Politica di sicurezza delle informazioni

1. Introduzione

L’informazione è diventata uno dei principali asset della nostra organizzazione ed è per questo che averne cura e proteggerla diventa un obiettivo assolutamente prioritario.

Fa parte della nostra strategia, da ora in avanti, mantenere la sicurezza delle informazioni come elemento critico e fondamentale. Questa sfida si moltiplica in esigenza e importanza se la applichiamo a un ambito tanto specifico e critico come il nostro, dove il trattamento e la gestione sicura delle informazioni si impongono come una necessità per competere e migliorare in futuro.

NAVILENS E NAVILENS PROJECTS CORP. (di seguito NAVILENS E NAVILENS PROJECT CORPS.) dipende dai sistemi TIC (Tecnologie dell’Informazione e della Comunicazione) per raggiungere i propri obiettivi. Tali sistemi devono essere amministrati con diligenza, adottando le misure adeguate per proteggerli da danni accidentali o deliberati che possano incidere sulla disponibilità, integrità, riservatezza, autenticità e tracciabilità delle informazioni trattate o dei servizi prestati.

L’obiettivo della sicurezza delle informazioni è garantire la qualità delle informazioni e la prestazione continuativa dei servizi, agendo in via preventiva, sorvegliando l’attività quotidiana e reagendo con prontezza agli incidenti.

I sistemi TIC devono essere protetti da minacce in rapida evoluzione con potenziale impatto sulla disponibilità, integrità, riservatezza, autenticità e tracciabilità, sull’uso previsto e sul valore delle informazioni e dei servizi. Per difendersi da tali minacce è necessaria una strategia che si adatti ai mutamenti delle condizioni dell’ambiente per garantire la prestazione continua dei servizi. Ciò implica che i reparti devono applicare le misure minime di sicurezza richieste dallo Schema Nazionale di Sicurezza (Esquema Nacional de Seguridad, ENS) e dallo standard internazionale ISO 27001, nonché svolgere un monitoraggio continuo dei livelli di prestazione dei servizi, seguire e analizzare le vulnerabilità segnalate e predisporre una risposta efficace agli incidenti per garantire la continuità dei servizi prestati.

I diversi reparti devono accertarsi che la sicurezza TIC sia parte integrante di ogni fase del ciclo di vita del sistema, dalla sua concezione al suo ritiro dal servizio, passando per le decisioni di sviluppo o acquisizione e per le attività di esercizio. I requisiti di sicurezza e le necessità di finanziamento devono essere individuati e inclusi nella pianificazione, nella richiesta di offerte e nei capitolati di gara per i progetti TIC.

I reparti devono essere preparati a prevenire, rilevare, reagire e recuperare dagli incidenti, ai sensi dell’articolo 7 dell’ENS.

1.1 Prevenzione

I reparti devono evitare o, quanto meno, prevenire per quanto possibile che le informazioni o i servizi siano pregiudicati da incidenti di sicurezza. A tal fine i reparti devono attuare le misure minime di sicurezza stabilite dall’ENS, nonché ogni ulteriore controllo individuato attraverso una valutazione di minacce e rischi. Tali controlli, così come i ruoli e le responsabilità di sicurezza di tutto il personale, devono essere chiaramente definiti e documentati. Per garantire il rispetto della politica, i reparti devono:

Autorizzare i sistemi prima della loro entrata in esercizio.
Valutare regolarmente la sicurezza, comprese le valutazioni delle modifiche di configurazione effettuate in via ordinaria.
Richiedere la revisione periodica da parte di terzi al fine di ottenere una valutazione indipendente.

1.2 Rilevamento

Poiché i servizi possono degradarsi rapidamente a causa di incidenti, che vanno da un semplice rallentamento fino al loro arresto, i servizi devono monitorare l’esercizio in modo continuativo per rilevare anomalie nei livelli di prestazione dei servizi e agire di conseguenza secondo quanto stabilito dall’articolo 9 dell’ENS. Il monitoraggio è particolarmente rilevante quando si stabiliscono linee di difesa ai sensi dell’articolo 8 dell’ENS. Saranno predisposti meccanismi di rilevamento, analisi e segnalazione che raggiungano regolarmente i responsabili quando si produca uno scostamento significativo dai parametri preventivamente stabiliti come normali.

1.3 Risposta

I reparti devono:

Predisporre meccanismi per rispondere efficacemente agli incidenti di sicurezza.
Designare un punto di contatto per le comunicazioni relative a incidenti rilevati in altri reparti o in altri enti.
Stabilire protocolli per lo scambio di informazioni relative all’incidente. Ciò include comunicazioni, in entrambe le direzioni, con le Squadre di Risposta alle Emergenze (CERT).

1.4 Ripristino

Per garantire la disponibilità dei servizi critici, i reparti devono sviluppare piani di continuità dei sistemi TIC quale parte del loro piano generale di continuità operativa e delle attività di ripristino.

2. Oggetto e ambito di applicazione

Lo scopo della presente Politica di alto livello è definire l’obiettivo, l’indirizzo, i principi e le regole di base per la gestione della sicurezza delle informazioni.

