1. Relazione illustrativa

Kymos dipende dai sistemi ICT (Information and Communications Technology) per il raggiungimento dei propri obiettivi.

Questi sistemi devono essere gestiti con diligenza, adottando misure adeguate per proteggerli da danni accidentali o deliberati che potrebbero compromettere la disponibilità, l’integrità e la riservatezza delle informazioni trattate o dei servizi forniti.

L’obiettivo della sicurezza delle informazioni è garantire la qualità delle informazioni e la continuità dell’erogazione dei servizi, agendo preventivamente, monitorando l’attività quotidiana e reagendo tempestivamente agli incidenti.

Per difendersi da queste minacce, è necessaria una strategia che si adatti alle mutevoli condizioni ambientali per garantire la continuità dell’erogazione dei servizi.

Ciò implica che i dipartimenti devono implementare le misure di sicurezza richieste dalla norma ISO 27001 e dalla Direttiva NIS 2 (Allegato I, punto 5 “Settore sanitario”, in combinato disposto con NACE Rev.2, Sezione C, punto 21 “Fabbricazione di medicinali”), oltre a monitorare costantemente i livelli di erogazione dei servizi, tracciare, analizzare e correggere le vulnerabilità segnalate e preparare una risposta efficace agli incidenti per garantire la continuità dei servizi forniti.

I diversi dipartimenti devono garantire che la sicurezza ICT sia parte integrante di ogni fase del ciclo di vita del sistema, dalla sua concezione alla sua dismissione, attraverso le decisioni di sviluppo o di acquisto e le attività operative.

I requisiti di sicurezza e i finanziamenti devono essere identificati e inclusi nella pianificazione, nelle richieste di offerta e nei documenti di gara per i progetti ICT. I dipartimenti devono essere pronti a prevenire, rilevare, reagire e ripristinare i servizi in seguito a incidenti, in conformità con l’articolo 29.a della Direttiva NIS2.

2. Gestione degli incidenti di sicurezza

2.1 Prevenzione

I dipartimenti devono evitare, o almeno prevenire per quanto possibile, che le informazioni o i servizi siano compromessi da incidenti di sicurezza. Sia la norma ISO 27001 che la Direttiva NIS2 stabiliscono che i sistemi devono essere progettati e configurati per garantire la sicurezza per impostazione predefinita, in linea con la politica del privilegio minimo “Need to Know”.

A tal fine, i dipartimenti devono implementare le misure minime di sicurezza stabilite dalla norma ISO 27001, in conformità con i requisiti indicati nella Direttiva NIS2, nonché eventuali controlli aggiuntivi identificati attraverso una valutazione delle minacce e dei rischi. Questi controlli, insieme ai ruoli e alle responsabilità in materia di sicurezza di tutto il personale, devono essere chiaramente definiti e documentati.

Per garantire la conformità alla politica, i dipartimenti devono:

• Stabilire aree sicure per i sistemi informativi critici o riservati.
• Autorizzare i sistemi prima della messa in funzione.
• Valutare regolarmente la sicurezza, comprese le valutazioni delle modifiche di configurazione apportate quotidianamente.
• Richiedere una revisione periodica da parte di terzi al fine di ottenere una valutazione indipendente.

2.2 Rilevamento

Poiché i servizi possono degradarsi rapidamente a causa di incidenti, che vanno da un semplice rallentamento a un blocco totale, i servizi devono monitorare l’operatività su base continua per rilevare anomalie nei livelli di erogazione del servizio e agire di conseguenza come stabilito dalle norme ISO 27001 e NIS 2.

Il monitoraggio è particolarmente rilevante quando si stabiliscono linee di difesa. Devono essere stabiliti meccanismi di rilevamento, analisi e segnalazione che raggiungano i responsabili su base regolare e quando si verifica una deviazione significativa dai parametri prestabiliti come normali.

