1. Introduzione
NeuronUP dipende dai sistemi ICT (Tecnologie dell’Informazione e della Comunicazione) per raggiungere i propri obiettivi. Tali sistemi devono essere amministrati con diligenza, adottando misure adeguate per proteggerli da danni accidentali o deliberati che possano compromettere la disponibilità, l’integrità o la riservatezza delle informazioni trattate o dei servizi erogati.
Il personale di NeuronUP deve assicurarsi che la sicurezza sia una parte integrante di ogni fase del ciclo di vita del sistema, dalla sua concezione fino al suo ritiro dal servizio, includendo le decisioni di sviluppo o acquisizione e le attività di esercizio.
I reparti di NeuronUP, in base allo svolgimento delle funzioni assegnate, devono essere preparati a prevenire, individuare, reagire e riprendersi dagli incidenti, in conformità alla normativa vigente.
Per garantire il rispetto di questa politica, il Comitato di Sicurezza sviluppa e valuta regolarmente i sistemi e si assicura che tutto il personale di NeuronUP conosca e svolga le proprie funzioni in conformità con la sicurezza delle informazioni.
2. Ambito di applicazione
La presente politica si applica a tutte le persone, i processi, i sistemi e gli asset coinvolti nel trattamento delle informazioni all’interno di NeuronUP.
Ciò include personale interno, collaboratori esterni, fornitori e terze parti che abbiano accesso alle informazioni o ai sistemi e tutti gli asset informativi.
Il rispetto di questa politica è obbligatorio e costituisce la base su cui si stabiliscono le norme, le procedure e i controlli del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) dell’organizzazione.
3. Obiettivo di questa politica
Questa politica ha l’obiettivo di definire il quadro di azione per garantire la sicurezza delle informazioni e la continuità nell’erogazione dei servizi.
Questa politica si sviluppa attraverso la documentazione e le normative di sicurezza a disposizione di tutti i membri dell’organizzazione che debbano conoscerla, in particolare di coloro che utilizzano, gestiscono o amministrano i sistemi di informazione e comunicazione, tramite procedure, processi, istruzioni tecniche, ecc.
La normativa di sicurezza è disponibile per tutti i dipendenti dell’organizzazione nel relativo gestore documentale.
4. Quadro normativo
NeuronUP si impegna a rispettare tutte le leggi, i regolamenti e le normative applicabili in materia di Sicurezza delle Informazioni.
5. Organizzazione della sicurezza
La Direzione aziendale si assume la responsabilità di promuovere e sostenere l’adozione di misure tecniche, organizzative e di controllo che garantiscano i livelli di qualità e sicurezza necessari per le operazioni dell’azienda, impegnandosi al miglioramento continuo del Sistema di Gestione della Sicurezza delle Informazioni.
La responsabilità di tale compito viene delegata al Comitato di Sicurezza, istituito da NeuronUP come organo collegiale trasversale composto da:
- Il Responsabile della Sicurezza delle Informazioni, che a sua volta ricopre il ruolo di Presidente del Comitato di Sicurezza.
- L’Amministratore di Sistemi, che a sua volta assume il ruolo di Segretario del Comitato di Sicurezza.
- Il Direttore Tecnologico.
Le attribuzioni specifiche di questi ruoli sono incluse nelle schede di mansione dei rispettivi responsabili. La procedura per la loro designazione e/o rinnovo è approvata dalla Direzione.
Le nomine saranno riesaminate ogni 2 anni o quando una posizione risulti vacante, su proposta dello stesso Comitato di Sicurezza.
5.1. Funzioni del Comitato di Sicurezza
La funzione principale del Comitato di Sicurezza è definire la Politica di Sicurezza delle Informazioni e gli obiettivi dell’SGSI.
Il Comitato di Sicurezza stabilirà i livelli di rischio considerati accettabili, determinando le azioni opportune per ridurre quei rischi che superino tali soglie.
Sarà compito del Comitato di Sicurezza la revisione annuale di questa politica e la proposta di revisione o mantenimento della stessa. Inoltre, questa politica sarà integrata mediante normative e raccomandazioni di sicurezza (altre politiche, protocolli, procedure, istruzioni tecniche, ecc.).
In particolare, i punti di sicurezza da riesaminare saranno:
- Lo stato delle azioni da sviluppare dall’ultimo controllo.
- Cambiamenti rilevanti per l’SGSI.
- Gestione del rischio, vulnerabilità e minacce.
- Tecnologie, prodotti e servizi per il miglioramento continuo.
6. Gestione dei rischi
Per l’armonizzazione delle analisi dei rischi, il Comitato di Sicurezza stabilirà una valutazione di riferimento per i diversi tipi di informazioni gestite e i diversi servizi erogati.
Il Comitato di Sicurezza esaminerà la disponibilità di risorse per far fronte alle esigenze di sicurezza dei diversi sistemi.
Tutti i sistemi soggetti a questa politica dovranno effettuare un’analisi dei rischi, valutando le minacce e i rischi a cui sono esposti. Tale analisi si ripeterà:
- Regolarmente, almeno una volta all’anno;
- quando si verifichi un grave incidente di sicurezza;
- quando vengano segnalate gravi vulnerabilità.
Per garantire la disponibilità dei servizi critici in caso di possibili incidenti, l’azienda dispone di un Piano di ripristino in caso di disastri che coordina tutte le attività di recupero dei processi aziendali che possano risultare coinvolti.
7. Obblighi del personale
Tutti i membri di NeuronUP hanno l’obbligo di conoscere e rispettare la Politica di Sicurezza delle Informazioni e la normativa di sicurezza, essendo responsabilità del Comitato di Sicurezza mettere a disposizione i mezzi necessari affinché le informazioni raggiungano i soggetti interessati.