La presente Politica si applica a tutto il Sistema di gestione della sicurezza delle informazioni (SGSI) e a tutti i dipendenti di NAVILENS E NAVILENS PROJECTS CORP., ed è estensibile a terze parti che effettuino trattamenti di informazioni di proprietà di NAVILENS E NAVILENS PROJECTS CORP.

La Politica di Sicurezza si applica a tutta l’azienda e ai suoi asset informativi:

A tutti i reparti, tanto ai loro dirigenti quanto ai dipendenti.
Agli appaltatori, clienti o a qualsiasi altra terza parte che abbia accesso alle informazioni o ai sistemi dell’organizzazione.
A banche dati, archivi elettronici e su supporto cartaceo, trattamenti, apparati, supporti, programmi e sistemi.
Alle informazioni generate, elaborate e conservate, indipendentemente dal loro supporto e formato, utilizzate in attività operative o amministrative.
Alle informazioni cedute nell’ambito di un quadro giuridico stabilito, che saranno considerate come proprie ai soli fini della loro protezione.
A tutti i sistemi utilizzati per amministrare e gestire le informazioni, siano essi di proprietà, noleggiati o concessi in licenza alla stessa.

3. Riferimenti e quadro normativo

La direzione di NAVILENS E NAVILENS PROJECT CORPS. si assicura che la documentazione di origine esterna rilevante per il funzionamento dell’azienda sia conosciuta dai dipendenti che ne hanno necessità e sia mantenuta aggiornata e disponibile in ogni momento.

A tal fine si utilizzano i mezzi definiti nel presente documento e le procedure che lo sviluppano.

Quanto alle norme applicate per formalizzare le diverse procedure di Sicurezza stabilite, sono stati seguiti i criteri delle seguenti norme internazionali:

Tecnologia dell’informazione. Tecniche di sicurezza. Sistemi di Gestione della Sicurezza delle Informazioni (SGSI). Requisiti. UNE-ISO/IEC 27001
Tecnologia dell’informazione. Tecniche di sicurezza. Codice di Buone Pratiche per la Gestione della Sicurezza delle Informazioni. UNE-ISO/IEC 27002
Requisiti delle parti interessate

In aggiunta viene creato il registro «SGSI84_RE07_ Registro Normativa applicabile» per raccogliere tutte le informazioni, i link di interesse e le informazioni relative alla Normativa applicata. Di seguito si riporta un estratto della normativa applicabile generale:

Regolamento (UE) 2016/679 del Parlamento europeo e del Consiglio (GDPR), relativo alla protezione dei dati personali e alla loro libera circolazione, che stabilisce principi quali liceità, trasparenza, minimizzazione, sicurezza e responsabilizzazione.
Legge organica 3/2018, sulla Protezione dei Dati Personali e la garanzia dei diritti digitali (LOPDGDD), che integra il GDPR e introduce diritti quali la disconnessione digitale e la protezione rispetto all’uso di dati biometrici.
Legge 34/2002, sui servizi della società dell’informazione e sul commercio elettronico (LSSI-CE), che disciplina i servizi digitali, l’utilizzo dei cookie e le comunicazioni commerciali elettroniche.
Legge 31/1995, sulla Prevenzione dei Rischi sul Lavoro, che stabilisce il quadro giuridico per la sicurezza e la salute dei lavoratori.
Regio decreto 39/1997, con cui viene approvato il Regolamento dei Servizi di Prevenzione, che disciplina l’organizzazione e il funzionamento dei servizi di prevenzione.
Ordinanza TIN/2504/2010, che sviluppa il Regolamento dei Servizi di Prevenzione in materia di accreditamento di enti specializzati e di attività di audit.
Legge 10/2010, sulla prevenzione del riciclaggio di capitali e del finanziamento del terrorismo, che stabilisce obblighi di adeguata verifica, formazione, segnalazione di operazioni e controllo interno.
Regio decreto 304/2014, con cui viene approvato il Regolamento attuativo della Legge 10/2010, che dettaglia le procedure, i controlli e le misure esigibili.
Regio decreto legislativo 2/2015, con cui viene approvato il testo consolidato dello Statuto dei Lavoratori, che disciplina i diritti e i doveri in ambito lavorativo.
Regio decreto-legge 28/2020, sul lavoro a distanza, che disciplina il telelavoro e le sue condizioni.
Regio decreto legislativo 8/2015, con cui viene approvato il testo consolidato della Legge Generale sulla Previdenza Sociale, che raccoglie le prestazioni e i diritti in materia di contribuzione e copertura.
Ordinanza ESS/86/2015, che sviluppa le norme di contribuzione alla Previdenza Sociale, la protezione per cessazione di attività, il Fondo di Garanzia Salariale e la formazione professionale.
Riforma del Lavoro del 2021, che introduce modifiche in materia di contratti a termine, subappalto, contrattazione collettiva e stabilità occupazionale.
Diritto alla disconnessione digitale, riconosciuto per legge come il diritto del lavoratore a non rispondere ai dispositivi al di fuori dell’orario di lavoro.
Regio decreto legislativo 1/1996, con cui viene approvato il testo consolidato della Legge sulla Proprietà Intellettuale, che disciplina i diritti d’autore e la protezione delle opere originali.
Legge 17/2001, sui Marchi, che disciplina la registrazione e la protezione dei segni distintivi sul mercato.
Legge organica 10/1995, del Codice Penale, applicabile in particolare ai reati informatici, alla rivelazione di segreti, ai danni ai sistemi e alla responsabilità penale della persona giuridica.
Codice di Commercio, che disciplina gli atti commerciali, gli obblighi contabili e i rapporti commerciali.
Legge 1/2010, sulle Società di Capitali, che disciplina la costituzione, il funzionamento e lo scioglimento delle società commerciali.
Legge 3/2004, recante misure di lotta contro i ritardi di pagamento nelle operazioni commerciali, che stabilisce i termini di pagamento e le misure per prevenire la morosità.
Costituzione spagnola del 1978, in particolare l’articolo 18, che tutela l’onore, l’intimità personale e familiare e la propria immagine, nonché la protezione dei dati personali.
Legge 14/2011, sulla Scienza, la Tecnologia e l’Innovazione, che promuove la ricerca, lo sviluppo tecnologico e l’innovazione.
Legge 38/2003, Generale sulle Sovvenzioni, e il relativo Regolamento approvato con Regio decreto 887/2006, che disciplinano il regime giuridico degli aiuti e delle sovvenzioni pubbliche, gli obblighi di rendicontazione e di controllo.
Regio decreto-legge 12/2018, sulla sicurezza delle reti e dei sistemi informativi, non applicabile all’azienda in base al suo ambito attuale.

