Policy sulla sicurezza delle informazioni. Rev. 1.0

Transcript

1 Plicy sulla sicurezza delle infrmazini Rev

2 Smmari 1. Intrduzine Finalità Ambit di applicazine e definizini Respnsabilità persnale dell utente Organizzazine della Sicurezza delle Infrmazini Sistema di Gestine della Sicurezza delle Infrmazini Access fisic Sistema di access Access ai dati La trasmissine dei dati Riservatezza e integrità dei dati persnali Dispnibilità Cntrll dei trattamenti Separazine dei dati Gestine degli incidenti di privacy Cmpliance Dcumentazine di riferiment Definizini Apprvazine della Plicy

3 1. Intrduzine 1.1 Finalità La presente plicy regla gli accrgimenti di sicurezza adttati da Meccani S.r.l. (d ra in pi Meccani ) per prteggere l integrità, la riservatezza e la dispnibilità dei dati persnali, nel rispett di quant dispst dal Reglament Eurpe 679/2016 (General Data Prtectin Regulatin, d ra in pi GDPR ) in particlare all art Ambit di applicazine e definizini La presente Prcedura si applica ad gni Utente e per gni sede aziendale. Per Utente si intende, pertant, a titl esemplificativ e nn esaustiv, gni dipendente, cllabratre (intern estern), cnsulente, frnitre e/ terz che in md cntinuativ e nn ccasinale peri all intern della struttura aziendale utilizzandne beni e servizi infrmatici. Per Azienda si intende, invece, la scietà Meccani S.r.l. e i sui marchi, titlare dei beni e delle risrse infrmatiche ivi disciplinate, la quale pererà per mezz dei sggetti che ne pssiedn la rappresentanza. 1.3 Respnsabilità persnale dell utente Ogni Utente, nel rispett dei principi di diligenza sttesi al rapprt instaurat cn l Azienda, è tenut al rispett di questa plicy ed è persnalmente respnsabile del su mancat rispett in cas di negligenza dl. 2. Organizzazine della Sicurezza delle Infrmazini La cultura della prtezine dei dati persnali è supprtata dal management aziendale. Meccani si assicura di diffndere tale cultura al su persnale. Le misure adttate cmprendn: a) Identificazine e attivazine di una serie di misure di sicurezza per il trattament dei dati persnali b) La definizine della presente plitica per sicurezza delle infrmazini, apprvata dal Tp Management e diffusa a tutt il persnale. c) La plitica di sicurezza Meccani è rivista almen annualmente e aggirnata in cas di necessità. d) Tutt il Persnale Meccani incaricat di trattare dati persnali ha firmat accrdi di riservatezza che si applican durante e successivamente al rapprt di lavr. 3

4 e) La superficialità l intenzinalità del persnale nel seguire le plitiche di sicurezza delle infrmazini può essere trattata cme una questine disciplinare e prtare a sanzini. f) A tutt il Persnale Meccani è stata data frmazine dei fndamentali di sicurezza delle infrmazini e della privacy. g) Meccani si impegna per il miglirament cntinu della prpria sicurezza. h) Tutti i sggetti che cnferiscn a Meccani i prpri dati persnali ricevn un infrmativa secnd le prescrizini del GDPR i) Tutti i frnitri che dvesser trattare i dati persnali di cui Meccani è titlare ricevn un incaric cme Respnsabile del trattament cn delle specifiche prescrizini in materia di privacy e sicurezza delle infrmazini 3. Sistema di Gestine della Sicurezza delle Infrmazini Il Sistema di Gestine per la Sicurezza per le Infrmazini di Meccani definisce un insieme di misure rganizzative, tecniche e prcedurali a garanzia del sddisfaciment dei seguenti requisiti di sicurezza di base: - Riservatezza: assicurare che l infrmazine sia accessibile slamente ai sggetti e/ ai prcessi debitamente autrizzati; - Integrità: salvaguardare la cnsistenza dell infrmazine da mdifiche nn autrizzate; - Dispnibilità: assicurare che gli utenti autrizzati abbian access alle infrmazini e agli elementi architetturali assciati quand ne fann richiesta; - Cntrll: assicurare che la gestine dei dati avvenga sempre attravers prcessi e strumenti sicuri e testati; - Autenticità: garantire una prvenienza affidabile dell infrmazine. - Privacy: garantire la prtezine ed il cntrll dei dati persnali. Il sistema di cnservazine assicura, dalla presa in caric fin all eventuale scart, tramite l adzine di regle, prcedure e tecnlgie, la cnservazine dei dcumenti, infrmatici cartacei, garantendne le caratteristiche di autenticità, integrità, affidabilità, leggibilità e reperibilità. 4. Access fisic L access fisic ai dati persnali è prtett. L access ai lcali è sempre presidiat da persnale Meccani, inltre i dati persnali sn custditi stt chiave e/ in ambienti riservati e nn accessibili al pubblic. 4

