Kymos dipende dai sistemi ICT (Information and Communications Technology) per il raggiungimento dei propri obiettivi.<\/p>\n
Questi sistemi devono essere gestiti con diligenza, adottando misure adeguate per proteggerli da danni accidentali o deliberati che potrebbero compromettere la disponibilit\u00e0, l’integrit\u00e0 e la riservatezza delle informazioni trattate o dei servizi forniti.<\/p>\n
L’obiettivo della sicurezza delle informazioni \u00e8 garantire la qualit\u00e0 delle informazioni e la continuit\u00e0 dell’erogazione dei servizi, agendo preventivamente, monitorando l’attivit\u00e0 quotidiana e reagendo tempestivamente agli incidenti.<\/p>\n
Per difendersi da queste minacce, \u00e8 necessaria una strategia che si adatti alle mutevoli condizioni ambientali per garantire la continuit\u00e0 dell’erogazione dei servizi.<\/p>\n
Ci\u00f2 implica che i dipartimenti devono implementare le misure di sicurezza richieste dalla norma ISO 27001 e dalla Direttiva NIS 2 (Allegato I, punto 5 \u201cSettore sanitario\u201d, in combinato disposto con NACE Rev.2, Sezione C, punto 21 \u201cFabbricazione di medicinali\u201d)<\/strong>, oltre a monitorare costantemente i livelli di erogazione dei servizi, tracciare, analizzare e correggere le vulnerabilit\u00e0 segnalate e preparare una risposta efficace agli incidenti per garantire la continuit\u00e0 dei servizi forniti.<\/p>\n I diversi dipartimenti devono garantire che la sicurezza ICT sia parte integrante di ogni fase del ciclo di vita del sistema, dalla sua concezione alla sua dismissione, attraverso le decisioni di sviluppo o di acquisto e le attivit\u00e0 operative.<\/p>\n I requisiti di sicurezza e i finanziamenti devono essere identificati e inclusi nella pianificazione, nelle richieste di offerta e nei documenti di gara per i progetti ICT. I dipartimenti devono essere pronti a prevenire, rilevare, reagire e ripristinare i servizi in seguito a incidenti, in conformit\u00e0 con l’articolo 29.a della Direttiva NIS2. <\/p>\n I dipartimenti devono evitare, o almeno prevenire per quanto possibile, che le informazioni o i servizi siano compromessi da incidenti di sicurezza. Sia la norma ISO 27001 che la Direttiva NIS2 stabiliscono che i sistemi devono essere progettati e configurati per garantire la sicurezza per impostazione predefinita, in linea con la politica del privilegio minimo “Need to Know”. <\/p>\n A tal fine, i dipartimenti devono implementare le misure minime di sicurezza stabilite dalla norma ISO 27001, in conformit\u00e0 con i requisiti indicati nella Direttiva NIS2, nonch\u00e9 eventuali controlli aggiuntivi identificati attraverso una valutazione delle minacce e dei rischi. Questi controlli, insieme ai ruoli e alle responsabilit\u00e0 in materia di sicurezza di tutto il personale, devono essere chiaramente definiti e documentati. <\/p>\n Per garantire la conformit\u00e0 alla politica, i dipartimenti devono:<\/p>\n Poich\u00e9 i servizi possono degradarsi rapidamente a causa di incidenti, che vanno da un semplice rallentamento a un blocco totale, i servizi devono monitorare l’operativit\u00e0 su base continua per rilevare anomalie nei livelli di erogazione del servizio e agire di conseguenza come stabilito dalle norme ISO 27001 e NIS 2.