ITS (Istruzioni Tecniche di Sicurezza) ENS:

ITS di Audit della Sicurezza dei Sistemi Informativi, con Risoluzione del 27 marzo 2018 della Segreteria di Stato per la Funzione Pubblica (BOE n. 81, del 3 aprile 2018).
ITS di Conformità all’ENS, con Risoluzione del 13 ottobre 2016 del Segretario di Stato per le Amministrazioni Pubbliche (BOE-A-2016-10109).
ITS di Relazione sullo Stato della Sicurezza, con Risoluzione del 7 ottobre 2016 della Segreteria di Stato per le Amministrazioni Pubbliche (BOE-A-2016-10108).
ITS di Notifica degli Incidenti di Sicurezza, con Risoluzione del 13 aprile 2018 della Segreteria di Stato per la Funzione Pubblica (BOE n. 95, del 19 aprile 2018).

Ai sensi del Regio decreto 311/2022, del 3 maggio, che disciplina lo Schema Nazionale di Sicurezza, si articola il sistema di gestione della sicurezza delle informazioni cui l’organizzazione si impegna attraverso la presente politica, garantendo che siano stati soddisfatti tutti e senza eccezione i seguenti requisiti di sicurezza:

Organizzazione e attuazione del processo di sicurezza.
Analisi e gestione dei rischi.
Gestione del personale.
Professionalità.
Autorizzazione e controllo degli accessi.
Protezione delle installazioni.
Acquisizione di prodotti di sicurezza e affidamento di servizi di sicurezza.
Privilegio minimo.
Integrità e aggiornamento del sistema.
Protezione delle informazioni conservate e in transito.
Prevenzione rispetto ad altri sistemi informativi interconnessi.
Registrazione dell’attività e rilevamento di codice dannoso.
Incidenti di sicurezza.
Continuità dell’attività.
Miglioramento continuo del processo di sicurezza.

4. Organizzazione della Sicurezza

4.1 Comitati: funzioni e responsabilità

Viene costituito un comitato per la sicurezza, i cui membri e indirizzi e-mail restano esclusi dalla presente pubblicazione per motivi di sicurezza. Saranno comunque comunicati nella intranet e potranno essere condivisi con le parti interessate su richiesta.

Esiste una lista di distribuzione di posta denominata comiteseguridad@navilens.com per rispondere a qualsiasi necessità interna/esterna in materia di sicurezza delle informazioni.

Ciascun responsabile della propria area potrà modificare e adeguare documenti o procedure di sua competenza senza l’approvazione espressa del resto del comitato, purché tali modifiche non alterino in modo significativo il funzionamento del SGSI. In ogni caso, il comitato deve essere informato di tali modifiche.

Di seguito sono elencate le funzioni e responsabilità del Comitato per la sicurezza.

