STATO DELLE REVISIONI rev. n SINTESI DELLA MODIFICA DATA 0 05-05-2015 VERIFICA Direttore Qualità & Industrializzazione Maria Anzilotta APPROVAZIONE Direttore Generale Giampiero Belcredi rev. 0 del 2015-05-05 Pagina 1 di 10
1. Scopo e Campo di applicazione... 3 2. Scheda Profilo Professionale... 3 3. Descrizione sintetica del profilo... 3 4. Dettaglio Conoscenze/Abilità/Competenze... 3 4.1 Compiti... 3 4.2 Conoscenze... 5 4.3 Abilità... 6 5. Requisiti... 6 5.1 Idoneità... 6 5.2 Affidabilità giuridica... 6 5.3 Formazione Formale, Informale e non formale... 6 6. Esame di Certificazione... 6.2 Esecuzione delle Prove... 8 6.3 Valutazione Complessiva delle prove... 9. Sorveglianza e rinnovo... 10.1 Requisiti per il Mantenimento della certificazione... 10.2 Requisiti per il rinnovo triennale della certificazione... 10 rev. 0 del 2015-05-05 Pagina 2 di 10
1. Scopo e Campo di applicazione Il presente documento contiene i requisiti specifici per la certificazione del Professionista della Security relativamente allo specifico profilo di Professionista della security di terzo livello Senior Security Manager. In particolare il presente documento denominato Scheda del Profilo Professionale definisce univocamente: Descrizione del profilo professionale Elenco delle evidenze che il candidato deve produrre a soddisfazione dei requisiti Requisiti di Istruzione, Conoscenza, Competenza ed esperienza professionale Requisiti per l accesso all esame di certificazione Modalità per lo svolgimento dell esame di certificazione (composizione della commissione, criteri di valutazione, tipo, durata e svolgimento delle prove) Requisiti e modalità per il mantenimento della certificazione Requisiti e modalità per il rinnovo della certificazione. Tutte le regole generali riferite alla certificazione dell Informatico Professionista sono riportate nella Procedura di schema PG_PRS_Security_BASE a cui tale scheda è abbinata e a cui si rimanda. 2. Scheda Profilo Professionale Il presente documento è redatto in conformità alla norma ISO 1024:2012 per professionisti che svolgono l attività di: Professionista della security di terzo livello Senior Security Manager In conformità alla norma UNI 10459:2015 e ai regolamenti europei ai quali essa si ispira e a cui rimanda. 3. Descrizione sintetica del profilo Il professionista della Security di terzo livello (alto manageriale Senior Security Manager); orientato a una massima complessità di Security, considerate l organizzazione e le attività svolte 1 4. Dettaglio Conoscenze/Abilità/Competenze 4.1 Compiti Sviluppare una strategia di security e una politica, in linea con le strategie dell Organizzazione, attraverso lo sviluppo e l attuazione di un programma di security Attuare le politiche, le strategie e i programmi di security definiti dal vertice aziendale/organizzazione al fine di raggiungere gli obiettivi prefissati Sviluppare una struttura organizzativa per la security che descriva i compiti e i relativi responsabili Definire sistemi di controllo e di audit per verificare l efficacia e l efficienza dei programmi di security Attivare investigazioni per verificare o per contrastare minacce interne e/o esterne Attivare le investigazioni aziendali richieste dal vertice dell Organizzazione Coordinare il processo di security, incluse le attività di riesame (previsto dal ciclo PDCA) 1 Definizione tratta dalla norma UNI 10459:2015 rev. 0 del 2015-05-05 Pagina 3 di 10
Sviluppare programmi di informazione e di formazione in security, delle persone coinvolte nell Organizzazione Coordinare la gestione della Security fisica (protezione delle persone, degli edifici, delle proprietà, dei beni, degli strumenti operativi dell Organizzazione) Gestire la Protezione del segreto industriale: protezione delle conoscenze, delle informazioni e dei dati appartenenti all Organizzazione, ai propri clienti e ad altri soggetti portatori di interesse Gestire la security delle informazioni: protezione delle conoscenze, delle informazioni e dei dati appartenenti all Organizzazione, ai propri clienti ed altri soggetti collegati portatori di interesse Attivare la security delle tecnologie e