DIREZIONE SISTEMI INFORMATIVI PASCUZZI FRANCESCA. Descrizione dettagliata dell'obiettivo

Transcript

1 2014_PC01 SISTEMI Descrizione dettagliata dell'obiettivo La certificazione di qualità secondo la norma UNI EN ISO 9001:2008 è un modo per qualificare le organizzazioni ormai riconosciuto a livello mondiale definendo i criteri fondamentali per implementare un sistema di gestione della qualità. Con questo tipo di certificazione agli utenti (i cittadini nel caso delle Amministrazioni Locali) viene garantito che l'organizzazione certificata fornisca le proprie prestazioni nel rispetto di precisi standard qualitativi e nei tempi stabiliti. Per la Direzione Sistemi Informativi (DSI) gli utenti sono rappresentati sia dai cittadini sia dagli oltre dipendenti del Comune di Firenze ai quali vengono erogati una pluralità di servizi o fornite attività di supporto e di assistenza in ambito ICT (Information Communication Technology).Il percorso intrapreso dalla Direzione per la certificazione UNI EN ISO 9001:2008 (garanzia della qualità del servizio) si svilupperà interiormente con il conseguimento della certificazione UNI CEI ISO/IEC 27001:2013 (governo della sicurezza del sistema informativo).l'attività della Direzione si uniforma a una stringente normativa di riferimento: il d.lgs. sulla privacy, n. 196/2003, il d.lgs. 82/2005, noto come CAD, Codice dell'amministrazione Digitale, il d.lgs. 150/2009 (efficienza e trasparenza della P.A.).Obiettivo della Certificazione ISO è quello di proteggere i dati e le informazioni aziendali preservandone integrità, riservatezza e disponibilità. L'integrazione delle attività relative al conseguimento della certificazione ISO con quelle relative alla normativa ISO 9001, garantisce una ulteriore maggiore sicurezza del sistema, in quanto la progettazione e la realizzazione del sistema informativo di qualità si realizza con tutte le necessarie garanzie di controllo.l'obiettivo pluriennale ha fatto si che nel 2014 sia stata conseguita, come previsto, la certificazione UNI EN ISO 9001:2008, e che siano state avviate le attività per il conseguimento anche della certificazione UNI CEI ISO/IEC 27001:2013. Nel corso del 2015 è previsto che si sviluppi tutta l'attività di revisione e aggiornamento della documentazione relativa alla certificazione UNI EN ISO 9001:2008 al fine dell'esito positivo della verifica da parte dell'organo esterno certificante e quindi della conferma della certificazione per l'anno Inoltre saranno completate le attività necessarie alla certificazione ISO 27001:2013.Occorre inoltre puntualizzare che il progetto prevede risoluzione di problematiche, la definizione di nuove attività e la riprogettazione dei processi ovvero lavoro in carico esclusivamente al personale interno della DSI a riprova che il progetto si basa sul continuo e costante coinvolgimento dello stesso. In relazione agli indicatori "Tempi presa in carico richieste intervento al 31/12" e "Tempi della prima risposta a richieste intervento (riscontro problema, tecnico ricontatta utente per dare supporto, invio di mail per richiesta chiarimenti, ecc.) al

2 2014_PC01 SISTEMI GANTT

3 2014_PC01 SISTEMI Sensibilizzazione personale e creazione competenze team di progetto ISO 09/01/ /03/ ,00 INNOCENTI RICCARDO Mappatura dei processi, matrice di correlazione, indicatori 06/03/ /03/ ,00 INNOCENTI RICCARDO Procedure e registrazioni a supporto del SGQ 06/03/ /05/2014 5,00 INNOCENTI RICCARDO Politica per la qualità, Procedure di sistema e Manuale della Qualità 06/03/ /05/ ,00 INNOCENTI RICCARDO Formazione di auditor interni 05/05/ /05/2014 5,00 INNOCENTI RICCARDO Conduzione e report di audit interni 12/05/ /05/2014 5,00 INNOCENTI RICCARDO Certificazione ISO /05/ /05/ ,00 INNOCENTI RICCARDO

