PREMESSA
La presente Policy di Sicurezza Informatica integra ed estende il regolamento aziendale precedentemente adottato da ICOM S.R.L.
Il documento recepisce integralmente i principi, le regole operative e le procedure già in essere, ampliandole e rendendole maggiormente strutturate, formalizzate e coerenti con:
La diffusione delle tecnologie informatiche e l’accesso alla rete Internet dai dispositivi aziendali espongono l’Azienda a rischi patrimoniali, operativi, reputazionali e penali. Pertanto, il presente documento disciplina in modo puntuale e vincolante le modalità di utilizzo degli strumenti informatici, i comportamenti richiesti al personale e le responsabilità connesse.
Le disposizioni della presente Policy si aggiungono a quelle previste dal contratto di lavoro, dai mansionari, dalle lettere di incarico e da ogni altra procedura interna.
1.1 Principi generali di trattamento
Il personale può accedere a documenti, banche dati e sistemi informatici esclusivamente in relazione alle credenziali assegnate e nel rispetto dei principi di pertinenza e non eccedenza rispetto alle mansioni svolte.
I dati devono essere:
1.2 Riservatezza delle informazioni
La riservatezza delle informazioni aziendali e dei dati dei Clienti è un principio fondamentale e inderogabile.
Il personale è tenuto a:
2.1 Dispositivi fissi e portatili
I dispositivi assegnati al personale sono strumenti di lavoro di esclusiva proprietà aziendale.
Ogni assegnatario:
I documenti tecnici, procedure operative e informazioni di reparto devono essere archiviati nei percorsi condivisi ICOM (es. SharePoint, server dati) e mai esternamente all’organizzazione aziendale.
È obbligatoria la pulizia periodica degli archivi digitali, evitando duplicazioni e conservazioni ridondanti. Il desktop del dispositivo deve essere mantenuto ordinato e non deve costituire un’area di archiviazione: è fatto divieto di salvare in modo permanente file o documenti sul desktop, che deve rimanere privo di dati e utilizzato esclusivamente come area temporanea, ove strettamente necessario.
È vietato l’utilizzo di supporti removibili non autorizzati o privi di adeguate misure di sicurezza.
All’inizio del rapporto di lavoro, al personale viene consegnato un verbale di consegna degli asset aziendali, che documenta tutti i dispositivi, strumenti, credenziali e materiali forniti. Il personale è tenuto a verificare la correttezza delle informazioni riportate e a sottoscrivere il verbale.
Tutti gli asset aziendali, inclusi dispositivi informatici, dispositivi mobili, supporti di memorizzazione, strumenti di lavoro e altre proprietà aziendali, devono essere restituiti al termine del rapporto di lavoro o in caso di cessazione anticipata per qualsiasi motivo.
Gli asset devono essere restituiti nello stato originale e non formattati, senza modifiche non autorizzate, senza dati personali o file non aziendali, e privati di eventuali configurazioni temporanee o installazioni non autorizzate. Eventuali anomalie o danni devono essere segnalati tempestivamente alla Direzione e documentati nel verbale di riconsegna.
4.1 Accesso remoto e collegamenti VPN
L’accesso ai dati, ai sistemi informativi e alle risorse aziendali da sedi esterne (Clienti, abitazione, trasferte o altre sedi non aziendali) è consentito esclusivamente tramite strumenti di accesso remoto autorizzati dall’Azienda (VPN aziendale).
È fatto divieto di:
L’accesso remoto deve avvenire utilizzando esclusivamente le credenziali personali assegnate e nel rispetto delle politiche di sicurezza e autenticazione previste. MFA?
È inoltre obbligatorio l’utilizzo dell’autenticazione a più fattori (MFA) per tutti gli accessi remoti, al fine di aumentare la protezione delle credenziali e dei dati aziendali.
4.2 Trattamento dei dati al di fuori dell’orario di lavoro
Il trattamento dei dati aziendali al di fuori dell’orario di lavoro è consentito solo in casi eccezionali, per motivate esigenze operative e previa autorizzazione della Direzione.
In tali circostanze il personale è tenuto a:
L’accesso alla rete aziendale è consentito esclusivamente tramite credenziali personali.
È fatto divieto di:
6.1 Principi generali
Le credenziali di autenticazione costituiscono strumenti personali e non delegabili. Ogni utente è responsabile dell’uso corretto delle proprie credenziali e risponde di qualsiasi attività effettuata tramite il proprio account.
È fatto espresso divieto di:
6.2 Criteri di sicurezza delle password
Tutte le password devono rispettare i seguenti requisiti minimi:
Le password devono essere mantenute strettamente riservate e non riutilizzate per servizi differenti.
In particolare:
6.3 Credenziali iniziali e gestione delle modifiche
Al momento dell’attivazione dell’account, all’utente viene assegnata una password provvisoria, che deve essere obbligatoriamente modificata al primo accesso.
La password definitiva:
In caso di smarrimento o necessità di modifica delle credenziali, solo l’Amministratore di Sistema (ADS) è autorizzato a procedere al ripristino della password.
