Analisi del Contesto e Gestione dei Rischi ISO 27001

1. Definizione del Contesto e dei Portatori d'Interesse (Stakeholders)

1.1 Analisi del Contesto Organizzativo

Forma Farm S.r.l. sviluppasviluppa, mantiene ed eroga soluzioni software per la formazione, con particolare riferimento alla piattaforma e-learning inForma modalitàLMS, cloud/SaaSal (inservizio particolare la piattaforma Forma Cloud LMS e iai relativi plugin e servizi integrati).integrati.

L'organizzazione opera in un ambientecontesto adcaratterizzato altadall'evoluzione dinamicitàcontinua tecnologica,delle combinandotecnologie, soluzionidalla Opendipendenza Source,da infrastrutture cloud gestitefornitori e requisitiservizi d'impresadigitali esterni e dalla necessità di garantire la sicurezza delle informazioni trattate nello sviluppo software e nell'erogazione dei servizi ai clienti.

Il modello operativo di Forma Farm si basa sulla collaborazione con soci e professionisti esterni, che svolgono le proprie attività interamente da remoto (Enterprise).full remote), senza una sede operativa aziendale presso cui si svolgano ordinariamente le attività lavorative. L'organizzazione si avvale inoltre di fornitori specializzati per l'infrastruttura tecnologica e per altri servizi necessari allo svolgimento delle attività aziendali.

I

fattori interni ed esterni rilevanti per il Sistema di Gestione della Sicurezza delle Informazioni (SGSI) sono individuati e riesaminati considerando le caratteristiche dell'organizzazione, i servizi erogati, le esigenze delle parti interessate e le variazioni del contesto operativo.

Fattori Esterni:esterni

• Quadro normativo e regolamentare: Rispettoapplicabilità deldelle Regolamentodisposizioni UEin 2016/679materia (GDPR), normative sulladi protezione dei dati,dati personali, sicurezza delle informazioni, proprietà intellettuale,intellettuale e diritto d'autoreautore, nonché degli obblighi derivanti dai contratti stipulati con i clienti e contrattidai direlativi servizioaccordi (DPA).sul trattamento dei dati.
• Minacce informatiche e di settore:informatiche: Aumentoesposizione dei rischi di attacchi alla supply chain software, vulnerabilità nei componenti Open Source, attacchi DDoS ea tentativi di accesso non autorizzatoautorizzato, aglicompromissione ambientidelle cloud.credenziali, sfruttamento di vulnerabilità software, attacchi alla catena di fornitura, indisponibilità dei servizi e altre minacce che possono compromettere la riservatezza, l'integrità o la disponibilità delle informazioni.

Dipendenza da fornitori e servizi esterni: utilizzo di infrastrutture cloud, strumenti software e servizi di terze parti necessari allo sviluppo, alla manutenzione e all'erogazione dei servizi aziendali. La disponibilità e la sicurezza di tali servizi costituiscono elementi rilevanti per il SGSI. Aspettative del mercato:mercato e dei clienti: Richiestarichieste di elevatiprotezione standarddei dati, continuità del servizio, affidabilità delle soluzioni, gestione degli incidenti e disponibilità di sicurezza,informazioni continuitàed operativaevidenze (SLA)relative alle misure di sicurezza adottate. Evoluzione tecnologica: cambiamenti nelle tecnologie cloud, nei componenti open source, nelle dipendenze software e sovranitànelle modalità di sviluppo ed erogazione dei datiservizi, dache partepossono deiintrodurre clientinuovi Corporaterischi ede Enterprise.richiedere l'aggiornamento delle misure di sicurezza.

Fattori Interni:interni

• Modello operativo:organizzativo: Lavoroorganizzazione svoltobasata siasulla collaborazione con soci e professionisti esterni, con responsabilità e autorizzazioni da definire in presenzafunzione pressodelle attività svolte e degli accessi necessari. Il ricorso a collaboratori esterni rende rilevanti la sedegestione aziendaledegli siaaccessi, inla modalitàriservatezza smartdelle working/remoto dal personaleinformazioni e daila collaboratori.chiarezza delle responsabilità.