<\/p>\n Il monitoraggio \u00e8 particolarmente rilevante quando si stabiliscono linee di difesa. Devono essere stabiliti meccanismi di rilevamento, analisi e segnalazione che raggiungano i responsabili su base regolare e quando si verifica una deviazione significativa dai parametri prestabiliti come normali. <\/p>\n I sistemi di rilevamento delle intrusioni monitorano e controllano principalmente le risorse dell’organizzazione, verificando che la politica di sicurezza non venga violata e cercando di identificare qualsiasi attivit\u00e0 dannosa in modo tempestivo ed efficace.<\/p>\n Le seguenti classificazioni dovranno essere stabilite in base alle necessit\u00e0:<\/p>\n I dipartimenti devono:<\/p>\n Per garantire la disponibilit\u00e0 dei servizi critici, l’organizzazione assicurer\u00e0 l’esistenza di un piano di continuit\u00e0 e delle relative attivit\u00e0 di ripristino.<\/p>\n Questa politica si applica ai sistemi informativi che supportano l’analisi, il controllo qualit\u00e0 e la certificazione dei prodotti farmaceutici, biotecnologici e cosmetici gestiti da Kymos Group.<\/p>\n Kymos, in quanto azienda privata, cura la gestione dei propri interessi e, nell’ambito della fornitura dei propri servizi per la Pubblica Amministrazione e\/o aziende private del settore farmaceutico, serve con obiettivit\u00e0 gli interessi generali fornendo servizi che contribuiscono a soddisfare le esigenze dei servizi erogati.<\/p>\n Il quadro giuridico per la sicurezza delle informazioni \u00e8 stabilito da quanto segue:<\/p>\n Il Comitato per la sicurezza \u00e8 l’organo che coordina la sicurezza delle informazioni a livello organizzativo.<\/p>\n Sar\u00e0 composto dal Responsabile della sicurezza delle informazioni e da rappresentanti di altre aree interessate dalle norme ISO 27001 e NIS2.<\/p>\n <\/a>Funzioni e responsabilit\u00e0 associate<\/u><\/strong><\/p>\n Approver\u00e0 il Piano di miglioramento della sicurezza, con la relativa allocazione di budget. Il Comitato per la sicurezza delle informazioni non \u00e8 un comitato tecnico, ma richieder\u00e0 regolarmente al proprio personale tecnico o a personale esterno informazioni rilevanti per il processo decisionale. Il Comitato per la sicurezza delle informazioni si avvarr\u00e0 di consulenze su questioni su cui deve decidere o esprimere un parere. Tale consulenza sar\u00e0 determinata caso per caso e potr\u00e0 assumere diverse forme: <\/p>\n Il Responsabile della sicurezza delle informazioni \u00e8 il segretario del Comitato per la sicurezza delle informazioni e in quanto tale:<\/p>\n La Politica di sicurezza deve identificare i responsabili chiaramente incaricati di garantirne la conformit\u00e0 e deve essere conosciuta da tutti i membri dell’organizzazione amministrativa.<\/p>\n Nell’organizzazione sono stabiliti i seguenti ruoli relativi alla sicurezza delle informazioni.<\/p>\n Corrisponde al livello di un organo di governo di alto livello che comprende la missione dell’organizzazione, determina gli obiettivi che intende raggiungere ed \u00e8 responsabile di garantire che vengano raggiunti.<\/p>\n Le sue funzioni possono essere assegnate a una persona fisica o dal Comitato per la sicurezza delle informazioni.<\/p>\n La persona o l’organo che se ne fa carico sar\u00e0 identificato per ogni informazione gestita dall’organizzazione.<\/p>\n Questo ruolo pu\u00f2 coincidere con quello del Responsabile del servizio.<\/p>\n Questo ruolo non deve coincidere con quello di Responsabile della sicurezza delle informazioni, Responsabile dell’ISMS o Amministratore della sicurezza del sistema, quest’ultimo se applicabile.