5 a) Meccani gestisce in autnmia il sit WEB e quelli dei sui marchi e csì cme tutt il parc applicativ. Sl persnale autrizzat ha access ai lcali dve sn i cmputer. Eventuali visitatri sn sempre accmpagnati. b) I persnal cmputer sn prtetti da interruzini di e sn mantenuti da persnale di pssess di adeguate cmpetenze tecniche. c) Apparecchiature supprti di memria cntenenti dati persnali (cmpresi i casi di difettsità di dismissine) vengn cancellati in md sicur prima della rimzine e l affidament all smaltiment rifiuti. d) Quand i dati persnali vengn cpiati elettrnicamente su spprti di memria prtatili, viene mantenut un adeguat livell di sicurezza fisica e, in gni cas, i dati vengn cifrati. 5. Sistema di access I sistemi di elabrazine dati Meccani vengn utilizzati sl da utenti autrizzati e autenticati sulla rete aziendale. a) L'access ai sistemi interni Meccani è cncess sl dal persnale Meccani e/ ai dipendenti autrizzati dei subappaltatri cn mdalità di access strettamente limitat alla funzine assegnata. b) Tutti gli utenti accedn ai sistemi Meccani cn un identificatre univc (ID utente) e una passwrd. c) Meccani ha stabilit una plitica delle passwrd che ne vieta la cndivisine e che richiede la mdifica ad intervalli peridici nnché impedisce la permanenza di passwrd di default. d) Tutte le passwrd devn sddisfare i requisiti minimi definiti e sn memrizzati in frma criptata. Ogni cmputer ha un screensaver prtett da passwrd. e) Meccani ha una prcedura per disattivare gli utenti e il lr access quand un dipendente lascia l'azienda. f) Opprtuni sftware di sicurezza attiva prevengn ptenziali accessi nn autrizzati. 6. Access ai dati Le persne incaricate di effettuare trattament di dati persnali hann access sl ai dati per i quali sn autrizzati. 5

6 a) Limitazine dell'access del persnale ai dati a ai sistemi infrmativi in base alla stretta necessità in virtù delle prprie funzini perative. b) La frmazine del persnale cmprende i diritti di access e gli rientamenti generali sulla definizine e l'us dei dati persnali. c) Se del cas, Meccani impiega tecniche di minimizzazine e di pseudnimizzazine dei dati persnali per ridurre la prbabilità di accessi nn autrizzati. d) Meccani utilizza sftware anti-virus e anti-malware aggirnati su tutti i cmputer e i server identificati cme apprpriati. e) Meccani utilizza firewall adeguatamente cnfigurati per i servizi del sit WEB. f) Meccani si assicura di essere in cndizine di ricevere avvisi e ntifiche dai frnitri di sftware di sistema e altre fnti di avvisi di sicurezza e di installare reglarmente e in md efficiente le patch sftware di sistema. 7. La trasmissine dei dati Meccani impedisce che i dati persnali pssan essere letti, cpiati, mdificati cancellati da persne nn autrizzate durante le trasmissini. a) L'access degli utenti ai servizi WEB Meccani è prtett da SSL. b) Impieg di crittgrafia frte per tutte le altre trasmissini di dati persnali al di furi della rete dati Meccani (VPN). c) Tutti i dati persnali memrizzati al di furi della rete dati Meccani sn prtetti da crittgrafia frte. Il Cliente è respnsabile per la sicurezza dei dati persnali una vlta che questi gli sian stati trasmessi da Meccani al Cliente, cmpresa la circstanza in cui i suddetti dati sian scaricati dagli utenti dei Clienti. 8. Riservatezza e integrità dei dati persnali I Dati Persnali rimangn cnfidenziali, intatti, cmpleti e aggirnati durante il trattament. a) Meccani impiega persnale adeguatamente frmat in tema di sicurezza delle infrmazini. b) Tutte le mdifiche al sftware, laddve sviluppat ad hc, vengn effettuate attravers un meccanism di apprvazine frmale che tenga traccia delle richieste di mdifica e delle relative apprvazini prima della realizzazine. 6

