Skip to main content

POLITICHE SPECIFICHE DI DOMINIO

Le Politiche Specifiche di Dominio a supporto del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) per Forma Farm S.r.l. definiscono le regole operative e i comportamenti richiesti in aree specifiche dell'organizzazione. 

Controllo degli Accessi e IAM (Identity and Access Management)

  • Scopo: Regolare le modalità di profilazione, autorizzazione e gestione delle credenziali per l'accesso ai sistemi aziendali e agli ambienti di produzione cloud.

  • Principi chiave:

    • Adozione rigorosa del principio del minimo privilegio (least privilege) per tutti gli operatori e amministratori.

    • Obbligo di utilizzo di meccanismi di autenticazione forte (es. autenticazione a due fattori - MFA) per l'accesso agli ambienti cloud critici, ai server e ai pannelli di controllo della piattaforma LMS.

    • Revisione periodica dei permessi e immediata revoca delle credenziali in caso di cessazione del rapporto di lavoro o cambio di mansione.

Utilizzo dei Dispositivi Mobili e dello Smart Working (Mobile Device & Teleworking Policy)

  • Scopo: Regolamentare la sicurezza e la protezione delle informazioni aziendali al di fuori del perimetro fisico tradizionale della sede di Via Savona a Milano.

  • Principi chiave:

    • Obbligo di protezione mediante password robuste, PIN o biometria e cifratura del disco per tutti i dispositivi (notebook, smartphone, tablet) utilizzati per accedere ai sistemi di Forma Farm.

    • Divieto di utilizzo di reti Wi-Fi pubbliche o non protette senza l'uso di una connessione sicura (VPN aziendale).

    • Obbligo di custodire i dispositivi con cura e di segnalare immediatamente eventuali smarrimenti o furti al team tecnico.

Classificazione e Gestione delle Informazioni

  • Scopo: Stabilire le regole per trattare, etichettare e proteggere i dati e gli asset aziendali (in particolare i dati dei clienti, i contenuti formativi e i codici sorgente dei plugin e di Forma Lms).

  • Principi chiave:

    • Classificazione delle informazioni in base alla criticità e alla confidenzialità (es. Pubblico, Interno, Confidenziale, Strettamente Confidenziale/Dati Personali GDPR).

    • Regole per la gestione sicura, la conservazione e la distruzione o cancellazione sicura dei dati al termine del ciclo di vita o dei contratti di servizio (Data Processing Agreement).

Clean Desk e Clean Screen

  • Scopo: Garantire la protezione fisica delle informazioni sensibili e dei dati dei clienti sia all'interno degli uffici sia durante il lavoro da remoto, prevenendo accessi non autorizzati o la visualizzazione accidentale di dati critici.

  • Principi chiave:

    • Obbligo di bloccare lo schermo (screen lock) ogni volta che si lascia incustodito il terminale di lavoro.

    • Rimozione e archiviazione sicura di documenti cartacei o supporti di memorizzazione rimovibili dalle scrivanie al termine dell'orario di lavoro o in caso di assenza prolungata.

Sicurezza delle Password e Autenticazione

  • Scopo: Definire standard robusti di accesso ai sistemi informatici per prevenire violazioni derivanti da credenziali deboli o compromesse.

  • Principi chiave:

    • Requisiti minimi di complessità per le password (lunghezza minima, uso di caratteri misti, numeri e simboli) o adozione di password manager aziendali approvati.

    • Divieto assoluto di condivisione delle credenziali personali o di scrittura delle password su supporti cartacei non protetti.

Sicurezza dello Sviluppo e delle Operazioni Cloud (Integrazione DevOps / Secure SDLC)

  • Scopo: Assicurare che la piattaforma Forma Cloud LMS e i relativi plugin siano sviluppati, aggiornati e gestiti in sicurezza.

  • Principi chiave:

    • Separazione rigorosa tra gli ambienti di sviluppo, test e produzione.

    • Gestione costante delle vulnerabilità e applicazione tempestiva degli aggiornamenti di sicurezza (Patch Management) sui componenti open source e sulle infrastrutture cloud.