<\/p>\n Laddove diverso dal Responsabile delle informazioni, pu\u00f2 essere al livello di un organo di governo di alto livello, come il Responsabile delle informazioni, oppure pu\u00f2 essere al livello di una direzione esecutiva o di un management, che comprende cosa fa ogni dipartimento e come i dipartimenti si coordinano tra loro per raggiungere gli obiettivi fissati dai relativi organi superiori.<\/p>\n Le sue funzioni possono essere assegnate a una persona fisica o dal Comitato per la sicurezza delle informazioni.<\/p>\n La persona o l’organo che se ne fa carico sar\u00e0 identificato per ogni servizio fornito dall’organizzazione.<\/p>\n Questo ruolo pu\u00f2 coincidere con quello del Responsabile delle informazioni.<\/p>\n Questo ruolo non deve coincidere con quello di Responsabile della sicurezza delle informazioni, Responsabile dell’ISMS o Amministratore della sicurezza del sistema, quest’ultimo se applicabile.<\/p>\n Corrisponde al livello di una Direzione Esecutiva o Management.<\/p>\n Solo una persona nell’organizzazione sar\u00e0 formalmente nominata Responsabile della sicurezza delle informazioni, sebbene il Responsabile della sicurezza delle informazioni possa delegare parte delle funzioni ad altre persone chiamate delegati.<\/p>\n Questo ruolo non pu\u00f2 coincidere con quello di Responsabile dell’ISMS e Amministratore della sicurezza del sistema, quest’ultimo se applicabile.<\/p>\n Per determinati sistemi informativi che, a causa della loro complessit\u00e0, distribuzione, separazione fisica dei loro elementi o numero di utenti, richiedono personale aggiuntivo per svolgere le funzioni del Responsabile della sicurezza delle informazioni, i Responsabili della sicurezza delegati ritenuti necessari possono essere nominati dal Responsabile della sicurezza delle informazioni, previa approvazione del Comitato per la sicurezza delle informazioni.<\/p>\n Attraverso la designazione di delegati, le funzioni vengono delegate. La responsabilit\u00e0 ultima rimane in capo al Responsabile della sicurezza delle informazioni. <\/p>\n I Responsabili della sicurezza delegati saranno incaricati di tutte le funzioni delegate dal Responsabile della sicurezza delle informazioni e riferiranno direttamente a quest’ultimo.<\/p>\n Corrisponde al livello di una Direzione Operativa.<\/p>\n Una persona fisica sar\u00e0 formalmente nominata Responsabile dell’ISMS.<\/p>\n Le sue funzioni saranno le seguenti:<\/p>\n Questo ruolo non deve coincidere con quello dell’Amministratore della sicurezza del sistema e del Responsabile della sicurezza delle informazioni.<\/p>\n Corrisponde al livello di un dipendente qualificato nella sicurezza dei sistemi IT.<\/p>\n L’Amministratore della sicurezza del sistema sar\u00e0 nominato dal Responsabile dell’ISMS, al quale l’Amministratore della sicurezza del sistema riferir\u00e0 su tutte le questioni relative alla sicurezza delle informazioni dei sistemi gestiti.<\/p>\n Questo ruolo non deve coincidere con il ruolo di Responsabile dell’ISMS e Responsabile della sicurezza delle informazioni.<\/p>\n Per determinati sistemi informativi che, a causa della loro complessit\u00e0, distribuzione, separazione fisica dei loro elementi o numero di utenti, richiedono personale aggiuntivo per svolgere le funzioni dell’Amministratore della sicurezza del sistema, gli Amministratori della sicurezza del sistema delegati ritenuti necessari possono essere nominati dall’Amministratore della sicurezza del sistema, previa approvazione del Comitato per la sicurezza delle informazioni.