Il coordinamento della Sicurezza delle Informazioni (SI), assicurando il rispetto della Politica di Sicurezza delle Informazioni, approvando metodologie, procedure e istruzioni tecniche in materia di protezione della sicurezza delle informazioni e instaurando una cultura di sensibilizzazione alla Sicurezza delle Informazioni in tutta l’organizzazione.
Adotterà o proporrà l’adozione delle misure necessarie affinché il personale conosca le norme in materia di sicurezza che riguardano lo svolgimento delle sue funzioni e le conseguenze in cui potrebbe incorrere in caso di inosservanza.
Aggiornerà la documentazione del SGSI e la adeguerà alla normativa vigente.
Sarà l’organo consultivo per stabilire nuove misure relative alla sicurezza delle informazioni e alla protezione dei dati.
Adottare o proporre alla Direzione l’adozione delle misure correttive conseguenti alle carenze rilevate in un processo di audit, nonché di quelle approvate dalla Direzione.
Vigilare sul rispetto delle procedure stabilite per autorizzare l’uso di dispositivi mobili e il telelavoro.
Vigilare affinché sia mantenuto, secondo le procedure che verranno stabilite, un elenco del personale con accesso a dati personali, un elenco del personale autorizzato a concedere, annullare o modificare i diritti di accesso, conformemente ai criteri stabiliti, e un elenco del personale con accesso autorizzato ai luoghi in cui sono conservati supporti e documenti.
Promuovere l’informazione e fornire consulenza all’organizzazione e al personale impiegato che si occupa del trattamento in merito agli obblighi che incombono loro in materia di protezione dei dati e SI.
Vigilare sul rispetto di quanto disposto dalla normativa applicabile, compresa l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa alle operazioni di trattamento e i relativi audit.
Vigilare sulla corretta tenuta e sull’aggiornamento dei Registri delle Attività di Trattamento e di altri supporti documentali per l’adempimento della legislazione GDPR.

4.2 Ruoli: funzioni e responsabilità

Direzione esecutiva. Partecipa all’elaborazione di obiettivi e misurazioni. Approva le politiche. Approva i riesami della direzione del SGSI. Convalida le conclusioni degli audit dei sistemi. La direzione esecutiva stabilisce l’organigramma dell’organizzazione, che contiene più funzioni e ruoli di quelli qui specificati. Nella presente politica dettagliamo i responsabili collegati alla sicurezza delle informazioni.

Responsabile della sicurezza.

Promuovere la sicurezza delle informazioni trattate e dei servizi elettronici prestati dai sistemi informativi, con la responsabilità e l’autorità per assicurarsi che il Sistema di Gestione della Sicurezza delle Informazioni soddisfi i requisiti dello Schema Nazionale di Sicurezza.
Vigilare sul rispetto della presente Politica, delle sue norme, delle procedure derivate e della configurazione di sicurezza dei sistemi.
Stabilire le misure di sicurezza adeguate ed efficaci per soddisfare i requisiti di sicurezza stabiliti dai Responsabili del Servizio e dell’Informazione, attenendosi in ogni momento a quanto richiesto dall’Allegato II dell’ENS, dichiarando l’applicabilità di tali misure.
Promuovere le attività di sensibilizzazione e formazione in materia di sicurezza nel proprio ambito di responsabilità.
Effettuare il coordinamento e il monitoraggio dell’attuazione dei progetti di adeguamento alla norma ENS, in collaborazione con il Responsabile dei Sistemi.
Effettuare, con la collaborazione del Responsabile del Sistema, le necessarie analisi dei rischi, selezionare le contromisure da attuare e riesaminare il processo di gestione del rischio. Inoltre, congiuntamente al Responsabile del Sistema, accettare i rischi residui calcolati nell’analisi dei rischi.
Promuovere audit periodici per verificare l’adempimento degli obblighi in materia di sicurezza delle informazioni e analizzare le relazioni di audit, elaborando le conclusioni da presentare al Responsabile del Sistema affinché adotti le misure correttive adeguate.
Coordinare il processo di Gestione della Sicurezza, in collaborazione con il Responsabile dei Sistemi.
Determinare la categoria del sistema secondo la procedura descritta nell’Allegato I dell’ENS e le misure di sicurezza da applicare ai sensi di quanto previsto nell’Allegato II dell’ENS.
Verificare che le misure di sicurezza siano adeguate alla protezione delle informazioni e dei servizi.

Responsabile del sistema.

Sviluppare, gestire e mantenere il sistema informativo durante tutto il suo ciclo di vita, curandone le specifiche, l’installazione e la verifica del corretto funzionamento.
Accertarsi che le misure specifiche di sicurezza siano adeguatamente integrate nel quadro generale di sicurezza.
Effettuare esercitazioni e prove sulle procedure operative di sicurezza e sui piani di continuità esistenti.
Attuare le misure necessarie a garantire la sicurezza del sistema durante tutto il suo ciclo di vita, d’intesa con il Responsabile della Sicurezza.
Effettuare, con la collaborazione del Responsabile della Sicurezza, le necessarie analisi dei rischi, selezionare le contromisure da attuare e riesaminare il processo di gestione del rischio. Inoltre, congiuntamente al Responsabile della Sicurezza, accettare i rischi residui calcolati nell’analisi dei rischi.
Elaborare, in collaborazione con il Responsabile della Sicurezza, la documentazione di sicurezza di terzo livello (Procedure Operative STIC e Istruzioni Tecniche STIC).
L’applicazione delle procedure operative di sicurezza.
Assicurare che i controlli di sicurezza stabiliti siano rigorosamente rispettati, nonché assicurare che siano applicate le procedure approvate per la gestione del sistema informativo.
Sorvegliare le installazioni di hardware e software, le loro modifiche e migliorie, per assicurare che la sicurezza non sia compromessa e che siano in ogni momento conformi alle relative autorizzazioni.
Monitorare lo stato di sicurezza del sistema fornito dagli strumenti di gestione degli eventi di sicurezza e dai meccanismi di audit tecnico implementati nel sistema.
Informare i rispettivi Responsabili di qualsiasi anomalia, compromissione o vulnerabilità relativa alla sicurezza.
Collaborare all’indagine e alla risoluzione degli incidenti di sicurezza, dal loro rilevamento fino alla loro risoluzione.

