Sicurezza delle informazioni

Le misure tecniche e organizzative adottate per proteggere i sistemi informativi, la piattaforma, le aree partner e i dati trattati nell’ambito dei servizi digitali Akuerò Club.

La sicurezza delle informazioni e la protezione dei dati personali rappresentano elementi fondamentali nella progettazione, nello sviluppo e nella gestione di Akuerò Club.

Akuerò S.r.l., sviluppatore e gestore della soluzione Akuerò Club, adotta misure tecniche e organizzative volte a proteggere i sistemi, le piattaforme e i dati trattati, secondo criteri di adeguatezza, proporzionalità e gestione del rischio.

L’obiettivo è preservare la riservatezza, l’integrità e la disponibilità delle informazioni, riducendo il rischio di accessi non autorizzati, perdita, alterazione, divulgazione o utilizzo improprio dei dati.

01 — Protezione dei dati personali

I dati personali trattati attraverso i sistemi e i servizi Akuerò Club sono gestiti nel rispetto del Regolamento (UE) 2016/679 – GDPR, del Codice in materia di protezione dei dati personali e della normativa applicabile.

Le misure di sicurezza sono individuate tenendo conto della natura, dell’oggetto, del contesto e delle finalità dei trattamenti, delle categorie e del volume dei dati trattati, dei sistemi e dei fornitori coinvolti, dei rischi per i diritti e le libertà delle persone e dello stato dell’arte.

Akuerò applica inoltre i principi di protezione dei dati fin dalla progettazione e per impostazione predefinita, integrando privacy e sicurezza nei processi di sviluppo, configurazione e gestione dei servizi.

02 — Sistema di Gestione della Sicurezza delle Informazioni

Akuerò si è dotata di un proprio Sistema di Gestione della Sicurezza delle Informazioni, finalizzato a identificare, valutare, trattare e monitorare i rischi informatici associati alle proprie piattaforme e ai servizi digitali, compreso Akuerò Club.

Il sistema organizza in modo strutturato e documentato responsabilità, procedure, controlli e criteri di verifica. Le misure sono riesaminate e aggiornate in relazione all’evoluzione dei servizi, delle tecnologie, delle minacce e del contesto normativo.

03 — Metodologia Cyberction©

Per la gestione del rischio informatico Akuerò ha adottato la metodologia Cyberction©, utilizzata per supportare la progettazione, l’attuazione e il progressivo miglioramento del proprio Sistema di Gestione della Sicurezza delle Informazioni.

identificare le informazioni, i sistemi e i processi da proteggere;
valutare i rischi informatici;
individuare e pianificare le misure di sicurezza;
assegnare responsabilità e priorità di intervento;
verificare l’efficacia dei controlli adottati;
favorire il raccordo tra sicurezza informatica e protezione dei dati personali.

La metodologia utilizza la tassonomia del Framework Nazionale per la Cybersecurity e la Data Protection, consentendo di organizzare le attività e i controlli secondo criteri strutturati e coerenti con il livello di rischio associato ai sistemi e ai dati trattati.

04 — Framework Nazionale per la Cybersecurity e la Data Protection

Il Framework Nazionale per la Cybersecurity e la Data Protection costituisce uno dei riferimenti utilizzati da Akuerò per organizzare le attività di sicurezza e protezione dei dati. Il Framework consente di classificare le misure nelle aree di identificazione degli asset e dei rischi, protezione dei sistemi e delle informazioni, rilevazione degli eventi di sicurezza, risposta agli incidenti e ripristino dei sistemi e della continuità operativa.

05 — Mappatura rispetto alla ISO/IEC 27001

La norma ISO/IEC 27001 costituisce un riferimento metodologico per l’organizzazione del Sistema di Gestione della Sicurezza delle Informazioni. Attraverso la metodologia Cyberction©, le attività e i controlli di sicurezza adottati da Akuerò sono mappati, ove applicabile, rispetto ai requisiti e ai controlli della ISO/IEC 27001 e alle corrispondenti categorie del Framework Nazionale.

Il richiamo alla ISO/IEC 27001 indica l’utilizzo della norma come riferimento metodologico e non costituisce una dichiarazione di certificazione.

06 — Controlli e misure di sicurezza

In funzione dei sistemi, dei servizi e dei livelli di rischio rilevati, il Sistema di Gestione della Sicurezza delle Informazioni può prevedere controlli relativi a:

gestione degli accessi e delle autorizzazioni;
attribuzione dei privilegi secondo il principio di necessità;
protezione delle credenziali e dei sistemi di autenticazione;
sicurezza delle infrastrutture, delle reti e delle applicazioni;
aggiornamento, manutenzione e configurazione dei sistemi;
gestione delle vulnerabilità;
registrazione e monitoraggio degli eventi di sicurezza;
protezione e cifratura delle informazioni, ove applicabile;
procedure di backup, ripristino e continuità operativa;
gestione degli incidenti informatici;
selezione e verifica dei fornitori tecnologici;
formazione e sensibilizzazione del personale autorizzato.

