, la revoca degli accessi e l'aggiornamento delle credenziali compromesse. L'evento viene registrato nel MOD Registro degli incidenti di sicurezza delle informazioni in conformità a quanto stabilito dalla PRO Procedura di gestione degli incidenti di sicurezza delle informazioni.
• Restituzione: al termine del rapporto di lavoro, della collaborazione o dell'incarico, l'asset è restituito all'organizzazione. L'assegnazione e la riconsegna dei beni sono formalizzate attraverso il MOD Modulo di assegnazione dei beni; la PRO Procedura di configurazione, gestione e smaltimento degli asset disciplina le operazioni di verifica, sanificazione e ripristino dei dispositivi restituiti.

10. Archiviazione e aggiornamento

La presente politica è un documento controllato del SGI. Il Responsabile del Sistema Integrato ne cura la conservazione all'interno del sistema di gestione documentale dell'organizzazione e ne coordina la revisione con cadenza almeno annuale, oppure in occasione di cambiamenti significativi nell'organizzazione, nella tecnologia, nel panorama delle minacce o nel quadro normativo applicabile. Gli esiti della revisione sono sottoposti all'approvazione del CEO / Top Management.

11. Documenti di riferimento

• Codice di condotta
• MOD Elenco norme
• MOD Modulo di assegnazione dei beni
• MOD Registro degli incidenti di sicurezza delle informazioni
• POL Politica dei ruoli e delle responsabilità in materia di sicurezza delle informazioni
• POL Politica del sistema di gestione
• POL Politica di classificazione ed etichettatura delle informazioni
• POL Politica di sicurezza del cloud
• POL Politica di sicurezza operativa
• PRO Procedura di configurazione, gestione e smaltimento degli asset
• PRO Procedura di gestione dei rischi
• PRO Procedura di gestione degli incidenti di sicurezza delle informazioni
• PRO Procedura di gestione e controllo degli accessi logici 
• Registro degli utenti autorizzati all'uso delle informazioni