Protezione e riservatezza dei dati: dettaglio

La postura di sicurezza offerta ai nostri Clienti è il connubio di politiche di gestione migliorate costantemente in anni di esperienza nei settori più ambiziosi e di una continua ricerca e implementazione delle misure di sicurezza più evolute. Il tutto orientato a fornire ai Clienti una soluzione semplice e trasparente in termini di compliance.

Di seguito sono riportate alcune delle politiche e procedure che compongono il Sistema di Gestione della Sicurezza delle Informazioni e della Privacy adottato da Diennea:

• Politica generale per la sicurezza delle informazioni, sottoposta a riesami periodici del Top Management, che definisce le politiche finalizzate a raggiungere gli obiettivi di sicurezza, attraverso una adeguata gestione degli asset, processi, ruoli e responsabilità.
• Politica di utilizzo degli strumenti IT, che prevede controlli finalizzati a regolamentare l’utilizzo dei dispositivi (Pc, laptop, tablet, smartphone, strumenti USB, ecc.) anche da remoto, come ad esempio l’imposizione di configurazioni che permettano la protezione delle informazioni e la capacità di installare software non approvato.
• Politica di classificazione delle informazioni, che disciplina una categorizzazione utile anche a consentire ai sistemi DLP (Data Loss Prevention) di intercettare in modo puntuale l’eventuale transito di contenuti riservati.
• Politica di clear desk & clear screen, che ha lo scopo di incrementare la sicurezza e la riservatezza delle informazioni, in particolare
  quelle classificate come confidenziali o segrete.
• Politica di gestione degli incidenti di sicurezza, allineata con le normative di settore e che prevede un’attenta analisi di ogni evento, logiche organizzative e una Status Page che mostra in tempo reale lo stato del servizio.
• Politica di sicurezza fisica e ambientale, riguardante sia i data center primario e secondario che le sedi operative, e che definisce le misure fisiche previste per la protezione degli asset aziendali.
• Politica di cooperazione con le Autorità che ha lo scopo di definire le procedure operative che la Società adotta in occasione di
  ispezioni, richieste di informazioni e audit da parte delle autorità di controllo.
• Politica e procedure operative sugli Amministratori di Sistema, che regolamenta la gestione di queste figure e dei relativi log di accesso, secondo quanto previsto dal Provvedimento del Garante del 27/11/2008 (e successive modifiche).
• Politica e procedura di background check, che definiscono le modalità con cui vengono effettuate le verifiche sul personale in ingresso, in conformità alle disposizioni delle leggi, dei regolamenti e dell’etica applicabili.  
• Politica di protezione da malware e intrusioni esterne che riguarda l’adozione di soluzioni specifiche anti-malware e anti-ransomware sui client e sui server con aggiornamenti e scansioni automatiche, che riguardano ad esempio la scansione di file condivisi, email e allegati, download e scansione di pagine web.
• Politica di controllo crittografico, che prevede l’utilizzo di algoritmi crittografici robusti su tutti i dispositivi, sia per le informazioni “at-rest” che “in-transit”.
• Politica di logging and monitoring, attivo 24/7, nel rispetto dei requisiti normativi, degli standard di settore e delle best practices, e nel quadro di una visione che pone al centro la sicurezza dell’informazione.
• Politica di network management, che prevede un controllo dei dispositivi connessi, restrizioni al traffico e allocazione delle risorse, nelle reti delle sedi aziendali e dei data center, attraverso molteplici livelli VLAN, VPN e strumenti di gestione e analisi del traffico come firewall e IDS/IPS.
• Politica di sviluppo sicuro, che prevede un ciclo di sviluppo del software realizzato su ambienti dedicati, l’analisi statica del codice, controlli OWASP, utilizzo di dati di test e un processo QA, con 11 rilasci evolutivi e correttivi all’anno.
• Politica di Vulnerability Assessment e Penetration Test, che prevede l’esecuzione di test periodici, indipendenti e oggettivi, da parte di terze parti che vengono variate nel tempo in modo da non generare fenomeni di familiarità con il sistema e bias di aspettativa.
• Politica di BCP & IT DRP, in grado di garantire la resilienza dei servizi a fronte di eventi disastrosi, garantendo RTO e RPO predefiniti.
