DICHIARAZIONE DI APPLICABILITÀ (STATEMENT OF APPLICABILITY - SoA)
Conforme alla Norma ISO/IEC 27001:2022
Organizzazione: Forma Farm S.r.l.
Sede Legale: Via Savona 10, 20144 Milano (MI)
Modello Operativo: 100% Full Remote / Distributed Organization
Infrastruttura: Cloud Hosting AWS (Amazon Web Services) & Servizi Managed SaaS
Versione Documento: 1.0
Data del Documento: Ottobre 2026
1. INTRODUZIONE E CRITERI DI SELEZIONE
Il presente documento costituisce la Dichiarazione di Applicabilità (SoA) del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm S.r.l., redatta in conformità ai requisiti della norma ISO/IEC 27001:2022 (Allegato A).
1.1 Contesto e Specificità Operative
Forma Farm S.r.l. sviluppa, eroga e gestisce in modalità SaaS la piattaforma e-learning Forma Cloud LMS, i relativi plugin e servizi integrati. L'organizzazione adotta un modello 100% Full Remote, privo di server o data center fisici di proprietà; l'intera infrastruttura applicativa e di memorizzazione dati è ospitata presso il Cloud Provider AWS (Amazon Web Services).
1.2 Criteri di Inclusione ed Esclusione dei Controlli
I controlli dell'Allegato A della norma ISO/IEC 27001:2022 sono stati valutati e selezionati in base a:
- Risultati della valutazione dei rischi (Risk Assessment) declinati nel Registro dei Rischi e nel Piano di Trattamento del Rischio (RTP).
- Requisiti cogenti e normativi (es. Regolamento UE 2016/679 - GDPR, normative sul diritto d'autore e proprietà intellettuale).
- Obblighi contrattuali stipulati con i clienti (SLA, Data Processing Agreement - DPA).
- Esigenze operative del modello di business SaaS/Cloud e lavoro da remoto.
2. MATRICE DEI CONTROLLI ISO/IEC 27001:2022
Sezione A.5 — Controlli Organizzativi (Organizational Controls)
| Rif. ISO 27001 | Nome Controllo | Applicabile (Sì/No) | Stato di Attuazione | Giustificazione / Modalità di Implementazione |
|---|---|---|---|---|
| A.5.1 | Politiche per la sicurezza delle informazioni | Sì | Implementato | Politica di Sicurezza delle Informazioni definita e approvata dalla Direzione. |
| A.5.2 | Ruoli e responsabilità per la sicurezza | Sì | Implementato | Assegnazione formale delle responsabilità SGSI (Direzione, Lead Dev, Admin, DPO). |
| A.5.3 | Segregazione dei compiti | Sì | Implementato | Separazione dei ruoli tra ambienti di dev/test e produzione cloud AWS. |
| A.5.4 | Responsabilità della direzione | Sì | Implementato | Coinvolgimento attivo nei Riesami della Direzione e nell'allocazione delle risorse SGSI. |
| A.5.5 | Contatto con le autorità | Sì | Implementato | Procedure di contatto per Data Breach con il Garante Privacy e CSIRT Italia. |
| A.5.6 | Contatto con gruppi di interesse speciale | Sì | Implementato | Partecipazione a community Open Source (Forma LMS) e forum sulla sicurezza cloud. |
| A.5.7 | Threat intelligence | Sì | Implementato | Monitoraggio di bollettini CVE, feed di sicurezza AWS e dipendenze software. |
| A.5.8 | Sicurezza delle informazioni nella gestione dei progetti | Sì | Implementato | Integrazione della sicurezza nella roadmap di prodotto e nello sviluppo plugin. |
| A.5.9 | Inventario delle informazioni e degli altri asset associati | Sì | Implementato | Inventario formale degli asset (codice, account cloud, dati clienti, laptop aziendali). |
| A.5.10 | Uso ammissibile delle informazioni e degli asset | Sì | Implementato | Definizione dell'Acceptable Use Policy nell'Information Security Policy e contratti. |
| A.5.11 | Restituzione degli asset | Sì | Implementato | Procedura di offboarding con revoca utenze e restituzione/wipe dei dispositivi. |
