Documentazione di Sistema SGSI

Governance - Politiche e Quadro di Riferimento

POLITICA DI SICUREZZA DELLE INFORMAZIONI
Obiettivi e Scopo 
La Direzione di Forma Farm S.r.l. (con sede legale in Via Savona 10, Milano) riconosce la sicurezza delle informazioni, la protezione dei dati personali e la continuità dei servizi e-learning erogati tramite Forma Cloud LMS come elementi strategici fondamentali per il successo aziendale e per la tutela della fiducia dei propri clienti, partner e utenti. Il presente documento stabilisce i principi guida, le responsabilità e il quadro di riferimento per la sicurezza delle informazioni all'interno dell'organizzazione, in conformità agli standard internazionali ISO/IEC 27001 e al Regolamento UE 2016/679 (GDPR).
Campo di Applicazione (Scope)
La presente politica si applica a:
Tutti i dipendenti, collaboratori, consulenti e fornitori terzi di Forma Farm S.r.l.
Tutti gli asset informativi aziendali, inclusi i sistemi di cloud hosting, le infrastrutture di rete, i codici sorgente dei plugin e della piattaforma Forma Lms, i dati dei clienti e la documentazione tecnica e amministrativa.
Tutti i processi aziendali legati allo sviluppo software, alla gestione dell'assistenza tecnica (Helpdesk), al monitoraggio dei server e all'erogazione dei servizi SaaS.
Principi Fondamentali della Sicurezza
Forma Farm S.r.l. adotta e persegue i tre pilastri classici della sicurezza delle informazioni:
Confidenzialità: Garantire che l'accesso alle informazioni e ai dati dei clienti sia consentito esclusivamente ai soggetti autorizzati.
Integrità: Salvaguardare l'accuratezza e la completezza delle informazioni, dei dati di training e del software da modifiche non autorizzate o accidentali.
Disponibilità: Assicurare che i sistemi e le piattaforme cloud siano accessibili e utilizzabili dagli utenti autorizzati secondo i livelli di servizio concordati.
Impegni della Direzione
La Direzione si impegna a:
Definire, riesaminare periodicamente e aggiornare gli obiettivi di sicurezza delle informazioni.
Garantire adeguate risorse finanziarie, tecnologiche e umane per la gestione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI).
Promuovere una cultura aziendale orientata alla sicurezza attraverso piani di formazione e sensibilizzazione (Security Awareness) rivolti al personale.
Garantire il rispetto degli obblighi di conformità legale, statutaria e contrattuale.
Aree di Controllo e Sicurezza Operativa 
Per proteggere il proprio ecosistema digitale, Forma Farm adotta misure tecniche e organizzative specifiche, tra cui: Sicurezza dell'Infrastruttura Cloud: Utilizzo di infrastrutture cloud globali certificate (es. ambienti AWS gestiti da personale qualificato), protette da meccanismi di cifratura dei dati in transito (HTTPS) e a riposo. Controllo degli Accessi e IAM: Adozione del principio del minimo privilegio (least privilege), gestione sicura delle credenziali di autenticazione e tracciabilità degli accessi amministrativi alle piattaforme. Gestione delle Vulnerabilità e Patch Management: Monitoraggio costante della sicurezza del software, aggiornamento regolare dei sistemi operativi, dei componenti open source e dei plugin per prevenire vulnerabilità. Backup e Disaster Recovery: Esecuzione di copie di sicurezza periodiche dei dati e test di ripristino per garantire la continuità operativa in caso di incidenti. Gestione degli Incidenti (Incident Management): Adozione di procedure chiare per la rilevazione tempestiva, la segnalazione e la mitigazione di eventuali violazioni di sicurezza o anomalie tecniche.
Violazioni della Policy
Il mancato rispetto delle disposizioni contenute nella presente Information Security Policy e nelle procedure operative ad essa collegate può comportare conseguenze disciplinari, oltre a eventuali responsabilità civili e penali previste dalle normative vigenti.
Riesame e Aggiornamento
La presente Information Security Policy è soggetta a revisione almeno annuale da parte della Direzione, o in occasione di cambiamenti significativi dell'infrastruttura tecnologica, del business o del contesto normativo di riferimento, al fine di garantirne la costante idoneità ed efficacia nel tempo.
Data di approvazione: Ottobre 2026
Forma Farm S.r.l. – La Direzione

POLITICHE SPECIFICHE DI DOMINIO
Le Politiche Specifiche di Dominio a supporto del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) per Forma Farm S.r.l. definiscono le regole operative e i comportamenti richiesti in aree specifiche dell'organizzazione. 
Controllo degli Accessi e IAM (Identity and Access Management)
Scopo: Regolare le modalità di profilazione, autorizzazione e gestione delle credenziali per l'accesso ai sistemi aziendali e agli ambienti di produzione cloud. 
Principi chiave:
Adozione rigorosa del principio del minimo privilegio (least privilege) per tutti gli operatori e amministratori.
Obbligo di utilizzo di meccanismi di autenticazione forte (es. autenticazione a due fattori - MFA) per l'accesso agli ambienti cloud critici, ai server e ai pannelli di controllo della piattaforma LMS.
Revisione periodica dei permessi e immediata revoca delle credenziali in caso di cessazione del rapporto di lavoro o cambio di mansione.
Utilizzo dei Dispositivi Mobili e dello Smart Working (Mobile Device & Teleworking Policy)
Scopo: Regolamentare la sicurezza e la protezione delle informazioni aziendali al di fuori del perimetro fisico tradizionale della sede di Via Savona a Milano. 
Principi chiave:
Obbligo di protezione mediante password robuste, PIN o biometria e cifratura del disco per tutti i dispositivi (notebook, smartphone, tablet) utilizzati per accedere ai sistemi di Forma Farm.
Divieto di utilizzo di reti Wi-Fi pubbliche o non protette senza l'uso di una connessione sicura (VPN aziendale).
Obbligo di custodire i dispositivi con cura e di segnalare immediatamente eventuali smarrimenti o furti al team tecnico.
Classificazione e Gestione delle Informazioni
Scopo: Stabilire le regole per trattare, etichettare e proteggere i dati e gli asset aziendali (in particolare i dati dei clienti, i contenuti formativi e i codici sorgente dei plugin e di Forma Lms). 
Principi chiave:
Classificazione delle informazioni in base alla criticità e alla confidenzialità (es. Pubblico, Interno, Confidenziale, Strettamente Confidenziale/Dati Personali GDPR).
Regole per la gestione sicura, la conservazione e la distruzione o cancellazione sicura dei dati al termine del ciclo di vita o dei contratti di servizio (Data Processing Agreement).
Clean Desk e Clean Screen
Scopo: Garantire la protezione fisica delle informazioni sensibili e dei dati dei clienti sia all'interno degli uffici sia durante il lavoro da remoto, prevenendo accessi non autorizzati o la visualizzazione accidentale di dati critici. 
Principi chiave:
Obbligo di bloccare lo schermo (screen lock) ogni volta che si lascia incustodito il terminale di lavoro.
Rimozione e archiviazione sicura di documenti cartacei o supporti di memorizzazione rimovibili dalle scrivanie al termine dell'orario di lavoro o in caso di assenza prolungata.
Sicurezza delle Password e Autenticazione
Scopo: Definire standard robusti di accesso ai sistemi informatici per prevenire violazioni derivanti da credenziali deboli o compromesse. 
Principi chiave:
Requisiti minimi di complessità per le password (lunghezza minima, uso di caratteri misti, numeri e simboli) o adozione di password manager aziendali approvati.
Divieto assoluto di condivisione delle credenziali personali o di scrittura delle password su supporti cartacei non protetti.
Sicurezza dello Sviluppo e delle Operazioni Cloud (Integrazione DevOps / Secure SDLC)
Scopo: Assicurare che la piattaforma Forma Cloud LMS e i relativi plugin siano sviluppati, aggiornati e gestiti in sicurezza.
Principi chiave:
Separazione rigorosa tra gli ambienti di sviluppo, test e produzione.
Gestione costante delle vulnerabilità e applicazione tempestiva degli aggiornamenti di sicurezza (Patch Management) sui componenti open source e sulle infrastrutture cloud.