Processi aziendali: progettazione, sviluppo, manutenzione e distribuzione del software; gestione degli ambienti cloud; assistenza tecnica; gestione delle relazioni con i clienti e dei fornitori tecnologici. Infrastruttura tecnologica:e strumenti tecnologici: Architettureutilizzo clouddi distribuiteambienti (es.cloud, AWS),repository del codice sorgente, strumenti di integrazione continua/sviluppo (DevOps/Secure SDLC) e sistemigestione operativa; strumenti cloud di gestionecomunicazione, dell'assistenzacondivisione (Helpdesk).documentale e collaborazione; dispositivi utilizzati dai collaboratori per accedere ai sistemi aziendali;connessioni remote e strumenti di autenticazione. La configurazione e l'effettivo utilizzo di tali risorse sono considerati nell'individuazione e nella valutazione dei rischi. Cultura aziendaleCompetenze e risorse: Competenzedisponibilità tecnichedi focalizzatecompetenze suspecialistiche sviluppoin softwareambito LMS,software, e-learning e infrastrutture tecnologiche. La distribuzione delle conoscenze operative e la dipendenza da singole persone o fornitori sono considerate nella valutazione dei rischi per la continuità delle attività. Informazioni e proprietà intellettuale: necessità di proteggere i dati dei clienti e degli utenti, le credenziali, la documentazione tecnica, il codice sorgente e le altre informazioni aziendali da divulgazione, modifica, perdita o accesso non autorizzato. Modalità di lavoro: svolgimento interamente da remoto delle attività aziendali da parte dei soci e dei collaboratori autorizzati. Tale modello rende rilevanti la sicurezza degli accessi remoti, la protezione dei dispositivi utilizzati, la gestione didelle credenziali, la riservatezza delle informazioni negli ambienti clouddi edlavoro erogazioneindividuali e l'utilizzo sicuro delle reti e degli strumenti di supporto specialistico.comunicazione

Il

contesto organizzativo viene riesaminato almeno annualmente e in occasione di cambiamenti significativi nei servizi erogati, nell'organizzazione, nelle tecnologie utilizzate, nei fornitori rilevanti o nei requisiti normativi e contrattuali applicabili.

1.2 Mappa delle Parti Interessate (Stakeholders)e relative Esigenze e Aspettative

Forma Farm individua le parti interessate rilevanti per il SGSI e determina quali esigenze e aspettative costituiscono requisiti applicabili alle attività comprese nel campo di applicazione del sistema.

Le esigenze considerate comprendono gli obblighi normativi e regolamentari, i requisiti contrattuali, gli impegni assunti nei confronti dei clienti e le altre condizioni pertinenti alla sicurezza delle relative Aspettativeinformazioni.

Portatore d'Interesseinteresse (Stakeholder)	Esigenze ede Aspettativeaspettative rilevanti	Requisiti di Sicurezzasicurezza Collegaticollegati
Clienti (Aziendeaziende &e Enterprise)organizzazioni)	Protezione delle informazioni e dei dati personalitrattati nei servizi erogati; affidabilità e continuità della piattaforma; rispetto degli impegni contrattuali.

Gestione degli accessi; protezione dei propri corsisti,dati; disponibilità continuadel dellaservizio; piattaformagestione LMS.degli Garanziaincidenti; rispetto dei livelliDPA, degli SLA e degli eventuali requisiti di servizioaudit (SLA), cifratura dei dati, sottoscrizione del DPA.applicabili. Utenti Finalifinali /e Corsisticorsisti Riservatezza dei dati di profilopersonali e tracciamento sicuro delle attività formative.formative; corretto funzionamento del servizio; protezione degli account. Autenticazione sicura,Autenticazione; controllo degli accessiaccessi; protezione delle informazioni; gestione delle vulnerabilità e delle anomalie di sicurezza. Soci e Direzione aziendale Continuità delle attività, tutela della reputazione, protezione della privacy.proprietà intellettuale e sostenibilità dei servizi erogati. Definizione delle responsabilità; approvazione delle politiche e dei criteri di sicurezza; valutazione e trattamento dei rischi; disponibilità delle risorse necessarie al SGSI. Collaboratori e professionisti esterni Chiarezza delle responsabilità e delle autorizzazioni; disponibilità degli strumenti necessari; tutela delle informazioni a cui accedono nello svolgimento delle attività. Impegni di riservatezza; autorizzazioni coerenti con le attività assegnate; gestione degli accessi; rispetto delle regole e delle procedure di sicurezza applicabili. Fornitori di infrastruttura cloud e servizi tecnologici Rispetto degli accordi contrattuali e delle condizioni di utilizzo dei servizi; definizione delle responsabilità tra le parti. Valutazione dei fornitori; verifica delle garanzie e degli impegni contrattuali pertinenti; gestione delle dipendenze esterne e dei rischi della catena di fornitura. Altri fornitori e partner operativi Definizione delle condizioni di collaborazione e delle responsabilità; protezione delle informazioni condivise. Riservatezza; gestione degli accessi, ove applicabile; definizione dei requisiti di sicurezza pertinenti al servizio fornito. Autorità di Controllocontrollo (es.e Garanteorganismi Privacy)competenti PienaRispetto conformitàdegli alleobblighi leggilegislativi e normativeregolamentari vigenti.applicabili; disponibilità delle informazioni richieste nell'ambito delle rispettive competenze. TracciabilitàConformità deinormativa; trattamenti,conservazione delle evidenze pertinenti; gestione tempestivadelle dei Data Breachviolazioni e conformitàdegli alincidenti GDPR.secondo gli obblighi applicabili. FornitoriOrganismi di Infrastrutturacertificazione Cloude & Service Providerauditor RispettoDisponibilità deidi terminievidenze contrattualiattendibili relative al SGSI e alla conformità ai requisiti applicabili. Documentazione controllata; registrazioni delle attività svolte; tracciabilità delle valutazioni e delle policydecisioni; didisponibilità utilizzo.delle Gestioneevidenze dellanecessarie sicurezzaagli della catena di fornitura (Supplier Security) e accordi di riservatezza. Direzione e Società (Management) Tutela della reputazione aziendale, continuità del business e protezione della proprietà intellettuale (codice sorgente). Adozione formale della Politica di Sicurezza, allocazione risorse e monitoraggio dei rischi. Dipendenti e Collaboratori Chiarezza nelle procedure operative, ambiente di lavoro sicuro e strumenti adeguati. Piani di sensibilizzazione (Security Awareness), policy di Clean Desk/Screen e utilizzo sicuro dei dispositivi.audit.