<\/p>\n Attraverso la designazione di delegati, le funzioni vengono delegate. La responsabilit\u00e0 ultima rimane in capo all’Amministratore del sistema di sicurezza. <\/p>\n Gli Amministratori dei sistemi di sicurezza delegati saranno incaricati di tutte le funzioni delegate dall’Amministratore del sistema di sicurezza e riferiranno direttamente a quest’ultimo.<\/p>\n Il Responsabile della protezione dei dati \u00e8 un ruolo previsto dal RGPD (Regolamento europeo sulla protezione dei dati) e dalla legge organica spagnola 3\/2018 applicabile sulla protezione generale dei dati personali.<\/p>\n Tale ruolo sar\u00e0 assunto da una persona fisica.<\/p>\n Le principali responsabilit\u00e0 sono indicate di seguito in correlazione con le misure di sicurezza:<\/p>\n A questo proposito, si veda il seguente documento: \u201cREG-03 RACI\u201d.<\/p>\n Kymos tratta dati personali, pertanto l’organizzazione dispone del corrispondente Registro delle attivit\u00e0 di trattamento <\/em><\/strong>secondo le disposizioni del RGPD.<\/p>\n Tutti i sistemi informativi di Kymos Group devono essere conformi ai livelli di sicurezza richiesti dalle normative, ai fini e per l’effetto della natura e dello scopo dei dati personali raccolti.<\/p>\n Tutti i sistemi soggetti a questa Politica saranno tenuti a eseguire un’analisi dei rischi, valutando le minacce e i rischi a cui sono esposti.<\/p>\n L’analisi dei rischi sar\u00e0 la base per determinare le misure di sicurezza da adottare, che saranno dettagliate nell’Analisi dei rischi e nella relativa Dichiarazione di Applicabilit\u00e0.<\/p>\n Per l’armonizzazione della metodologia di analisi dei rischi, il Comitato per la sicurezza delle informazioni stabilir\u00e0 una valutazione di base per i diversi tipi di informazioni gestite e i diversi servizi forniti.<\/p>\n Criteri dettagliati di valutazione del rischio saranno specificati nella metodologia di valutazione del rischio che sar\u00e0 sviluppata dall’organizzazione, basata su standard e pratiche riconosciuti.<\/p>\n Saranno affrontati tutti i rischi che potrebbero compromettere seriamente la capacit\u00e0 operativa dell’organizzazione o il raggiungimento della missione dell’organizzazione.<\/p>\n Verr\u00e0 data priorit\u00e0 speciale ai rischi che comportano un’interruzione della fornitura dei servizi resi.<\/p>\n Il Comitato per la sicurezza delle informazioni ottimizzer\u00e0 la disponibilit\u00e0 delle risorse per soddisfare le esigenze di sicurezza dei diversi sistemi, promuovendo investimenti orizzontali.<\/p>\n I rischi residui saranno determinati dal Responsabile della sicurezza delle informazioni.<\/p>\n I livelli di rischio residuo previsti su ogni informazione dopo l’implementazione delle opzioni di trattamento (inclusa l’implementazione delle misure di sicurezza previste dalla norma ISO 27002 e dalla Direttiva NIS2) saranno accettati dal Comitato per la sicurezza delle informazioni.<\/p>\n I livelli di rischio residuo saranno sottoposti dal Responsabile della sicurezza delle informazioni al Comitato per la sicurezza delle informazioni (ISC), che valuter\u00e0, approver\u00e0 o rettificher\u00e0 le opzioni di trattamento proposte, a seconda dei casi.