Analisi del Contesto e Gestione dei Rischi ISO 27001
1. Definizione del Contesto e dei Portatori d'Interesse (Stakeholders)
1.1 Analisi del Contesto Organizzativo
Forma Farm S.r.l. sviluppa, mantiene ed eroga soluzioni software per la formazione, con particolare riferimento alla piattaforma e-learning Forma LMS, al servizio Forma Cloud LMS e ai relativi plugin e servizi integrati.
L'organizzazione opera in un contesto caratterizzato dall'evoluzione continua delle tecnologie, dalla dipendenza da fornitori e servizi digitali esterni e dalla necessità di garantire la sicurezza delle informazioni trattate nello sviluppo software e nell'erogazione dei servizi ai clienti.
Il modello operativo di Forma Farm si basa sulla collaborazione con soci e professionisti esterni, che svolgono le proprie attività interamente da remoto (full remote), senza una sede operativa aziendale presso cui si svolgano ordinariamente le attività lavorative. L'organizzazione si avvale inoltre di fornitori specializzati per l'infrastruttura tecnologica e per altri servizi necessari allo svolgimento delle attività aziendali.
I fattori interni ed esterni rilevanti per il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) sono individuati e riesaminati considerando le caratteristiche dell'organizzazione, i servizi erogati, le esigenze delle parti interessate e le variazioni del contesto operativo.
Fattori esterni
- Quadro normativo e regolamentare: applicabilità delle disposizioni in materia di protezione dei dati personali, sicurezza delle informazioni, proprietà intellettuale e diritto d'autore, nonché degli obblighi derivanti dai contratti stipulati con i clienti e dai relativi accordi sul trattamento dei dati.
- Minacce informatiche: esposizione a tentativi di accesso non autorizzato, compromissione delle credenziali, sfruttamento di vulnerabilità software, attacchi alla catena di fornitura, indisponibilità dei servizi e altre minacce che possono compromettere la riservatezza, l'integrità o la disponibilità delle informazioni.
- Dipendenza da fornitori e servizi esterni: utilizzo di infrastrutture cloud, strumenti software e servizi di terze parti necessari allo sviluppo, alla manutenzione e all'erogazione dei servizi aziendali. La disponibilità e la sicurezza di tali servizi costituiscono elementi rilevanti per il SGSI.
- Aspettative del mercato e dei clienti: richieste di protezione dei dati, continuità del servizio, affidabilità delle soluzioni, gestione degli incidenti e disponibilità di informazioni ed evidenze relative alle misure di sicurezza adottate.
- Evoluzione tecnologica: cambiamenti nelle tecnologie cloud, nei componenti open source, nelle dipendenze software e nelle modalità di sviluppo ed erogazione dei servizi, che possono introdurre nuovi rischi e richiedere l'aggiornamento delle misure di sicurezza.
Fattori interni
- Modello organizzativo: organizzazione basata sulla collaborazione con soci e professionisti esterni, con responsabilità e autorizzazioni da definire in funzione delle attività svolte e degli accessi necessari. Il ricorso a collaboratori esterni rende rilevanti la gestione degli accessi, la riservatezza delle informazioni e la chiarezza delle responsabilità.
- Processi aziendali: progettazione, sviluppo, manutenzione e distribuzione del software; gestione degli ambienti cloud; assistenza tecnica; gestione delle relazioni con i clienti e dei fornitori tecnologici.
- Infrastruttura e strumenti tecnologici: utilizzo di ambienti cloud, repository del codice sorgente, strumenti di sviluppo e gestione operativa; strumenti cloud di comunicazione, condivisione documentale e collaborazione; dispositivi utilizzati dai collaboratori per accedere ai sistemi aziendali;connessioni remote e strumenti di autenticazione. La configurazione e l'effettivo utilizzo di tali risorse sono considerati nell'individuazione e nella valutazione dei rischi.
- Competenze e risorse: disponibilità di competenze specialistiche in ambito software, e-learning e infrastrutture tecnologiche. La distribuzione delle conoscenze operative e la dipendenza da singole persone o fornitori sono considerate nella valutazione dei rischi per la continuità delle attività.
- Informazioni e proprietà intellettuale: necessità di proteggere i dati dei clienti e degli utenti, le credenziali, la documentazione tecnica, il codice sorgente e le altre informazioni aziendali da divulgazione, modifica, perdita o accesso non autorizzato.