Ruoli e Responsabilità
Ruoli e responsabilità del Sistema di Gestione della Sicurezza delle Informazioni (SGSI)
1. Scopo
Il presente documento definisce i ruoli funzionali e i relativi ambiti di responsabilità nell'ambito del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm Srl.
L'obiettivo è assicurare che le responsabilità e le autorità rilevanti per la gestione della sicurezza delle informazioni siano chiaramente identificate, assegnate e comunicate, in coerenza con i requisiti della norma ISO/IEC 27001:2022.
Il modello organizzativo è proporzionato alle dimensioni e alla struttura di Forma Farm, che opera attraverso i propri soci e una rete di collaboratori e professionisti esterni, senza personale dipendente.
2. Principi organizzativi
L'organizzazione del SGSI si basa sui seguenti principi:
Attribuzione chiara delle responsabilità: ogni funzione rilevante per la sicurezza delle informazioni deve avere responsabilità e autorità definite.
Flessibilità organizzativa: uno stesso soggetto può ricoprire più ruoli funzionali, compatibilmente con le competenze necessarie e con l'eventuale presenza di conflitti di interesse.
Collaborazione tra soci e professionisti esterni: le attività possono essere svolte da soci o collaboratori, nel rispetto degli incarichi, degli accordi contrattuali e delle autorizzazioni assegnate.
Separazione delle responsabilità: ove necessario e proporzionato ai rischi, le funzioni di esecuzione, approvazione e verifica sono distinte. Quando la separazione non è concretamente possibile, sono previsti adeguati controlli compensativi.
Indipendenza delle verifiche: le attività di audit interno sono organizzate in modo da garantire obiettività e imparzialità.
I ruoli descritti nel presente documento sono funzioni organizzative e non necessariamente posizioni lavorative o incarichi professionali autonomi.
3. Ruoli e responsabilità funzionali
La seguente tabella identifica i ruoli funzionali previsti nell'organizzazione del SGSI e ne descrive il rispettivo ambito di responsabilità.
Codice
Ruolo
Ambito di responsabilità
DIR
Direzione / Amministratore
Indirizzo e supervisione del SGSI; approvazione delle politiche e degli obiettivi di sicurezza; assegnazione delle risorse; approvazione delle decisioni di competenza in materia di gestione dei rischi; riesame delle prestazioni del SGSI.
RSI
Responsabile del SGSI
Coordinamento e mantenimento del SGSI; supporto all'analisi e al trattamento dei rischi; gestione della documentazione; monitoraggio degli obiettivi e delle azioni di miglioramento; coordinamento delle attività di verifica e reporting alla Direzione.
TEC
Responsabile tecnico e infrastrutture
Gestione della sicurezza delle infrastrutture e degli ambienti tecnologici; configurazioni e aggiornamenti; gestione tecnica degli accessi; backup e ripristino; monitoraggio; gestione delle vulnerabilità e degli interventi tecnici di sicurezza.
SWD
Responsabile sviluppo software
Sicurezza del processo di sviluppo; gestione del codice sorgente e dei repository; controllo delle modifiche; gestione delle dipendenze software; verifiche e test; sicurezza dei rilasci e manutenzione applicativa.
PRI
Referente privacy e protezione dei dati
Coordinamento degli aspetti relativi alla protezione dei dati personali; supporto nella gestione degli adempimenti privacy, delle richieste degli interessati e delle violazioni di dati personali, in coordinamento con la Direzione e con le funzioni coinvolte.
COM
Responsabile commerciale e marketing
Gestione sicura delle informazioni commerciali; protezione dei dati di clienti e prospect; utilizzo sicuro degli strumenti CRM e marketing; riservatezza delle offerte e dei contratti; condivisione autorizzata delle informazioni con clienti e soggetti esterni.
HD
Responsabile helpdesk e assistenza clienti
Gestione e classificazione delle richieste di assistenza; supporto agli utenti; gestione dei ticket; accesso alle informazioni e ai sistemi dei clienti secondo le autorizzazioni ricevute; documentazione degli interventi e segnalazione di anomalie e incidenti.
VER
Verificatore / auditor interno
Pianificazione ed esecuzione delle verifiche interne sul SGSI; valutazione della conformità e dell'efficacia dei controlli; documentazione dei risultati degli audit e verifica delle azioni correttive, assicurando obiettività e imparzialità.
I ruoli possono essere ricoperti da più soggetti contemporaneamente. In particolare, le funzioni operative possono essere svolte da collaboratori esterni, mentre le responsabilità di coordinamento, supervisione e approvazione possono rimanere in capo ai soci o ad altri soggetti formalmente incaricati.
3.1 Collaboratori e fornitori esterni
Le attività affidate a collaboratori e fornitori esterni sono svolte nell'ambito degli incarichi e degli accordi contrattuali definiti con Forma Farm.
I collaboratori che partecipano alle attività del SGSI o che accedono a informazioni, sistemi e infrastrutture aziendali o dei clienti sono tenuti a:
rispettare le politiche e le procedure di sicurezza applicabili;
utilizzare esclusivamente gli accessi e le autorizzazioni assegnati;
proteggere le informazioni e i dati trattati nello svolgimento delle attività;
rispettare gli obblighi contrattuali di riservatezza e gli eventuali obblighi in materia di protezione dei dati personali;
segnalare tempestivamente incidenti, anomalie o sospette violazioni della sicurezza.
La qualifica di socio o collaboratore non determina automaticamente l'attribuzione di specifiche responsabilità o autorizzazioni: queste sono definite in funzione dei ruoli effettivamente ricoperti e degli incarichi assegnati.
4. Assegnazione nominativa delle responsabilità
L'assegnazione dei ruoli funzionali ai singoli soggetti è documentata mediante una specifica matrice nominativa delle responsabilità RACI, riportata nel documento «Matrice RACI – Assegnazione delle responsabilità SGSI».
La matrice associa le persone ai ruoli funzionali definiti nel presente documento, specificando per ciascun ruolo il livello di responsabilità attribuito:
A – Accountable: responsabile ultimo del risultato e delle decisioni di propria competenza;
R – Responsible: responsabile dell'esecuzione delle attività;
C – Consulted: soggetto da consultare per competenze o contributi pertinenti;
I – Informed: soggetto da informare sulle attività o decisioni rilevanti;
–: nessuna responsabilità assegnata per il ruolo.
La matrice consente di rappresentare anche situazioni in cui uno stesso ruolo è ricoperto da più persone con livelli di responsabilità differenti, ad esempio quando un collaboratore svolge le attività operative e un socio mantiene la responsabilità ultima della funzione.
Per ciascun ruolo e per le responsabilità pertinenti deve essere identificato il soggetto dotato dell'autorità necessaria, evitando ambiguità nell'attribuzione delle decisioni.
5. Separazione dei compiti e controlli compensativi
Considerate le dimensioni dell'organizzazione e la possibilità che uno stesso soggetto ricopra più ruoli, Forma Farm valuta la separazione dei compiti in funzione della natura delle attività e dei rischi associati.
Particolare attenzione è riservata a:
assegnazione e gestione delle autorizzazioni di accesso;
attività tecniche con privilegi amministrativi;
modifiche alle infrastrutture e agli ambienti di produzione;
gestione degli incidenti di sicurezza;
approvazione e verifica delle attività rilevanti;
esecuzione degli audit interni.
Quando non è possibile realizzare una separazione diretta tra chi esegue e chi approva o verifica un'attività, possono essere adottati controlli compensativi, quali registrazione delle operazioni, revisione successiva, approvazione da parte della Direzione o verifica indipendente.
Le modalità di applicazione dei controlli sono definite nelle procedure operative pertinenti e documentate attraverso le relative evidenze.
6. Aggiornamento e riesame
Il presente documento e la relativa matrice RACI sono mantenuti aggiornati dal Responsabile del SGSI e sottoposti all'approvazione della Direzione.
Sono riesaminati in occasione di:
variazioni nella composizione dei soci o dei collaboratori;
assegnazione o cessazione di incarichi e responsabilità;
modifiche significative all'organizzazione o ai servizi erogati;
introduzione di nuove attività o sistemi che comportino responsabilità rilevanti per la sicurezza;
riesame periodico del SGSI o rilevazione di criticità nell'attribuzione delle responsabilità.
Le modifiche alle assegnazioni nominative sono riportate nella matrice RACI, mentre il presente documento viene aggiornato quando cambiano i ruoli funzionali o i rispettivi ambiti di responsabilità.
7. Riferimenti
ISO/IEC 27001:2022 – Clausola 5.3: Organizational roles, responsibilities and authorities.
ISO/IEC 27001:2022 – Clausola 5.1: Leadership and commitment.
ISO/IEC 27001:2022 – Clausola 7.2: Competence.
ISO/IEC 27001:2022 – Clausola 7.3: Awareness.
ISO/IEC 27001:2022 – Clausola 9.2: Internal audit.
Matrice RACI – Assegnazione delle responsabilità SGSI.
Politica per la sicurezza delle informazioni.
Procedura di gestione degli accessi.
Procedura di gestione degli incidenti di sicurezza.