| A.5.12 | Classificazione delle informazioni | Sì | Implementato | Definizione di 4 livelli di riservatezza (Pubblico, Interno, Confidenziale, Dati Personali). |
| A.5.13 | Etichettatura delle informazioni | Sì | Implementato | Applicazione di tag e criteri logici sui repository Git, DB e bucket S3. |
| A.5.14 | Trasferimento di informazioni | Sì | Implementato | Utilizzo esclusivo di canali cifrati (TLS/HTTPS, SSH) e clausole contrattuali DPA. |
| A.5.15 | Controllo degli accessi | Sì | Implementato | Principio del minimo privilegio gestito via IAM policy e ruoli ruotati. |
| A.5.16 | Gestione delle identità | Sì | Implementato | Processo formalizzato di provisioning e de-provisioning delle utenze aziendali. |
| A.5.17 | Informazioni per l'autenticazione | Sì | Implementato | Gestione credenziali tramite Password Manager aziendale e obbligo di password complesse. |
| A.5.18 | Diritti di accesso | Sì | Implementato | Revisione periodica (semestrale) delle ACL e delle policy IAM su AWS e GitHub. |
| A.5.19 | Sicurezza delle informazioni nelle relazioni con i fornitori | Sì | Implementato | Valutazione della sicurezza dei fornitori critici (AWS, SaaS terzi). |
| A.5.20 | Indirizzamento della sicurezza nei contratti con i fornitori | Sì | Implementato | Clausole di sicurezza e riservatezza nei contratti e sottoscrizione DPA. |
| A.5.21 | Gestione della sicurezza nella catena di fornitura ICT | Sì | In corso | Procedura di due diligence e verifica della sicurezza delle librerie Open Source. |
| A.5.22 | Monitoraggio, riesame e gestione dei servizi dei fornitori | Sì | Implementato | Verifiche continue sugli SLA dei Cloud Provider e sui report di conformità SOC/ISO. |
| A.5.23 | Sicurezza delle informazioni per l'uso dei servizi cloud | Sì | Implementato | Configurazione conforme alle best-practice di sicurezza cloud AWS (CIS Benchmark). |
| A.5.24 | Gestione degli incidenti per la sicurezza delle informazioni | Sì | Implementato | Procedura formale per rilevazione, escalation e notifica di incidenti/Data Breach. |
| A.5.25 | Valutazione e decisione sugli eventi di sicurezza | Sì | Implementato | Criteri di classificazione della gravità degli eventi correlati alle risorse Cloud. |
| A.5.26 | Risposta agli incidenti di sicurezza | Sì | Implementato | Piani di risposta rapida per isolamento istanze, ripristino backup e patch emergenti. |
| A.5.27 | Apprendimento dagli incidenti di sicurezza | Sì | Implementato | Post-mortem analysis e aggiornamento dei controlli a seguito di anomalie/incidenti. |
| A.5.28 | Raccolta di prove | Sì | Implementato | Tracciabilità dei log di audit AWS CloudTrail e audit log di sistema per uso forense. |
| A.5.29 | Sicurezza delle informazioni durante l'interruzione | Sì | Implementato | Piano di Continuità Operativa e Disaster Recovery per la piattaforma LMS. |
| A.5.30 | PR di ICT per la continuità operativa | Sì | Implementato | Replicazione multi-AZ dei dati e procedure automatizzate di failover su AWS. |
| A.5.31 | Requisiti legali, statutari, normativi e contrattuali | Sì | Implementato | Registro di conformità normativa (GDPR, Proprietà Intellettuale, Contratti Clienti). |
| A.5.32 | Diritti di proprietà intellettuale | Sì | Implementato | Tutela del codice proprietario (Forma Factory/Plugin) e rispetto licenze Open Source. |
| A.5.33 | Protezione dei registri (records) | Sì | Implementato | Conservazione sicura e immutabile dei log e dei documenti fiscali/legali. |
