Sicurezza delle informazioni

I dati personali trattati attraverso le piattaforme Lifestyler sono gestiti nel rispetto del Regolamento (UE) 2016/679 – GDPR, del Codice in materia di protezione dei dati personali e della normativa applicabile.

Le misure di sicurezza sono individuate tenendo conto, in particolare:

• della natura, dell’oggetto, del contesto e delle finalità dei trattamenti;
• delle categorie e del volume dei dati trattati;
• dei sistemi, dei soggetti e dei fornitori coinvolti;
• della probabilità e della gravità dei rischi per i diritti e le libertà delle persone;
• dello stato dell’arte e dell’evoluzione delle minacce informatiche.

Akuerò applica inoltre i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita, integrando gli aspetti di privacy e sicurezza nei processi di sviluppo, configurazione e gestione dei servizi.

Akuerò si è dotata di un proprio Sistema di Gestione della Sicurezza delle Informazioni, finalizzato a identificare, valutare, trattare e monitorare i rischi informatici associati alle piattaforme Lifestyler e ai servizi digitali erogati.

Il sistema consente di organizzare in modo strutturato e documentato le attività di sicurezza, definendo responsabilità, procedure, controlli e criteri di verifica.

Le misure adottate sono riesaminate e aggiornate in relazione all’evoluzione dei servizi, delle tecnologie impiegate, delle minacce rilevate e del contesto normativo.

Per la gestione del rischio informatico Akuerò ha adottato la metodologia Cyberction©, utilizzata per supportare la progettazione, l’attuazione e il progressivo miglioramento del proprio Sistema di Gestione della Sicurezza delle Informazioni.

Cyberction© fornisce un metodo operativo per:

• identificare le informazioni, i sistemi e i processi da proteggere;
• valutare i rischi informatici;
• individuare e pianificare le misure di sicurezza;
• assegnare responsabilità e priorità di intervento;
• verificare l’efficacia dei controlli adottati;
• favorire il raccordo tra sicurezza informatica e protezione dei dati personali.

La metodologia utilizza la tassonomia del Framework Nazionale per la Cybersecurity e la Data Protection, consentendo di organizzare le attività e i controlli secondo criteri strutturati, misurabili e coerenti con il livello di rischio associato ai sistemi e ai dati trattati.

Attraverso tale approccio, Akuerò gestisce in modo consapevole e documentato i rischi relativi alle piattaforme Lifestyler, con particolare attenzione alla tutela dei dati personali disciplinati dal GDPR.

Il Framework Nazionale per la Cybersecurity e la Data Protection costituisce uno dei riferimenti utilizzati per organizzare le attività di sicurezza e protezione dei dati.

Il Framework consente di classificare le misure adottate nelle principali aree della sicurezza informatica:

• identificazione degli asset e dei rischi;
• protezione dei sistemi e delle informazioni;
• rilevazione degli eventi di sicurezza;
• risposta agli incidenti;
• ripristino dei sistemi e della continuità operativa.

L’utilizzo del Framework favorisce una gestione integrata della cybersecurity e della protezione dei dati personali, in coerenza con il principio di responsabilizzazione previsto dal GDPR.

La norma ISO/IEC 27001 costituisce un riferimento metodologico per l’organizzazione del Sistema di Gestione della Sicurezza delle Informazioni.

Attraverso la metodologia Cyberction©, le attività e i controlli di sicurezza adottati da Akuerò sono mappati, ove applicabile, rispetto ai requisiti e ai controlli della ISO/IEC 27001 e alle corrispondenti categorie del Framework Nazionale per la Cybersecurity e la Data Protection.

Tale mappatura permette di organizzare, documentare e verificare le misure di sicurezza secondo un modello strutturato, orientato alla gestione del rischio e al miglioramento continuo.

Il richiamo alla ISO/IEC 27001 indica l’utilizzo della norma come riferimento metodologico e non costituisce una dichiarazione di certificazione.

