PIANO DI TRATTAMENTO DEL RISCHIO (RTP)
Il presente documento definisce le azioni correttive, i controlli di sicurezza implementati o pianificati, i ruoli di responsabilità e le tempistiche per mitigare, trasferire o accettare i rischi emersi durante la valutazione del rischio (Risk Assessment) relativa alla piattaforma Forma Cloud LMS e ai servizi correlati.
Tabella Operativa di Trattamento del Rischio
| ID Rischio | Asset Coinvolto | Rischio Lordo | Opzione di Trattamento | Azioni di Mitigazione / Controlli ISO 27001 Applicati | Responsabile Attuazione | Tempistiche / Scadenza | Rischio Residuo |
|---|---|---|---|---|---|---|---|
| RSK-01 | Codice sorgente (Forma Lms / Plugin) | 9 (Critico) | Mitigazione | Integrazione di strumenti di analisi statica e dinamica del codice (SAST/DAST) nella pipeline di sviluppo (Secure SDLC). Aggiornamento tempestivo delle librerie terze e patch management automatizzato. | Lead Developer / DevOps | Continuo (entro 48h per patch critiche) | 2 (Basso) |
| RSK-02 | Infrastruttura Cloud Hosting (AWS) & Database | 6 (Alto) | Mitigazione | Introduzione dell'obbligo di Autenticazione a Due Fattori (MFA) per tutti gli amministratori, adozione del principio del minimo privilegio sulle policy IAM e revoca immediata delle credenziali non più necessarie. | System Administrator | Entro 30 giorni | 2 (Basso) |
| RSK-03 | Piattaforma SaaS (Forma Cloud LMS) | 6 (Alto) | Mitigazione / Trasferimento | Sottoscrizione di accordi di servizio (SLA) stringenti con il provider cloud (AWS), configurazione di backup automatici multi-regione e esecuzione di test di disaster recovery (DRP) semestrali. | IT Operations Manager | Entro 60 giorni (Test semestrali) | 2 (Basso) |
| RSK-04 | Dati dei Clienti / Aziendali | 6 (Alto) | Mitigazione | Implementazione della cifratura end-to-end in transito (HTTPS/TLS) e a riposo per tutti i database cloud. Sottoscrizione formale dei Data Processing Agreement (DPA) con i clienti. | Data Protection Officer (DPO) / Legal | Entro 30 giorni | 2 (Basso) |
| RSK-05 | Dispositivi dei dipendenti (Smart Working / Notebook) | 4 (Medio) | Mitigazione | Obbligo di cifratura dei dischi (BitLocker / FileVault) su tutti i notebook aziendali o personali utilizzati per lavoro, configurazione di blocchi schermo automatici e policy di Clean Screen. | IT Helpdesk | Entro 45 giorni | 1 (Basso) |
| RSK-06 | Supply Chain Software / Fornitori Terzi | 4 (Medio) | Mitigazione | Formalizzazione di un processo di Due Diligence preventiva sui fornitori terzi e inserimento di clausole di sicurezza obbligatorie nei contratti di fornitura. | Procurement / Management | Entro 90 giorni | 1 (Basso) |
| RSK-07 | Reputazione e Proprietà Intellettuale | 3 (Medio) | Mitigazione | Utilizzo di repository cloud aziendali sicuri (es. GitHub/GitLab Enterprise) con controllo granulare degli accessi, branch protection e backup immutabili del codice sorgente. | Lead Developer | Immediato / Operativo | 1 (Basso) |
| RSK-08 | Personale interno e Collaboratori | 4 (Medio) | Mitigazione | Esecuzione di un piano annuale di formazione sulla sicurezza informatica (Security Awareness) e simulazioni periodiche di phishing per tutto il personale. | HR / Responsabile Sicurezza | Entro 60 giorni (Avvio piano) | 1 (Basso) |
Modalità di Riesame e Monitoraggio
- Verifica dell'attuazione: Il Responsabile della Sicurezza verifica lo stato di avanzamento delle azioni correttive definite nell'RTP con cadenza trimestrale.
- Aggiornamento del Piano: Il Piano di Trattamento del Rischio viene riesaminato e aggiornato formalmente almeno una volta all'anno in occasione del Riesame della Direzione, oppure a seguito di incidenti di sicurezza significativi o modifiche rilevanti dell'infrastruttura tecnologica.