Ruoli e Responsabilità
Ruoli e responsabilità del Sistema di Gestione della Sicurezza delle Informazioni (SGSI)
1. Scopo
Il presente documento definisce i ruoli funzionali e i relativi ambiti di responsabilità nell'ambito del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Forma Farm Srl.
L'obiettivo è assicurare che le responsabilità e le autorità rilevanti per la gestione della sicurezza delle informazioni siano chiaramente identificate, assegnate e comunicate, in coerenza con i requisiti della norma ISO/IEC 27001:2022.
Il modello organizzativo è proporzionato alle dimensioni e alla struttura di Forma Farm, che opera attraverso i propri soci e una rete di collaboratori e professionisti esterni, senza personale dipendente.
2. Principi organizzativi
L'organizzazione del SGSI si basa sui seguenti principi:
Attribuzione chiara delle responsabilità: ogni funzione rilevante per la sicurezza delle informazioni deve avere responsabilità e autorità definite.
Flessibilità organizzativa: uno stesso soggetto può ricoprire più ruoli funzionali, compatibilmente con le competenze necessarie e con l'eventuale presenza di conflitti di interesse.
Collaborazione tra soci e professionisti esterni: le attività possono essere svolte da soci o collaboratori, nel rispetto degli incarichi, degli accordi contrattuali e delle autorizzazioni assegnate.
Separazione delle responsabilità: ove necessario e proporzionato ai rischi, le funzioni di esecuzione, approvazione e verifica sono distinte. Quando la separazione non è concretamente possibile, sono previsti adeguati controlli compensativi.
Indipendenza delle verifiche: le attività di audit interno sono organizzate in modo da garantire obiettività e imparzialità.
I ruoli descritti nel presente documento sono funzioni organizzative e non necessariamente posizioni lavorative o incarichi professionali autonomi.
3. Ruoli e responsabilità funzionali
La seguente tabella identifica i ruoli funzionali previsti nell'organizzazione del SGSI e ne descrive il rispettivo ambito di responsabilità.
Codice
Ruolo
Ambito di responsabilità
DIR
Direzione / Amministratore
Indirizzo e supervisione del SGSI; approvazione delle politiche e degli obiettivi di sicurezza; assegnazione delle risorse; approvazione delle decisioni di competenza in materia di gestione dei rischi; riesame delle prestazioni del SGSI.
RSI
Responsabile del SGSI
Coordinamento e mantenimento del SGSI; supporto all'analisi e al trattamento dei rischi; gestione della documentazione; monitoraggio degli obiettivi e delle azioni di miglioramento; coordinamento delle attività di verifica e reporting alla Direzione.
TEC
Responsabile tecnico e infrastrutture
Gestione della sicurezza delle infrastrutture e degli ambienti tecnologici; configurazioni e aggiornamenti; gestione tecnica degli accessi; backup e ripristino; monitoraggio; gestione delle vulnerabilità e degli interventi tecnici di sicurezza.
SWD
Responsabile sviluppo software
Sicurezza del processo di sviluppo; gestione del codice sorgente e dei repository; controllo delle modifiche; gestione delle dipendenze software; verifiche e test; sicurezza dei rilasci e manutenzione applicativa.
PRI
Referente privacy e protezione dei dati
Coordinamento degli aspetti relativi alla protezione dei dati personali; supporto nella gestione degli adempimenti privacy, delle richieste degli interessati e delle violazioni di dati personali, in coordinamento con la Direzione e con le funzioni coinvolte.
COM
Responsabile commerciale e marketing
Gestione sicura delle informazioni commerciali; protezione dei dati di clienti e prospect; utilizzo sicuro degli strumenti CRM e marketing; riservatezza delle offerte e dei contratti; condivisione autorizzata delle informazioni con clienti e soggetti esterni.
HD
Responsabile helpdesk e assistenza clienti
Gestione e classificazione delle richieste di assistenza; supporto agli utenti; gestione dei ticket; accesso alle informazioni e ai sistemi dei clienti secondo le autorizzazioni ricevute; documentazione degli interventi e segnalazione di anomalie e incidenti.
VER
Verificatore / auditor interno
Pianificazione ed esecuzione delle verifiche interne sul SGSI; valutazione della conformità e dell'efficacia dei controlli; documentazione dei risultati degli audit e verifica delle azioni correttive, assicurando obiettività e imparzialità.
I ruoli possono essere ricoperti da più soggetti contemporaneamente. In particolare, le funzioni operative possono essere svolte da collaboratori esterni, mentre le responsabilità di coordinamento, supervisione e approvazione possono rimanere in capo ai soci o ad altri soggetti formalmente incaricati.