In funzione dei sistemi, dei servizi e dei livelli di rischio rilevati, il Sistema di Gestione della Sicurezza delle Informazioni può prevedere controlli relativi a:

• gestione degli accessi e delle autorizzazioni;
• attribuzione dei privilegi secondo il principio di necessità;
• protezione delle credenziali e dei sistemi di autenticazione;
• sicurezza delle infrastrutture, delle reti e delle applicazioni;
• aggiornamento, manutenzione e configurazione dei sistemi;
• gestione delle vulnerabilità;
• registrazione e monitoraggio degli eventi di sicurezza;
• protezione e cifratura delle informazioni, ove applicabile;
• procedure di backup, ripristino e continuità operativa;
• gestione degli incidenti informatici;
• selezione e verifica dei fornitori tecnologici;
• formazione e sensibilizzazione del personale autorizzato.

Le misure adottate sono proporzionate alla natura delle informazioni trattate e ai rischi individuati.

Gli aspetti di sicurezza e protezione dei dati sono considerati durante l’intero ciclo di vita delle piattaforme Lifestyler.

Le attività di sviluppo, configurazione, manutenzione e aggiornamento dei sistemi sono organizzate tenendo conto dei rischi connessi al trattamento delle informazioni e alla protezione dei dati personali.

L’accesso ai sistemi e ai dati è consentito esclusivamente ai soggetti autorizzati, nei limiti necessari allo svolgimento delle rispettive attività.

Per l’erogazione di specifiche funzionalità, l’ecosistema Lifestyler può avvalersi di fornitori tecnologici e partner specializzati.

Prima dell’affidamento di attività che comportano il trattamento di dati personali o l’accesso ai sistemi, Akuerò valuta, secondo criteri proporzionati al rischio:

• l’affidabilità del fornitore;
• le misure tecniche e organizzative adottate;
• la localizzazione dei dati e delle infrastrutture;
• le modalità di gestione degli accessi;
• le procedure di risposta agli incidenti;
• le garanzie offerte in materia di protezione dei dati personali.

I rapporti con i fornitori sono disciplinati attraverso accordi contrattuali, obblighi di riservatezza, istruzioni documentate e, quando previsto, accordi per il trattamento dei dati personali ai sensi dell’articolo 28 del GDPR.

Akuerò adotta misure volte a garantire, in funzione del livello di rischio, la disponibilità dei sistemi e la possibilità di ripristinare dati e servizi in caso di incidenti tecnici o informatici.

Sono previste procedure di backup, conservazione e ripristino delle informazioni, riesaminate periodicamente in relazione alla criticità dei sistemi e dei servizi interessati.

Akuerò adotta procedure per rilevare, analizzare, contenere e gestire gli eventi che possano compromettere la sicurezza dei sistemi o delle informazioni trattate.

Gli incidenti vengono valutati in relazione alla loro natura, agli effetti prodotti e ai potenziali rischi per le persone interessate.

Qualora un incidente comporti una violazione dei dati personali, vengono attivate le procedure previste dal GDPR, comprese, ove ne ricorrano i presupposti, la notifica all’Autorità Garante per la protezione dei dati personali e la comunicazione agli interessati.

La sicurezza delle informazioni dipende anche dalla consapevolezza delle persone che operano sui sistemi e sui dati.

Akuerò promuove attività di formazione e sensibilizzazione rivolte al personale e ai collaboratori autorizzati, con particolare attenzione:

• alla protezione delle credenziali;
• al riconoscimento delle minacce informatiche;
• alla corretta gestione delle informazioni;
• al rispetto delle procedure interne;
• alla protezione dei dati personali;
• alla tempestiva segnalazione di anomalie e incidenti.

Akuerò ha nominato un Responsabile della Protezione dei Dati personali – Data Protection Officer o DPO – con funzioni di sorveglianza, consulenza e supporto in materia di protezione dei dati personali.

Il DPO opera in autonomia e può essere contattato attraverso i recapiti indicati nelle informative privacy pubblicate sul sito e sulle piattaforme Lifestyler.

La sicurezza informatica non è considerata un’attività occasionale, ma un processo continuo.

Akuerò riesamina periodicamente il proprio Sistema di Gestione della Sicurezza delle Informazioni, le valutazioni dei rischi e le misure tecniche e organizzative adottate.

L’obiettivo è migliorare progressivamente l’efficacia dei controlli e adeguarli all’evoluzione dei servizi, delle tecnologie, delle minacce informatiche e della normativa applicabile.