Sicurezza delle informazioni

Le misure tecniche e organizzative adottate per proteggere la piattaforma AvilaFan, i sistemi informativi e i dati trattati nell’ambito dei servizi digitali erogati da Akuerò.

La sicurezza delle informazioni e la protezione dei dati personali rappresentano elementi fondamentali nella progettazione, nello sviluppo e nella gestione di AvilaFan.

Akuerò S.r.l., sviluppatore e gestore della soluzione AvilaFan, adotta misure tecniche e organizzative volte a proteggere la piattaforma, i sistemi informativi e i dati trattati, secondo criteri di adeguatezza, proporzionalità e gestione del rischio.

L’obiettivo è preservare la riservatezza, l’integrità e la disponibilità delle informazioni, riducendo il rischio di accessi non autorizzati, perdita, alterazione, divulgazione o utilizzo improprio dei dati.

01 — Protezione dei dati personali

I dati personali trattati attraverso AvilaFan sono gestiti nel rispetto del Regolamento (UE) 2016/679 – GDPR, del Codice in materia di protezione dei dati personali e della normativa applicabile.

Le misure di sicurezza sono individuate tenendo conto, in particolare:

della natura, dell’oggetto, del contesto e delle finalità dei trattamenti;
delle categorie e del volume dei dati trattati;
dei sistemi, dei soggetti e dei fornitori coinvolti;
della probabilità e della gravità dei rischi per i diritti e le libertà delle persone;
dello stato dell’arte e dell’evoluzione delle minacce informatiche.

Akuerò applica inoltre i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita, integrando gli aspetti di privacy e sicurezza nei processi di sviluppo, configurazione e gestione di AvilaFan.

02 — Sistema di Gestione della Sicurezza delle Informazioni

Akuerò si è dotata di un proprio Sistema di Gestione della Sicurezza delle Informazioni, finalizzato a identificare, valutare, trattare e monitorare i rischi informatici associati alle proprie piattaforme e ai servizi digitali, compresa AvilaFan.

Il sistema consente di organizzare in modo strutturato e documentato le attività di sicurezza, definendo responsabilità, procedure, controlli e criteri di verifica.

Le misure adottate sono riesaminate e aggiornate in relazione all’evoluzione dei servizi, delle tecnologie impiegate, delle minacce rilevate e del contesto normativo.

03 — Metodologia Cyberction©

Per la gestione del rischio informatico Akuerò ha adottato la metodologia Cyberction©, utilizzata per supportare la progettazione, l’attuazione e il progressivo miglioramento del proprio Sistema di Gestione della Sicurezza delle Informazioni.

Cyberction© fornisce un metodo operativo per:

identificare le informazioni, i sistemi e i processi da proteggere;
valutare i rischi informatici;
individuare e pianificare le misure di sicurezza;
assegnare responsabilità e priorità di intervento;
verificare l’efficacia dei controlli adottati;
favorire il raccordo tra sicurezza informatica e protezione dei dati personali.

La metodologia utilizza la tassonomia del Framework Nazionale per la Cybersecurity e la Data Protection, consentendo di organizzare le attività e i controlli secondo criteri strutturati, misurabili e coerenti con il livello di rischio associato ai sistemi e ai dati trattati.

Attraverso tale approccio, Akuerò gestisce in modo consapevole e documentato i rischi relativi ad AvilaFan, con particolare attenzione alla tutela dei dati personali disciplinati dal GDPR.

04 — Framework Nazionale per la Cybersecurity e la Data Protection

Il Framework Nazionale per la Cybersecurity e la Data Protection costituisce uno dei riferimenti utilizzati da Akuerò per organizzare le attività di sicurezza e protezione dei dati.

Il Framework consente di classificare le misure adottate nelle principali aree della sicurezza informatica:

identificazione degli asset e dei rischi;
protezione dei sistemi e delle informazioni;
rilevazione degli eventi di sicurezza;
risposta agli incidenti;
ripristino dei sistemi e della continuità operativa.

L’utilizzo del Framework favorisce una gestione integrata della cybersecurity e della protezione dei dati personali, in coerenza con il principio di responsabilizzazione previsto dal GDPR.

05 — Mappatura rispetto alla ISO/IEC 27001

La norma ISO/IEC 27001 costituisce un riferimento metodologico per l’organizzazione del Sistema di Gestione della Sicurezza delle Informazioni.

Attraverso la metodologia Cyberction©, le attività e i controlli di sicurezza adottati da Akuerò sono mappati, ove applicabile, rispetto ai requisiti e ai controlli della ISO/IEC 27001 e alle corrispondenti categorie del Framework Nazionale per la Cybersecurity e la Data Protection.

Tale mappatura permette di organizzare, documentare e verificare le misure di sicurezza secondo un modello strutturato, orientato alla gestione del rischio e al miglioramento continuo.

Il richiamo alla ISO/IEC 27001 indica l’utilizzo della norma come riferimento metodologico e non costituisce una dichiarazione di certificazione.