I sistemi di rilevamento delle intrusioni monitorano e controllano principalmente le risorse dell’organizzazione, verificando che la politica di sicurezza non venga violata e cercando di identificare qualsiasi attività dannosa in modo tempestivo ed efficace.

Le seguenti classificazioni dovranno essere stabilite in base alle necessità:

• Sistemi di rilevamento delle intrusioni a livello di rete.
• Sistemi di rilevamento delle intrusioni a livello di sistema.

2.3 Risposta

I dipartimenti devono:

• Stabilire meccanismi per rispondere efficacemente agli incidenti di sicurezza.
• Designare un punto di contatto per le comunicazioni relative agli incidenti rilevati in altri dipartimenti o altre agenzie.
• Stabilire protocolli per lo scambio di informazioni relative all’incidente.

2.4 Ripristino

Per garantire la disponibilità dei servizi critici, l’organizzazione assicurerà l’esistenza di un piano di continuità e delle relative attività di ripristino.

3. Ambito di applicazione

Questa politica si applica ai sistemi informativi che supportano l’analisi, il controllo qualità e la certificazione dei prodotti farmaceutici, biotecnologici e cosmetici gestiti da Kymos Group.

4. Missione e servizi forniti

Kymos, in quanto azienda privata, cura la gestione dei propri interessi e, nell’ambito della fornitura dei propri servizi per la Pubblica Amministrazione e/o aziende private del settore farmaceutico, serve con obiettività gli interessi generali fornendo servizi che contribuiscono a soddisfare le esigenze dei servizi erogati.

5. Quadro normativo

Il quadro giuridico per la sicurezza delle informazioni è stabilito da quanto segue:

• ISO/IEC 27001:2022, Sicurezza delle informazioni, cybersicurezza e protezione della privacy.
• Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativa a misure per un livello comune elevato di cybersicurezza nell’Unione (NIS 2) e legislazione locale di attuazione.

5.1 Protezione dei dati personali

• Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati e che abroga la direttiva 95/46/CE (Regolamento generale sulla protezione dei dati).
• Legge 3/2018, del 5 dicembre, sulla protezione dei dati personali e la garanzia dei diritti digitali.

5.2 E-Government e firma elettronica

• Regolamento (UE) n. 910/2014 del Parlamento europeo e del Consiglio (Identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno).
• Legge 6/2020, dell’11 novembre, che regola alcuni aspetti dei servizi fiduciari elettronici.
• COM (2001) 298 – finale, della Commissione Europea – Sicurezza delle reti e dell’informazione: proposta per un approccio politico europeo.
• Legge 6/2020, dell’11 novembre, che regola alcuni aspetti dei servizi fiduciari elettronici.

5.3 Sicurezza delle reti e delle informazioni

• Linee guida dell’OCSE per la sicurezza dei sistemi e delle reti di informazione. Verso una cultura della sicurezza. Come complemento alla legislazione vigente, esiste attualmente lo standard internazionale UNE ISO/IEC 27002 “Codice di buone pratiche per la gestione della sicurezza delle informazioni”, che è diventato uno standard per l’audit degli aspetti relativi alla sicurezza delle informazioni nelle organizzazioni.

6. Organizzazione della sicurezza: Ruoli e responsabilità dei comitati

Il Comitato per la sicurezza è l’organo che coordina la sicurezza delle informazioni a livello organizzativo.

Sarà composto dal Responsabile della sicurezza delle informazioni e da rappresentanti di altre aree interessate dalle norme ISO 27001 e NIS2.