Il mancato rispetto di questa Politica di Sicurezza e delle norme che la sviluppano può comportare sanzioni disciplinari in conformità con quanto previsto dallo Statuto dei Lavoratori e dal contratto collettivo applicabile. Le direttive specifiche per i lavoratori sono sviluppate nella Politica di sicurezza per i lavoratori.
7.1. Sensibilizzazione e formazione
In conformità con la Politica di formazione e sensibilizzazione in materia di Sicurezza delle Informazioni, tutti i membri di NeuronUP riceveranno formazione in materia di sicurezza delle informazioni almeno una volta all’anno. Inoltre, verrà istituito un programma di sensibilizzazione continua per garantire che tutti gli interessati comprendano e rispettino la Politica di Sicurezza delle Informazioni.
Le persone con responsabilità nell’uso, nell’esercizio o nell’amministrazione dei sistemi riceveranno formazione per la gestione sicura dei sistemi nella misura necessaria per svolgere il proprio lavoro. La formazione sarà obbligatoria prima di assumere una responsabilità, sia che si tratti della prima assegnazione sia che si tratti di un cambiamento di mansione o di responsabilità nella stessa.
7.2. Linee guida di base dell’SGSI
Le linee guida di base per il trattamento sicuro delle informazioni e la strutturazione della documentazione di sicurezza del sistema, la sua gestione e l’accesso, sono sviluppate nei manuali, nelle politiche, nelle normative e nelle procedure dell’SGSI.
Queste linee guida sono le seguenti:
- Le informazioni devono essere classificate nelle seguenti categorie: Pubbliche, Uso interno, Riservate o Segrete.
- I supporti fisici che archiviano informazioni non pubbliche devono essere conservati in un luogo sicuro.
- L’accesso ai sistemi informativi sarà consentito in base al principio della necessità di conoscere (need-to-know), garantendo che ogni persona acceda esclusivamente alle informazioni necessarie per lo svolgimento delle proprie funzioni.
- L’accesso fisico alle sedi dell’azienda è limitato esclusivamente al personale autorizzato.
- Tutti i dipendenti devono registrare entrate e uscite tramite il sistema di controllo orario e timbratura.
- L’accesso di persone esterne all’azienda deve essere registrato nei casi stabiliti da NeuronUP.
- Si seguirà la Politica di gestione delle password indicata da NeuronUP.
- I computer sono configurati in modo che, dopo un periodo di inattività, si blocchino automaticamente con uno screensaver protetto da password. Tuttavia, spetta all’utente bloccarli manualmente ogni volta che si abbandona la postazione.
- Ogni volta che un dipendente cessa il rapporto con l’azienda, i suoi diritti di accesso verranno disattivati.
- Gli utenti disporranno di posta elettronica aziendale per lo svolgimento del proprio lavoro.
- Nei contratti con terze parti saranno incluse le opportune clausole di sicurezza.
- Gli utenti non devono mai disattivare i programmi antivirus né qualsiasi altro strumento o controllo installato con l’obiettivo di migliorare la sicurezza.
- Gli utenti non devono aspettarsi privacy quando accedono ai sistemi informativi dell’azienda, poiché questa (nell’ambito del quadro legale stabilito e al fine di gestire i sistemi e far rispettare la sicurezza) può esaminare qualsiasi informazione archiviata nei propri sistemi.
- Qualsiasi richiesta in materia di sicurezza può essere inviata a [email protected].
- In caso venga rilevata una situazione che influisca sulla sicurezza delle informazioni di NeuronUP, qualsiasi utente (dipendente o esterno) deve comunicarlo al responsabile del reparto e/o al responsabile della sicurezza.
8. Dati di carattere personale
NeuronUP raccoglierà e tratterà dati di carattere personale solo quando necessario e in conformità con la normativa sulla protezione dei dati; a tal fine dispone di una Politica di protezione dei dati personali, che rispetta i livelli di sicurezza richiesti dalla normativa vigente.
Verranno adottate le misure tecniche e organizzative necessarie per garantire la protezione dei dati di carattere personale.
9. Terze parti
Quando NeuronUP eroghi servizi ad altre organizzazioni o gestisca informazioni di terze parti, queste saranno rese partecipi della presente Politica di Sicurezza delle Informazioni e delle norme e istruzioni derivate. Saranno stabiliti canali per la segnalazione e il coordinamento dei rispettivi Comitati di Sicurezza e saranno definiti procedure operative per la reazione agli incidenti di sicurezza.
Quando NeuronUP utilizzi servizi di terzi o ceda informazioni a terzi, questi saranno resi partecipi della presente Politica e della normativa di sicurezza pertinente a tali servizi o informazioni. La terza parte sarà soggetta agli obblighi stabiliti dalla normativa e potrà sviluppare proprie procedure operative per soddisfarli. Saranno definiti specifiche procedure di segnalazione e risoluzione delle incidenti. Si garantirà che il personale di terzi sia adeguatamente sensibilizzato in materia di sicurezza, almeno allo stesso livello previsto dalla presente Politica.
Qualora un qualche aspetto della Politica non possa essere soddisfatto da una terza parte come richiesto nei paragrafi precedenti, sarà richiesto un rapporto del Responsabile della Sicurezza che specifichi i rischi in cui si incorre e le modalità di trattamento. Sarà richiesta l’approvazione di tale rapporto da parte dei responsabili delle informazioni e dei servizi interessati prima di procedere.
Data dell’ultima revisione: 22 novembre 2025