7 c) Tutti le funzini di crittgrafia utilizzate all'intern delle applicazini Meccani utilizzand gli standard del settre. 9. Dispnibilità I dati persnali sn prtetti dalla distruzine perdita accidentale e vi è la pssibilità del ripristin tempestiv della lr dispnibilità in cas di incidente. a) Meccani utilizza un elevat livell di ridndanza sui dati di prduzine in md che il guast la mancanza di dispnibilità di un unic sistema cmpnente nn influisca sulla dispnibilità generale delle infrmazini. b) Il server principale dispne di più fnti di alimentazine, generatri n-site cn batterie di back-up per salvaguardare la dispnibilità di alimentazine elettrica. c) Meccani utilizza sfrzi raginevli per creare cpie di back-up dei dati persnali criptate e cnservarli in una psizine gegraficamente separata. d) Meccani esegue test di ripristin da tali backup cn peridicità almen trimestrale. 10. Cntrll dei trattamenti I dati persnali trattati per cnt di un utente veng elabrati esclusivamente in cnfrmità cn le finalità dichiarate e nel rispett della vigente nrmativa. Misure adttate laddve Meccani agisca cme respnsabile del trattament dei dati persnali: a) Meccani memrizza ed elabra i dati persnali, al fine di effettuare i trattamenti stt le istruzini dell utente e per le finalità da lui stabilite. b) Meccani nn accede ai Dati Persnali degli utenti, eccezin fatta per le finalità necessarie per l svlgiment del su servizi, su richiesta del Titlare dell interessat, per ragini di sicurezza per gni altr adempiment di legge. c) Meccani impiega un numer limitat di frnitri, che incarica cme respnsabili del trattament. Essi sn vinclati al rispett della riservatezza dei Dati Persnali e a seguire le sue prcedure e plicy di sicurezza delle infrmazini. Un elenc è dispnibile su richiesta. d) Meccani ha adttat prcedure e plicy che la rendn cmpliant cn il Reglament Eurpe 2016/679 (General Data Prtectin Regulatin - GDPR) 11. Separazine dei dati Dati persnali racclti per scpi diversi vengn trattati separatamente. 7

8 a) Meccani realizza la separazine lgica dei dati persnali prvenienti da più utenti. b) I quadri e le aziende iscritte hann access sl ai dati persnali di prpria cmpetenza. 12. Gestine degli incidenti di privacy In cas di vilazine della sicurezza dei dati persnali, l'effett della vilazine è ridtt al minim. Le Autrità e/ gli interessati vengn infrmati secnd le prescrizini del reglament. Esiste un appsita prcedura di Data Breach alla quale si rimanda per la descrizine delle azini adttate. Viene tenut un appsit registr dei Data Breach, sul quale vengn anntati gli incidenti di privacy, anche quelli il cui esit nn cmprta, a nrma di legge, la ntifica al Garante e/ agli interessati. 13. Cmpliance Meccani verifica cntinuamente l'efficacia di queste misure tecniche e rganizzative. a) Meccani cnduce reglarmente verifiche interne attravers la peridica valutazine d'impatt sulla prtezine dei dati. b) Meccani prende misure raginevli per assicurare che il persnale sia a cnscenza e rispetti le misure tecniche e rganizzative di cui al presente dcument. In particlare l azienda frnisce la frmazine necessaria e cntinui aggirnamenti in merit alla nrmativa e agli accrgimenti cmprtamentali in tema di data prtectin. 8

9 14. Dcumentazine di riferiment ID TITOLO DATA EMISSIONE 1 Reglament Eurpe 2016/679 General Data Prtectin (GDPR) 2 Linee guida in materia di ntifica delle vilazini di dati persnali (Data Breach ntificatin) - WP250, definite in base alle previsini del Reglament (UE) 2016/679 Adttate dal Grupp di lavr Art. 29 il 3 ttbre 2017 Versine emendata e adttata il 6 febbrai 2018 Ottbre 2016 Febbrai Guida all'applicazine del Reglament eurpe in materia di prtezine dei dati persnali Definizini TERMINE Dat persnale Dat sensibile - categrie particlari di dati persnali DEFINIZIONE Dat att ad individuare univcamente una persna fisica Nella pratica perativa si pssn cnsiderare le seguenti tiplgie: I dati idnei a rivelare le rigini razziali ed etniche. I dati idnei a rivelare le cnvinzini religise filsfiche l appartenenza sindacale I dati idnei a rivelare l stat di salute alla vita sessuale I dati idnei a rivelare le cnvinzini plitiche Dati di carattere giudiziari Dati bimetrici intesi a identificare in md univc una persna fisica Dati genetici 9

10 16. Apprvazine della Plicy La presente Prcedura è stata apprvata dal Legale Rapresentante ing. Pal Ciuff in data 18/05/2018. Si chiarisce che l Azienda si riserva di effettuare eventuali variazini al presente reglament al su allegat, e che le stesse verrann cmunicate agli Utenti. Rma, 18 maggi