Funzioni e responsabilità associate

• Responsabilità derivanti dal trattamento dei dati personali, supportando il Responsabile della protezione dei dati (DPO) nelle sue funzioni.
• Affrontare le preoccupazioni degli organi superiori competenti e dei diversi dipartimenti.
• Riferire regolarmente sullo stato della sicurezza delle informazioni ai superiori competenti.
• Promuovere il miglioramento continuo del Sistema di gestione della sicurezza delle informazioni (ISMS).
• Sviluppare la strategia dell’organizzazione per l’evoluzione della sicurezza delle informazioni.
• Coordinare gli sforzi delle diverse aree in relazione alla sicurezza delle informazioni, per garantire che gli sforzi siano coerenti, allineati con la strategia decisa in questo ambito ed evitare duplicazioni.
• Sviluppare (e rivedere regolarmente) la Politica sulla sicurezza delle informazioni.
• Approvare i regolamenti interni sulla sicurezza delle informazioni.
• Sviluppare e approvare i requisiti di formazione e qualificazione per amministratori, operatori e utenti dal punto di vista della sicurezza delle informazioni.
• Monitorare i principali rischi residui assunti dall’organizzazione e raccomandare possibili azioni da intraprendere.
• Monitorare le prestazioni dei processi di gestione degli incidenti di sicurezza e raccomandare possibili azioni a riguardo. In particolare, garantire il coordinamento delle diverse aree di sicurezza nella gestione degli incidenti di sicurezza delle informazioni.
• Promuovere audit periodici per verificare la conformità agli obblighi di sicurezza dell’organizzazione.
• Approvare i piani per migliorare la sicurezza delle informazioni dell’organizzazione.
• Garantire che la sicurezza delle informazioni sia presa in considerazione in tutti i progetti, dalla loro specifica iniziale alla loro implementazione.
• Risolvere i conflitti di responsabilità che possono sorgere tra i diversi responsabili e/o tra le diverse aree dell’organizzazione, comunicando la situazione ai superiori nei casi in cui non si disponga di autorità sufficiente per decidere.

In caso di incidente di sicurezza delle informazioni

Approverà il Piano di miglioramento della sicurezza, con la relativa allocazione di budget. Il Comitato per la sicurezza delle informazioni non è un comitato tecnico, ma richiederà regolarmente al proprio personale tecnico o a personale esterno informazioni rilevanti per il processo decisionale. Il Comitato per la sicurezza delle informazioni si avvarrà di consulenze su questioni su cui deve decidere o esprimere un parere. Tale consulenza sarà determinata caso per caso e potrà assumere diverse forme:

• Gruppi di lavoro specializzati interni, esterni o misti.
• Consulenza esterna.
• Partecipazione a corsi o altri tipi di formazione o ambienti di condivisione delle esperienze.

Il Responsabile della sicurezza delle informazioni è il segretario del Comitato per la sicurezza delle informazioni e in quanto tale:

• Convoca le riunioni del Comitato per la sicurezza delle informazioni.
• Prepara gli argomenti da discutere nelle riunioni del Comitato, fornendo informazioni tempestive per il processo decisionale.
• Elabora i verbali delle riunioni.
• È responsabile dell’attuazione diretta o delegata delle decisioni del Comitato.

6.1 Definizione dei ruoli

La Politica di sicurezza deve identificare i responsabili chiaramente incaricati di garantirne la conformità e deve essere conosciuta da tutti i membri dell’organizzazione amministrativa.

Nell’organizzazione sono stabiliti i seguenti ruoli relativi alla sicurezza delle informazioni.

6.1.1 Responsabile delle informazioni

Corrisponde al livello di un organo di governo di alto livello che comprende la missione dell’organizzazione, determina gli obiettivi che intende raggiungere ed è responsabile di garantire che vengano raggiunti.

Le sue funzioni possono essere assegnate a una persona fisica o dal Comitato per la sicurezza delle informazioni.

La persona o l’organo che se ne fa carico sarà identificato per ogni informazione gestita dall’organizzazione.

Funzioni e responsabilità associate

• Stabilisce i requisiti per le informazioni di sicurezza.
• Ha la responsabilità ultima per l’uso delle informazioni critiche e quindi per la loro protezione.
• Determinerà i livelli di sicurezza in ogni dimensione dell’informazione.
• Sebbene l’approvazione formale dei livelli di informazione dipenda dal Responsabile delle informazioni, quest’ultimo può richiedere una proposta al Responsabile della sicurezza delle informazioni, al Responsabile dell’ISMS e all’Amministrazione della sicurezza del sistema, quest’ultima se applicabile.

