# Security Policies - Gestione Operativa e dei Controlli

# Gestione delle Identità e degli Accessi (IAM)

<span data-path-to-node="3,0">La politica IAM regola l'accesso logico ai sistemi aziendali, agli ambienti di produzione cloud e ai repository di codice</span><span data-path-to-node="3,1"><sup class="superscript"></sup></span><span data-path-to-node="3,2">, garantendo che ogni accesso sia autorizzato, tracciato e limitato.</span>

- **Profilazione:**
    
    
    - <span data-path-to-node="4,0,1,0,0,0">Adozione rigorosa del principio del **minimo privilegio** (*least privilege*), per cui ogni utente, amministratore o sviluppatore dispone esclusivamente dei permessi necessari allo svolgimento delle proprie mansioni</span><span data-path-to-node="4,0,1,0,0,1"><sup class="superscript"></sup></span><span data-path-to-node="4,0,1,0,0,2">.</span>
    - Categorizzazione dei ruoli in profili standard (es. operatore supporto, sviluppatore, amministratore di sistema/cloud).
- **Assegnazione dei Permessi:**
    
    
    - Ogni richiesta di creazione utenza o innalzamento dei privilegi deve essere inoltrata formalmente e approvata dal responsabile tecnico o dal Security Manager.
    - <span data-path-to-node="4,1,1,1,0,0">Obbligo di adozione di meccanismi di **autenticazione forte a due fattori (MFA)** per l'accesso agli ambienti cloud critici (es. AWS), ai database dei clienti e ai pannelli di controllo della piattaforma LMS</span><span data-path-to-node="4,1,1,1,0,1"><sup class="superscript"></sup></span><span data-path-to-node="4,1,1,1,0,2">.</span>
- **Revisione Periodica:**
    
    
    - Esecuzione di verifiche periodiche (almeno semestrali) sulla matrice dei ruoli IAM e sui privilegi attivi per identificare ed eliminare utenze obsolete, inattive o non più necessarie.
- **Revoca dei Permessi:**
    
    
    - Processo di *offboarding* tempestivo: in caso di cessazione del rapporto di lavoro o di cambio di mansione, la disattivazione o la modifica delle credenziali avviene in tempo reale (entro la giornata lavorativa) per impedire accessi non autorizzati.

# Gestione della Sicurezza delle Risorse Umane

<span data-path-to-node="7,0">La sicurezza delle risorse umane copre l'intero ciclo di vita del personale (prima, durante e dopo l'impiego) per mitigare i rischi legati a minacce interne o errori umani</span><span data-path-to-node="7,1"><sup class="superscript"></sup></span><span data-path-to-node="7,2">.</span>

- **Procedure di Selezione e Controlli Preliminari (*Background Checks*):**
    
    
    - Durante la fase di recruiting e prima dell'assunzione, vengono effettuate verifiche adeguate e proporzionate al ruolo (es. controllo delle referenze professionali, verifica dei titoli di studio e delle certificazioni dichiarate), nel pieno rispetto della privacy e delle normative vigenti.
- **Accordi di Riservatezza (NDA):**
    
    
    - <span data-path-to-node="8,1,1,0,0,0">Sottoscrizione obbligatoria di accordi di non divulgazione (NDA) e patti di riservatezza da parte di tutti i dipendenti, collaboratori esterni, consulenti e fornitori</span><span data-path-to-node="8,1,1,0,0,1"><sup class="superscript"></sup></span><span data-path-to-node="8,1,1,0,0,2">.</span>
    - <span data-path-to-node="8,1,1,1,0,0">Tali accordi tutelano la proprietà intellettuale, il codice sorgente di *Forma LMS* e le informazioni confidenziali o i dati personali dei clienti gestiti in modalità SaaS</span><span data-path-to-node="8,1,1,1,0,1"><sup class="superscript"></sup></span><span data-path-to-node="8,1,1,1,0,2">.</span>
- **Piano di Formazione e Consapevolezza sulla Sicurezza (*Security Awareness*):**
    
    
    - **Onboarding:** Formazione obbligatoria iniziale per tutti i neoassunti sulle politiche di sicurezza aziendali, sull'uso corretto dei dispositivi e sulla gestione delle password.
    - <span data-path-to-node="8,2,1,1,0,0">**Aggiornamenti periodici:** Sessioni formative ricorrenti (es. focus su tecniche di phishing, social engineering e protezione dei dati) per mantenere alta l'attenzione del personale</span><span data-path-to-node="8,2,1,1,0,1"><sup class="superscript"></sup></span><span data-path-to-node="8,2,1,1,0,2">.</span>
    - **Test e misurazione:** Campagne periodiche di verifica (es. simulazioni di phishing) per valutare l'efficacia della consapevolezza interna e identificare aree che richiedono ulteriore supporto formativo.

# Asset Inventory (TBD)