Scopo e campo di applicazione
La presente Politica definisce i principi, gli obiettivi e gli impegni adottati da Iceberg S.r.l. per la gestione della sicurezza delle informazioni attraverso il proprio Sistema di Gestione per la Sicurezza delle Informazioni (SGSI), conforme alla norma UNI CEI ISO/IEC 27001:2022.
Il Sistema di Gestione per la Sicurezza delle Informazioni supporta il conseguimento degli obiettivi strategici e operativi dell'Organizzazione, contribuendo alla continuità del business, alla tutela del patrimonio informativo, alla fiducia di clienti e partner e al rispetto dei requisiti applicabili.
La presente Politica si applica a tutto il personale aziendale, ai collaboratori, ai consulenti, ai fornitori, ai partner commerciali e logistici e a tutte le parti interessate che, a qualsiasi titolo, accedono, elaborano, trasmettono o custodiscono informazioni e asset informativi appartenenti all'Organizzazione.
Il campo di applicazione del SGSI comprende i processi e le risorse utilizzati per la gestione delle attività commerciali, logistiche e amministrative connesse alla distribuzione di prodotti alimentari destinati al settore della ristorazione professionale e della somministrazione alimentare.
Introduzione
Iceberg S.r.l. riconosce che la disponibilità, l'integrità e la riservatezza delle informazioni costituiscono elementi fondamentali per garantire la continuità dei servizi, la competitività aziendale, la soddisfazione dei clienti e la conformità ai requisiti legislativi, regolamentari, contrattuali e normativi applicabili.
L'Organizzazione ha adottato un Sistema di Gestione per la Sicurezza delle Informazioni basato sull'analisi del contesto, sulla gestione dei rischi e delle opportunità e sul miglioramento continuo, finalizzato alla protezione delle informazioni aziendali, dei dati dei clienti, delle informazioni commerciali, delle informazioni relative alla catena di fornitura e degli asset tecnologici che supportano i processi operativi e logistici.
La Direzione promuove una cultura orientata alla sicurezza delle informazioni e alla cybersecurity, assicurando che i principi contenuti nella presente Politica siano compresi, condivisi e applicati a tutti i livelli dell'Organizzazione.
Nell'ambito dell'analisi del contesto del SGSI, Iceberg S.r.l. valuta anche la rilevanza dei cambiamenti climatici e dei relativi requisiti delle parti interessate qualora possano influenzare la capacità dell'Organizzazione di garantire la sicurezza delle informazioni, la resilienza dei servizi e il raggiungimento degli obiettivi del Sistema di Gestione.
Obiettivi strategici
Iceberg S.r.l. persegue i seguenti obiettivi strategici in materia di sicurezza delle informazioni:
- sviluppare la consapevolezza del personale attraverso attività di formazione, addestramento e sensibilizzazione sui temi della sicurezza delle informazioni;
- garantire la gestione sicura della catena di fornitura mediante la selezione, la qualifica, il monitoraggio e la valutazione periodica di fornitori e partner sulla base dei rischi associati;
- proteggere il patrimonio informativo e gli asset aziendali garantendo adeguati livelli di riservatezza, integrità e disponibilità delle informazioni;
- mantenere una struttura organizzativa efficace per la gestione della sicurezza delle informazioni, con ruoli, responsabilità e processi chiaramente definiti;
- prevenire, rilevare e gestire tempestivamente le minacce informatiche e gli incidenti di sicurezza, riducendone l'impatto operativo e organizzativo;
- assicurare il rispetto dei requisiti legislativi, regolamentari, contrattuali e di ogni altro requisito applicabile al Sistema di Gestione per la Sicurezza delle Informazioni;
- identificare e cogliere le opportunità di miglioramento che contribuiscano ad aumentare il livello di sicurezza, resilienza ed efficacia del SGSI;
- migliorare continuamente l'efficacia del Sistema di Gestione attraverso la valutazione periodica dei rischi, il monitoraggio delle prestazioni, gli audit interni e il riesame della Direzione.
Gli obiettivi specifici del SGSI sono definiti, monitorati e riesaminati periodicamente dalla Direzione in coerenza con il contesto organizzativo e con gli indirizzi strategici aziendali.
Sicurezza delle informazioni
Iceberg S.r.l. riconosce la sicurezza delle informazioni quale elemento essenziale per garantire affidabilità, continuità operativa e tutela del patrimonio informativo. La protezione delle informazioni viene perseguita garantendo:
- Riservatezza, assicurando che le informazioni siano accessibili esclusivamente ai soggetti autorizzati;
- Integrità, preservando accuratezza, completezza e correttezza delle informazioni e dei processi che le trattano;
- Disponibilità, garantendo agli utenti autorizzati l'accesso alle informazioni e ai servizi quando necessario.