Compatibilità con altri ruoli

Questo ruolo può coincidere con quello del Responsabile del servizio.

Questo ruolo non deve coincidere con quello di Responsabile della sicurezza delle informazioni, Responsabile dell’ISMS o Amministratore della sicurezza del sistema, quest’ultimo se applicabile.

6.1.2 Responsabile del servizio

Laddove diverso dal Responsabile delle informazioni, può essere al livello di un organo di governo di alto livello, come il Responsabile delle informazioni, oppure può essere al livello di una direzione esecutiva o di un management, che comprende cosa fa ogni dipartimento e come i dipartimenti si coordinano tra loro per raggiungere gli obiettivi fissati dai relativi organi superiori.

Le sue funzioni possono essere assegnate a una persona fisica o dal Comitato per la sicurezza delle informazioni.

La persona o l’organo che se ne fa carico sarà identificato per ogni servizio fornito dall’organizzazione.

Funzioni e responsabilità associate

• Stabilisce i requisiti di sicurezza per i servizi.
• Ha la responsabilità ultima per l’uso di determinati servizi e quindi per la loro protezione. In caso di esistenza di un fornitore di servizi, sarà responsabile della gestione e della mitigazione di errori o azioni negligenti sotto il suo controllo che potrebbero portare a incidenti di disponibilità del servizio.
• Determinerà i livelli di sicurezza in ogni dimensione del servizio.
• Sebbene l’approvazione formale dei livelli dipenda dal Responsabile del servizio, quest’ultimo può richiedere una proposta al Responsabile della sicurezza delle informazioni, al Responsabile dell’ISMS e all’Amministratore della sicurezza del sistema, quest’ultimo se applicabile.
• L’erogazione di un servizio deve sempre soddisfare i requisiti di sicurezza delle informazioni che gestisce, nonché i requisiti di sicurezza del servizio, aggiungendo requisiti di disponibilità e altri, come l’accessibilità e l’interoperabilità.

Compatibilità con altri ruoli

Questo ruolo può coincidere con quello del Responsabile delle informazioni.

Questo ruolo non deve coincidere con quello di Responsabile della sicurezza delle informazioni, Responsabile dell’ISMS o Amministratore della sicurezza del sistema, quest’ultimo se applicabile.

6.1.3 Responsabile della sicurezza delle informazioni / CISO

Corrisponde al livello di una Direzione Esecutiva o Management.

Solo una persona nell’organizzazione sarà formalmente nominata Responsabile della sicurezza delle informazioni, sebbene il Responsabile della sicurezza delle informazioni possa delegare parte delle funzioni ad altre persone chiamate delegati.