Responsabile della protezione dei dati.

Informare e fornire consulenza al responsabile dell’informazione e ai suoi dipendenti in merito agli obblighi che incombono loro ai sensi del GDPR e di altre disposizioni in materia di protezione dei dati.
Sorvegliare l’osservanza di quanto disposto dal presente Regolamento, di altre disposizioni sulla protezione dei dati dell’Unione o degli Stati membri e delle politiche del titolare o del responsabile del trattamento in materia di protezione dei dati personali, compresa l’attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa alle operazioni di trattamento e i relativi audit.
Fornire la consulenza richiesta in merito alla valutazione d’impatto sulla protezione dei dati e sorvegliarne l’applicazione ai sensi dell’articolo 35.
Cooperare con l’autorità di controllo.
Fungere da punto di contatto per l’autorità di controllo per questioni relative al trattamento, compresa la consultazione preventiva di cui all’articolo 36, ed effettuare consultazioni, se del caso, su qualsiasi altra questione.

Responsabile del servizio.

Stabilire i requisiti del servizio in materia di sicurezza, compresi i requisiti di interoperabilità, accessibilità e disponibilità.
Determinare i livelli di sicurezza del servizio, d’intesa con il Responsabile della Sicurezza e il Responsabile del Sistema.
Mantenere la sicurezza delle informazioni trattate e dei servizi prestati dai sistemi informativi nel proprio ambito di responsabilità.

Responsabile dell’informazione.

Vigilare sul buon uso delle informazioni e, pertanto, sulla loro protezione.
Stabilire i requisiti delle informazioni in materia di sicurezza.
Determinare i livelli di sicurezza delle informazioni trattate, valutando le conseguenze di un impatto negativo.

Utenti e dipendenti.

Rispettare la politica di sicurezza delle informazioni e le norme, procedure e istruzioni complementari.
Proteggere e custodire le informazioni dell’azienda, evitandone la rivelazione, la diffusione all’esterno, la modifica, la cancellazione o la distruzione accidentale o non autorizzata, o l’uso improprio, indipendentemente dal supporto o dal mezzo con cui vi si è avuto accesso o se ne è venuti a conoscenza.
Conoscere e applicare la Politica di Sicurezza delle Informazioni, le Norme d’Uso dei Sistemi Informativi e le restanti politiche, norme, procedure e misure di sicurezza applicabili.

4.3 Procedure di designazione

Il responsabile della Sicurezza delle Informazioni sarà nominato dalla Direzione su proposta del Comitato per la Sicurezza. La nomina sarà riesaminata ogni 2 anni o quando la posizione risulti vacante. Il Reparto responsabile di un servizio prestato per via elettronica ai sensi della legge 39/2015 (Legge sul Procedimento Amministrativo Comune) e della Legge 40/2015 (Regime Giuridico del Settore Pubblico) designerà il Responsabile del Sistema, precisandone funzioni e responsabilità nel quadro stabilito dalla presente Politica.

4.4 Politica di sicurezza delle informazioni

Il Comitato per la Sicurezza delle Informazioni è incaricato di costruire e mantenere la Politica di Sicurezza delle Informazioni, sebbene sia la Direzione di NAVILENS E NAVILENS PROJECTS CORP. responsabile dell’approvazione e della pubblicazione di tale Politica, nonché della sua distribuzione a tutti i dipendenti e ai terzi interessati.

Qualsiasi modifica o evoluzione che incida o possa incidere sul contenuto della Politica di Sicurezza delle Informazioni sarà registrata con una nuova firma del documento di approvazione. In tal modo si concretizza e si conferma l’impegno di tali enti per la sicurezza delle informazioni.

Periodicamente, e comunque non oltre il termine di un anno, saranno riesaminate la validità e la ragionevolezza della presente politica e saranno realizzati i miglioramenti, gli adattamenti o le modifiche richiesti in funzione dei cambiamenti organizzativi, tecnici o regolatori applicabili.

4.5 Distribuzione della Politica di Sicurezza

La politica di sicurezza sarà distribuita nei modi seguenti, in funzione del gruppo di interesse cui è rivolta:

Personale e dirigenti dell’azienda NaviLens. La distribuzione della politica di sicurezza avverrà tramite posta elettronica. Per assicurarsi che venga ricevuta, sarà sottoscritta una conferma di ricezione del relativo documento.

Clienti, partner, fornitori e restanti gruppi di interesse: la politica di sicurezza sarà inclusa come sezione del sito web dell’azienda (www.navilens.com), dove potranno consultarla in qualsiasi momento.