6.4 Password Manager aziendale
L’Azienda mette a disposizione un Password Manager aziendale (Password Bolt) per la gestione sicura delle credenziali.
Ogni utente dispone di un accesso personale e riservato al Password Manager, nel quale può e deve memorizzare tutte le password necessarie allo svolgimento delle proprie attività lavorative.
È fatto divieto di:
6.5 Password dei clienti e credenziali di terzi
L’utilizzo e la gestione di password riferite a Clienti o a sistemi di terze parti sono consentiti solo se strettamente necessario e previa autorizzazione della Direzione.
In tali casi:
7.1 Protezione dei dispositivi mobili
I dispositivi mobili devono essere protetti tramite sistemi di blocco sicuri (PIN complessi, biometria o equivalenti) ed essere custoditi con la massima diligenza, evitando di lasciarli incustoditi o accessibili a soggetti non autorizzati. I dispositivi aziendali devono essere utilizzati esclusivamente per finalità lavorative.
I dispositivi mobili aziendali sono gestiti tramite Microsoft Intune, quale sistema di Mobile Device Management (MDM), al fine di garantire il rispetto delle misure di sicurezza aziendali. Attraverso tale strumento, l’Amministratore di Sistema (ADS) è autorizzato a:
In caso di smarrimento, furto o sospetto utilizzo non autorizzato del dispositivo, è obbligatoria la segnalazione immediata all’ADS e alla Direzione, al fine di consentire l’attivazione tempestiva delle misure di sicurezza previste.
7.2 Supporti di memorizzazione removibili (USB, hard disk esterni)
L’utilizzo di supporti di memorizzazione removibili (quali chiavette USB, hard disk esterni o dispositivi analoghi) è consentito esclusivamente per esigenze lavorative e previa autorizzazione della Direzione.
Tali supporti possono contenere solo file temporanei, strettamente necessari allo svolgimento delle attività autorizzate, e non devono essere utilizzati come strumenti di archiviazione permanente.
Il personale è tenuto a:
Particolare attenzione deve essere riservata ai dati personali, che devono essere trattati e protetti in conformità alle disposizioni del GDPR.
L’uso improprio o non autorizzato di supporti di memorizzazione removibili costituisce violazione delle presenti disposizioni.
È obbligatorio bloccare qualsiasi device utilizzato per l’accesso a sistemi o dati aziendali quando la postazione viene temporaneamente lasciata incustodita, indipendentemente dalla durata dell’allontanamento, per garantire la riservatezza, l’integrità e la disponibilità delle informazioni.
I documenti cartacei devono essere archiviati correttamente e non lasciati incustoditi. La scrivania deve essere mantenuta ordinata e priva di materiale non necessario, evitando di utilizzare superfici di lavoro come aree di archiviazione temporanea o permanente. Eventuali dati sensibili vanno conservati in armadi a chiave.
I supporti di memorizzazione removibili, quali chiavette USB o hard disk esterni, devono essere custoditi con la massima attenzione e utilizzati esclusivamente per attività lavorative autorizzate.
I documenti cartacei non più necessari devono essere distrutti mediante distruggidocumenti garantendo che non possano essere ricostruiti.
L’adozione di queste misure contribuisce a garantire la sicurezza delle informazioni e la protezione del patrimonio aziendale, nel rispetto delle disposizioni del GDPR e delle buone pratiche di sicurezza informatica.
9.1 Strumento aziendale e proprietà
La posta elettronica è uno strumento aziendale e deve essere utilizzata esclusivamente per finalità lavorative.
Ad ogni dipendente viene assegnata una casella e-mail intestata nomecognome@azienda.it, gestita in autonomia ma di proprietà dell’Azienda. La casella deve essere conservata ordinatamente, evitando accumulo di messaggi non necessari, e rispettando le procedure di sicurezza aziendali per la gestione e l’archiviazione delle comunicazioni
L’Azienda può utilizzare caselle e-mail condivise che vengono assegnate/configurate dall’ADS su indicazione della Direzione.
9.2 Risponditore automatico e assenze
In caso di assenza temporanea o ferie, è necessario attivare il risponditore automatico.
9.3 Deleghe di gestione della posta
Le autorizzazioni alle deleghe per la gestione della posta elettronica sono formalmente registrate in un file aziendale che ne definisce i dettagli e le autorizzazioni:
9.4 Sicurezza e utilizzo corretto
9.5 Dimissioni, licenziamento e chiusura della casella
In caso di dimissioni o licenziamento, la casella e-mail sarà temporaneamente attivata con risponditore automatico. Successivamente, la casella verrà chiusa secondo le tempistiche concordate con la Direzione, in base alla posizione e alle responsabilità ricoperte.
Alcune caselle e-mail sono integrate con MailStore per la conservazione e archiviazione dei messaggi. In caso di cessazione del rapporto di lavoro, l’accesso alla posta archiviata potrà essere consultato solo per un periodo limitato, strettamente necessario per motivi operativi o contenziosi, e sempre nel rispetto delle normative aziendali e della privacy.