Assegnazione Ruoli e Responsabilità SGSI
Di seguito la versione aggiornata di GOV-03, con Giuseppe Nucifora aggiunto e Alessandro Vivona indicato come responsabile ultimo dello sviluppo software.
GOV-03 – Matrice RACI: assegnazione delle responsabilità SGSI
1. Scopo
La presente matrice identifica l'assegnazione delle responsabilità relative ai ruoli funzionali del Sistema di Gestione per la Sicurezza delle Informazioni (SGSI) di Forma Farm Srl.
La matrice integra il documento GOV-02 – Ruoli e responsabilità del SGSI, che descrive gli ambiti e le responsabilità associati a ciascun ruolo.
L'assegnazione è effettuata a livello di ruolo funzionale e non di singola attività. Le responsabilità operative di dettaglio possono essere ulteriormente specificate nelle procedure del SGSI.
2. Legenda
Sigla
Significato
Descrizione
A
Accountable
Responsabile ultimo del ruolo e dei relativi risultati; assicura che le responsabilità siano presidiate e assume le decisioni di competenza.
R
Responsible
Svolge operativamente le attività associate al ruolo.
C
Consulted
È consultato prima delle decisioni o delle attività rilevanti.
I
Informed
È informato sulle decisioni o sulle attività rilevanti.
–
Non assegnato
Non ha responsabilità attribuite per il ruolo.
Una stessa persona può ricoprire più ruoli. Per ciascun ruolo deve essere chiaramente individuata la responsabilità ultima (A), ove applicabile. La stessa persona può ricoprire sia il ruolo A sia quello R (A/R).
3. Matrice persone / ruoli
Persona
Qualifica
DIR
RSI
TEC
SWD
PRI
COM
HD
Alberto Pastorelli
Amministratore
A
A/R
–
–
A/R
–
A
Alessandro Affronto
Socio
–
–
A/R
–
–
–
–
Massimiliano Ferrari
Socio
–
–
–
–
–
A
–
Manuele Frau
Collaboratore – Marketing e Commerciale
–
–
–
–
–
R
–
Francesca Scalinci
Collaboratore – Marketing e Commerciale
–
–
–
–
–
R
–
Luisiana Garau
Collaboratore – Helpdesk
–
–
–
–
–
–
R
Alessandro Vivona
Collaboratore – Developer
–
–
–
A/R
–
–
–
Marco Urzi
Collaboratore – Developer
–
–
–
R
–
–
–
Giuseppe Nucifora
Collaboratore – Developer
–
–
–
R
–
–
–
4. Ruoli e responsabilità da completare
Il ruolo SWD – Responsabile sviluppo software è assegnato ad Alessandro Vivona come responsabile ultimo (A) e operativo (R).
Marco Urzi e Giuseppe Nucifora sono indicati come responsabili operativi (R) delle attività di sviluppo.
L'eventuale attribuzione di ulteriori responsabilità ai soci e ai collaboratori sarà formalizzata in occasione del successivo aggiornamento della matrice.
5. Audit interni
La funzione di verificatore / auditor interno (VER) non è prevista come ruolo funzionale permanente nella presente matrice.
Gli audit interni richiesti dal punto 9.2 della ISO/IEC 27001:2022 sono pianificati ed eseguiti da persone incaricate in funzione dell'audit specifico, garantendo obiettività e imparzialità.
La persona incaricata non deve verificare autonomamente attività o processi di cui è direttamente responsabile. Quando non sia possibile garantire adeguata indipendenza all'interno dell'organizzazione, Forma Farm può ricorrere a un auditor esterno.
6. Aggiornamento
La matrice è mantenuta aggiornata dal Responsabile del SGSI e sottoposta alla Direzione in occasione delle modifiche organizzative o del riesame del SGSI.
Deve essere aggiornata in caso di:
ingresso o uscita di soci e collaboratori;
modifica delle funzioni o delle responsabilità assegnate;
attribuzione o cessazione di un ruolo funzionale;
modifiche organizzative che incidano sulla gestione della sicurezza delle informazioni.
 