4.6 Livello di sicurezza delle informazioni

L’Organizzazione dispone di una politica «SGSI05_PO02- Politica di classificazione, etichettatura e gestione delle informazioni», nella quale sono definiti il sistema di classificazione, i criteri di attribuzione basati su natura, sensibilità, impatto e requisiti legali, nonché i controlli associati a ciascun livello.

L’organizzazione dispone di una procedura di categorizzazione del sistema formalmente definita sulla base della Guida CCN-STIC 803: Valutazione dei sistemi, mediante la quale si conclude che SGSI192_PR029-Procedura di categorizzazione del sistema: «Ai sensi del Regio decreto 311/2022, del 3 maggio, e delle linee guida della Guida CCN-STIC 803, la categoria di un sistema è determinata dal livello più elevato tra le dimensioni valutate (Riservatezza, Integrità, Disponibilità, Tracciabilità e Autenticità) in tutti i servizi e nelle informazioni associate.

In questo caso:

Si individuano dimensioni di livello alto, essendo questo il massimo da seguire. Pertanto si procede a un adeguamento all’ENS di livello alto.
Di conseguenza, secondo l’ENS, la categoria del sistema è Alta, il che implica che devono essere attuate le misure di sicurezza corrispondenti a tale categoria, previste nell’Allegato II dell’ENS.»

5. Sanzioni

Qualsiasi violazione premeditata o negligente delle politiche e delle norme di sicurezza che comporti un potenziale danno, consumato o meno, a NAVILENS E NAVILENS PROJECTS CORP. sarà sanzionata secondo i meccanismi previsti dal contratto aziendale e dalla normativa legale, contrattuale e aziendale vigente.

Tutte le azioni che compromettano la sicurezza di NAVILENS E NAVILENS PROJECTS CORP. e che non siano previste nella presente politica dovranno essere esaminate dalla Direzione Esecutiva e dal responsabile della Sicurezza delle Informazioni per emettere una decisione, attenendosi al criterio dell’azienda e alla legislazione prevista.

Le azioni disciplinari in risposta alle violazioni della Politica di Sicurezza delle Informazioni sono di competenza della Direzione Esecutiva di NAVILENS E NAVILENS PROJECTS CORP. e degli organi di governo secondo la legislazione applicabile.

Esiste un canale di segnalazione e un protocollo di gestione degli incidenti messo a disposizione dei lavoratori attraverso il quale qualsiasi membro dell’azienda può comunicare un possibile incidente o una violazione al comitato per la sicurezza o al responsabile della sicurezza.

Tale infrazione e la relativa sanzione saranno comunicate al trasgressore da un membro della direzione tramite posta elettronica con richiesta di conferma di ricezione.

6. Missione

In risposta a un nuovo contesto tecnologico in cui la convergenza tra informatica e comunicazioni sta favorendo un nuovo paradigma di produttività per le imprese, NAVILENS E NAVILENS PROJECTS CORP. è fortemente impegnata a mantenere la Promozione di progetti di ricerca, sviluppo tecnologico e innovazione, in un contesto di qualità, dove lo sviluppo di buone pratiche in materia di Sicurezza delle Informazioni è fondamentale per conseguire gli obiettivi di disponibilità, integrità, riservatezza, autenticità, tracciabilità e liceità di tutte le informazioni gestite. Di conseguenza, NAVILENS E NAVILENS PROJECTS CORP. definisce i seguenti principi applicativi da tenere in considerazione nell’ambito del Sistema di Gestione della Sicurezza delle Informazioni (SGSI):

La Direzione di NAVILENS E NAVILENS PROJECTS CORP. intende il proprio dovere di garantire la sicurezza delle informazioni come elemento essenziale per il corretto svolgimento dei servizi dell’organizzazione e, pertanto, sostiene i seguenti obiettivi e principi:

Implementare il valore della Sicurezza delle Informazioni nell’insieme dell’Organizzazione.
Contribuire, tutte e ciascuna delle persone di NAVILENS E NAVILENS PROJECTS CORP., alla protezione della Sicurezza delle Informazioni.
Preservare la disponibilità, integrità, riservatezza, autenticità, tracciabilità e resilienza delle informazioni, con l’obiettivo di garantire il rispetto dei requisiti legali, normativi e dei nostri clienti relativi alla sicurezza delle informazioni; e in modo specifico per quanto riguarda i dati di carattere personale:

I dati saranno trattati in modo lecito, corretto e trasparente nei confronti dell’interessato (Liceità, correttezza e trasparenza).
Saranno raccolti per finalità determinate, esplicite e legittime e non saranno ulteriormente trattati in modo incompatibile con tali finalità (Limitazione della finalità).
I dati saranno adeguati, pertinenti e limitati a quanto necessario rispetto alle finalità per le quali sono trattati (Minimizzazione dei dati).
I dati dovranno essere esatti e, se necessario, aggiornati; saranno adottate tutte le misure ragionevoli per cancellare o rettificare tempestivamente i dati personali inesatti rispetto alle finalità per le quali sono trattati (Esattezza).
Conservati in modo da consentire l’identificazione degli interessati per un arco di tempo non superiore a quello necessario alle finalità del trattamento dei dati personali; i dati personali potranno essere conservati per periodi più lunghi a condizione che siano trattati esclusivamente per finalità di archiviazione nel pubblico interesse, di ricerca scientifica o storica o a fini statistici (Limitazione della conservazione).
Trattati in modo da garantire un’adeguata sicurezza dei dati personali, compresa la protezione dal trattamento non autorizzato o illecito e dalla perdita, distruzione o danno accidentali, mediante l’applicazione di misure tecniche o organizzative adeguate (Integrità e riservatezza).