| A.5.34 | Privacy e protezione dei dati personali (PII) | Sì | Implementato | Nomina a Responsabile del Trattamento (DPA), nomina DPO e rispetto del GDPR. |
| A.5.35 | Riesame indipendente della sicurezza | Sì | Implementato | Audit interni programmati e verifiche da parte di enti di certificazione terzi. |
| A.5.36 | Conformità con politiche e standard di sicurezza | Sì | Implementato | Verifiche periodiche sull'applicazione delle policy da parte del personale. |
| A.5.37 | Procedure operative documentate | Sì | Implementato | Documentazione tecnica di deploy, gestione server, backup e manutenzione LMS. |
Sezione A.6 — Controlli sulle Persone (People Controls)
| Rif. ISO 27001 | Nome Controllo | Applicabile (Sì/No) | Stato di Attuazione | Giustificazione / Modalità di Implementazione |
|---|---|---|---|---|
| A.6.1 | Screening | Sì | Implementato | Verifiche pre-assunzione (curriculum, referenze, assenza di condanne) per nuovi assunti. |
| A.6.2 | Termini e condizioni di impiego | Sì | Implementato | Clausole di riservatezza (NDA) ed etica professionale integrate nei contratti di lavoro. |
| A.6.3 | Consapevolezza, istruzione e formazione | Sì | In corso | Piano di formazione annuale in Security Awareness e simulazioni di phishing. |
| A.6.4 | Processo disciplinare | Sì | Implementato | Richiamo al CCNL applicabile per le violazioni delle politiche di sicurezza. |
| A.6.5 | Responsabilità post-impiego | Sì | Implementato | Obbligo di riservatezza permanente e revoca totale degli accessi al termine del rapporto. |
| A.6.6 | Accordi di riservatezza o non divulgazione | Sì | Implementato | Sottoscrizione di NDA con tutti i dipendenti, collaboratori esterni e fornitori terzi. |
| A.6.7 | Lavoro da remoto (Remote working) | Sì | Implementato | Controllo critico: Regolamento di Telelavoro/Smart Working, uso VPN/TLS e dispositivi protetti. |
| A.6.8 | Segnalazione di eventi di sicurezza | Sì | Implementato | Canale di segnalazione interno tempestivo per anomalie, phishing o smarrimento dispositivi. |
Sezione A.7 — Controlli Fisici (Physical Controls)
Nota metodologica sul modello Full Remote: Poiché Forma Farm S.r.l. non gestisce server o perimetri fisici di data center (interamente in outsourcing ad AWS), i controlli fisici perimetrali tradizionali sono dichiarati Non Applicabili (Esclusi) o adattati esclusivamente alla sicurezza delle postazioni di lavoro domiciliari/nomadi.
| Rif. ISO 27001 | Nome Controllo | Applicabile (Sì/No) | Stato di Attuazione | Giustificazione / Modalità di Implementazione |
|---|---|---|---|---|
| A.7.1 | Perimetri di sicurezza fisica | No | Escluso | Non applicabile: Assenza di perimetri fisici aziendali o server locali (infrastruttura 100% AWS). |
| A.7.2 | Ingresso fisico | No | Escluso | Non applicabile: Inesistenti aree ad accesso controllato o sale server proprie. |
| A.7.3 | Mantenimento di uffici, stanze e strutture | No | Escluso | Non applicabile: Organizzazione operativamente 100% distribuita in remote working. |
| A.7.4 | Monitoraggio della sicurezza fisica | No | Escluso | Non applicabile: Gestito autonomamente da AWS per i propri Data Center (certificati ISO 27001). |
| A.7.5 | Protezione contro minacce fisiche e ambientali | No | Escluso | Non applicabile: Delega della sicurezza fisica dei server al Cloud Provider (AWS). |
| A.7.6 | Lavoro in aree sicure | No | Escluso | Non applicabile: Nessuna area ad alto rischio fisico o di produzione gestita in sede. |
| A.7.7 | Scrivania pulita e schermo pulito (Clean desk/screen) | Sì | Implementato | Applicabile alle postazioni di lavoro dei remotisti: blocco schermo automatico e no stampe. |