Risk Management - Scopo, Contesto e Valutazione dei Rischi

Analisi del Contesto e Gestione dei Rischi ISO 27001
1. Definizione del Contesto e dei Portatori d'Interesse (Stakeholders)
1.1 Analisi del Contesto Organizzativo
Forma Farm S.r.l. sviluppa, mantiene ed eroga soluzioni software per la formazione, con particolare riferimento alla piattaforma e-learning Forma LMS, al servizio Forma Cloud LMS e ai relativi plugin e servizi integrati.
L'organizzazione opera in un contesto caratterizzato dall'evoluzione continua delle tecnologie, dalla dipendenza da fornitori e servizi digitali esterni e dalla necessità di garantire la sicurezza delle informazioni trattate nello sviluppo software e nell'erogazione dei servizi ai clienti.
Il modello operativo di Forma Farm si basa sulla collaborazione con soci e professionisti esterni, che svolgono le proprie attività interamente da remoto (full remote), senza una sede operativa aziendale presso cui si svolgano ordinariamente le attività lavorative. L'organizzazione si avvale inoltre di fornitori specializzati per l'infrastruttura tecnologica e per altri servizi necessari allo svolgimento delle attività aziendali.
I fattori interni ed esterni rilevanti per il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) sono individuati e riesaminati considerando le caratteristiche dell'organizzazione, i servizi erogati, le esigenze delle parti interessate e le variazioni del contesto operativo.
Fattori esterni
Quadro normativo e regolamentare: applicabilità delle disposizioni in materia di protezione dei dati personali, sicurezza delle informazioni, proprietà intellettuale e diritto d'autore, nonché degli obblighi derivanti dai contratti stipulati con i clienti e dai relativi accordi sul trattamento dei dati.
Minacce informatiche: esposizione a tentativi di accesso non autorizzato, compromissione delle credenziali, sfruttamento di vulnerabilità software, attacchi alla catena di fornitura, indisponibilità dei servizi e altre minacce che possono compromettere la riservatezza, l'integrità o la disponibilità delle informazioni.
Dipendenza da fornitori e servizi esterni: utilizzo di infrastrutture cloud, strumenti software e servizi di terze parti necessari allo sviluppo, alla manutenzione e all'erogazione dei servizi aziendali. La disponibilità e la sicurezza di tali servizi costituiscono elementi rilevanti per il SGSI.
Aspettative del mercato e dei clienti: richieste di protezione dei dati, continuità del servizio, affidabilità delle soluzioni, gestione degli incidenti e disponibilità di informazioni ed evidenze relative alle misure di sicurezza adottate.
Evoluzione tecnologica: cambiamenti nelle tecnologie cloud, nei componenti open source, nelle dipendenze software e nelle modalità di sviluppo ed erogazione dei servizi, che possono introdurre nuovi rischi e richiedere l'aggiornamento delle misure di sicurezza.
Fattori interni
Modello organizzativo: organizzazione basata sulla collaborazione con soci e professionisti esterni, con responsabilità e autorizzazioni da definire in funzione delle attività svolte e degli accessi necessari. Il ricorso a collaboratori esterni rende rilevanti la gestione degli accessi, la riservatezza delle informazioni e la chiarezza delle responsabilità.
Processi aziendali: progettazione, sviluppo, manutenzione e distribuzione del software; gestione degli ambienti cloud; assistenza tecnica; gestione delle relazioni con i clienti e dei fornitori tecnologici.
Infrastruttura e strumenti tecnologici: utilizzo di ambienti cloud, repository del codice sorgente, strumenti di sviluppo e gestione operativa; strumenti cloud di comunicazione, condivisione documentale e collaborazione; dispositivi utilizzati dai collaboratori per accedere ai sistemi aziendali;connessioni remote e strumenti di autenticazione. La configurazione e l'effettivo utilizzo di tali risorse sono considerati nell'individuazione e nella valutazione dei rischi.
Competenze e risorse: disponibilità di competenze specialistiche in ambito software, e-learning e infrastrutture tecnologiche. La distribuzione delle conoscenze operative e la dipendenza da singole persone o fornitori sono considerate nella valutazione dei rischi per la continuità delle attività.
Informazioni e proprietà intellettuale: necessità di proteggere i dati dei clienti e degli utenti, le credenziali, la documentazione tecnica, il codice sorgente e le altre informazioni aziendali da divulgazione, modifica, perdita o accesso non autorizzato.
Modalità di lavoro: svolgimento interamente da remoto delle attività aziendali da parte dei soci e dei collaboratori autorizzati. Tale modello rende rilevanti la sicurezza degli accessi remoti, la protezione dei dispositivi utilizzati, la gestione delle credenziali, la riservatezza delle informazioni negli ambienti di lavoro individuali e l'utilizzo sicuro delle reti e degli strumenti di comunicazione
Il contesto organizzativo viene riesaminato almeno annualmente e in occasione di cambiamenti significativi nei servizi erogati, nell'organizzazione, nelle tecnologie utilizzate, nei fornitori rilevanti o nei requisiti normativi e contrattuali applicabili.
1.2 Parti Interessate e relative Esigenze e Aspettative
Forma Farm individua le parti interessate rilevanti per il SGSI e determina quali esigenze e aspettative costituiscono requisiti applicabili alle attività comprese nel campo di applicazione del sistema.
Le esigenze considerate comprendono gli obblighi normativi e regolamentari, i requisiti contrattuali, gli impegni assunti nei confronti dei clienti e le altre condizioni pertinenti alla sicurezza delle informazioni.
Portatore d'interesse (Stakeholder)
Esigenze e aspettative rilevanti
Requisiti di sicurezza collegati
Clienti (aziende e organizzazioni)
Protezione delle informazioni e dei dati trattati nei servizi erogati; affidabilità e continuità della piattaforma; rispetto degli impegni contrattuali.
Gestione degli accessi; protezione dei dati; disponibilità del servizio; gestione degli incidenti; rispetto dei DPA, degli SLA e degli eventuali requisiti di audit applicabili.
Utenti finali e corsisti
Riservatezza dei dati personali e delle attività formative; corretto funzionamento del servizio; protezione degli account.
Autenticazione; controllo degli accessi; protezione delle informazioni; gestione delle vulnerabilità e delle anomalie di sicurezza.
Soci e Direzione aziendale
Continuità delle attività, tutela della reputazione, protezione della proprietà intellettuale e sostenibilità dei servizi erogati.
Definizione delle responsabilità; approvazione delle politiche e dei criteri di sicurezza; valutazione e trattamento dei rischi; disponibilità delle risorse necessarie al SGSI.
Collaboratori e professionisti esterni
Chiarezza delle responsabilità e delle autorizzazioni; disponibilità degli strumenti necessari; tutela delle informazioni a cui accedono nello svolgimento delle attività.
Impegni di riservatezza; autorizzazioni coerenti con le attività assegnate; gestione degli accessi; rispetto delle regole e delle procedure di sicurezza applicabili.
Fornitori di infrastruttura cloud e servizi tecnologici
Rispetto degli accordi contrattuali e delle condizioni di utilizzo dei servizi; definizione delle responsabilità tra le parti.
Valutazione dei fornitori; verifica delle garanzie e degli impegni contrattuali pertinenti; gestione delle dipendenze esterne e dei rischi della catena di fornitura.
Altri fornitori e partner operativi
Definizione delle condizioni di collaborazione e delle responsabilità; protezione delle informazioni condivise.
Riservatezza; gestione degli accessi, ove applicabile; definizione dei requisiti di sicurezza pertinenti al servizio fornito.
Autorità di controllo e organismi competenti
Rispetto degli obblighi legislativi e regolamentari applicabili; disponibilità delle informazioni richieste nell'ambito delle rispettive competenze.
Conformità normativa; conservazione delle evidenze pertinenti; gestione delle violazioni e degli incidenti secondo gli obblighi applicabili.
Organismi di certificazione e auditor
Disponibilità di evidenze attendibili relative al SGSI e alla conformità ai requisiti applicabili.
Documentazione controllata; registrazioni delle attività svolte; tracciabilità delle valutazioni e delle decisioni; disponibilità delle evidenze necessarie agli audit.
Le parti interessate e i relativi requisiti vengono riesaminati almeno annualmente e quando intervengono cambiamenti significativi nei rapporti contrattuali, nei servizi, nell'organizzazione o nel quadro normativo applicabile.
I requisiti individuati sono considerati nella definizione del campo di applicazione del SGSI, nell'individuazione dei rischi per la sicurezza delle informazioni e nella determinazione delle misure di sicurezza pertinenti. I dettagli relativi agli obblighi contrattuali, normativi e alle specifiche misure adottate sono mantenuti nella documentazione di riferimento del SGSI.
2. Campo di Applicazione (Scope) del SGSI
2.1 Perimetro di certificazione
Il Campo di Applicazione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm S.r.l. comprende:
«La progettazione, lo sviluppo, la manutenzione, l'erogazione in modalità SaaS e l'assistenza tecnica della piattaforma e-learning Forma Cloud LMS, dei relativi plugin, dei servizi cloud integrati e delle infrastrutture tecnologiche correlate, in conformità alle politiche aziendali e ai requisiti applicabili.»
Il perimetro comprende i processi, le risorse, gli strumenti e le informazioni necessari alla progettazione, allo sviluppo, alla manutenzione e all'erogazione dei servizi inclusi, nonché le attività di gestione tecnica e supporto connesse.
Le attività e i servizi di terze parti da cui dipende l'erogazione dei servizi inclusi nel perimetro sono considerati nell'ambito del SGSI per gli aspetti pertinenti alla sicurezza delle informazioni.
2.2 Delimitazione operativa, logica e fisica
Processi aziendali inclusi:
Sviluppo e manutenzione del codice sorgente (Secure SDLC e gestione dei plugin).
Gestione e provisioning dell'infrastruttura Cloud Hosting, inclusi i servizi utilizzati per l'erogazione della piattaforma, i database e i servizi di backup.
Servizi di Helpdesk, supporto tecnico e monitoraggio dei sistemi.
Gestione dei contratti e delle relazioni con i clienti SaaS ed Enterprise.
Sedi fisiche e ambienti operativi:
Le attività aziendali sono svolte interamente da remoto (full remote) dai soci e dai collaboratori autorizzati; non è prevista una sede operativa presso cui si svolgano ordinariamente le attività lavorative.
La sede legale della società, ove distinta dagli ambienti operativi, è indicata nei dati societari e non costituisce di per sé un luogo di svolgimento ordinario delle attività.
Le attività da remoto e i relativi rischi per la sicurezza delle informazioni rientrano nel SGSI, con particolare riferimento alla protezione dei dispositivi utilizzati, alla gestione delle credenziali, agli accessi remoti e alla riservatezza delle informazioni.
Asset e confini logici:
Piattaforme di produzione e test di Forma Cloud LMS e ambienti e strumenti tecnologici utilizzati per la gestione e l'erogazione del servizio, inclusa Forma Factory ove pertinente.
Repository del codice sorgente, sistemi di gestione delle identità e degli accessi (IAM), strumenti di comunicazione, collaborazione e ticketing.
Dispositivi utilizzati dai soci e dai collaboratori autorizzati per accedere ai sistemi e trattare informazioni comprese nel perimetro.
Infrastrutture cloud e servizi tecnologici forniti da terze parti, per le componenti e le responsabilità rilevanti ai fini della sicurezza delle informazioni.
Le attività eventualmente affidate a fornitori esterni non sono considerate estranee al SGSI per il solo fatto di essere esternalizzate: le relative dipendenze e i rischi connessi sono valutati in funzione del loro impatto sui servizi e sulle informazioni comprese nel perimetro.
3. Metodologia di Valutazione del Rischio (Risk Assessment Methodology)
3.1 Criteri di Valutazione
Forma Farm S.r.l. adotta un approccio basato sul rischio (Risk-Based Approach) coerente con le linee guida della norma ISO/IEC 27005. Il rischio ($R$) viene calcolato in funzione della Probabilità ($P$) che una minaccia sfrutti una vulnerabilità di un asset e dell'Impatto ($I$) derivante dalla perdita di Confidenzialità, Integrità o Disponibilità.
$$R = P \times I$$
3.2 Scale di Valutazione
Scala della Probabilità ($P$):
Bassa (1): Evento raro o con basse possibilità di verificarsi, richiedente condizioni o competenze complesse.
Media (2): Evento possibile che si è verificato o potrebbe verificarsi occasionalmente nel settore.
Alta (3): Evento molto probabile o frequente, legato a vulnerabilità note o attacchi diffusi.
Scala dell'Impatto ($I$):
Lieve (1): Disservizio minimo, nessun impatto significativo sui clienti o sulla reputazione, violazione di dati non critici.
Moderato (2): Interruzione temporanea di alcuni servizi, impatto economico limitato, potenziale violazione di dati senza conseguenze gravi.
Grave (3): Interruzione prolungata del servizio SaaS LMS, violazione di dati personali (Data Breach), danno reputazionale rilevante o sanzioni normative.
3.3 Matrice del Rischio e Soglie di Accettabilità
Probabilità / Impatto
Impatto Lieve (1)
Impatto Moderato (2)
Impatto Grave (3)
**Alta (3)**
**3 (Medio)**
**6 (Alto)**
**9 (Critico)**
**Media (2)**
**2 (Basso)**
**4 (Medio)**
**6 (Alto)**
**Bassa (1)**
**1 (Basso)**
**2 (Basso)**
**3 (Medio)**
Valori 1–2 (Rischio Basso): Accettabile. Non richiede azioni immediate, ma è soggetto a monitoraggio periodico.
Valori 3–4 (Rischio Medio): Tollerabile. Richiede la pianificazione di contromisure nel Piano di Trattamento del Rischio (RTP) entro tempi definiti.
Valori 6–9 (Rischio Alto / Critico): Inaccettabile. Richiede un intervento prioritario immediato tramite l'implementazione dei controlli previsti dall'Allegato A (Annex A) della ISO/IEC 27001.