delle strutture IT: protezione delle tecnologie, delle strutture informatiche dell Organizzazione Coordinare il contrasto agli illeciti e alle frodi interne ed esterne: truffe e sabotaggi Coordinare la security delle persone: protezione dell integrità fisica dei dipendenti e dei soggetti esterni che hanno rapporti contrattuali con l Organizzazione Coordinare la gestione delle emergenze, delle crisi e della continuità operativa Coordinare la gestione della security di manifestazioni/convegni tenuti dall Organizzazione: protezione delle sedi permanenti o provvisorie in cui siano organizzati eventi d interesse dell Organizzazione Coordinare gli adempimenti di security previsti da requisiti cogenti: requisiti derivanti da leggi, regolamenti, direttive e prescrizioni obbligatorie in genere a livello locale, nazionale, europeo e internazionale Coordinare le investigazioni e la gestione degli accadimenti afferenti alla security: attività di analisi, indagine preventiva e investigazione degli eventi dannosi interni ed esterni in collaborazione con le Autorità preposte e con i soggetti privati autorizzati Coordinare tutte le attività necessarie alla raccolta, elaborazione e gestione delle informazioni a supporto delle decisioni strategiche del business, supportando l analisi dei contesti geopolitici: situazioni paesi, scenari per la security macroeconomici generali (sistema economico, variabili economiche e loro interdipendenze) di settore e di mercato (business intelligence, competitive intelligence) Interagire con le strutture interne ed esterne all Organizzazione che si occupano di conformità alle normative nazionali e internazionali ( compliance ) Interagire con le strutture interne ed esterne all Organizzazione che si occupano di Interazione tra security e salute sul lavoro Interagire con le strutture interne ed esterne all Organizzazione che si occupano di interazione tra security e protezione ambientale Interagire con le strutture interne ed esterne all Organizzazione che si occupano di Interazione tra security e responsabilità sociale Interagire con le strutture interne ed esterne all Organizzazione che si occupano di security e privacy Interagire con le strutture interne ed esterne all Organizzazione che si occupano di gestione dei rischi di origine criminosa Interagire con le strutture interne ed esterne all Organizzazione che si occupano di Interazione con tecnologie informatiche per la gestione del disaster recovery interazione con coloro che si occupano di business continuity, nel caso il coordinamento della business continuity sia posto in altra area (per esempio Organizzazione ) Interagire con le strutture interne ed esterne all Organizzazione che si occupano di vigilanza rev. 0 del 2015-05-05 Pagina 4 di 10
Interagire con le strutture interne ed esterne all Organizzazione che si occupano di investigazioni Interagire con le strutture interne ed esterne all Organizzazione che si occupano di rapporti con le autorità istituzionali, Forze dell ordine ed Enti governativi, ecc. Interagire con le strutture interne ed esterne all Organizzazione che si occupano della produzione Interfacciarsi con gli enti della security nazionale preposti all intelligence economica, alla sicurezza e ordine pubblico, nell ambito della partnership tra pubblico e privato 4.2 Conoscenze Conoscenze Sistema organizzativo, dei processi, delle politiche, delle linee guida e delle normative interne dell Organizzazione Principi di sostenibilità, di responsabilità sociale e di diritti umani 6 Legislazione di riferimento Materie giuridiche Problematiche di security delle Infrastrutture critiche e relativa legislazione Norme tecniche di security risk management Criteri di classificazione delle informazioni e di tutela delle informazioni classificate Disciplina giuridica in materia di crimine informatico e di protezione dei dati Metodologie di identificazione dei pericoli, di quantificazione e valutazione dei rischi di origine criminosa, di definizione dei criteri di accettabilità, di identificazione delle misure di mitigazione Modalità di impostazione di procedure, linee guida, norme tecniche di