Le parti interessate e i relativi requisiti vengono riesaminati almeno annualmente e quando intervengono cambiamenti significativi nei rapporti contrattuali, nei servizi, nell'organizzazione o nel quadro normativo applicabile.

I requisiti individuati sono considerati nella definizione del campo di applicazione del SGSI, nell'individuazione dei rischi per la sicurezza delle informazioni e nella determinazione delle misure di sicurezza pertinenti. I dettagli relativi agli obblighi contrattuali, normativi e alle specifiche misure adottate sono mantenuti nella documentazione di riferimento del SGSI.

---

2. Campo di Applicazione (Scope) del SGSI

2.1 Perimetro di Certificazione

Il Campo di Applicazione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm S.r.l. comprende:

"La progettazione, lo sviluppo, la manutenzione, l'erogazione in modalità SaaS e l'assistenza tecnica della piattaforma e-learning Forma Cloud LMS, dei relativi plugin, servizi cloud integrati e infrastrutture correlate, in conformità alle politiche aziendali e ai requisiti applicabili."

2.2 Delimitazione Operativa, Logica e Fisica

• Processi aziendali inclusi:
  • Sviluppo e manutenzione del codice sorgente (Secure SDLC e gestione plugin).
  • Gestione e provisioning dell'infrastruttura Cloud Hosting (es. istanze AWS, database, servizi di backup).
  • Servizi di Helpdesk, supporto tecnico e monitoraggio dei sistemi.
  • Gestione dei contratti e delle relazioni con i clienti SaaS ed Enterprise.
• Sedi fisiche ed ambienti operativi:
  • Sede legale e operativa: Via Savona 10, 20144 Milano (Italy).
  • Modalità di lavoro agile / Smart Working per dipendenti e collaboratori autorizzati.
• Asset e confini logici:
  • Piattaforme di produzione e test di Forma Cloud LMS e Forma Factory.
  • Repository di codice sorgente, sistemi di gestione delle credenziali (IAM) e strumenti interni di comunicazione/ticketing.

---

3. Metodologia di Valutazione del Rischio (Risk Assessment Methodology)

3.1 Criteri di Valutazione

Forma Farm S.r.l. adotta un approccio basato sul rischio (Risk-Based Approach) coerente con le linee guida della norma ISO/IEC 27005. Il rischio ($R$) viene calcolato in funzione della Probabilità ($P$) che una minaccia sfrutti una vulnerabilità di un asset e dell'Impatto ($I$) derivante dalla perdita di Confidenzialità, Integrità o Disponibilità.

$$R = P \times I$$

3.2 Scale di Valutazione

• Scala della Probabilità ($P$):

  1. Bassa (1): Evento raro o con basse possibilità di verificarsi, richiedente condizioni o competenze complesse.
  2. Media (2): Evento possibile che si è verificato o potrebbe verificarsi occasionalmente nel settore.
  3. Alta (3): Evento molto probabile o frequente, legato a vulnerabilità note o attacchi diffusi.

• Scala dell'Impatto ($I$):

  1. Lieve (1): Disservizio minimo, nessun impatto significativo sui clienti o sulla reputazione, violazione di dati non critici.
  2. Moderato (2): Interruzione temporanea di alcuni servizi, impatto economico limitato, potenziale violazione di dati senza conseguenze gravi.
  3. Grave (3): Interruzione prolungata del servizio SaaS LMS, violazione di dati personali (Data Breach), danno reputazionale rilevante o sanzioni normative.

3.3 Matrice del Rischio e Soglie di Accettabilità

Probabilità / Impatto Impatto Lieve (1) Impatto Moderato (2) Impatto Grave (3) **Alta (3)** **3 (Medio)** **6 (Alto)** **9 (Critico)** **Media (2)** **2 (Basso)** **4 (Medio)** **6 (Alto)** **Bassa (1)** **1 (Basso)** **2 (Basso)** **3 (Medio)**

• Valori 1–2 (Rischio Basso): Accettabile. Non richiede azioni immediate, ma è soggetto a monitoraggio periodico.
• Valori 3–4 (Rischio Medio): Tollerabile. Richiede la pianificazione di contromisure nel Piano di Trattamento del Rischio (RTP) entro tempi definiti.
• Valori 6–9 (Rischio Alto / Critico): Inaccettabile. Richiede un intervento prioritario immediato tramite l'implementazione dei controlli previsti dall'Allegato A (Annex A) della ISO/IEC 27001.