<\/p>\n L’analisi dei rischi e il loro trattamento devono essere un’attivit\u00e0 regolare, come richiesto dalla norma ISO 27001 e dalla Direttiva NIS2. Questa analisi sar\u00e0 ripetuta: <\/p>\n Tutti i membri dell’organizzazione sono tenuti a conoscere e rispettare la presente Politica sulla sicurezza delle informazioni e i regolamenti di sicurezza a loro applicabili, ed \u00e8 responsabilit\u00e0 del Comitato per la sicurezza delle informazioni fornire i mezzi necessari per garantire che le informazioni raggiungano gli interessati.<\/p>\n Il rispetto della presente Politica di sicurezza \u00e8 obbligatorio per tutto il personale interno ed esterno coinvolto nei processi dell’organizzazione, e la sua inosservanza costituisce una colpa grave ai fini lavorativi, in conformit\u00e0 con il contratto collettivo di lavoro.<\/p>\n A questo proposito, l’organizzazione dispone del documento \u201cIT-REGU-04 Regolamento di sicurezza dei doveri e dei ruoli del personale\u201d.<\/p>\n La Direzione si impegna nella formazione professionale e nella sensibilizzazione del personale di Kymos Group.<\/p>\n L’obiettivo di Kymos \u00e8 quello di sensibilizzare costantemente i dipendenti sulla cybersicurezza e, a tal fine, l’organizzazione effettua:<\/p>\n Quando i servizi sono forniti o le informazioni sono gestite da altre organizzazioni, queste saranno informate della presente Politica sulla sicurezza delle informazioni, saranno stabiliti canali di segnalazione e coordinamento per i rispettivi Comitati per la sicurezza delle informazioni e saranno stabilite procedure per reagire agli incidenti di sicurezza.<\/p>\n Laddove vengano utilizzati servizi di terze parti o vengano fornite informazioni a terzi, questi saranno informati della presente Politica di sicurezza e dei ruoli e doveri del personale che si applicano a tali servizi o informazioni. Tale terza parte sar\u00e0 soggetta agli obblighi stabiliti nella presente politica e potr\u00e0 sviluppare le proprie procedure operative per soddisfare tali obblighi. <\/p>\n Saranno stabilite procedure specifiche per la segnalazione e la risoluzione degli incidenti. Si garantir\u00e0 che il personale di terze parti sia adeguatamente sensibilizzato alla sicurezza almeno allo stesso livello stabilito nella presente Politica. <\/p>\n Laddove qualsiasi aspetto della Politica non possa essere soddisfatto da una terza parte come richiesto nei paragrafi precedenti, sar\u00e0 necessaria una relazione del Responsabile della sicurezza delle informazioni che specifichi i rischi coinvolti e come saranno affrontati. Tale relazione sar\u00e0 esaminata dal Comitato per la sicurezza delle informazioni e approvata dai Responsabili delle informazioni e dei servizi, insieme alla Direzione. <\/p>\n La Politica sulla sicurezza delle informazioni sar\u00e0 rivista dal Comitato per la sicurezza delle informazioni a intervalli pianificati, non superiori a un anno, o ogni volta che si verificano cambiamenti significativi, al fine di garantire che la sua idoneit\u00e0, adeguatezza ed efficacia siano mantenute.<\/p>\n Eventuali modifiche alla Politica sulla sicurezza delle informazioni saranno esaminate dal Comitato per la sicurezza delle informazioni e approvate dalla Direzione.<\/p>\n La Direzione garantir\u00e0 che tutto il personale comprenda e adempia alle proprie responsabilit\u00e0 in materia di sicurezza delle informazioni, promuover\u00e0 la conformit\u00e0 alle politiche, alle procedure e ai controlli sulla sicurezza delle informazioni e fornir\u00e0 il supporto e le risorse necessari per la loro implementazione.