1   Introduzione

Shorr Kan Srl e Shorr Kan IT Engineering Srl (di seguito, per brevità, chiamate entrambe l’organizzazione “SK”) riconoscono la necessità di garantire che la propria attività aziendale venga erogata senza interruzioni e garantendo il massimo livello di tutela delle information asset che ci vengono affidate, per contratto o per scelta interna.

Per ottenere questo risultato SK ha implementato un Sistema di Gestione della Sicurezza delle Informazioni – Information Security Management System (di seguito, per brevità, chiamato “ISMS”) conforme allo standard internazionale per la sicurezza delle informazioni ISO/IEC 27001.

Questo standard definisce i requisiti per un ISMS basato sulle migliori best practice internazionali.

1.1   Principi

La Information Security Policy di SK si ispira ai seguenti principi:

• Garantire all’organizzazione la piena conoscenza delle informazioni gestite e la valutazione della loro criticità, al fine di agevolare l’implementazione degli adeguati livelli di protezione;
• Garantire l’integrità, la confidenzialità e disponibilità delle informazioni gestite;
• Garantire l’accesso sicuro alle informazioni, in modo da prevenire trattamenti non autorizzati o realizzati senza i diritti necessari;
• Garantire che l’organizzazione e le terze parti collaborino al trattamento delle informazioni adottando policy volte al rispetto di adeguati livelli di sicurezza;
• Garantire che l’organizzazione e le terze parti che collaborano al trattamento delle informazioni, abbiano piena consapevolezza delle problematiche relative alla security anche per i servizi erogati al mercato;
• Garantire che le anomalie e gli incidenti aventi ripercussioni sul sistema informativo e sui livelli di sicurezza aziendale siano tempestivamente riconosciuti e correttamente gestiti attraverso efficienti sistemi di prevenzione, comunicazione e reazione al fine di minimizzare l’impatto sul business;
• Garantire che l’accesso alle sedi ed ai singoli locali aziendali avvenga esclusivamente da personale autorizzato, a garanzia della sicurezza delle aree e degli asset presenti;
• Garantire la conformità con i requisiti di legge ed il rispetto degli impegni di sicurezza stabiliti nei contratti con le terze parti;
• Garantire la rilevazione di eventi anomali, incidenti e vulnerabilità dei sistemi informativi al fine di rispettare la sicurezza e la disponibilità dei servizi e delle informazioni;
• Garantire la business continuity aziendale e il disaster recovery, attraverso l’applicazione di procedure di sicurezza stabilite a priori.

1.2   Benefici

L’implementazione e il mantenimento di Proteo ha molti vantaggi per i Clienti di SK, per SK stessa ei suoi dipendenti e collaboratori. Tra questi vi sono:

Maggiori garanzie sull’erogazione dei nostri servizi ai Clienti;

• Il mantenimento, e la crescita, del valore dell’organizzazione SK;
• La conformità ai requisiti legali del nostro Paese e agli eventuali regolamenti o procedure imposte dai nostri Clienti.

SK ha deciso di adottare e mantenere la certificazione completa secondo lo standard ISO/IEC 2700.

Questo implica che l’effettiva adozione da parte nostra delle best practice di gestione della sicurezza delle informazioni sia convalidata da una terza parte indipendente, ovvero un Organismo di Certificazione Registrato.

2   Information security policy

2.1   Requisiti di Information Security

E’ nostra intenzione identificare, mantenere, comunicare e rivedere periodicamente i requisiti della Sicurezza delle Informazioni che intendiamo adottare, affinché tutte le attività eseguire nel contesto del nostro ISMS siano focalizzare nel mantenere questi requisiti.

Tra questi requisiti abbiamo identificato:

• Oggetto
• Obiettivi
• Policy
• Istruzioni e procedure operative
• Controlli
• risorse umane e materiali
• strumenti e metodi.

Il driver principale che abbiamo adottato per identificare questi requisiti è il fabbisogno operativo aziendale, che in ultima analisi consiste nel garantire l’erogazione dei servizi ai nostri clienti.

All’interno di questa categoria di attenzione riteniamo di aver considerato, tra gli altri fabbisogni:

• Le evoluzioni significative del business;
• Le minacce a cui siamo esposti, le relative vulnerabilità conseguenti e i potenziali rischi;
• Eventuali significativi incidenti di sicurezza;
• L’evoluzione del contesto normativo o legislativo in materia di trattamento sicuro delle informazioni.

2.2   Ciclo di revisione

Gli obiettivi e le risorse da dedicare all’ISMS saranno rivisti annualmente, e tale processo sarà integrato nelle procedure di redazione annuale del bilancio aziendale, integrando nella Nota Integrativa un apposito paragrafo dedicato all’ISMS.

In accordo con la norma ISO/IEC 27001, adotteremo i Controlli dell’Allegato A che SK riterrà opportuno adottare sulla base dei nostri requisiti. Questi controlli saranno riesaminati regolarmente alla luce dei risultati delle valutazioni dei rischi e in linea con i piani di trattamento dei rischi che saranno adottati. Per i dettagli su quali controlli dell’allegato A sono stati implementati e quali sono stati esclusi si rimanda allo Statement of Applicability (di seguito “SOA”).

2.3   Miglioramento continuo

Per noi di SK il cosiddetto “miglioramento continuo” consiste nel:

• Migliorare continuamente l’efficacia dell’ISMS;
• Migliorare i processi aziendali attuali per allinearli alle best practice come definito nella ISO/IEC 27001e i relativi standard;
• Ottenere la certificazione ISO/IEC 27001 e mantenerla su base periodica;
• Aumentare il livello di proattività (e la percezione della proattività da parte degli stakeholder) in merito alla sicurezza delle informazioni;
• Rendere i processi e i controlli di sicurezza delle informazioni più misurabili al fine di fornire una solida base per decisioni più consapevoli e informate;
• Rivedere le metriche più importanti su base annuale per valutare se sia opportuno modificarle;
• Ascoltare e ottenere idee per il miglioramento di Proteo tramite riunioni regolari e altre forme di comunicazione con le parti interessate;
• Esaminare le idee per il miglioramento durante le riunioni di gestione periodiche al fine di stabilire le priorità e valutare tempi e benefici di implementazione.

2.4   Aree di interesse e documenti di supporto

SK definisce le politiche di condotta in merito all’ISMS per un’ampia varietà di aree relative alla sicurezza delle informazioni. Queste politiche di condotta sono descritte in dettaglio in una serie completa di documenti (le Policy) che accompagna questa politica generale sulla sicurezza delle informazioni.

Abbiamo definito delle Policy di sicurezza per una vasto numero di aree relative alla sicurezza delle informazioni che sono rilevanti ai fini del nostro ISMS.

Queste Policy collegate sono allegate alla presente policy primaria di sicurezza delle informazioni.

Ciascuna di queste Policy è definita e concordata con una o più persone con competenza nell’area di pertinenza e, una volta approvata, è comunicata alle risorse interessare, che possono essere sia interne che esterne all’organizzazione SK.

2.5   A chi si applica questa Policy

Questa Information Security Policy – così come tutte le policy di area dedicata – si applica a tutti i sistemi, le persone e i processi che utilizzano sistemi o risorse informative dell’organizzazione SK, inclusi i membri del consiglio di ammirazione, i manager, i dipendenti, i collaboratori, i fornitori e altre terze parti che hanno accesso ai sistemi o risorse di SK.

Tutte queste policy devono essere adottate e rispettate da tutti i dipendenti, collaboratori e fornitori di SK.