Le misure adottate sono proporzionate alla natura delle informazioni trattate e ai rischi individuati.

07 — Sicurezza nello sviluppo e nella gestione di Akuerò Club

Gli aspetti di sicurezza e protezione dei dati sono considerati durante l’intero ciclo di vita dei servizi digitali Akuerò Club. Le attività di sviluppo, configurazione, manutenzione e aggiornamento dei sistemi sono organizzate tenendo conto dei rischi connessi al trattamento delle informazioni e alla protezione dei dati personali.

L’accesso ai sistemi e ai dati è consentito esclusivamente ai soggetti autorizzati, nei limiti necessari allo svolgimento delle rispettive attività.

08 — Accesso partner e aree riservate

Akuerò Club può mettere a disposizione di partner e clienti ambienti riservati per la gestione di programmi, servizi, voucher, prenotazioni, richieste o altre attività operative, in funzione delle caratteristiche del singolo progetto.

Akuerò adotta criteri di gestione degli accessi e dei privilegi coerenti con i ruoli assegnati e con il principio di necessità, al fine di limitare l’accesso alle sole informazioni e funzionalità pertinenti alle attività autorizzate.

09 — Sicurezza dei fornitori e dei servizi integrati

Per l’erogazione di specifiche funzionalità, Akuerò Club può avvalersi di fornitori tecnologici, infrastrutture cloud, servizi di comunicazione, sistemi di pagamento o prenotazione e altri servizi specializzati.

Prima dell’affidamento di attività che comportano il trattamento di dati personali o l’accesso ai sistemi, Akuerò valuta, secondo criteri proporzionati al rischio, l’affidabilità del fornitore, le misure tecniche e organizzative, la localizzazione dei dati e delle infrastrutture, le modalità di gestione degli accessi, le procedure di risposta agli incidenti e le garanzie offerte in materia di protezione dei dati personali.

I rapporti con i fornitori sono disciplinati attraverso accordi contrattuali, obblighi di riservatezza, istruzioni documentate e, quando previsto, accordi per il trattamento dei dati personali ai sensi dell’articolo 28 del GDPR.

10 — Continuità operativa e protezione delle informazioni

Akuerò adotta misure volte a garantire, in funzione del livello di rischio, la disponibilità dei sistemi e la possibilità di ripristinare dati e servizi in caso di incidenti tecnici o informatici. Sono previste procedure di backup, conservazione e ripristino delle informazioni, riesaminate periodicamente in relazione alla criticità dei sistemi e dei servizi interessati.

11 — Gestione degli incidenti di sicurezza

Akuerò adotta procedure per rilevare, analizzare, contenere e gestire gli eventi che possano compromettere la sicurezza dei sistemi o delle informazioni trattate. Gli incidenti vengono valutati in relazione alla loro natura, agli effetti prodotti e ai potenziali rischi per le persone interessate.

Qualora un incidente comporti una violazione dei dati personali, vengono attivate le procedure previste dal GDPR, comprese, ove ne ricorrano i presupposti, la notifica al Garante per la protezione dei dati personali e la comunicazione agli interessati.

12 — Formazione e consapevolezza

Akuerò promuove attività di formazione e sensibilizzazione rivolte al personale e ai collaboratori autorizzati, con particolare attenzione alla protezione delle credenziali, al riconoscimento delle minacce informatiche, alla corretta gestione delle informazioni, al rispetto delle procedure interne, alla protezione dei dati personali e alla tempestiva segnalazione di anomalie e incidenti.

13 — Responsabile della Protezione dei Dati

Akuerò ha nominato un Responsabile della Protezione dei Dati personali – Data Protection Officer o DPO – con funzioni di sorveglianza, consulenza e supporto in materia di protezione dei dati personali.

Il DPO opera in autonomia e può essere contattato all’indirizzo: dpo@akuero.it

14 — Miglioramento continuo

La sicurezza informatica non è considerata un’attività occasionale, ma un processo continuo. Akuerò riesamina periodicamente il proprio Sistema di Gestione della Sicurezza delle Informazioni, le valutazioni dei rischi e le misure tecniche e organizzative adottate.

L’obiettivo è migliorare progressivamente l’efficacia dei controlli e adeguarli all’evoluzione di Akuerò Club, dei programmi, delle tecnologie, delle minacce informatiche e della normativa applicabile.