| A.7.8 | Posizionamento e protezione delle apparecchiature | Sì | Implementato | Obbligo di custodia fisica e non abbandono dei laptop/dispositivi aziendali in luoghi pubblici. |
| A.7.9 | Sicurezza degli asset fuori dalle sedi | Sì | Implementato | Regolamentazione dell'uso dei computer portatili durante trasferte o spostamenti. |
| A.7.10 | Supporti di memorizzazione (Storage media) | Sì | Implementato | Divieto d'uso di pendrive/hard-disk USB non cifrati per il trasferimento di dati riservati. |
| A.7.11 | Utenze di servizio (Utilities) | No | Escluso | Non applicabile: Gestione di energia/climatizzazione affidata interamente al provider AWS. |
| A.7.12 | Sicurezza del cablaggio | No | Escluso | Non applicabile: Assenza di infrastruttura di rete cablata proprietaria. |
| A.7.13 | Manutenzione delle apparecchiature | Sì | Implementato | Manutenzione e sostituzione ordinaria dei laptop di lavoro gestita via Helpdesk/IT. |
| A.7.14 | Smaltimento o riutilizzo sicuro degli asset | Sì | Implementato | Wipe crittografico/distruzione sicura dei dischi prima della dismissione dei notebook. |
Sezione A.8 — Controlli Tecnologici (Technological Controls)
| Rif. ISO 27001 | Nome Controllo | Applicabile (Sì/No) | Stato di Attuazione | Giustificazione / Modalità di Implementazione |
|---|---|---|---|---|
| A.8.1 | Dispositivi degli utenti finali (User endpoint devices) | Sì | Implementato | Cifratura integrale del disco (BitLocker/FileVault), antivirus e OS sempre aggiornato. |
| A.8.2 | Diritti di accesso privilegiato | Sì | Implementato | Restrizione rigorosa dell'accesso Root/Admin su AWS e sistemi di produzione. |
| A.8.3 | Restrizione dell'accesso alle informazioni | Sì | Implementato | Isolamento dei DB per cliente e segregazione dell'accesso ai dati di produzione LMS. |
| A.8.4 | Accesso al codice sorgente | Sì | Implementato | Accesso ai repository GitHub/GitLab regolato da ruoli, MFA e branch protection. |
| A.8.5 | Autenticazione sicura | Sì | Implementato | Obbligo tassativo di Autenticazione a Due Fattori (MFA) su tutte le risorse cloud/SaaS. |
| A.8.6 | Capacity management | Sì | Implementato | Autoscaling e monitoraggio risorse via AWS CloudWatch per prevenire saturazioni. |
| A.8.7 | Protezione contro i malware | Sì | Implementato | Soluzioni Endpoint Protection (EDR/Antivirus) sulle workstation e scansioni container. |
| A.8.8 | Gestione delle vulnerabilità tecniche | Sì | Implementato | Scansione automatizzata di codice e librerie (SAST/DAST) in pipeline CI/CD; patch in 48h. |
| A.8.9 | Gestione della configurazione | Sì | Implementato | Infrastruttura definita come codice (IaC) e configurazioni di sicurezza standardizzate. |
| A.8.10 | Cancellazione delle informazioni | Sì | Implementato | Script automatizzati per la cancellazione sicura dei dati al termine dei contratti (DPA). |
| A.8.11 | Mascheramento dei dati (Data masking) | Sì | Implementato | Anonomizzazione/Pseudonimizzazione dei dati di produzione usati in ambienti di test. |
| A.8.12 | Prevenzione della fuga di dati (DLP) | Sì | Implementato | Restrizione dei download, blocco condivisioni pubbliche di bucket S3 e monitoraggio log. |
| A.8.13 | Backup delle informazioni | Sì | Implementato | Backup automatici giornalieri multi-regione AWS con test di ripristino periodici. |
| A.8.14 | Ridondanza delle strutture di elaborazione | Sì | Implementato | Architettura Cloud distribuita su più Multi-Availability Zone (Multi-AZ AWS). |