REGISTRO DEI RISCHI (RISK REGISTER)
Documento: Registro dei Rischi (Risk Register)
Organizzazione: Forma Farm S.r.l. (Via Savona 10, Milano)
Standard di Riferimento: ISO/IEC 27001:2022 / ISO/IEC 27005
Ambito (Scope): Sviluppo, gestione, manutenzione ed erogazione SaaS della piattaforma Forma Cloud LMS, plugin e servizi cloud correlati.
1. Metodologia e Formula di Calcolo
Il calcolo del Rischio Lordo ($R$) e del Rischio Residuo viene effettuato moltiplicando la Probabilità ($P$) che una minaccia sfrutti una vulnerabilità dell'asset per l'Impatto ($I$) registrato su Confidenzialità, Integrità o Disponibilità:
$$R = P \times I$$
Scale di Valutazione:
Probabilità ($P$): 
1 (Bassa), 
2 (Media), 
3 (Alta)
Impatto ($I$): 
1 (Lieve), 
2 (Moderato), 
3 (Grave)
Matrice di Rischio e Soglie di Trattamento:
Rischio 1–2 (Basso): Accettabile. Richiede monitoraggio ordinario.
Rischio 3–4 (Medio): Tollerabile. Richiede la pianificazione di contromisure nel Piano di Trattamento del Rischio (RTP).
Rischio 6–9 (Alto / Critico): Inaccettabile. Richiede interventi correttivi prioritari immediati tramite i controlli dell'Annex A (ISO/IEC 27001).
2. Tabella Inventario Minacce, Vulnerabilità e Rischi
ID Rischio
Asset Coinvolto
Minaccia (Threat)
Vulnerabilità Sfruttata
$P$
$I$
Rischio Lordo ($R$)
Controlli ISO 27001 / Trattamento Consigliato
Rischio Residuo
RSK-01
Codice sorgente (Forma Lms / Plugin)
Iniezione di codice malevolo o sfruttamento di vulnerabilità (0-day / CVE) nei componenti Open Source o nei plugin
Presenza di librerie di terze parti non aggiornate o difetti nel ciclo di sviluppo (Secure SDLC)
3
3
9 (Critico)
A.8.8 Gestione delle vulnerabilità tecniche / A.8.25 Sviluppo sicuro: Scansioni periodiche di codice (SAST/DAST), patch management tempestivo e isolamento ambienti.
2 (Basso)
RSK-02
Infrastruttura Cloud Hosting (AWS) & Database
Accesso non autorizzato ai server di produzione o esfiltrazione di dati dei corsisti/clienti
Credenziali di accesso deboli, assenza di autenticazione a due fattori (MFA) o errata configurazione dei permessi IAM
2
3
6 (Alto)
A.5.15 Controllo degli accessi / A.8.5 Autenticazione sicura: Obbligo di MFA per tutti gli amministratori, principio del minimo privilegio e revoca immediata delle utenze cessate.
2 (Basso)
RSK-03
Piattaforma SaaS (Forma Cloud LMS)
Interruzione prolungata del servizio (DDoS, guasto infrastrutturale del Cloud Provider)
Mancanza di ridondanza geografica o procedure di disaster recovery non testate regolarmente
2
3
6 (Alto)
A.5.30 Prontezza dell'ICT per la continuità operativa / A.8.14 Ridondanza: Accordi di servizio (SLA) stringenti con il Cloud Provider, backup automatici e test di ripristino periodici (DRP).
2 (Basso)
RSK-04
Dati dei Clienti / Aziendali
Violazione dei dati personali (Data Breach) o perdita di dati critici per errore umano o attacco ransomware
Mancanza di cifratura dei dati a riposo/transito o errate policy di conservazione/cancellazione dei dati
2
3
6 (Alto)
A.8.24 Uso della crittografia / A.5.12 Classificazione delle informazioni: Cifratura end-to-end (HTTPS/TLS) e cifratura dei database cloud, sottoscrizione di DPA con i clienti.
2 (Basso)
RSK-05
Dispositivi dei dipendenti (Smart Working / Notebook)
Perdita, furto o accesso abusivo a un dispositivo aziendale fuori sede (es. lavoro da remoto)
Mancanza di cifratura del disco (BitLocker/FileVault) o assenza di blocchi schermo automatici
2
2
4 (Medio)
A.7.9 Sicurezza dei dispositivi / A.8.1 Attrezzature degli utenti: Cifratura obbligatoria dei dispositivi, blocco schermo automatico e policy di pulizia dello schermo (Clean Screen).
1 (Basso)
RSK-06
Supply Chain Software / Fornitori Terzi
Compromissione della catena di fornitura software o disservizio da parte di un fornitore critico
Assenza di verifiche preventive di sicurezza sui fornitori terzi o dipendenze software esterne
2
2
4 (Medio)
A.5.19 Sicurezza nelle relazioni con i fornitori: Due diligence preventiva sui fornitori cloud/servizi e inserimento di clausole di sicurezza nei contratti di fornitura.
1 (Basso)
RSK-07
Reputazione e Proprietà Intellettuale
Perdita o corruzione del codice sorgente proprietario (Forma Factory / Plugin)
Mancanza di backup isolati (versioning sicuro) o permessi di scrittura non controllati sui repository
1
3
3 (Medio)
A.8.12 Prevenzione della fuga di dati / A.8.28 Code signing: Utilizzo di repository cloud sicuri (es. GitHub/GitLab Enterprise) con controllo accessi granulare e backup immutabili.
1 (Basso)
RSK-08
Personale interno e Collaboratori
Errori operativi o disattenzione nella gestione della sicurezza (es. phishing, condivisione credenziali)
Bassa consapevolezza dei rischi informatici (Security Awareness) da parte del personale
2
2
4 (Medio)
A.6.3 Formazione e consapevolezza sulla sicurezza: Esecuzione di piani di formazione periodici sulla sicurezza e simulazioni di phishing per i dipendenti.
1 (Basso)
3. Riesame e Valutazione Continua
Il presente Registro dei Rischi è soggetto a revisione periodica con cadenza almeno semestrale o in coincidenza con:
Rilasci di importanti aggiornamenti di versione della piattaforma Forma Cloud LMS.
Modifiche sostanziali all'infrastruttura cloud o all'architettura di rete.
Rilevazione di nuovi incidenti di sicurezza o vulnerabilità critiche (CVE/0-day).