La presente Politica sarà mantenuta, aggiornata e adeguata alle finalità dell’Organizzazione, allineandosi al contesto di gestione dei rischi della stessa. A tal fine sarà riesaminata a intervalli pianificati o ogniqualvolta si producano cambiamenti significativi, al fine di assicurare che ne siano mantenute idoneità, adeguatezza ed efficacia.

Allo stesso modo, per gestire i rischi che NAVILENS E NAVILENS PROJECTS CORP affronta, è stabilita una procedura di valutazione dei rischi formalmente definita. Da parte loro, tutte le politiche e le procedure incluse nel SGSI saranno riesaminate, approvate e promosse dalla Direzione Esecutiva di NAVILENS E NAVILENS PROJECTS CORP.

Proteggere gli asset informativi di NAVILENS E NAVILENS PROJECTS CORP. da minacce, interne o esterne, deliberate o accidentali, con l’obiettivo di garantire la continuità del servizio offerto ai nostri clienti e la sicurezza delle informazioni.
Predisporre un Piano di sicurezza delle informazioni che integri le attività di prevenzione e minimizzazione del rischio degli incidenti di sicurezza sulla base dei criteri di gestione del rischio stabiliti da NAVILENS E NAVILENS PROJECTS CORP.
Fornire i mezzi necessari per poter realizzare gli interventi opportuni ai fini della gestione dei rischi individuati.
Assumere la responsabilità in materia di sensibilizzazione e formazione sulla sicurezza delle informazioni quale mezzo per garantire il rispetto della presente politica.
Estendere il nostro impegno per la sicurezza delle informazioni al nostro personale e ai nostri fornitori.
Migliorare continuamente la sicurezza mediante la definizione e il monitoraggio periodico di obiettivi di sicurezza delle informazioni.

7. Gestione dei Rischi

Tutti i sistemi soggetti alla presente Politica dovranno effettuare un’analisi dei rischi, valutando le minacce e i rischi ai quali sono esposti. Tale analisi sarà ripetuta:

regolarmente, almeno una volta all’anno;
quando cambino le informazioni trattate;
quando cambino i servizi prestati;
quando si verifichi un incidente grave di sicurezza;
quando siano segnalate vulnerabilità gravi.

Ai fini dell’armonizzazione delle analisi dei rischi, il Comitato per la Sicurezza TIC stabilirà una valutazione di riferimento per i diversi tipi di informazioni trattate e per i diversi servizi prestati. Il Comitato per la Sicurezza TIC promuoverà la disponibilità di risorse per far fronte alle necessità di sicurezza dei diversi sistemi, favorendo investimenti di carattere orizzontale.

8. Sviluppo della Politica di Sicurezza delle Informazioni

La presente Politica sarà sviluppata mediante normativa di sicurezza che affronti aspetti specifici, nonché con altre politiche complementari. La normativa di sicurezza sarà a disposizione di tutti i membri dell’organizzazione che abbiano necessità di conoscerla, in particolare di coloro che utilizzano, gestiscono o amministrano i sistemi informativi e di comunicazione.

9. Obblighi del personale

Tutti i membri di NAVILENS E NAVILENS PROJECT CORPS. E NAVILENS PROJECTS CORP. hanno l’obbligo di conoscere e rispettare la presente Politica di Sicurezza delle Informazioni e la Normativa di Sicurezza, essendo responsabilità del Comitato per la Sicurezza TIC predisporre i mezzi necessari affinché l’informazione raggiunga gli interessati. Tutti i membri di NAVILENS E NAVILENS PROJECT CORPS. E NAVILENS PROJECTS CORP. parteciperanno a una sessione di sensibilizzazione in materia di sicurezza TIC almeno una volta all’anno. Sarà predisposto un programma di sensibilizzazione continua rivolto a tutti i membri dell’organizzazione, in particolare a quelli di nuovo inserimento. Le persone con responsabilità nell’uso, nella gestione o nell’amministrazione di sistemi TIC riceveranno formazione per la gestione sicura dei sistemi nella misura in cui ne abbiano necessità per svolgere il proprio lavoro. La formazione sarà obbligatoria prima di assumere una responsabilità, tanto se si tratta del primo incarico quanto se si tratta di un cambio di mansione o di responsabilità nella stessa.

La Sicurezza delle Informazioni è uno sforzo congiunto e richiede pertanto il coinvolgimento e la partecipazione di tutti i membri dell’organizzazione che lavorano con i Sistemi Informativi della stessa. Per questo motivo, ciascun dipendente deve soddisfare i requisiti della Politica di Sicurezza e della documentazione associata.