Funzioni e responsabilità associate

• Riferirà direttamente al Comitato per la sicurezza delle informazioni.
• Agirà come Segretario del Comitato per la sicurezza delle informazioni.
• Convocare il Comitato per la sicurezza delle informazioni.
• Mantenere la sicurezza delle informazioni utilizzate, dei servizi forniti e dei sistemi informativi.
• Promuovere la formazione e la sensibilizzazione sulla sicurezza delle informazioni.
• Raccoglierà i requisiti di sicurezza dei Responsabili delle informazioni e dei servizi insieme al Responsabile dell’ISMS e determinerà la criticità del sistema.
• Condurre l’analisi dei rischi.
• Produrre una Dichiarazione di Applicabilità basata sulle misure di sicurezza richieste secondo le norme ISO 27001 e NIS2, e sul risultato dell’analisi dei rischi.
• Fornire alla direzione e agli altri membri del Comitato informazioni sul livello di rischio residuo previsto dopo l’implementazione delle opzioni di trattamento selezionate nell’analisi dei rischi e delle misure di sicurezza richieste.
• Coordinerà la preparazione della documentazione sulla sicurezza del sistema.
• Parteciperà all’elaborazione, nell’ambito del Comitato per la sicurezza delle informazioni, della Politica sulla sicurezza delle informazioni, per l’approvazione da parte della direzione.
• Parteciperà alla stesura e all’approvazione delle politiche, delle procedure e dei regolamenti interni sulla sicurezza delle informazioni dell’organizzazione nell’ambito del Comitato per la sicurezza delle informazioni
• Sviluppare, mantenere e approvare le procedure operative per la sicurezza delle informazioni.
• Fornirà regolarmente al Comitato per la sicurezza un riepilogo delle azioni di sicurezza, degli incidenti di sicurezza delle informazioni e dello stato di sicurezza del sistema.
• Elaborerà, insieme al Responsabile dell’ISMS, i Piani di miglioramento della sicurezza per l’approvazione da parte del Comitato per la sicurezza delle informazioni.
• Promuoverà la formazione e la sensibilizzazione, nonché elaborerà i Piani di formazione e sensibilizzazione sulla sicurezza delle informazioni per il personale, che saranno approvati dal Comitato per la sicurezza delle informazioni.
• Validerà i Piani di continuità dei sistemi elaborati dal Responsabile dell’ISMS, che saranno approvati dal Comitato per la sicurezza delle informazioni e periodicamente testati dal Responsabile dell’ISMS.
• Approvare le linee guida proposte dal Responsabile dell’ISMS per considerare la sicurezza delle informazioni durante tutto il ciclo di vita degli asset e dei processi: specifica, architettura, sviluppo, operatività e modifiche.

In caso di incidente di sicurezza delle informazioni

Il Responsabile della sicurezza delle informazioni analizzerà e proporrà misure di salvaguardia per prevenire incidenti simili in futuro.

Compatibilità con altri ruoli

Questo ruolo non può coincidere con quello di Responsabile dell’ISMS e Amministratore della sicurezza del sistema, quest’ultimo se applicabile.

Delega di funzioni

Per determinati sistemi informativi che, a causa della loro complessità, distribuzione, separazione fisica dei loro elementi o numero di utenti, richiedono personale aggiuntivo per svolgere le funzioni del Responsabile della sicurezza delle informazioni, i Responsabili della sicurezza delegati ritenuti necessari possono essere nominati dal Responsabile della sicurezza delle informazioni, previa approvazione del Comitato per la sicurezza delle informazioni.

Attraverso la designazione di delegati, le funzioni vengono delegate. La responsabilità ultima rimane in capo al Responsabile della sicurezza delle informazioni.

I Responsabili della sicurezza delegati saranno incaricati di tutte le funzioni delegate dal Responsabile della sicurezza delle informazioni e riferiranno direttamente a quest’ultimo.

6.1.4 Responsabile dell’ISMS

Corrisponde al livello di una Direzione Operativa.

Una persona fisica sarà formalmente nominata Responsabile dell’ISMS.

Funzioni e responsabilità associate

Le sue funzioni saranno le seguenti:

• Stabilire, rivedere e mantenere la politica sulla sicurezza delle informazioni dell’organizzazione.
• Coordinare l’identificazione, l’analisi e il trattamento dei rischi.
• Garantire l’applicazione dei controlli e delle misure di sicurezza.
• Coordinare gli audit interni dell’ISMS e le conseguenti azioni correttive.
• Gestire la documentazione dell’ISMS, inclusa la Dichiarazione di Applicabilità (SoA), in collaborazione con il Responsabile della sicurezza delle informazioni.
• Collaborare con il Responsabile della sicurezza delle informazioni, il DPO e altri ruoli chiave per garantire l’integrazione della sicurezza e della privacy in tutta l’organizzazione.

In caso di incidente di sicurezza delle informazioni

Pianificherà l’implementazione delle misure di salvaguardia nel sistema e implementerà il piano di sicurezza approvato.

