Skip to main content

Analisi del Contesto e Gestione dei Rischi ISO 27001

1. Definizione del Contesto e dei Portatori d'Interesse (Stakeholders)

1.1 Analisi del Contesto Organizzativo

Forma Farm S.r.l. sviluppa ed eroga soluzioni e-learning in modalità cloud/SaaS (in particolare la piattaforma Forma Cloud LMS e i relativi plugin e servizi integrati). L'organizzazione opera in un ambiente ad alta dinamicità tecnologica, combinando soluzioni Open Source, infrastrutture cloud gestite e requisiti d'impresa (Enterprise).

  • Fattori Esterni:

    • Quadro normativo e regolamentare: Rispetto del Regolamento UE 2016/679 (GDPR), normative sulla protezione dei dati, proprietà intellettuale, diritto d'autore e contratti di servizio (DPA).
    • Minacce informatiche e di settore: Aumento dei rischi di attacchi alla supply chain software, vulnerabilità nei componenti Open Source, attacchi DDoS e tentativi di accesso non autorizzato agli ambienti cloud.
    • Aspettative del mercato: Richiesta di elevati standard di sicurezza, continuità operativa (SLA) e sovranità dei dati da parte dei clienti Corporate ed Enterprise.

  • Fattori Interni:

    • Modello operativo: Lavoro svolto sia in presenza presso la sede aziendale sia in modalità smart working/remoto dal personale e dai collaboratori.
    • Infrastruttura tecnologica: Architetture cloud distribuite (es. AWS), strumenti di integrazione continua/sviluppo (DevOps/Secure SDLC) e sistemi di gestione dell'assistenza (Helpdesk).
    • Cultura aziendale e risorse: Competenze tecniche focalizzate su sviluppo software LMS, gestione di ambienti cloud ed erogazione di supporto specialistico.

1.2 Mappa delle Parti Interessate (Stakeholders) e delle relative Aspettative

Portatore d'Interesse (Stakeholder) Esigenze ed Aspettative Requisiti di Sicurezza Collegati
Clienti (Aziende & Enterprise) Protezione dei dati personali dei propri corsisti, disponibilità continua della piattaforma LMS. Garanzia dei livelli di servizio (SLA), cifratura dei dati, sottoscrizione del DPA.
Utenti Finali / Corsisti Riservatezza dei dati di profilo e tracciamento sicuro delle attività formative. Autenticazione sicura, controllo degli accessi e protezione della privacy.
Autorità di Controllo (es. Garante Privacy) Piena conformità alle leggi e normative vigenti. Tracciabilità dei trattamenti, gestione tempestiva dei Data Breach e conformità al GDPR.
Fornitori di Infrastruttura Cloud & Service Provider Rispetto dei termini contrattuali e delle policy di utilizzo. Gestione della sicurezza della catena di fornitura (Supplier Security) e accordi di riservatezza.
Direzione e Società (Management) Tutela della reputazione aziendale, continuità del business e protezione della proprietà intellettuale (codice sorgente). Adozione formale della Politica di Sicurezza, allocazione risorse e monitoraggio dei rischi.
Dipendenti e Collaboratori Chiarezza nelle procedure operative, ambiente di lavoro sicuro e strumenti adeguati. Piani di sensibilizzazione (Security Awareness), policy di Clean Desk/Screen e utilizzo sicuro dei dispositivi.

2. Campo di Applicazione (Scope) del SGSI

2.1 Perimetro di Certificazione

Il Campo di Applicazione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm S.r.l. comprende:

"La progettazione, lo sviluppo, la manutenzione, l'erogazione in modalità SaaS e l'assistenza tecnica della piattaforma e-learning Forma Cloud LMS, dei relativi plugin, servizi cloud integrati e infrastrutture correlate, in conformità alle politiche aziendali e ai requisiti applicabili."

2.2 Delimitazione Operativa, Logica e Fisica

  • Processi aziendali inclusi:
    • Sviluppo e manutenzione del codice sorgente (Secure SDLC e gestione plugin).
    • Gestione e provisioning dell'infrastruttura Cloud Hosting (es. istanze AWS, database, servizi di backup).
    • Servizi di Helpdesk, supporto tecnico e monitoraggio dei sistemi.
    • Gestione dei contratti e delle relazioni con i clienti SaaS ed Enterprise.
  • Sedi fisiche ed ambienti operativi:
    • Sede legale e operativa: Via Savona 10, 20144 Milano (Italy).
    • Modalità di lavoro agile / Smart Working per dipendenti e collaboratori autorizzati.
  • Asset e confini logici:
    • Piattaforme di produzione e test di Forma Cloud LMS e Forma Factory.
    • Repository di codice sorgente, sistemi di gestione delle credenziali (IAM) e strumenti interni di comunicazione/ticketing.

3. Metodologia di Valutazione del Rischio (Risk Assessment Methodology)

3.1 Criteri di Valutazione

Forma Farm S.r.l. adotta un approccio basato sul rischio (Risk-Based Approach) coerente con le linee guida della norma ISO/IEC 27005. Il rischio ($R$) viene calcolato in funzione della Probabilità ($P$) che una minaccia sfrutti una vulnerabilità di un asset e dell'Impatto ($I$) derivante dalla perdita di Confidenzialità, Integrità o Disponibilità.

$$R = P \times I$$

3.2 Scale di Valutazione

  • Scala della Probabilità ($P$):

    1. Bassa (1): Evento raro o con basse possibilità di verificarsi, richiedente condizioni o competenze complesse.
    2. Media (2): Evento possibile che si è verificato o potrebbe verificarsi occasionalmente nel settore.
    3. Alta (3): Evento molto probabile o frequente, legato a vulnerabilità note o attacchi diffusi.

  • Scala dell'Impatto ($I$):

    1. Lieve (1): Disservizio minimo, nessun impatto significativo sui clienti o sulla reputazione, violazione di dati non critici.
    2. Moderato (2): Interruzione temporanea di alcuni servizi, impatto economico limitato, potenziale violazione di dati senza conseguenze gravi.
    3. Grave (3): Interruzione prolungata del servizio SaaS LMS, violazione di dati personali (Data Breach), danno reputazionale rilevante o sanzioni normative.

3.3 Matrice del Rischio e Soglie di Accettabilità

Probabilità / Impatto Impatto Lieve (1) Impatto Moderato (2) Impatto Grave (3)
Alta (3) 3 (Medio) 6 (Alto) 9 (Critico)
Media (2) 2 (Basso) 4 (Medio) 6 (Alto)
Bassa (1) 1 (Basso) 2 (Basso) 3 (Medio)
  • Valori 1–2 (Rischio Basso): Accettabile. Non richiede azioni immediate, ma è soggetto a monitoraggio periodico.
  • Valori 3–4 (Rischio Medio): Tollerabile. Richiede la pianificazione di contromisure nel Piano di Trattamento del Rischio (RTP) entro tempi definiti.
  • Valori 6–9 (Rischio Alto / Critico): Inaccettabile. Richiede un intervento prioritario immediato tramite l'implementazione dei controlli previsti dall'Allegato A (Annex A) della ISO/IEC 27001.