• Politica di patch management, che si applica a workstation, server, dispositivi di rete e ogni altro asset hardware di proprietà o gestito dall’azienda, e che prevede un monitoraggio continuativo delle vulnerabilità (CSIRT, vendor delle tecnologie utilizzate) e l’utilizzo di tool per la gestione centralizzata degli aggiornamenti, ove possibile, piuttosto che processi di aggiornamento puntuale dei singoli asset con tempi e modi determinati dal livello di criticità.
• Procedura di gestione dei cambiamenti, riguardante la gestione e il monitoraggio di modifiche che possono comportare impatti sulla sicurezza delle informazioni, emerse da processi di business, sistemi, normative tecniche applicabili o funzionalità applicative.
• Politica di gestione dei backup, che definisce le modalità di esecuzione, la frequenza, la conservazione, le misure di protezione fisica e criptografica oltre alle logiche di verifica. Le copie di backup delle informazioni gestite da magnews vengono eseguite con frequenza giornaliera, vengono replicate su due data center situati a circa 450km di distanza l’uno dall’altro e vengono conservate fino a 60 giorni.
• Politica di audit ai sistemi informativi, che prevede un’analisi dei rischi periodica (almeno annuale) e l’esecuzione di un programma di audit riguardante sia aree interne all’organizzazione che fornitori, coordinato dal Team Audit, i cui membri hanno ottenuto specifiche certificazioni ISO.
• Procedura di gestione delle terze parti, che prevede un’attenta analisi dei rischi di ogni fornitore sin dalla fase di due diligence iniziale e in pendenza del rapporto contrattuale, attraverso audit di mantenimento.
• Politica sul trasferimento di dati personali, che disciplina le modalità attraverso le quali vengono gestiti i trasferimenti di dati.
• Politica sulla base legale del trattamento con lo scopo di descrivere i principi legali sottostanti al trattamento dei dati personali condotto dall’organizzazione nonché quello di elencare le basi giuridiche che possono essere utilizzate da Diennea per giustificare le finalità perseguite.
• Politica sulla conservazione dei dati personali, che prevede una puntuale e trasparente conservazione delle diverse tipologie di dato trattato dall’organizzazione e parametri personalizzabili su richiesta del Cliente.
• Politica su governance e accountability con lo scopo di garantire l’allineamento dell’organizzazione alla normativa applicabile in materia di protezione dei dati personali e, in particolare, stabilire la struttura di governance di Diennea, descrivendo
  ruoli, responsabilità, obiettivi, rischi, documenti e controlli operativi posti in essere al fine di dare
  attuazione concreta al principio di accountability introdotto dal GDPR.
• Procedura di gestione dei data breach che ha lo scopo di fornire le indicazioni pratiche da seguire in caso di violazione dei dati personali che interessino l’organizzazione sia in qualità di Titolare che di Responsabile.
• Procedura di gestione delle credenziali e dei profili di autorizzazione, che disciplina l’utilizzo sicuro di credenziali di accesso e una corretta regolamentazione dell’accesso alle informazioni, secondo quanto strettamente necessario.
• Procedura per l’esercizio dei diritti dell’interessato che ha lo scopo di fornire le indicazioni operative da seguire al fine di garantire l’esercizio dei diritti degli interessati ai sensi del GDPR.

Semplicità e affidabilità per il Cliente

• Garanzie certificate.
• Un partner preparato e attento alla sicurezza e alla data protection, il cui personale viene sottoposto a programmi di formazione e simulazioni di attacco continuativi.
• Attenzione alla catena di sub-fornitura, limitando a poche unità il numero di sub-responsabili coinvolti ed evitando trasferimenti di dati persali extra-SEE
• Gestione diretta dell’infrastruttura IT, senza l’ausilio di sub-fornitori e senza il ricorso a CSP (Cloud Service Provider).
• Supporto telefonico e via email, in lingua italiana e inglese.
• Sessioni di Bug Bounty che sottopongono la Piattaforma a test da parte di community di ethical hacker.

Supporto opzionale su richiesta

• Disponibilità ad effettuare audit di mantenimento periodici da parte del Cliente.
• Disponibilità a sottoporre la piattaforma a PT/VA da parte del Cliente.
• Disponibilità per il coinvolgimento diretto del personale del Team Security.
• Supporto in fase di exit per l’internalizzazione del servizio o la migrazione su altra piattaforma esterna.