Compatibilità con altri ruoli

Questo ruolo non deve coincidere con quello dell’Amministratore della sicurezza del sistema e del Responsabile della sicurezza delle informazioni.

6.1.5 Amministratore della sicurezza del sistema

Corrisponde al livello di un dipendente qualificato nella sicurezza dei sistemi IT.

L’Amministratore della sicurezza del sistema sarà nominato dal Responsabile dell’ISMS, al quale l’Amministratore della sicurezza del sistema riferirà su tutte le questioni relative alla sicurezza delle informazioni dei sistemi gestiti.

Funzioni e responsabilità associate

• L’implementazione, la gestione e la manutenzione delle misure di sicurezza applicabili al sistema informativo.
• Garantire che i controlli di sicurezza stabiliti siano rigorosamente implementati.
• Garantire che le tracce di audit e i log di sicurezza richiesti siano abilitati, conservati e monitorati in conformità con i requisiti di sicurezza delle informazioni dell’organizzazione.
• Implementare, gestire e mantenere le procedure, i meccanismi e i controlli di sicurezza richiesti per i sistemi, gli utenti e gli asset interni ed esterni associati.
• Garantire che vengano applicate le procedure approvate per la gestione del sistema informativo e i meccanismi e i servizi di sicurezza richiesti.
• La gestione, la configurazione e l’aggiornamento, ove opportuno, dell’hardware e del software su cui si basano i meccanismi e i servizi di sicurezza del sistema informativo.
• Monitorare le installazioni, le modifiche e gli aggiornamenti di hardware e software per garantire che la sicurezza non venga compromessa.
• Approvare le modifiche alla configurazione attuale del sistema informativo, garantendo che i meccanismi e i servizi di sicurezza in atto rimangano operativi.
• Segnalare eventuali anomalie, compromissioni o vulnerabilità relative alla sicurezza al Responsabile dell’ISMS.
• Monitorare lo stato di sicurezza del sistema.

In caso di incidente di sicurezza delle informazioni

• Registrazione, contabilità e gestione degli incidenti di sicurezza nei sistemi sotto la sua responsabilità.
• Implementare il piano di sicurezza approvato.
• Isolare l’incidente per prevenirne la diffusione ad altri elementi non compromessi dall’incidente.
• Prendere decisioni a breve termine se le informazioni sono state compromesse in modo tale da poter avere gravi conseguenze (tali azioni devono essere documentate).
• Garantire l’integrità degli elementi critici del sistema se la loro disponibilità è stata compromessa.
• Mantenere e recuperare le informazioni memorizzate dal sistema e dai suoi servizi associati.
• Indagare sull’incidente: determinare le caratteristiche, i mezzi, i motivi e l’origine dell’incidente.

Compatibilità con altri ruoli

Questo ruolo non deve coincidere con il ruolo di Responsabile dell’ISMS e Responsabile della sicurezza delle informazioni.

Delega di funzioni

Per determinati sistemi informativi che, a causa della loro complessità, distribuzione, separazione fisica dei loro elementi o numero di utenti, richiedono personale aggiuntivo per svolgere le funzioni dell’Amministratore della sicurezza del sistema, gli Amministratori della sicurezza del sistema delegati ritenuti necessari possono essere nominati dall’Amministratore della sicurezza del sistema, previa approvazione del Comitato per la sicurezza delle informazioni.

Attraverso la designazione di delegati, le funzioni vengono delegate. La responsabilità ultima rimane in capo all’Amministratore del sistema di sicurezza.

Gli Amministratori dei sistemi di sicurezza delegati saranno incaricati di tutte le funzioni delegate dall’Amministratore del sistema di sicurezza e riferiranno direttamente a quest’ultimo.

6.1.6 Responsabile della protezione dei dati

Il Responsabile della protezione dei dati è un ruolo previsto dal RGPD (Regolamento europeo sulla protezione dei dati) e dalla legge organica spagnola 3/2018 applicabile sulla protezione generale dei dati personali.

