La direzione di Labitech Srl (d’ora in avanti definita Azienda) ha definito la presente Politica Aziendale e si impegna a:

• mantenerla attiva garantendone periodicamente la revisione e l’aggiornamento;
• garantire le risorse necessarie per l’efficace;
• protezione delle informazioni;
• definire gli obiettivi in materia di sicurezza delle informazioni;
• divulgarla a tutti i livelli della propria organizzazione.

L’applicazione del sistema di gestione richiede la piena partecipazione, l’impegno e l’interazione di tutte le risorse umane e tecnologiche.
Tutti soggetti che operano all’interno della Azienda per il conseguimento degli obiettivi Aziendali, sono tenuti, senza eccezione, all’osservanza della presente politica nel trattamento di dati e nella gestione delle attività aziendali al fine di garantire la sicurezza e la qualità delle lavorazioni e la soddisfazione dei clienti e del mercato in generale, e il rispetto della normativa vigente.

Lo scopo è quello di:

• garantire la tutela e la protezione da tutte le minacce, interne o esterne, intenzionali o accidentali, delle informazioni nell’ambito delle proprie attività, in accordo con quanto indicato nello standard ISO/IEC 27001 e nelle linee guida ISO/IEC 27002;
• garantire la tutela e la protezione dei dati in accordo con le indicazioni fornite dal Regolamento europeo in materia di protezione dei dati personali (GDPR 679/16);
• garantire il miglioramento continuo dei processi e del Sistema di Gestione Aziendale attraverso una valutazione periodica dei rischi aziendali, che permetta il controllo e l’adeguamento ai cambiamenti del management, ambientali, di business e legali a cui l’azienda può andare incontro in accordo con quanto indicato nello standard ISO/IEC 9001;
• garantire la soddisfazione delle esigenze del mercato e delle parti interessate
  garantire il rispetto di tutte le prescrizioni legislative applicabili
  garantire la formazione del personale attraverso la partecipazione a programmi di formazione idonei a sviluppare e migliorare le competenze;
• garantire il mantenimento ed il miglioramento dei i rapporti con i partner commerciali compresi i fornitori di prodotti e servizi, per garantire il massimo livello di qualità alla propria clientela;

È quindi necessario assicurare:

• La confidenzialità dei dati, ovvero i dati devono essere accessibili solo a chi è all’uopo autorizzato.
• L’integrità dei dati, ovvero garantire la precisione e la completezza dei dati e dei metodi per la loro elaborazione.
• La disponibilità dei dati, ovvero che solo gli utenti autorizzati possano effettivamente accedere ai dati nel momento in cui lo richiedono.
• La comunicazione e la diffusione dei dati verso l’esterno solo per il corretto svolgimento delle attività Aziendali nel rispetto delle regole e delle norme cogenti.
• La conformità con i requisiti legali e con i principi legati alla sicurezza dei dati nei contratti con le terze parti.
• Il rispetto delle disposizioni di legge, di statuti, regolamenti e obblighi contrattuali, nonché di ogni requisito inerente la sicurezza dei dati.
• Gli aspetti di sicurezza devono essere inclusi in tutte le fasi di progettazione, sviluppo, esercizio, manutenzione, assistenza e dismissione dei sistemi.
• Ogni accesso ai sistemi deve essere sottoposto a una procedura di identificazione e autenticazione, prevenire l’accesso non autorizzato alle sedi e ai singoli locali Aziendali dove sono gestiti i dati e deve essere garantita la sicurezza delle apparecchiature.
• Le autorizzazioni di accesso ai dati devono essere differenziate in base al ruolo ed agli incarichi ricoperti dai singoli individui, in modo che ogni utente possa accedere ai soli dati di cui necessita, e devono essere periodicamente sottoposte a revisione.
• Che sia gestito in modo tempestivo ogni incidente, ovvero tutti devono notificare qualsiasi problema relativo alla sicurezza.
• Che siano rispettate le procedure aziendali.
• Che siano effettuati i test necessari per garantire il corretto funzionamento, l’adeguatezza e la sicurezza delle lavorazioni dei prodotti e dei servizi.

Nella erogazione dei servizi in cloud sono definite una serie di attente politiche di sicurezza secondo quando prevede la ISO/IEC 27017 al fine di garantire che:

• Presa in carico nell’analisi dei rischi anche la possibilità di danni causati direttamente da persone autorizzate.
• Garanzia di separazione delle istanze e dell’infrastruttura di virtualizzazione destinata ai clienti dei servizi cloud.
• Accesso ai dati del cliente da parte del personale interno solo su autorizzazione dello stesso.
• Procedure di controllo degli accessi ai servizi cloud sicuri ed allineati con le tecnologie aggiornate al mercato di riferimento.
• Procedure di comunicazione con il cliente per tutti i change che possano rendersi necessari.
• Garanzia di un ambiente virtualizzato sicuro.
• Protezione dei dati dei clienti in termini di riservatezza, disponibilità ed integrità.
• Applicazione di un ciclo di vita del cliente nella gestione delle sue credenziali.
• Comunicazione di tutti i data breach di cui venga a conoscenza e collaborazione con i clienti nella gestione di eventuali loro data breach.

Nella progettazione, implementazione e gestione dei dati personali nei servizi cloud (ISO/IEC 27018), particolare attenzione è dedicata a:

• Il rispetto della legislazione vigente italiana (luogo dove sono localizzati i datacenter) ed Europea oltre che i requisiti della ISO/IEC 27018:2019 relativamente al trattamento dei dati personali.
• La definizione di responsabilità contrattualizzate nella gestione dei dati personali dei servizi cloud con i clienti in modo da garantire sempre un puntuale e veloce contatto con il cliente per la risoluzione delle sue richieste e criticità.
• La trasparenza con il cliente della catena di fornitura utilizzata nei servizi cloud garantendo che i requisiti di sicurezza e trattamento dei dati personali non siano ridotti o diminuiti rispetto a quanto previsto contrattualmente.

Data: 02/04/2024