| A.8.15 | Logging | Sì | Implementato | Abilitazione di log centralizzati su AWS CloudWatch/CloudTrail e conservazione protetta. |
| A.8.16 | Attività di monitoraggio | Sì | Implementato | Allarmi in tempo reale per accessi anomali, errori di sistema o picchi di traffico. |
| A.8.17 | Sincronizzazione dell'ora | Sì | Implementato | Sincronizzazione automatica del tempo su server e container tramite NTP (AWS Time Sync). |
| A.8.18 | Uso di programmi di utilità privilegiati | Sì | Implementato | Restrizione dell'uso di tool di sistema e tracciamento dei comandi amministrativi. |
| A.8.19 | Installazione di software sui sistemi operativi | Sì | Implementato | Blocco dell'installazione di software non autorizzato sulle postazioni di lavoro. |
| A.8.20 | Sicurezza delle reti | Sì | Implementato | Utilizzo di VPC (Virtual Private Cloud), subnet private e Security Group su AWS. |
| A.8.21 | Sicurezza dei servizi di rete | Sì | Implementato | Utilizzo di HTTPS, firewall applicativi (WAF) e protezione anti-DDoS (AWS Shield). |
| A.8.22 | Segregazione delle reti | Sì | Implementato | Separazione logica tra ambienti aziendali, ambienti Dev/Staging e Production Cloud. |
| A.8.23 | Filtraggio web | Sì | Implementato | Protezione DNS/Endpoint per prevenire la navigazione su siti malevoli o di phishing. |
| A.8.24 | Uso della crittografia | Sì | Implementato | Cifratura dei dati in transito (TLS 1.2/1.3) e a riposo (AES-256 su database e storage). |
| A.8.25 | Ciclo di vita dello sviluppo sicuro (Secure SDLC) | Sì | Implementato | Linee guida per lo sviluppo sicuro, code review obbligatoria e test di sicurezza. |
| A.8.26 | Requisiti di sicurezza delle applicazioni | Sì | Implementato | Analisi dei requisiti di sicurezza per tutti i nuovi moduli o plugin di Forma LMS. |
| A.8.27 | Architettura dei sistemi sicuri e principi di ingegneria | Sì | Implementato | Progettazione basata su principi di Defense in Depth e Zero Trust. |
| A.8.28 | Coding sicuro | Sì | Implementato | Adozione degli standard OWASP Top 10 nelle prassi di programmazione del team Dev. |
| A.8.29 | Test di sicurezza nello sviluppo e nell'accettazione | Sì | Implementato | Scansioni SAST/DAST e test di collaudo prima di ogni release in produzione. |
| A.8.30 | Sviluppo esternalizzato | Sì | Implementato | Controllo del codice e review rigorosa per i plugin forniti da terzi/freelance. |
| A.8.31 | Separazione degli ambienti di sviluppo, test e produzione | Sì | Implementato | Ambienti cloud separati e isolati; nessun dato reale di produzione in dev/test. |
| A.8.32 | Gestione del cambiamento (Change management) | Sì | Implementato | Flusso di approvazione e tracciamento delle modifiche al codice e all'infrastruttura. |
| A.8.33 | Informazioni di test | Sì | Implementato | Utilizzo esclusivo di dati sintetici o pseudonimizzati per gli ambienti di test. |
| A.8.34 | Protezione dei sistemi di informazione durante i test | Sì | Implementato | Limitazione e monitoraggio degli accessi agli ambienti di staging e collaudo. |
3. SINTESI E APPROVAZIONE
- Totale controlli ISO/IEC 27001:2022: 93
- Controlli Dichiarati Applicabili: 86
- Controlli Esclusi (Non Applicabili): 7 (tutti relativi alla sicurezza fisica perimetrale, motivati dall'architettura 100% Cloud e dal modello organizzativo Full Remote).
La presente Dichiarazione di Applicabilità è approvata dalla Direzione di Forma Farm S.r.l. ed è soggetta a riesame almeno annuale o in coincidenza con modifiche rilevanti dell'infrastruttura tecnologica e dei processi di business.
Milano, Ottobre 2026
Forma Farm S.r.l. — La Direzione