Tale ruolo sarà assunto da una persona fisica.

Funzioni e responsabilità associate

• Riferire direttamente al più alto livello gerarchico raccomandazioni, valutazioni o consigli in merito alla protezione dei dati personali.
• Collaborare con il Responsabile della sicurezza delle informazioni in caso di incidenti di sicurezza che possano interessare i dati personali.
• Supervisionare la conformità alla legge sulla privacy applicabile, sia internamente che esternamente per quanto riguarda i fornitori.
• Assistere nella valutazione dei rischi relativi ai dati personali e alle relative misure di salvaguardia.
• Partecipare ad attività di sensibilizzazione e formazione relative a questioni di protezione dei dati.

6.2 Responsabilità ai sensi delle norme ISO 27001 e NIS 2

Le principali responsabilità sono indicate di seguito in correlazione con le misure di sicurezza:

A questo proposito, si veda il seguente documento: “REG-03 RACI”.

7. Dati personali

Kymos tratta dati personali, pertanto l’organizzazione dispone del corrispondente Registro delle attività di trattamento secondo le disposizioni del RGPD.

Tutti i sistemi informativi di Kymos Group devono essere conformi ai livelli di sicurezza richiesti dalle normative, ai fini e per l’effetto della natura e dello scopo dei dati personali raccolti.

8. Gestione del rischio

8.1 Giustificazione

Tutti i sistemi soggetti a questa Politica saranno tenuti a eseguire un’analisi dei rischi, valutando le minacce e i rischi a cui sono esposti.

L’analisi dei rischi sarà la base per determinare le misure di sicurezza da adottare, che saranno dettagliate nell’Analisi dei rischi e nella relativa Dichiarazione di Applicabilità.

8.2 Criteri di valutazione del rischio

Per l’armonizzazione della metodologia di analisi dei rischi, il Comitato per la sicurezza delle informazioni stabilirà una valutazione di base per i diversi tipi di informazioni gestite e i diversi servizi forniti.

Criteri dettagliati di valutazione del rischio saranno specificati nella metodologia di valutazione del rischio che sarà sviluppata dall’organizzazione, basata su standard e pratiche riconosciuti.

Saranno affrontati tutti i rischi che potrebbero compromettere seriamente la capacità operativa dell’organizzazione o il raggiungimento della missione dell’organizzazione.

Verrà data priorità speciale ai rischi che comportano un’interruzione della fornitura dei servizi resi.

8.3 Linee guida per il trattamento

Il Comitato per la sicurezza delle informazioni ottimizzerà la disponibilità delle risorse per soddisfare le esigenze di sicurezza dei diversi sistemi, promuovendo investimenti orizzontali.

8.4 Processo di accettazione del rischio residuo

I rischi residui saranno determinati dal Responsabile della sicurezza delle informazioni.

I livelli di rischio residuo previsti su ogni informazione dopo l’implementazione delle opzioni di trattamento (inclusa l’implementazione delle misure di sicurezza previste dalla norma ISO 27002 e dalla Direttiva NIS2) saranno accettati dal Comitato per la sicurezza delle informazioni.

I livelli di rischio residuo saranno sottoposti dal Responsabile della sicurezza delle informazioni al Comitato per la sicurezza delle informazioni (ISC), che valuterà, approverà o rettificherà le opzioni di trattamento proposte, a seconda dei casi.

8.5 Necessità di condurre o aggiornare le valutazioni del rischio

L’analisi dei rischi e il loro trattamento devono essere un’attività regolare, come richiesto dalla norma ISO 27001 e dalla Direttiva NIS2. Questa analisi sarà ripetuta:

• Regolarmente, almeno una volta all’anno.
• Quando si verificano cambiamenti significativi nelle informazioni gestite.
• Quando si verificano cambiamenti significativi nei servizi forniti.
• Quando si verificano cambiamenti significativi nei sistemi che elaborano le informazioni e sono coinvolti nella fornitura di servizi.
• Quando si verifica un grave incidente di sicurezza.
• Quando vengono segnalate gravi vulnerabilità.