PIANO DI TRATTAMENTO DEL RISCHIO (RISK TREATMENT PLAN - RTP)
Il presente documento definisce le azioni correttive, i controlli di sicurezza implementati o pianificati, i ruoli di responsabilità e le tempistiche per mitigare, trasferire o accettare i rischi emersi durante la valutazione del rischio (Risk Assessment) relativa alla piattaforma Forma Cloud LMS e ai servizi correlati.
Tabella Operativa di Trattamento del Rischio
ID Rischio
Asset / Processo
Rischio Iniziale
Opzione di Trattamento
Controlli ISO 27001 / Azioni di Mitigazione
Stato Attuazione
Responsabile Attuazione
Tempistiche / Frequenza
Rischio Residuo
RSK-01
Codice sorgente (Forma LMS / Plugin)
9 (Critico)
Mitigazione
Analisi automatizzata SAST/DAST integrata nella pipeline CI/CD (Secure SDLC) e patch management automatizzato.
Già attiva
Lead Developer / DevOps
Monitoraggio continuo (Patch entro 48h per falle critiche)
2 (Basso)
RSK-02
Cloud Hosting (AWS) & Database
6 (Alto)
Mitigazione
Autenticazione a Due Fattori (MFA) obbligatoria per amministratori, politica del minimo privilegio IAM e cifratura dati.
Già applicata
System Administrator
Revisione permessi semestrale
2 (Basso)
RSK-03
Piattaforma SaaS (Forma Cloud LMS)
6 (Alto)
Mitigazione / Trasferimento
Accordi SLA con provider AWS, backup automatici multi-regione e test DRP.
Già attive
IT Operations Manager
Test DRP Annuale (e al cambio di architettura)
2 (Basso)
RSK-04
Dati dei Clienti / GDPR
6 (Alto)
Mitigazione
Cifratura end-to-end in transito (HTTPS/TLS) e a riposo per DB cloud. Sottoscrizione DPA (IT/EN).
Già attive
DPO / Legal
Operativo permanente / Aggiornamento contratti
2 (Basso)
RSK-05
Dispositivi Dipendenti / Workstation
4 (Medio)
Mitigazione
Cifratura dischi (BitLocker/FileVault), blocco schermo e policy Clean Screen.
Già applicata
IT Helpdesk
Verifiche periodiche sui dispositivi
1 (Basso)
RSK-06
Supply Chain / Fornitori Terzi
4 (Medio)
Mitigazione
Processo di Due Diligence preventiva e clausole contrattuali di sicurezza nei contratti.
In corso di formalizzazione
Management / Legal
Completamento entro 90 giorni
1 (Basso)
RSK-07
Reputazione e Proprietà Intellettuale
3 (Medio)
Mitigazione
Repository Git privati con branch protection, gestione ruoli granulare e backup immutabili.
Già applicata
Lead Developer
Operativo permanente
1 (Basso)
RSK-08
Personale interno e Collaboratori
4 (Medio)
Mitigazione
Piano annuale di Security Awareness, formazione sicurezza e simulazioni di phishing.
In corso / Pianificato
HR / Responsabile SGSI
Avvio entro 60 giorni (cadenza annuale)
1 (Basso)
Modalità di Riesame e Monitoraggio
Verifica dell'attuazione: Il Responsabile della Sicurezza verifica lo stato di avanzamento delle azioni correttive definite nell'RTP con cadenza trimestrale.
Aggiornamento del Piano: Il Piano di Trattamento del Rischio viene riesaminato e aggiornato formalmente almeno una volta all'anno in occasione del Riesame della Direzione, oppure a seguito di incidenti di sicurezza significativi o modifiche rilevanti dell'infrastruttura tecnologica.