gestione del rischio nel proprio ambito operativo Metodologie per la valutazione del grado di security nel territorio e nelle comunità ospitanti Identificazione del rischio prevalente nell area Strumenti per valutare l impatto delle attività di security sul contesto sociale ed economico di riferimento Tecniche di identificazione delle sorgenti informative, integrazione delle informazioni, categorizzazione e analisi dell informazione L Organizzazione e le sue strutture fisiche Modelli e tipologie di organizzazione e gestione della security 6 Principi di prevenzione dei rischi di origine criminosa attraverso la progettazione ambientale e urbanistica Tecnologie di prevenzione e protezione di security Ingegneria di security 6 Gestione dei servizi integrati di sicurezza Problematiche di indagine difensiva all interno dell Organizzazione e relativa legislazione e possibili soluzioni Elementi di coordinamento della continuità operativa ( business continuity e disaster recovery ) Elementi di coordinamento della gestione della crisi ( crisis management ) Elementi di psicologia delle masse 6 Modalità di predisposizione di piani di security Processi di investigazione ( intelligence e due diligence ) Sistemi e tecniche di monitoraggio e reporting Modalità di gestione dei contratti di security Procedure di security dell Organizzazione e modalità di rilevamento di eventuali non conformità rispetto alle esigenze della stessa Organizzazione Tecniche e strumenti di comunicazione (relazione con istituzioni, autorità, Forze dell ordine, enti locali e stampa) EQF rev. 0 del 2015-05-05 Pagina 5 di 10
4.3 Abilità Abilità Comunicazione Lavorare in gruppo Accuratezza Analisi Autogestione e controllo dello stress Autosviluppo Controllo Convincimento Coordinamento e gestione dei collaboratori Decisione Flessibilità Gestione dei conflitti Gestione del gruppo Iniziativa Negoziazione Organizzazione Orientamento ai risultati Orientamento al cliente Pensiero prospettico Pianificazione e programmazione Propensione al nuovo Sintesi Soluzione dei problemi EQF 5. Requisiti 5.1 Idoneità Non ci sono elementi specifici che determinano l idoneità dei candidati Tutte le prove d esame sono svolte in Italiano e il candidato deve dimostrare di poter comprendere testi scritti e di saper condurre una conversazione professionale. 5.2 Affidabilità giuridica Per poter accedere al processo di certificazione il candidato dovrà sottoscrivere una dichiarazione ai sensi del DPR 445 sulla propria affidabilità giuridica e onorabilità professionale. 5.3 Formazione Formale, Informale e non formale 5.3.1 Formale 1. Laurea specialistica che includa discipline almeno in parte afferenti alle conoscenze della security 2. Laurea Triennale che includa discipline almeno in parte afferenti alle conoscenze della security 3. Diploma di scuola media superiore rev. 0 del 2015-05-05 Pagina 6 di 10
5.3.2 Non Formale Il professionista deve fornire evidenza di aver conseguito: Master universitario (60 crediti formativi) O in alternativa Superamento di Corso universitario di almeno 120 ore 2 con attestazione finale dell ateneo responsabile; Entrambi aventi per argomento la gestione della security per materi afferenti alle competenze del profilo 5.3.3 Informale Il candidato deve dimostrare esperienza professionale nel settore della Security, attraverso un numero di anni proporzionato al tipo di istruzione scolastica posseduta, in particolare sono richiesti: a) 12 anni di esperienza professionale continuativa di security, nel privato anche come consulente, o in organismi pubblici di sicurezza di cui 6 anni in incarichi di livello manageriale di cui al punto 1 del 5.3.1; b) 18 anni di esperienza professionale continuativa di security, nel privato anche come consulente, o in organismi pubblici di sicurezza di cui 8 anni in incarichi di livello manageriale di cui al punto 2 del 5.3.1 c) 20 anni di esperienza professionale continuativa di security, nel privato anche come consulente, o in organismi pubblici di sicurezza di cui 8 anni in incarichi di livello manageriale di cui al punto 3 del 5.3.1. Tale esperienza deve essere stata maturata entro la data di pubblicazione della presente norma 6. Esame di Certificazione 6.1 Programma Delle Prove Il programma delle prove si compone di 3 tipologie di prove eseguite nel seguente ordine: 1. Prova scritta su casi di studio; 2. Prova scritta a risposte chiuse; 3. Prova orale. 