I dipendenti che deliberatamente o per negligenza non rispettino la Politica di Sicurezza saranno soggetti ad azioni disciplinari secondo quanto previsto nel presente documento.

9.1 Definizione dei Responsabili dell’Informazione

Informazioni dei Clienti. Responsabile: Direzione Commerciale. Funzioni: garantire l’esattezza, l’uso adeguato e l’aggiornamento delle informazioni dei clienti. Sicurezza: il Responsabile della Sicurezza delle Informazioni (RSI) ne cura la protezione secondo la classificazione stabilita. Accesso: accesso consentito unicamente al personale autorizzato, sotto impegni di riservatezza e seguendo il principio della necessità di conoscere.

Informazioni Finanziarie. Responsabile: Direzione Finanziaria. Funzioni: assicurare l’integrità, la disponibilità e la veridicità delle informazioni contabili, fiscali e di bilancio. Accesso: limitato al personale autorizzato, applicando il principio del privilegio minimo. Sicurezza: il RSI verifica l’applicazione di controlli adeguati (cifratura, segregazione delle funzioni, tracciabilità degli accessi).

Informazioni delle Risorse Umane (RRUU). Responsabile: Direzione delle Risorse Umane. Funzioni: gestire e custodire i dati personali delle persone impiegate ai sensi del GDPR e della LOPDGDD. Accesso: riservato al team delle Risorse Umane e a responsabili specificamente autorizzati. Sicurezza: il RSI vigila affinché esistano controlli rafforzati, data la natura sensibile di tali dati.

Informazioni di Sviluppo / R&S / Codice Sorgente. Responsabile: Direzione Tecnica (CTO) o la persona responsabile dell’area di Sviluppo. Funzioni: proteggere il codice sorgente, gli algoritmi, i design e la documentazione tecnica. Accesso: riservato al personale tecnico autorizzato; si applicano controlli di autenticazione e gestione sicura dei repository. Sicurezza: il RSI garantisce misure di protezione, separazione degli ambienti e prevenzione delle fughe di informazioni.

Informazioni Operative e di Progetto. Responsabile: Area Operazioni o la persona responsabile del progetto. Funzioni: mantenere aggiornata la documentazione operativa, di progetto e dei deliverable. Accesso: autorizzato unicamente al personale coinvolto in ciascun progetto. Sicurezza: il RSI garantisce controlli per prevenire accessi non autorizzati.

Informazioni di Marketing e Comunicazione. Responsabile: Area Marketing. Funzioni: gestire i contenuti aziendali interni ed esterni. Accesso: personale di marketing e direzione, secondo quanto pertinente. Sicurezza: il RSI verifica che non vengano diffuse accidentalmente informazioni sensibili.

Informazioni di Sicurezza e Sistemi. Responsabile: Area Sicurezza delle Informazioni / Area Sistemi. Funzioni: gestire e custodire log, configurazioni, politiche e registri sensibili. Accesso: limitato al personale specificamente autorizzato. Sicurezza: controlli rafforzati, audit periodici e salvaguardie rispetto ad accessi indebiti.

10. Terze parti

La presente Politica di Sicurezza è di conoscenza e osservanza estensibile a qualsiasi persona esterna appartenente a terze entità che effettui qualsiasi tipo di trattamento sulle informazioni di proprietà di NAVILENS E NAVILENS PROJECTS CORP.

Quando NAVILENS E NAVILENS PROJECT CORPS. E NAVILENS PROJECTS CORP. presti servizi ad altri enti o tratti informazioni di altri enti, questi saranno resi partecipi della presente Politica di Sicurezza delle Informazioni, saranno predisposti canali per la segnalazione e il coordinamento dei rispettivi Comitati per la Sicurezza TIC e saranno stabilite procedure operative per la reazione agli incidenti di sicurezza. Quando NAVILENS E NAVILENS PROJECT CORPS. E NAVILENS PROJECTS CORP. si avvalga di servizi di terzi o ceda informazioni a terzi, questi saranno resi partecipi della presente Politica di Sicurezza e della Normativa di Sicurezza che riguarda tali servizi o informazioni. Tale terza parte resterà soggetta agli obblighi stabiliti da detta normativa, potendo sviluppare proprie procedure operative per soddisfarla. Saranno stabilite procedure specifiche di segnalazione e risoluzione degli incidenti. Sarà garantito che il personale di terzi sia adeguatamente sensibilizzato in materia di sicurezza, almeno allo stesso livello stabilito nella presente Politica. Qualora un aspetto della Politica non potesse essere soddisfatto da una terza parte secondo quanto richiesto nei paragrafi precedenti, sarà richiesta una relazione del responsabile della Sicurezza che precisi i rischi in cui si incorre e il modo di trattarli. Sarà richiesta l’approvazione di tale relazione da parte dei responsabili delle informazioni e dei servizi interessati prima di procedere.

11. Approvazione e Validità

Il presente documento è stato approvato dalla Direzione, con validità a decorrere dal 19 dicembre 2025.