- Modalità di lavoro: svolgimento interamente da remoto delle attività aziendali da parte dei soci e dei collaboratori autorizzati. Tale modello rende rilevanti la sicurezza degli accessi remoti, la protezione dei dispositivi utilizzati, la gestione delle credenziali, la riservatezza delle informazioni negli ambienti di lavoro individuali e l'utilizzo sicuro delle reti e degli strumenti di comunicazione
Il contesto organizzativo viene riesaminato almeno annualmente e in occasione di cambiamenti significativi nei servizi erogati, nell'organizzazione, nelle tecnologie utilizzate, nei fornitori rilevanti o nei requisiti normativi e contrattuali applicabili.
1.2 Parti Interessate e relative Esigenze e Aspettative
Forma Farm individua le parti interessate rilevanti per il SGSI e determina quali esigenze e aspettative costituiscono requisiti applicabili alle attività comprese nel campo di applicazione del sistema.
Le esigenze considerate comprendono gli obblighi normativi e regolamentari, i requisiti contrattuali, gli impegni assunti nei confronti dei clienti e le altre condizioni pertinenti alla sicurezza delle informazioni.
| Portatore d'interesse (Stakeholder) | Esigenze e aspettative rilevanti | Requisiti di sicurezza collegati |
|---|---|---|
| Clienti (aziende e organizzazioni) | Protezione delle informazioni e dei dati trattati nei servizi erogati; affidabilità e continuità della piattaforma; rispetto degli impegni contrattuali. | Gestione degli accessi; protezione dei dati; disponibilità del servizio; gestione degli incidenti; rispetto dei DPA, degli SLA e degli eventuali requisiti di audit applicabili. |
| Utenti finali e corsisti | Riservatezza dei dati personali e delle attività formative; corretto funzionamento del servizio; protezione degli account. | Autenticazione; controllo degli accessi; protezione delle informazioni; gestione delle vulnerabilità e delle anomalie di sicurezza. |
| Soci e Direzione aziendale | Continuità delle attività, tutela della reputazione, protezione della proprietà intellettuale e sostenibilità dei servizi erogati. | Definizione delle responsabilità; approvazione delle politiche e dei criteri di sicurezza; valutazione e trattamento dei rischi; disponibilità delle risorse necessarie al SGSI. |
| Collaboratori e professionisti esterni | Chiarezza delle responsabilità e delle autorizzazioni; disponibilità degli strumenti necessari; tutela delle informazioni a cui accedono nello svolgimento delle attività. | Impegni di riservatezza; autorizzazioni coerenti con le attività assegnate; gestione degli accessi; rispetto delle regole e delle procedure di sicurezza applicabili. |
| Fornitori di infrastruttura cloud e servizi tecnologici | Rispetto degli accordi contrattuali e delle condizioni di utilizzo dei servizi; definizione delle responsabilità tra le parti. | Valutazione dei fornitori; verifica delle garanzie e degli impegni contrattuali pertinenti; gestione delle dipendenze esterne e dei rischi della catena di fornitura. |
| Altri fornitori e partner operativi | Definizione delle condizioni di collaborazione e delle responsabilità; protezione delle informazioni condivise. | Riservatezza; gestione degli accessi, ove applicabile; definizione dei requisiti di sicurezza pertinenti al servizio fornito. |
| Autorità di controllo e organismi competenti | Rispetto degli obblighi legislativi e regolamentari applicabili; disponibilità delle informazioni richieste nell'ambito delle rispettive competenze. | Conformità normativa; conservazione delle evidenze pertinenti; gestione delle violazioni e degli incidenti secondo gli obblighi applicabili. |
| Organismi di certificazione e auditor | Disponibilità di evidenze attendibili relative al SGSI e alla conformità ai requisiti applicabili. | Documentazione controllata; registrazioni delle attività svolte; tracciabilità delle valutazioni e delle decisioni; disponibilità delle evidenze necessarie agli audit. |
Le parti interessate e i relativi requisiti vengono riesaminati almeno annualmente e quando intervengono cambiamenti significativi nei rapporti contrattuali, nei servizi, nell'organizzazione o nel quadro normativo applicabile.