06 — Controlli e misure di sicurezza

In funzione dei sistemi, dei servizi e dei livelli di rischio rilevati, il Sistema di Gestione della Sicurezza delle Informazioni può prevedere controlli relativi a:

gestione degli accessi e delle autorizzazioni;
attribuzione dei privilegi secondo il principio di necessità;
protezione delle credenziali e dei sistemi di autenticazione;
sicurezza delle infrastrutture, delle reti e delle applicazioni;
aggiornamento, manutenzione e configurazione dei sistemi;
gestione delle vulnerabilità;
registrazione e monitoraggio degli eventi di sicurezza;
protezione e cifratura delle informazioni, ove applicabile;
procedure di backup, ripristino e continuità operativa;
gestione degli incidenti informatici;
selezione e verifica dei fornitori tecnologici;
formazione e sensibilizzazione del personale autorizzato.

Le misure adottate sono proporzionate alla natura delle informazioni trattate e ai rischi individuati.

07 — Sicurezza nello sviluppo e nella gestione di AvilaFan

Gli aspetti di sicurezza e protezione dei dati sono considerati durante l’intero ciclo di vita della piattaforma AvilaFan.

Le attività di sviluppo, configurazione, manutenzione e aggiornamento dei sistemi sono organizzate tenendo conto dei rischi connessi al trattamento delle informazioni e alla protezione dei dati personali.

L’accesso ai sistemi e ai dati è consentito esclusivamente ai soggetti autorizzati, nei limiti necessari allo svolgimento delle rispettive attività.

08 — Configurazioni cliente e separazione degli ambienti

AvilaFan può essere configurata e personalizzata per differenti clienti e progetti. Akuerò adotta criteri tecnici e organizzativi coerenti con la necessità di proteggere gli ambienti, le informazioni e gli accessi relativi alle singole implementazioni.

Le autorizzazioni e i privilegi sono attribuiti in funzione dei ruoli e delle attività previste, secondo criteri di necessità e proporzionalità.

Le specifiche misure applicabili a un progetto possono dipendere dalle funzionalità attivate, dalle integrazioni previste e dalla natura dei dati trattati.

09 — Sicurezza dei fornitori e dei servizi integrati

Per l’erogazione di specifiche funzionalità, AvilaFan può avvalersi di fornitori tecnologici, infrastrutture cloud, servizi di comunicazione, sistemi di pagamento, strumenti di analisi o altri servizi specializzati.

Prima dell’affidamento di attività che comportano il trattamento di dati personali o l’accesso ai sistemi, Akuerò valuta, secondo criteri proporzionati al rischio:

l’affidabilità del fornitore;
le misure tecniche e organizzative adottate;
la localizzazione dei dati e delle infrastrutture;
le modalità di gestione degli accessi;
le procedure di risposta agli incidenti;
le garanzie offerte in materia di protezione dei dati personali.

I rapporti con i fornitori sono disciplinati attraverso accordi contrattuali, obblighi di riservatezza, istruzioni documentate e, quando previsto, accordi per il trattamento dei dati personali ai sensi dell’articolo 28 del GDPR.

10 — Continuità operativa e protezione delle informazioni

Akuerò adotta misure volte a garantire, in funzione del livello di rischio, la disponibilità dei sistemi e la possibilità di ripristinare dati e servizi in caso di incidenti tecnici o informatici.

Sono previste procedure di backup, conservazione e ripristino delle informazioni, riesaminate periodicamente in relazione alla criticità dei sistemi e dei servizi interessati.

11 — Gestione degli incidenti di sicurezza

Akuerò adotta procedure per rilevare, analizzare, contenere e gestire gli eventi che possano compromettere la sicurezza dei sistemi o delle informazioni trattate.

Gli incidenti vengono valutati in relazione alla loro natura, agli effetti prodotti e ai potenziali rischi per le persone interessate.

Qualora un incidente comporti una violazione dei dati personali, vengono attivate le procedure previste dal GDPR, comprese, ove ne ricorrano i presupposti, la notifica al Garante per la protezione dei dati personali e la comunicazione agli interessati.

12 — Formazione e consapevolezza

La sicurezza delle informazioni dipende anche dalla consapevolezza delle persone che operano sui sistemi e sui dati.

Akuerò promuove attività di formazione e sensibilizzazione rivolte al personale e ai collaboratori autorizzati, con particolare attenzione:

alla protezione delle credenziali;
al riconoscimento delle minacce informatiche;
alla corretta gestione delle informazioni;
al rispetto delle procedure interne;
alla protezione dei dati personali;
alla tempestiva segnalazione di anomalie e incidenti.

13 — Responsabile della Protezione dei Dati

Akuerò ha nominato un Responsabile della Protezione dei Dati personali – Data Protection Officer o DPO – con funzioni di sorveglianza, consulenza e supporto in materia di protezione dei dati personali.

Il DPO opera in autonomia e può essere contattato all’indirizzo: dpo@akuero.it

Ulteriori informazioni sul trattamento dei dati personali sono disponibili nelle informative privacy pubblicate sul sito e nei singoli ambienti AvilaFan.

14 — Miglioramento continuo

La sicurezza informatica non è considerata un’attività occasionale, ma un processo continuo.

Akuerò riesamina periodicamente il proprio Sistema di Gestione della Sicurezza delle Informazioni, le valutazioni dei rischi e le misure tecniche e organizzative adottate.

L’obiettivo è migliorare progressivamente l’efficacia dei controlli e adeguarli all’evoluzione di AvilaFan, delle tecnologie, delle minacce informatiche e della normativa applicabile.