PIANO DI TRATTAMENTO DEL RISCHIO (RTP)
Il presente documento definisce le azioni correttive, i controlli di sicurezza implementati o pianificati, i ruoli di responsabilità e le tempistiche per mitigare, trasferire o accettare i rischi emersi durante la valutazione del rischio (Risk Assessment) relativa alla piattaforma Forma Cloud LMS e ai servizi correlati.
Tabella Operativa di Trattamento del Rischio
| ID Rischio |
Asset Coinvolto/ Processo |
Rischio LordoIniziale |
Opzione di Trattamento |
Azioni di Mitigazione / Controlli ISO 27001 Applicati/ Azioni di Mitigazione |
Stato Attuazione
Responsabile Attuazione
Tempistiche /
ScadenzaFrequenza
Rischio Residuo
RSK-01
Codice sorgente (Forma
LmsLMS / Plugin)
9 (Critico)
Mitigazione
IntegrazioneAnalisi diautomatizzata strumentiSAST/DAST di analisi statica e dinamica del codice (SAST/DAST)integrata nella pipeline
di sviluppoCI/CD (Secure SDLC)
. Aggiornamento tempestivo delle librerie terze e patch management automatizzato.
Già attiva
Lead Developer / DevOps
ContinuoMonitoraggio continuo (
Patch entro 48h per
patchfalle critiche)
2 (Basso)
RSK-02
Infrastruttura Cloud Hosting (AWS) & Database
6 (Alto)
Mitigazione
Introduzione dell'obbligo di Autenticazione a Due Fattori (MFA)
obbligatoria per
tutti gli amministratori,
adozione del principiopolitica del minimo privilegio
sulle policy IAM e
revocacifratura immediatadati.
delleGià credenziali non più necessarie.applicata
System Administrator
EntroRevisione 30permessi giornisemestrale
2 (Basso)
RSK-03
Piattaforma SaaS (Forma Cloud LMS)
6 (Alto)
Mitigazione / Trasferimento
SottoscrizioneAccordi di accordi di servizio (SLA) stringentiSLA con
il provider
cloud (AWS), configurazione diAWS, backup automatici multi-regione e
esecuzione di test
diDRP.
disasterGià recovery (DRP) semestrali.attive
IT Operations Manager
EntroTest 60DRP giorniAnnuale (
Teste semestrali)al cambio di architettura)
2 (Basso)
RSK-04
Dati dei Clienti /
AziendaliGDPR
6 (Alto)
Mitigazione
Implementazione della cifraturaCifratura end-to-end in transito (HTTPS/TLS) e a riposo per
tutti i databaseDB cloud. Sottoscrizione
formale dei Data Processing AgreementDPA (
DPA) con i clienti.IT/EN).
DataGià Protectionattive
Officer (DPO)DPO / Legal
EntroOperativo 30permanente giorni/ Aggiornamento contratti
2 (Basso)
RSK-05
Dispositivi
dei dipendenti (Smart WorkingDipendenti /
Notebook)Workstation
4 (Medio)
Mitigazione
Obbligo di cifratura deiCifratura dischi (
BitLockerBitLocker/FileVault), / FileVault) su tutti i notebook aziendali o personali utilizzati per lavoro, configurazione di blocchiblocco schermo
automatici e policy
di Clean Screen.
Già applicata
IT Helpdesk
EntroVerifiche 45periodiche giornisui dispositivi
1 (Basso)
RSK-06
Supply Chain
Software / Fornitori Terzi
4 (Medio)
Mitigazione
FormalizzazioneProcesso di
un processo di Due Diligence preventiva sui fornitori terzi e inserimentoclausole di clausolecontrattuali di sicurezza obbligatorie nei contratticontratti.
In corso di fornitura.formalizzazione
ProcurementManagement /
ManagementLegal
EntroCompletamento entro 90 giorni
1 (Basso)
RSK-07
Reputazione e Proprietà Intellettuale
3 (Medio)
Mitigazione
UtilizzoRepository diGit repository cloud aziendali sicuri (es. GitHub/GitLab Enterprise)privati con
controllobranch protection, gestione ruoli granulare
degli accessi, branch protection e backup
immutabiliimmutabili.
delGià codice sorgente.applicata
Lead Developer
ImmediatoOperativo / Operativopermanente
1 (Basso)
RSK-08
Personale interno e Collaboratori
4 (Medio)
Mitigazione
Esecuzione di un pianoPiano annuale di
Security Awareness, formazione
sulla sicurezza
informatica (Security Awareness) e simulazioni
periodiche di
phishingphishing.
perIn tuttocorso il/ personale.Pianificato
HR / Responsabile
SicurezzaSGSI
EntroAvvio entro 60 giorni (
Avviocadenza piano)annuale)
1 (Basso)
Modalità di Riesame e Monitoraggio
- Verifica dell'attuazione: Il Responsabile della Sicurezza verifica lo stato di avanzamento delle azioni correttive definite nell'RTP con cadenza trimestrale.
- Aggiornamento del Piano: Il Piano di Trattamento del Rischio viene riesaminato e aggiornato formalmente almeno una volta all'anno in occasione del Riesame della Direzione, oppure a seguito di incidenti di sicurezza significativi o modifiche rilevanti dell'infrastruttura tecnologica.