Per il conseguimento di tali principi l'Organizzazione si impegna a:
- mantenere un inventario aggiornato degli asset informativi rilevanti;
- classificare le informazioni in funzione della loro criticità e sensibilità;
- garantire adeguati processi di identificazione, autenticazione e autorizzazione degli utenti;
- assicurare che l'accesso alle informazioni sia autorizzato, tracciabile e limitato alle effettive necessità operative secondo il principio del minimo privilegio;
- definire e mantenere procedure per l'utilizzo sicuro degli asset aziendali;
- adottare misure di sicurezza fisica, logica e organizzativa idonee a proteggere persone, informazioni, infrastrutture e beni aziendali da accessi non autorizzati, perdita, alterazione, divulgazione indebita o utilizzi impropri;
- promuovere e mantenere la consapevolezza della sicurezza delle informazioni presso il personale e le parti interessate pertinenti;
- assicurare la tempestiva rilevazione, segnalazione, gestione e analisi degli eventi e degli incidenti di sicurezza, limitandone gli impatti e prevenendone il ripetersi;
- predisporre, mantenere e verificare periodicamente i piani necessari a garantire la resilienza organizzativa, la continuità operativa e il ripristino delle attività critiche;
- garantire l'adozione di adeguate misure di sicurezza delle informazioni nei processi di progettazione, sviluppo, acquisizione, gestione e dismissione dei sistemi informativi, in coerenza con i requisiti organizzativi e normativi applicabili;
- effettuare verifiche tecniche, valutazioni delle vulnerabilità e test periodici finalizzati al miglioramento continuo del livello di sicurezza.
Gestione del rischio
Iceberg S.r.l. identifica, analizza e valuta periodicamente i rischi e le opportunità che possono influenzare il raggiungimento degli obiettivi del Sistema di Gestione per la Sicurezza delle Informazioni.
La valutazione dei rischi costituisce il fondamento del SGSI e consente di determinare le misure organizzative, fisiche e tecnologiche necessarie per il trattamento dei rischi individuati, in funzione della probabilità di accadimento e dell'impatto potenziale sugli obiettivi aziendali.
La Direzione definisce i criteri di valutazione e di accettazione del rischio, approva le decisioni relative al trattamento dei rischi residui e promuove il miglioramento continuo dell'efficacia delle misure di sicurezza adottate.
Impegno della Direzione
La Direzione assume la piena responsabilità dell'efficacia del Sistema di Gestione per la Sicurezza delle Informazioni e ne garantisce l'allineamento con gli obiettivi strategici dell'Organizzazione.
A tal fine si impegna a:
- definire, approvare e monitorare gli obiettivi di sicurezza delle informazioni;
- garantire che la Politica e gli obiettivi del SGSI siano coerenti con gli indirizzi strategici dell'Organizzazione;
- attribuire ruoli, responsabilità e autorità necessarie al corretto funzionamento del SGSI;
- mettere a disposizione le risorse necessarie per l'attuazione, il mantenimento e il miglioramento del Sistema;
- assicurare il rispetto dei requisiti applicabili al Sistema di Gestione per la Sicurezza delle Informazioni, inclusi quelli legislativi, regolamentari, contrattuali e quelli derivanti dalla norma UNI CEI ISO/IEC 27001;
- garantire il monitoraggio dell'applicazione delle procedure e dei controlli di sicurezza;
- sostenere il miglioramento continuo delle prestazioni del SGSI;
- assicurare che i cambiamenti organizzativi, tecnologici, normativi, ambientali e operativi siano valutati e gestiti in modo controllato, considerando i relativi impatti sulla sicurezza delle informazioni;
- riesaminare periodicamente il Sistema di Gestione e la presente Politica al fine di verificarne adeguatezza, efficacia e coerenza rispetto al contesto organizzativo, ai requisiti applicabili, ai rischi e alle opportunità individuate.
Riesame e comunicazione della Politica
La presente Politica è soggetta a riesame periodico da parte della Direzione e viene aggiornata ogniqualvolta intervengano modifiche significative al contesto interno o esterno, ai requisiti applicabili, ai risultati della valutazione dei rischi e delle opportunità, ai cambiamenti climatici rilevanti per il SGSI, oppure a seguito di incidenti significativi di sicurezza delle informazioni.
La Politica è documentata, mantenuta aggiornata, comunicata a tutto il personale, resa disponibile alle parti interessate pertinenti e pubblicata attraverso i canali ritenuti appropriati affinché sia compresa, applicata e sostenuta nell'ambito delle rispettive responsabilità.