<\/p>\n Infine, la Politica sulla sicurezza delle informazioni sar\u00e0 comunicata e resa disponibile a tutto il personale di Kymos Group e alle parti interessate.<\/p>\n<\/div><\/div><\/div><\/div><\/div><\/p>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":8,"featured_media":0,"parent":0,"menu_order":0,"comment_status":"closed","ping_status":"open","template":"100-width.php","meta":{"_acf_changed":false,"footnotes":""},"categories":[],"tags":[],"class_list":["post-40062","page","type-page","status-publish","hentry"],"acf":[],"yoast_head":"\n2. Gestione degli incidenti di sicurezza<\/h2>\n
<\/a><\/h1>\n
2.1 Prevenzione<\/h3>\n
<\/a><\/h2>\n
\n
<\/a><\/a>2.2 Rilevamento<\/h3>\n
\n
<\/a><\/a>2.3 Risposta<\/h3>\n
\n
<\/a><\/a>2.4 Ripristino<\/h3>\n
<\/a>3. Ambito di applicazione<\/h2>\n
<\/a><\/a>4. Missione e servizi forniti<\/h2>\n
<\/a><\/a>5. Quadro normativo<\/h2>\n
\n
<\/a><\/a>5.1 Protezione dei dati personali<\/h3>\n
\n
<\/a><\/a>5.2 E-Government e firma elettronica<\/h3>\n
\n
<\/a><\/a>5.3 Sicurezza delle reti e delle informazioni<\/h3>\n
\n
<\/a><\/a>6. Organizzazione della sicurezza: <\/a>Ruoli e responsabilit\u00e0 dei comitati<\/h2>\n
\n
<\/a><\/a>In caso di incidente di sicurezza delle informazioni<\/u><\/h3>\n
\n
\n
<\/a><\/a>6.1 Definizione dei ruoli<\/h3>\n
<\/a>6.1.1 Responsabile delle informazioni<\/u><\/h4>\n
<\/a>Funzioni e responsabilit\u00e0 associate<\/h4>\n
\n
<\/a>Compatibilit\u00e0 con altri ruoli<\/h4>\n
<\/a>6.1.2 Responsabile del servizio<\/u><\/h4>\n
Funzioni e responsabilit\u00e0 associate<\/h4>\n
\n
<\/a>Compatibilit\u00e0 con altri ruoli<\/h4>\n
<\/a><\/a>6.1.3 Responsabile della sicurezza delle informazioni \/ CISO<\/u><\/h4>\n
<\/a>Funzioni e responsabilit\u00e0 associate<\/h4>\n
\n
In caso di incidente di sicurezza delle informazioni<\/h4>\n
Il Responsabile della sicurezza delle informazioni analizzer\u00e0 e proporr\u00e0 misure di salvaguardia per prevenire incidenti simili in futuro.<\/h4>\n
<\/a>Compatibilit\u00e0 con altri ruoli<\/h4>\n
Delega di funzioni<\/h4>\n
<\/a>6.1.4 Responsabile dell’ISMS<\/u><\/h4>\n
Funzioni e responsabilit\u00e0 associate<\/h4>\n
\n
<\/a>In caso di incidente di sicurezza delle informazioni<\/h4>\n
Pianificher\u00e0 l’implementazione delle misure di salvaguardia nel sistema e implementer\u00e0 il piano di sicurezza approvato.<\/h4>\n
Compatibilit\u00e0 con altri ruoli<\/h4>\n
<\/a><\/a>6.1.5 Amministratore della sicurezza del sistema<\/u><\/h4>\n
Funzioni e responsabilit\u00e0 associate<\/h4>\n
\n
<\/a>In caso di incidente di sicurezza delle informazioni<\/h4>\n
\n
Compatibilit\u00e0 con altri ruoli<\/h4>\n
<\/a>Delega di funzioni<\/h4>\n
<\/a><\/a>6.1.6 Responsabile della protezione dei dati<\/u><\/h4>\n
Funzioni e responsabilit\u00e0 associate<\/h4>\n
\n
<\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a><\/a>6.2 Responsabilit\u00e0 ai sensi delle norme ISO 27001 e NIS 2<\/h3>\n
<\/a>7. Dati personali<\/h2>\n
<\/a><\/a>8. Gestione del rischio<\/h2>\n
<\/a><\/a>8.1 Giustificazione<\/h3>\n
<\/a><\/a>8.2 Criteri di valutazione del rischio<\/h3>\n
<\/a><\/a>8.3 Linee guida per il trattamento<\/h3>\n
<\/a><\/a>8.4 Processo di accettazione del rischio residuo<\/h3>\n
<\/a><\/a>8.5 Necessit\u00e0 di condurre o aggiornare le valutazioni del rischio<\/h3>\n
\n
<\/a><\/a>9. Obblighi del personale<\/h2>\n
<\/a>10. Formazione e sensibilizzazione del personale<\/h2>\n
\n
<\/a><\/a>11. Terze parti<\/h2>\n
<\/a><\/a>12. Revisione e approvazione della Politica di sicurezza<\/h2>\n