DICHIARAZIONE DI APPLICABILITÀ (STATEMENT OF APPLICABILITY - SoA)
Conforme alla Norma ISO/IEC 27001:2022
Organizzazione: Forma Farm S.r.l.
Sede Legale: Via Savona 10, 20144 Milano (MI)
Modello Operativo: 100% Full Remote / Distributed Organization
Infrastruttura: Cloud Hosting AWS (Amazon Web Services) & Servizi Managed SaaS
Versione Documento: 1.0
Data del Documento: Ottobre 2026
1. INTRODUZIONE E CRITERI DI SELEZIONE
Il presente documento costituisce la Dichiarazione di Applicabilità (SoA) del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm S.r.l., redatta in conformità ai requisiti della norma ISO/IEC 27001:2022 (Allegato A).
1.1 Contesto e Specificità Operative
Forma Farm S.r.l. sviluppa, eroga e gestisce in modalità SaaS la piattaforma e-learning Forma Cloud LMS, i relativi plugin e servizi integrati. L'organizzazione adotta un modello 100% Full Remote, privo di server o data center fisici di proprietà; l'intera infrastruttura applicativa e di memorizzazione dati è ospitata presso il Cloud Provider AWS (Amazon Web Services).
1.2 Criteri di Inclusione ed Esclusione dei Controlli
I controlli dell'Allegato A della norma ISO/IEC 27001:2022 sono stati valutati e selezionati in base a:
Risultati della valutazione dei rischi (Risk Assessment) declinati nel Registro dei Rischi e nel Piano di Trattamento del Rischio (RTP).
Requisiti cogenti e normativi (es. Regolamento UE 2016/679 - GDPR, normative sul diritto d'autore e proprietà intellettuale).
Obblighi contrattuali stipulati con i clienti (SLA, Data Processing Agreement - DPA).
Esigenze operative del modello di business SaaS/Cloud e lavoro da remoto.
2. MATRICE DEI CONTROLLI ISO/IEC 27001:2022
Sezione A.5 — Controlli Organizzativi (Organizational Controls)
Rif. ISO 27001
Nome Controllo
Applicabile (Sì/No)
Stato di Attuazione
Giustificazione / Modalità di Implementazione
A.5.1
Politiche per la sicurezza delle informazioni
Sì
Implementato
Politica di Sicurezza delle Informazioni definita e approvata dalla Direzione.
A.5.2
Ruoli e responsabilità per la sicurezza
Sì
Implementato
Assegnazione formale delle responsabilità SGSI (Direzione, Lead Dev, Admin, DPO).
A.5.3
Segregazione dei compiti
Sì
Implementato
Separazione dei ruoli tra ambienti di dev/test e produzione cloud AWS.
A.5.4
Responsabilità della direzione
Sì
Implementato
Coinvolgimento attivo nei Riesami della Direzione e nell'allocazione delle risorse SGSI.
A.5.5
Contatto con le autorità
Sì
Implementato
Procedure di contatto per Data Breach con il Garante Privacy e CSIRT Italia.
A.5.6
Contatto con gruppi di interesse speciale
Sì
Implementato
Partecipazione a community Open Source (Forma LMS) e forum sulla sicurezza cloud.
A.5.7
Threat intelligence
Sì
Implementato
Monitoraggio di bollettini CVE, feed di sicurezza AWS e dipendenze software.
A.5.8
Sicurezza delle informazioni nella gestione dei progetti
Sì
Implementato
Integrazione della sicurezza nella roadmap di prodotto e nello sviluppo plugin.
A.5.9
Inventario delle informazioni e degli altri asset associati
Sì
Implementato
Inventario formale degli asset (codice, account cloud, dati clienti, laptop aziendali).
A.5.10
Uso ammissibile delle informazioni e degli asset
Sì
Implementato
Definizione dell'Acceptable Use Policy nell'Information Security Policy e contratti.
A.5.11
Restituzione degli asset
Sì
Implementato
Procedura di offboarding con revoca utenze e restituzione/wipe dei dispositivi.
A.5.12
Classificazione delle informazioni
Sì
Implementato
Definizione di 4 livelli di riservatezza (Pubblico, Interno, Confidenziale, Dati Personali).
A.5.13
Etichettatura delle informazioni
Sì
Implementato
Applicazione di tag e criteri logici sui repository Git, DB e bucket S3.
A.5.14
Trasferimento di informazioni
Sì
Implementato
Utilizzo esclusivo di canali cifrati (TLS/HTTPS, SSH) e clausole contrattuali DPA.
A.5.15
Controllo degli accessi
Sì
Implementato
Principio del minimo privilegio gestito via IAM policy e ruoli ruotati.
A.5.16
Gestione delle identità
Sì
Implementato
Processo formalizzato di provisioning e de-provisioning delle utenze aziendali.
A.5.17
Informazioni per l'autenticazione
Sì
Implementato
Gestione credenziali tramite Password Manager aziendale e obbligo di password complesse.
A.5.18
Diritti di accesso
Sì
Implementato
Revisione periodica (semestrale) delle ACL e delle policy IAM su AWS e GitHub.
A.5.19
Sicurezza delle informazioni nelle relazioni con i fornitori
Sì
Implementato
Valutazione della sicurezza dei fornitori critici (AWS, SaaS terzi).
A.5.20
Indirizzamento della sicurezza nei contratti con i fornitori
Sì
Implementato
Clausole di sicurezza e riservatezza nei contratti e sottoscrizione DPA.
A.5.21
Gestione della sicurezza nella catena di fornitura ICT
Sì
In corso
Procedura di due diligence e verifica della sicurezza delle librerie Open Source.
A.5.22
Monitoraggio, riesame e gestione dei servizi dei fornitori
Sì
Implementato
Verifiche continue sugli SLA dei Cloud Provider e sui report di conformità SOC/ISO.
A.5.23
Sicurezza delle informazioni per l'uso dei servizi cloud
Sì
Implementato
Configurazione conforme alle best-practice di sicurezza cloud AWS (CIS Benchmark).
A.5.24
Gestione degli incidenti per la sicurezza delle informazioni
Sì
Implementato
Procedura formale per rilevazione, escalation e notifica di incidenti/Data Breach.
A.5.25
Valutazione e decisione sugli eventi di sicurezza
Sì
Implementato
Criteri di classificazione della gravità degli eventi correlati alle risorse Cloud.
A.5.26
Risposta agli incidenti di sicurezza
Sì
Implementato
Piani di risposta rapida per isolamento istanze, ripristino backup e patch emergenti.
A.5.27
Apprendimento dagli incidenti di sicurezza
Sì
Implementato
Post-mortem analysis e aggiornamento dei controlli a seguito di anomalie/incidenti.
A.5.28
Raccolta di prove
Sì
Implementato
Tracciabilità dei log di audit AWS CloudTrail e audit log di sistema per uso forense.
A.5.29
Sicurezza delle informazioni durante l'interruzione
Sì
Implementato
Piano di Continuità Operativa e Disaster Recovery per la piattaforma LMS.
A.5.30
PR di ICT per la continuità operativa
Sì
Implementato
Replicazione multi-AZ dei dati e procedure automatizzate di failover su AWS.
A.5.31
Requisiti legali, statutari, normativi e contrattuali
Sì
Implementato
Registro di conformità normativa (GDPR, Proprietà Intellettuale, Contratti Clienti).
A.5.32
Diritti di proprietà intellettuale
Sì
Implementato
Tutela del codice proprietario (Forma Factory/Plugin) e rispetto licenze Open Source.
A.5.33
Protezione dei registri (records)
Sì
Implementato
Conservazione sicura e immutabile dei log e dei documenti fiscali/legali.
A.5.34
Privacy e protezione dei dati personali (PII)
Sì
Implementato
Nomina a Responsabile del Trattamento (DPA), nomina DPO e rispetto del GDPR.
A.5.35
Riesame indipendente della sicurezza
Sì
Implementato
Audit interni programmati e verifiche da parte di enti di certificazione terzi.
A.5.36
Conformità con politiche e standard di sicurezza
Sì
Implementato
Verifiche periodiche sull'applicazione delle policy da parte del personale.
A.5.37
Procedure operative documentate
Sì
Implementato
Documentazione tecnica di deploy, gestione server, backup e manutenzione LMS.
Sezione A.6 — Controlli sulle Persone (People Controls)
Rif. ISO 27001
Nome Controllo
Applicabile (Sì/No)
Stato di Attuazione
Giustificazione / Modalità di Implementazione
A.6.1
Screening
Sì
Implementato
Verifiche pre-assunzione (curriculum, referenze, assenza di condanne) per nuovi assunti.
A.6.2
Termini e condizioni di impiego
Sì
Implementato
Clausole di riservatezza (NDA) ed etica professionale integrate nei contratti di lavoro.
A.6.3
Consapevolezza, istruzione e formazione
Sì
In corso
Piano di formazione annuale in Security Awareness e simulazioni di phishing.
A.6.4
Processo disciplinare
Sì
Implementato
Richiamo al CCNL applicabile per le violazioni delle politiche di sicurezza.
A.6.5
Responsabilità post-impiego
Sì
Implementato
Obbligo di riservatezza permanente e revoca totale degli accessi al termine del rapporto.
A.6.6
Accordi di riservatezza o non divulgazione
Sì
Implementato
Sottoscrizione di NDA con tutti i dipendenti, collaboratori esterni e fornitori terzi.
A.6.7
Lavoro da remoto (Remote working)
Sì
Implementato
Controllo critico: Regolamento di Telelavoro/Smart Working, uso VPN/TLS e dispositivi protetti.
A.6.8
Segnalazione di eventi di sicurezza
Sì
Implementato
Canale di segnalazione interno tempestivo per anomalie, phishing o smarrimento dispositivi.
Sezione A.7 — Controlli Fisici (Physical Controls)
Nota metodologica sul modello Full Remote: Poiché Forma Farm S.r.l. non gestisce server o perimetri fisici di data center (interamente in outsourcing ad AWS), i controlli fisici perimetrali tradizionali sono dichiarati Non Applicabili (Esclusi) o adattati esclusivamente alla sicurezza delle postazioni di lavoro domiciliari/nomadi.
Rif. ISO 27001
Nome Controllo
Applicabile (Sì/No)
Stato di Attuazione
Giustificazione / Modalità di Implementazione
A.7.1
Perimetri di sicurezza fisica
No
Escluso
Non applicabile: Assenza di perimetri fisici aziendali o server locali (infrastruttura 100% AWS).
A.7.2
Ingresso fisico
No
Escluso
Non applicabile: Inesistenti aree ad accesso controllato o sale server proprie.
A.7.3
Mantenimento di uffici, stanze e strutture
No
Escluso
Non applicabile: Organizzazione operativamente 100% distribuita in remote working.
A.7.4
Monitoraggio della sicurezza fisica
No
Escluso
Non applicabile: Gestito autonomamente da AWS per i propri Data Center (certificati ISO 27001).
A.7.5
Protezione contro minacce fisiche e ambientali
No
Escluso
Non applicabile: Delega della sicurezza fisica dei server al Cloud Provider (AWS).
A.7.6
Lavoro in aree sicure
No
Escluso
Non applicabile: Nessuna area ad alto rischio fisico o di produzione gestita in sede.
A.7.7
Scrivania pulita e schermo pulito (Clean desk/screen)
Sì
Implementato
Applicabile alle postazioni di lavoro dei remotisti: blocco schermo automatico e no stampe.
A.7.8
Posizionamento e protezione delle apparecchiature
Sì
Implementato
Obbligo di custodia fisica e non abbandono dei laptop/dispositivi aziendali in luoghi pubblici.
A.7.9
Sicurezza degli asset fuori dalle sedi
Sì
Implementato
Regolamentazione dell'uso dei computer portatili durante trasferte o spostamenti.
A.7.10
Supporti di memorizzazione (Storage media)
Sì
Implementato
Divieto d'uso di pendrive/hard-disk USB non cifrati per il trasferimento di dati riservati.
A.7.11
Utenze di servizio (Utilities)
No
Escluso
Non applicabile: Gestione di energia/climatizzazione affidata interamente al provider AWS.
A.7.12
Sicurezza del cablaggio
No
Escluso
Non applicabile: Assenza di infrastruttura di rete cablata proprietaria.
A.7.13
Manutenzione delle apparecchiature
Sì
Implementato
Manutenzione e sostituzione ordinaria dei laptop di lavoro gestita via Helpdesk/IT.
A.7.14
Smaltimento o riutilizzo sicuro degli asset
Sì
Implementato
Wipe crittografico/distruzione sicura dei dischi prima della dismissione dei notebook.
Sezione A.8 — Controlli Tecnologici (Technological Controls)
Rif. ISO 27001
Nome Controllo
Applicabile (Sì/No)
Stato di Attuazione
Giustificazione / Modalità di Implementazione
A.8.1
Dispositivi degli utenti finali (User endpoint devices)
Sì
Implementato
Cifratura integrale del disco (BitLocker/FileVault), antivirus e OS sempre aggiornato.
A.8.2
Diritti di accesso privilegiato
Sì
Implementato
Restrizione rigorosa dell'accesso Root/Admin su AWS e sistemi di produzione.
A.8.3
Restrizione dell'accesso alle informazioni
Sì
Implementato
Isolamento dei DB per cliente e segregazione dell'accesso ai dati di produzione LMS.
A.8.4
Accesso al codice sorgente
Sì
Implementato
Accesso ai repository GitHub/GitLab regolato da ruoli, MFA e branch protection.
A.8.5
Autenticazione sicura
Sì
Implementato
Obbligo tassativo di Autenticazione a Due Fattori (MFA) su tutte le risorse cloud/SaaS.
A.8.6
Capacity management
Sì
Implementato
Autoscaling e monitoraggio risorse via AWS CloudWatch per prevenire saturazioni.
A.8.7
Protezione contro i malware
Sì
Implementato
Soluzioni Endpoint Protection (EDR/Antivirus) sulle workstation e scansioni container.
A.8.8
Gestione delle vulnerabilità tecniche
Sì
Implementato
Scansione automatizzata di codice e librerie (SAST/DAST) in pipeline CI/CD; patch in 48h.
A.8.9
Gestione della configurazione
Sì
Implementato
Infrastruttura definita come codice (IaC) e configurazioni di sicurezza standardizzate.
A.8.10
Cancellazione delle informazioni
Sì
Implementato
Script automatizzati per la cancellazione sicura dei dati al termine dei contratti (DPA).
A.8.11
Mascheramento dei dati (Data masking)
Sì
Implementato
Anonomizzazione/Pseudonimizzazione dei dati di produzione usati in ambienti di test.
A.8.12
Prevenzione della fuga di dati (DLP)
Sì
Implementato
Restrizione dei download, blocco condivisioni pubbliche di bucket S3 e monitoraggio log.
A.8.13
Backup delle informazioni
Sì
Implementato
Backup automatici giornalieri multi-regione AWS con test di ripristino periodici.
A.8.14
Ridondanza delle strutture di elaborazione
Sì
Implementato
Architettura Cloud distribuita su più Multi-Availability Zone (Multi-AZ AWS).
A.8.15
Logging
Sì
Implementato
Abilitazione di log centralizzati su AWS CloudWatch/CloudTrail e conservazione protetta.
A.8.16
Attività di monitoraggio
Sì
Implementato
Allarmi in tempo reale per accessi anomali, errori di sistema o picchi di traffico.
A.8.17
Sincronizzazione dell'ora
Sì
Implementato
Sincronizzazione automatica del tempo su server e container tramite NTP (AWS Time Sync).
A.8.18
Uso di programmi di utilità privilegiati
Sì
Implementato
Restrizione dell'uso di tool di sistema e tracciamento dei comandi amministrativi.
A.8.19
Installazione di software sui sistemi operativi
Sì
Implementato
Blocco dell'installazione di software non autorizzato sulle postazioni di lavoro.
A.8.20
Sicurezza delle reti
Sì
Implementato
Utilizzo di VPC (Virtual Private Cloud), subnet private e Security Group su AWS.
A.8.21
Sicurezza dei servizi di rete
Sì
Implementato
Utilizzo di HTTPS, firewall applicativi (WAF) e protezione anti-DDoS (AWS Shield).
A.8.22
Segregazione delle reti
Sì
Implementato
Separazione logica tra ambienti aziendali, ambienti Dev/Staging e Production Cloud.
A.8.23
Filtraggio web
Sì
Implementato
Protezione DNS/Endpoint per prevenire la navigazione su siti malevoli o di phishing.
A.8.24
Uso della crittografia
Sì
Implementato
Cifratura dei dati in transito (TLS 1.2/1.3) e a riposo (AES-256 su database e storage).
A.8.25
Ciclo di vita dello sviluppo sicuro (Secure SDLC)
Sì
Implementato
Linee guida per lo sviluppo sicuro, code review obbligatoria e test di sicurezza.
A.8.26
Requisiti di sicurezza delle applicazioni
Sì
Implementato
Analisi dei requisiti di sicurezza per tutti i nuovi moduli o plugin di Forma LMS.
A.8.27
Architettura dei sistemi sicuri e principi di ingegneria
Sì
Implementato
Progettazione basata su principi di Defense in Depth e Zero Trust.
A.8.28
Coding sicuro
Sì
Implementato
Adozione degli standard OWASP Top 10 nelle prassi di programmazione del team Dev.
A.8.29
Test di sicurezza nello sviluppo e nell'accettazione
Sì
Implementato
Scansioni SAST/DAST e test di collaudo prima di ogni release in produzione.
A.8.30
Sviluppo esternalizzato
Sì
Implementato
Controllo del codice e review rigorosa per i plugin forniti da terzi/freelance.
A.8.31
Separazione degli ambienti di sviluppo, test e produzione
Sì
Implementato
Ambienti cloud separati e isolati; nessun dato reale di produzione in dev/test.
A.8.32
Gestione del cambiamento (Change management)
Sì
Implementato
Flusso di approvazione e tracciamento delle modifiche al codice e all'infrastruttura.
A.8.33
Informazioni di test
Sì
Implementato
Utilizzo esclusivo di dati sintetici o pseudonimizzati per gli ambienti di test.
A.8.34
Protezione dei sistemi di informazione durante i test
Sì
Implementato
Limitazione e monitoraggio degli accessi agli ambienti di staging e collaudo.
3. SINTESI E APPROVAZIONE
Totale controlli ISO/IEC 27001:2022: 93
Controlli Dichiarati Applicabili: 86
Controlli Esclusi (Non Applicabili): 7 (tutti relativi alla sicurezza fisica perimetrale, motivati dall'architettura 100% Cloud e dal modello organizzativo Full Remote).
La presente Dichiarazione di Applicabilità è approvata dalla Direzione di Forma Farm S.r.l. ed è soggetta a riesame almeno annuale o in coincidenza con modifiche rilevanti dell'infrastruttura tecnologica e dei processi di business.
Milano, Ottobre 2026
Forma Farm S.r.l. — La Direzione