2 È riconosciuta la validità del percorso formativo di 90 ore, secondo la UNI 10459:1995, a condizione che venga integrato da un ulteriore percorso formativo di 30 ore, con l ulteriore garanzia che i contenuti complessivi del corso 90+30 ore siano tali da assorbire tutti i contenuti di competenze che sono elencate nella edizione attuale della UNI 10459 rev. 0 del 2015-05-05 Pagina di 10
Tabella indicativa delle attività e del programma delle prove Orario Attività 9.00 Identificazione candidati 9.30 Presentazione Esame, Programma delle Prove, Criteri di valutazione, Modulistica d esame, procedura di segnalazione ricorsi e reclami. 10.00 Consegna ed Esecuzione della prova scritta su un caso di studio 11.00 Consegna ed Esecuzione della prova scritta a risposte chiese 12.00 Correzione delle prove scritte preparazione calendario prove orali 13.00 Pausa ristoro 13.30 Avvio prove orali (ipotesi 30 min. a candidato) 18.30 Redazione Verbale finale 6.2 Esecuzione delle Prove 6.2.1 Prova scritta su casi di studio Al candidato viene proposta una situazione reale attinente alla specifica attività professionale, egli dovrà fornire una risposta appropriata. La valutazione è fatta a fronte del modello delle risposte esatte. Il candidato ha a disposizione 60 minuti di tempo per svolgere la prova. La sufficienza viene raggiunta, totalizzando il 60% di risposte corrette 6.2.2 Prova Scritta a Risposte Multiple Le domande della prova scritta sono a risposta multipla con 3 alternative, di cui una sola esatta. La valutazione è fatta a fronte del modello delle risposte esatte. Al candidato vengono sottoposte 30 domande e deve evidenziare la risposta per lui corretta, ciascuna risposta corretta vale un punto quelle sbagliate o non date valgono 0 punti, non si assegnano punteggi negativi. Il candidato ha a disposizione 60 minuti di tempo per svolgere la prova. La sufficienza viene raggiunta, totalizzando il 60% di risposte corrette (almeno 18 risposte esatte su 30) 6.2.3 Prova Orale Per essere ammesso alla prova orale il candidato deve aver superato entrambe le prove scritte. La commissione sottopone al candidato un numero indicativo di 3 domande sui temi professionali in modo da verifica la conoscenza professionale del candidato. Le domande verteranno sulle prove scritte sostenute e sull esperienza del candidato. Indicativamente la prova orale ha una durata di circa 30 minuti. Per ogni domanda il punteggio viene espresso in centesimi e varia da 0 a 100, per il calcolo del punteggio finale della prova orale, si effettua la media fra tutte le risposte. Il punteggio della prova orale deve risultare superiore o uguale a 60/100 per essere dichiarata positiva. La commissione è fornita di una griglia di riferimento per la valutazione delle risposte orali. La commissione valuta le risposte del candidato sulla indicazione definita dalla griglia di riferimento. rev. 0 del 2015-05-05 Pagina 8 di 10
Tabella valutazione prova orale Valore Ambito Giudizio Comprensione Il candidato non ha compreso la domanda domanda 0-19 Appropriatezza La risposta è assente o non è pertinente all ambito della risposta domanda. Il candidato mostra assenza di padronanza dell argomento Comprensione Il candidato ha compreso parzialmente la domanda 20-39 40-59 60-9 80-100 domanda Appropriatezza risposta Comprensione domanda Appropriatezza risposta Comprensione domanda Appropriatezza risposta Comprensione domanda Appropriatezza risposta La risposta è generica e non soddisfacente o non completamente pertinente. Il candidato mostra assenza di padronanza dell argomento Il candidato ha compreso la domanda La risposta pur essendo appropriata è incompleta o incerta. Il candidato mostra una certa padronanza dell argomento non ancora sufficiente Il candidato ha compreso pienamente la domanda La risposta è completa ma non dettagliata. Il candidato mostra sufficiente padronanza dell argomento. Il candidato ha compreso la domanda dando prova di una comprensione globale negli aspetti professionali collegati La risposta è completa e dettagliata. Il candidato mostra ottima padronanza dell argomento. 