9.6 Monitoraggio e log
L’Azienda mantiene log e registri di accesso e utilizzo della posta elettronica ai fini di sicurezza, controllo e conformità alle normative vigenti. Il personale è tenuto a collaborare in caso di verifiche o audit interni.
La navigazione Internet dai dispositivi aziendali è consentita esclusivamente per finalità lavorative e in coerenza con gli obiettivi dell’Azienda. L’utilizzo di Internet deve rispettare i principi di sicurezza, riservatezza e tutela del patrimonio informativo aziendale.
È vietato:
La Direzione autorizza a scaricare, installare o utilizzare software o applicazioni necessari allo svolgimento delle proprie attività lavorative, gestiti secondo procedure interne e limitati ai programmi approvati dalla Direzione stessa.
È obbligatorio:
Tutti i dispositivi aziendali, inclusi PC, laptop e server devono essere protetti da software antivirus e anti-malware autorizzati dall’Azienda.
Il personale è tenuto a:
L’accesso agli uffici è consentito esclusivamente al personale autorizzato. I visitatori esterni possono accedere solo se accompagnati e sistemati nelle aree dedicate (sale corsi e riunioni), sotto la supervisione del personale aziendale, previa registrazione tramite app Visitors disponibile nelle reception.
È vietato accedere a uffici o postazioni non presidiati dal titolare o senza preventiva autorizzazione. Tutto il personale è tenuto a supervisionare e prevenire accessi non autorizzati, segnalando immediatamente eventuali anomalie alla Direzione.
Gli accessi logici sono registrati nei log di sistema, al fine di garantire la tracciabilità e la sicurezza delle attività.
Tutte le informazioni relative alla sicurezza, alle certificazioni e alla conformità alla ISO 27001 sono centralizzate sul canale SharePoint aziendale dedicato, attraverso il quale vengono fornite indicazioni operative e aggiornamenti.
Comunicazioni ufficiali relative alla certificazione e alla gestione della sicurezza saranno inviate tramite l’indirizzo e-mail certificazioni@icomservice.it.
Il personale è tenuto a seguire le indicazioni pubblicate sul canale SharePoint e a utilizzare esclusivamente strumenti autorizzati dall’Azienda per la gestione dei dati e delle informazioni di certificazione.
L’utilizzo di strumenti di Intelligenza Artificiale (IA) è consentito attraverso Copilot (M365) e ChatGPT esclusivamente per finalità tecniche, informative o operative strettamente collegate alle attività lavorative.
È vietato:
Il personale è tenuto a:
Controlli e responsabilità
L’Azienda si riserva il diritto di monitorare l’utilizzo degli strumenti di IA per finalità di sicurezza, conformità normativa e tutela del patrimonio informativo.
L’Azienda adotta sistemi di registrazione e monitoraggio (log) relativi all’utilizzo delle infrastrutture IT, degli applicativi e degli strumenti informatici aziendali, al fine di garantire la sicurezza delle informazioni, la continuità operativa e la protezione del patrimonio aziendale.
I log possono riguardare, a titolo esemplificativo e non esaustivo:
Modalità di Controllo
Il monitoraggio viene effettuato secondo i seguenti criteri:
Tali verifiche sono svolte nel rispetto della normativa vigente in materia di protezione dei dati personali e delle disposizioni applicabili in ambito lavoristico.
I log sono conservati per un periodo definito e proporzionato alle finalità di sicurezza e compliance, decorso il quale vengono cancellati o anonimizzati.
La violazione delle disposizioni contenute nella presente Policy di Sicurezza Informatica costituisce inadempimento degli obblighi contrattuali e può comportare l’applicazione di provvedimenti disciplinari secondo quanto previsto dal Codice Civile, dal Contratto Collettivo Nazionale di Lavoro (CCNL) applicabile e dalle procedure interne dell’Azienda.
In particolare, le violazioni possono includere, a titolo esemplificativo ma non esaustivo:
Le conseguenze delle violazioni possono comprendere:
La presente Policy è redatta e applicata in conformità al Regolamento (UE) 2016/679 (GDPR).
Art. 5 – Principi applicabili al trattamento dei dati personali
Il trattamento dei dati personali avviene nel rispetto dei principi di:
Tutto il personale è tenuto ad attenersi rigorosamente a tali principi nello svolgimento delle proprie mansioni.
Art. 24 – Responsabilità del Titolare del trattamento
ICOM S.R.L., in qualità di Titolare del trattamento, adotta misure tecniche e organizzative adeguate a garantire e dimostrare che i trattamenti sono effettuati conformemente al GDPR. La presente Policy costituisce parte integrante di tali misure.
Art. 29 – Trattamento sotto l’autorità del Titolare
Il personale autorizzato al trattamento dei dati personali opera esclusivamente su istruzione del Titolare e nel rispetto delle procedure aziendali, delle lettere di incarico e delle presenti disposizioni.
Art. 32 – Sicurezza del trattamento
L’Azienda implementa misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, incluse:
Prima versione 00 – Approvata DA in data 05/11/2025