Security Policies - Gestione Operativa e dei Controlli

Gestione delle Identità e degli Accessi (IAM)
La politica IAM regola l'accesso logico ai sistemi aziendali, agli ambienti di produzione cloud e ai repository di codice, garantendo che ogni accesso sia autorizzato, tracciato e limitato.
Profilazione:
Adozione rigorosa del principio del minimo privilegio (least privilege), per cui ogni utente, amministratore o sviluppatore dispone esclusivamente dei permessi necessari allo svolgimento delle proprie mansioni.
Categorizzazione dei ruoli in profili standard (es. operatore supporto, sviluppatore, amministratore di sistema/cloud).
Assegnazione dei Permessi:
Ogni richiesta di creazione utenza o innalzamento dei privilegi deve essere inoltrata formalmente e approvata dal responsabile tecnico o dal Security Manager.
Obbligo di adozione di meccanismi di autenticazione forte a due fattori (MFA) per l'accesso agli ambienti cloud critici (es. AWS), ai database dei clienti e ai pannelli di controllo della piattaforma LMS.
Revisione Periodica:
Esecuzione di verifiche periodiche (almeno semestrali) sulla matrice dei ruoli IAM e sui privilegi attivi per identificare ed eliminare utenze obsolete, inattive o non più necessarie.
Revoca dei Permessi:
Processo di offboarding tempestivo: in caso di cessazione del rapporto di lavoro o di cambio di mansione, la disattivazione o la modifica delle credenziali avviene in tempo reale (entro la giornata lavorativa) per impedire accessi non autorizzati.

Gestione della Sicurezza delle Risorse Umane
La sicurezza delle risorse umane copre l'intero ciclo di vita del personale (prima, durante e dopo l'impiego) per mitigare i rischi legati a minacce interne o errori umani.
Procedure di Selezione e Controlli Preliminari (Background Checks):
Durante la fase di recruiting e prima dell'assunzione, vengono effettuate verifiche adeguate e proporzionate al ruolo (es. controllo delle referenze professionali, verifica dei titoli di studio e delle certificazioni dichiarate), nel pieno rispetto della privacy e delle normative vigenti.
Accordi di Riservatezza (NDA):
Sottoscrizione obbligatoria di accordi di non divulgazione (NDA) e patti di riservatezza da parte di tutti i dipendenti, collaboratori esterni, consulenti e fornitori.
Tali accordi tutelano la proprietà intellettuale, il codice sorgente di Forma LMS e le informazioni confidenziali o i dati personali dei clienti gestiti in modalità SaaS.
Piano di Formazione e Consapevolezza sulla Sicurezza (Security Awareness):
Onboarding: Formazione obbligatoria iniziale per tutti i neoassunti sulle politiche di sicurezza aziendali, sull'uso corretto dei dispositivi e sulla gestione delle password.
Aggiornamenti periodici: Sessioni formative ricorrenti (es. focus su tecniche di phishing, social engineering e protezione dei dati) per mantenere alta l'attenzione del personale.
Test e misurazione: Campagne periodiche di verifica (es. simulazioni di phishing) per valutare l'efficacia della consapevolezza interna e identificare aree che richiedono ulteriore supporto formativo.

Asset Inventory (TBD)


Compliance - Miglioramento Continuo, Audit e Conformità Legale
Registri