9. Obblighi del personale

Tutti i membri dell’organizzazione sono tenuti a conoscere e rispettare la presente Politica sulla sicurezza delle informazioni e i regolamenti di sicurezza a loro applicabili, ed è responsabilità del Comitato per la sicurezza delle informazioni fornire i mezzi necessari per garantire che le informazioni raggiungano gli interessati.

Il rispetto della presente Politica di sicurezza è obbligatorio per tutto il personale interno ed esterno coinvolto nei processi dell’organizzazione, e la sua inosservanza costituisce una colpa grave ai fini lavorativi, in conformità con il contratto collettivo di lavoro.

A questo proposito, l’organizzazione dispone del documento “IT-REGU-04 Regolamento di sicurezza dei doveri e dei ruoli del personale”.

10. Formazione e sensibilizzazione del personale

La Direzione si impegna nella formazione professionale e nella sensibilizzazione del personale di Kymos Group.

L’obiettivo di Kymos è quello di sensibilizzare costantemente i dipendenti sulla cybersicurezza e, a tal fine, l’organizzazione effettua:

• Consegna tempestiva di pillole informative sulla cybersicurezza, rispondendo a situazioni di rischio.
• Formazione annuale di aggiornamento sulla cybersicurezza per tutto il personale.
• Campagne sporadiche di simulazione di phishing, almeno ogni due anni.

11. Terze parti

Quando i servizi sono forniti o le informazioni sono gestite da altre organizzazioni, queste saranno informate della presente Politica sulla sicurezza delle informazioni, saranno stabiliti canali di segnalazione e coordinamento per i rispettivi Comitati per la sicurezza delle informazioni e saranno stabilite procedure per reagire agli incidenti di sicurezza.

Laddove vengano utilizzati servizi di terze parti o vengano fornite informazioni a terzi, questi saranno informati della presente Politica di sicurezza e dei ruoli e doveri del personale che si applicano a tali servizi o informazioni. Tale terza parte sarà soggetta agli obblighi stabiliti nella presente politica e potrà sviluppare le proprie procedure operative per soddisfare tali obblighi.

Saranno stabilite procedure specifiche per la segnalazione e la risoluzione degli incidenti. Si garantirà che il personale di terze parti sia adeguatamente sensibilizzato alla sicurezza almeno allo stesso livello stabilito nella presente Politica.

Laddove qualsiasi aspetto della Politica non possa essere soddisfatto da una terza parte come richiesto nei paragrafi precedenti, sarà necessaria una relazione del Responsabile della sicurezza delle informazioni che specifichi i rischi coinvolti e come saranno affrontati. Tale relazione sarà esaminata dal Comitato per la sicurezza delle informazioni e approvata dai Responsabili delle informazioni e dei servizi, insieme alla Direzione.

12. Revisione e approvazione della Politica di sicurezza

La Politica sulla sicurezza delle informazioni sarà rivista dal Comitato per la sicurezza delle informazioni a intervalli pianificati, non superiori a un anno, o ogni volta che si verificano cambiamenti significativi, al fine di garantire che la sua idoneità, adeguatezza ed efficacia siano mantenute.

Eventuali modifiche alla Politica sulla sicurezza delle informazioni saranno esaminate dal Comitato per la sicurezza delle informazioni e approvate dalla Direzione.

La Direzione garantirà che tutto il personale comprenda e adempia alle proprie responsabilità in materia di sicurezza delle informazioni, promuoverà la conformità alle politiche, alle procedure e ai controlli sulla sicurezza delle informazioni e fornirà il supporto e le risorse necessari per la loro implementazione.

Infine, la Politica sulla sicurezza delle informazioni sarà comunicata e resa disponibile a tutto il personale di Kymos Group e alle parti interessate.