I requisiti individuati sono considerati nella definizione del campo di applicazione del SGSI, nell'individuazione dei rischi per la sicurezza delle informazioni e nella determinazione delle misure di sicurezza pertinenti. I dettagli relativi agli obblighi contrattuali, normativi e alle specifiche misure adottate sono mantenuti nella documentazione di riferimento del SGSI.
2. Campo di Applicazione (Scope) del SGSI
2.1 Perimetro di Certificazione
Il Campo di Applicazione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm S.r.l. comprende:
"La progettazione, lo sviluppo, la manutenzione, l'erogazione in modalità SaaS e l'assistenza tecnica della piattaforma e-learning Forma Cloud LMS, dei relativi plugin, servizi cloud integrati e infrastrutture correlate, in conformità alle politiche aziendali e ai requisiti applicabili."
2.2 Delimitazione Operativa, Logica e Fisica
- Processi aziendali inclusi:
- Sviluppo e manutenzione del codice sorgente (Secure SDLC e gestione plugin).
- Gestione e provisioning dell'infrastruttura Cloud Hosting (es. istanze AWS, database, servizi di backup).
- Servizi di Helpdesk, supporto tecnico e monitoraggio dei sistemi.
- Gestione dei contratti e delle relazioni con i clienti SaaS ed Enterprise.
- Sedi fisiche ed ambienti operativi:
- Sede legale e operativa: Via Savona 10, 20144 Milano (Italy).
- Modalità di lavoro agile / Smart Working per dipendenti e collaboratori autorizzati.
- Asset e confini logici:
- Piattaforme di produzione e test di Forma Cloud LMS e Forma Factory.
- Repository di codice sorgente, sistemi di gestione delle credenziali (IAM) e strumenti interni di comunicazione/ticketing.
3. Metodologia di Valutazione del Rischio (Risk Assessment Methodology)
3.1 Criteri di Valutazione
Forma Farm S.r.l. adotta un approccio basato sul rischio (Risk-Based Approach) coerente con le linee guida della norma ISO/IEC 27005. Il rischio ($R$) viene calcolato in funzione della Probabilità ($P$) che una minaccia sfrutti una vulnerabilità di un asset e dell'Impatto ($I$) derivante dalla perdita di Confidenzialità, Integrità o Disponibilità.
$$R = P \times I$$
3.2 Scale di Valutazione
-
Scala della Probabilità ($P$):
- Bassa (1): Evento raro o con basse possibilità di verificarsi, richiedente condizioni o competenze complesse.
- Media (2): Evento possibile che si è verificato o potrebbe verificarsi occasionalmente nel settore.
- Alta (3): Evento molto probabile o frequente, legato a vulnerabilità note o attacchi diffusi.
-
Scala dell'Impatto ($I$):
- Lieve (1): Disservizio minimo, nessun impatto significativo sui clienti o sulla reputazione, violazione di dati non critici.
- Moderato (2): Interruzione temporanea di alcuni servizi, impatto economico limitato, potenziale violazione di dati senza conseguenze gravi.
- Grave (3): Interruzione prolungata del servizio SaaS LMS, violazione di dati personali (Data Breach), danno reputazionale rilevante o sanzioni normative.
3.3 Matrice del Rischio e Soglie di Accettabilità
| Probabilità / Impatto | Impatto Lieve (1) | Impatto Moderato (2) | Impatto Grave (3) |
|---|---|---|---|
| **Alta (3)** | **3 (Medio)** | **6 (Alto)** | **9 (Critico)** |
| **Media (2)** | **2 (Basso)** | **4 (Medio)** | **6 (Alto)** |
| **Bassa (1)** | **1 (Basso)** | **2 (Basso)** | **3 (Medio)** |
- Valori 1–2 (Rischio Basso): Accettabile. Non richiede azioni immediate, ma è soggetto a monitoraggio periodico.
- Valori 3–4 (Rischio Medio): Tollerabile. Richiede la pianificazione di contromisure nel Piano di Trattamento del Rischio (RTP) entro tempi definiti.
- Valori 6–9 (Rischio Alto / Critico): Inaccettabile. Richiede un intervento prioritario immediato tramite l'implementazione dei controlli previsti dall'Allegato A (Annex A) della ISO/IEC 27001.