4 2014_PC01 SISTEMI Sistemi e metodi esistenti per la sicurezza delle informazioni 01/06/ /10/2014 5,00 ISO 27001:2013 Studio, analisi e definizione politica della sicurezza 15/07/ /06/2015 5,00 La fase verrà riproposta nell'aggiornamento dell'obiettivo per il 2015 in quanto negli ultimi mesi del 2014 è stato deciso di avviare il progetto di migrazione del datacenter al TIX che ha introdotto nuovi aspetti di complessità elevata che interessano di ISO 27001:2013 Mappatura dei processi per la sicurezza 01/09/ /09/ ,00 La fase verrà riproposta nell'aggiornamento dell'obiettivo per il 2015 in quanto negli ultimi mesi del 2014 è stato deciso di avviare il progetto di migrazione del datacenter al TIX che ha introdotto nuovi aspetti di complessità elevata che interessano di ISO 27001:2013 Progettazione sistemi per la gestione della sicurezza 15/09/ /10/2015 5,00 La fase verrà riproposta nell'aggiornamento dell'obiettivo per il 2015 in quanto dovrà adeguarsi e procedere contestualmente con quanto previsto nel nuovo progetto di migrazione al TIX. Saranno pertanto attività strettamente correlate ISO 27001:2013 Implementazione procedure e soluzioni orientate a garantire la sicurezza del dato 01/09/ /12/2015 5,00 La fase verrà riproposta nell'aggiornamento dell'obiettivo per il 2015 in quanto dovrà adeguarsi e procedere contestualmente con quanto previsto nel nuovo progetto di migrazione al TIX. Saranno pertanto attività strettamente correlate ISO9001:2008 Verifica e aggiornamento mappature processi 01/01/ /06/2015

5 2014_PC01 SISTEMI ISO 9001:2008 Verifica documentazione 01/01/ /06/2015 ISO 27001:2013 Analisi dei rischi 01/01/ /06/2015 In realtà è un'attività costante e dinamica per la continua evoluzione delle teconlogie e delle soluzioni esistenti in ambito informatico; qui si fa riferimento alla prima stesura. ISO 9001:2008 Revisione formale del SGQ 01/04/ /05/2015 ISO 9001:2008 Audit esterno per mantenimento certificazione 12/05/2015 ISO 9001:2008 Audit interno 15/06/ /06/2015 ISO 27001:2013 Formazione personale e auditor interni 01/09/ /09/2015 ISO 27001:2013 Conduzione e report di audit interni 15/09/ /09/2015

6 2014_PC01 SISTEMI ISO 9001:2008 Audit interno 01/12/ /12/2015 ISO 9001:2008 mantenimento certificazione SGQ 01/01/ /12/2015 Realizzazione primo audit esterno finalizzato al conseguimento della certificazione 27001:2013 INDICATORI 01/12/ /12/2015 Descrizione Tipo Valore Atteso Conseguimento della certificazione di qualità ISO 9001:2008 entro il termine programmato Percentuale di personale formato auditor interno, entro il 31/12/2014 PERFORMANCE 10% Certificati entro il 30/05/2014 Percentuale di audit realizzati internamente entro il 31/12/2014 PERFORMANCE 50% ovvero 1/2 Mappatura dei processi della Direzione per il sistema di qualità entro il 31/12/ % Predisposizione documentazione e materiale per la certificazione ISO 27001:2006 entro il termine programmato Percentuale del personale formato in ambito sicurezza informatica al 31/12/ % Tempi presa in carico richieste intervento al 31/12/2014 Tempi di risposta a richieste intervento (riscontro problema, tecnico ricontatta utente per dare supporto, invio di mail per richiesta chiarimenti, ecc.) al 31/12/2014 Percentuale di questionari con valutazione positiva al 31/12 (dal 2014) 70% Documenti predisposti entro 31/12/2014 Mediamente 2 giorni lavorativi all'80% Mediamente 3 giorni lavorativi all'80%

7 2014_PC01 SISTEMI INDICATORI Descrizione Tipo Valore Atteso Conferma certificazione di qualità entro il termine previsto del 12/05/ /05/2015 Percentuale di audit interni realizzati rispetto ai totali al 31/12 (dal 2015) PERFORMANCE 67% (2/3) Mappatura dei processi della DSI per il sistema della gestione per la sicurezza entro il 30/06/2015 e adeguamento a ISO 27001:2013 entro il 30/09/ % Tempi presa in carico richieste intervento al 31/12 (dal 2015) 3 giorni per l'80% richieste Tempi della prima risposta a richieste intervento (riscontro problema, tecnico ricontatta utente per dare supporto, invio di mail per richiesta chiarimenti, ecc.) al 31/12 (dal 2015) 4 giorni per l'80% richieste Tempo di reazione a un incidente di sicurezza al 31/12 (dal 2015) Quota di server protetti da firewall locale al 31/12 (dal 2015) 80% Mediamente 1 ora lavorativa Realizzazione primo audit con società esterna per ottenimento certificazione 27001:2013 entro la data stabilita 31/12/2015