6.3 Valutazione Complessiva delle prove Tutte le prove (scritte e orale), devono raggiungere il punteggio del 60% di risposte esatte affinché l esame possa essere considerato superato. Se il candidato ha superato una sola delle prove scritte, non è ammesso all orale però la prova separata rimane valida per un anno, trascorso il quale dovrà ripetere l esame per intero. Se il candidato ha superato le prove scritte (risposte chiese + caso di studio) ma non quella orale, potrà ripetere la prova orale entro un tempo massimo di un anno, trascorso il quale dovrà ripetere l esame per intero. Al termine della valutazione complessiva del candidato, la commissione lo informa dell esito dell esame, ricordando che se l esito è risultato positivo, la delibera di certificazione finale spetta al comitato di delibera KIWA CERMET. Il candidato che non ha superato la prova d esame, può ripeterla entro cinque (5) mesi, pagando la solo quota relativa all esecuzione dell esame. rev. 0 del 2015-05-05 Pagina 9 di 10
. Sorveglianza e rinnovo.1 Requisiti per il Mantenimento della certificazione La durata della certificazione è stabilità in 5 (cinque) anni dalla data di delibera del certificato, annualmente il professionista certificato deve produrre e trasmettere a KIWA CERMET: Evidenza dell esercizio retribuito della professione; Dimostrare l aggiornamento professionale, nelle seguenti modalità: i. Aver partecipato a due convegni afferenti a temi di security; ii. Oppure di aver superato un corso di aggiornamento sui temi afferenti alla security della durata minima di 8 ore; iii. Oppure di aver svolto, in tema di security, attività di docenza; iv. Oppure aver pubblicato articoli o testi di security. Evidenze della registrazione e del trattamento dei reclami ricevuti; Evidenza del pagamento della quota annuale così come indicato nel tariffario di schema. Tali evidenze potranno essere prodotte con una autodichiarazione ai sensi del DPR 445 del 28/12/2000, in tal caso le evidenze potranno essere verificate da funzionari KIWA CERMET debitamente incaricati al controllo della documentazione professionale. Come evidenze saranno ritenute valide (senza ulteriori controlli da parte di KIWA CERMET) anche le dichiarazioni rilasciate dalle Associazioni Professionali del settore, secondo quanto previsto dalla legge 4 del 14/01/2013..2 Requisiti per il rinnovo triennale della certificazione Alla scadenza del periodo di certificazione (5 anni) il professionista certificato deve dare: Evidenza dell esercizio retribuito della professione; Dimostrare l aggiornamento professionale; presentando attestazioni di aggiornamento, convegni, seminari, docenze/gruppi di lavoro normativo o tecnico per almeno 8 giornate nei 5 anni di validità del certificato. Nel caso in cui il candidato non sia in possesso del requisito di aggiornamento professionale è chiamato a sostenere nuovamente l esame orale come previsto al punto 6.2.3. Evidenze della registrazione e del trattamento dei reclami ricevuti; Evidenza del pagamento della quota annuale così come indicato nel tariffario di schema. Tali evidenze potranno essere prodotte con una autodichiarazione ai sensi degli artt. 46 e 6 del DPR 445 del 28/12/2000, in tal caso le evidenze potranno essere verificate da funzionari KIWA CERMET debitamente incaricati al controllo della documentazione professionale. Come evidenze saranno ritenute valide (senza ulteriori controlli da parte di KIWA CERMET) anche le dichiarazioni rilasciate dalle Associazioni Professionali del settore, secondo quanto previsto dalla legge 4 del 14/01/2013. Se nel periodo di validità della certificazione, mutate condizioni del contesto lavorativo, professionale o normativo impongono una revisione del profilo professionale, la Direzione Certificazione comunicherà le variazioni e le eventuali disposizioni per il mantenimento della certificazione. rev. 0 del 2015-05-05 Pagina 10 di 10