3.1 Collaboratori e fornitori esterni
Le attività affidate a collaboratori e fornitori esterni sono svolte nell'ambito degli incarichi e degli accordi contrattuali definiti con Forma Farm.
I collaboratori che partecipano alle attività del SGSI o che accedono a informazioni, sistemi e infrastrutture aziendali o dei clienti sono tenuti a:
rispettare le politiche e le procedure di sicurezza applicabili;
utilizzare esclusivamente gli accessi e le autorizzazioni assegnati;
proteggere le informazioni e i dati trattati nello svolgimento delle attività;
rispettare gli obblighi contrattuali di riservatezza e gli eventuali obblighi in materia di protezione dei dati personali;
segnalare tempestivamente incidenti, anomalie o sospette violazioni della sicurezza.
La qualifica di socio o collaboratore non determina automaticamente l'attribuzione di specifiche responsabilità o autorizzazioni: queste sono definite in funzione dei ruoli effettivamente ricoperti e degli incarichi assegnati.
4. Assegnazione nominativa delle responsabilità
L'assegnazione dei ruoli funzionali ai singoli soggetti è documentata mediante una specifica matrice nominativa delle responsabilità RACI, riportata nel documento «Matrice RACI – Assegnazione delle responsabilità SGSI».
La matrice associa le persone ai ruoli funzionali definiti nel presente documento, specificando per ciascun ruolo il livello di responsabilità attribuito:
A – Accountable: responsabile ultimo del risultato e delle decisioni di propria competenza;
R – Responsible: responsabile dell'esecuzione delle attività;
C – Consulted: soggetto da consultare per competenze o contributi pertinenti;
I – Informed: soggetto da informare sulle attività o decisioni rilevanti;
–: nessuna responsabilità assegnata per il ruolo.
La matrice consente di rappresentare anche situazioni in cui uno stesso ruolo è ricoperto da più persone con livelli di responsabilità differenti, ad esempio quando un collaboratore svolge le attività operative e un socio mantiene la responsabilità ultima della funzione.
Per ciascun ruolo e per le responsabilità pertinenti deve essere identificato il soggetto dotato dell'autorità necessaria, evitando ambiguità nell'attribuzione delle decisioni.
5. Separazione dei compiti e controlli compensativi
Considerate le dimensioni dell'organizzazione e la possibilità che uno stesso soggetto ricopra più ruoli, Forma Farm valuta la separazione dei compiti in funzione della natura delle attività e dei rischi associati.
Particolare attenzione è riservata a:
assegnazione e gestione delle autorizzazioni di accesso;
attività tecniche con privilegi amministrativi;
modifiche alle infrastrutture e agli ambienti di produzione;
gestione degli incidenti di sicurezza;
approvazione e verifica delle attività rilevanti;
esecuzione degli audit interni.
Quando non è possibile realizzare una separazione diretta tra chi esegue e chi approva o verifica un'attività, possono essere adottati controlli compensativi, quali registrazione delle operazioni, revisione successiva, approvazione da parte della Direzione o verifica indipendente.
Le modalità di applicazione dei controlli sono definite nelle procedure operative pertinenti e documentate attraverso le relative evidenze.
6. Aggiornamento e riesame
Il presente documento e la relativa matrice RACI sono mantenuti aggiornati dal Responsabile del SGSI e sottoposti all'approvazione della Direzione.
Sono riesaminati in occasione di:
variazioni nella composizione dei soci o dei collaboratori;
assegnazione o cessazione di incarichi e responsabilità;
modifiche significative all'organizzazione o ai servizi erogati;
introduzione di nuove attività o sistemi che comportino responsabilità rilevanti per la sicurezza;
riesame periodico del SGSI o rilevazione di criticità nell'attribuzione delle responsabilità.
Le modifiche alle assegnazioni nominative sono riportate nella matrice RACI, mentre il presente documento viene aggiornato quando cambiano i ruoli funzionali o i rispettivi ambiti di responsabilità.
7. Riferimenti
ISO/IEC 27001:2022 – Clausola 5.3: Organizational roles, responsibilities and authorities.
ISO/IEC 27001:2022 – Clausola 5.1: Leadership and commitment.
ISO/IEC 27001:2022 – Clausola 7.2: Competence.
ISO/IEC 27001:2022 – Clausola 7.3: Awareness.
ISO/IEC 27001:2022 – Clausola 9.2: Internal audit.
Matrice RACI – Assegnazione delle responsabilità SGSI.
Politica per la sicurezza delle informazioni.
Procedura di gestione degli accessi.
Procedura di gestione degli incidenti di sicurezza.
