Politica di Sicurezza delle Informazioni

Approvazione ed entrata in vigore

La presente Politica di Sicurezza delle Informazioni ha effetto dalla data della firma fino a quando non sarà sostituita da una nuova Politica.

Missione dell’organizzazione

La missione di DyCare è migliorare la vita delle persone attraverso l’uso di nuove tecnologie con base scientifica. Il suo obiettivo è diventare il leader mondiale nella riabilitazione digitale.

Per raggiungere questo obiettivo, DyCare si concentra sullo sviluppo di soluzioni digitali innovative, come la sua piattaforma ReHub, che consente di creare esercizi personalizzati, monitorare i pazienti e generare report terapeutici completi in modo semplice. Queste soluzioni sono progettate per facilitare e migliorare il processo di riabilitazione dei pazienti con patologie muscoloscheletriche, combinando le nuove tecnologie con la scienza medica per rispondere alle esigenze individuali dei pazienti e migliorarne la qualità della vita.

I valori fondamentali che guidano DyCare nella sua missione includono l’evidenza scientifica, l’impatto sociale positivo, l’innovazione continua e la passione per il miglioramento dell’assistenza sanitaria.

In sintesi, DyCare è impegnata a trasformare la riabilitazione digitale attraverso lo sviluppo di soluzioni tecnologiche basate sull’evidenza scientifica, con l’obiettivo di migliorare la qualità della vita delle persone e diventare un punto di riferimento globale nel settore della riabilitazione digitale.

Ambito di applicazione

La presente politica si applica a tutti i sistemi ICT dell’ente e a tutti i membri dell’organizzazione coinvolti in Servizi e Progetti destinati al settore pubblico che richiedano l’applicazione dell’ENS (Schema Nazionale di Sicurezza), senza eccezioni.

Obiettivi

Alla luce di quanto sopra, la Direzione stabilisce i seguenti obiettivi di sicurezza delle informazioni:

Fornire un quadro per aumentare la capacità di resistenza o resilienza al fine di garantire una risposta efficace.
Garantire il ripristino rapido ed efficiente dei servizi a fronte di qualsiasi disastro fisico o contingenza che possa verificarsi e che possa compromettere la continuità delle operazioni.
Prevenire gli incidenti di sicurezza delle informazioni nella misura tecnicamente ed economicamente fattibile, e mitigare i rischi di sicurezza delle informazioni generati dalle nostre attività.
Garantire la riservatezza, l’integrità, la disponibilità, l’autenticità e la tracciabilità delle informazioni.

Quadro normativo

Uno degli obiettivi deve essere il rispetto dei requisiti legali applicabili e di qualsiasi altro requisito a cui aderiamo, nonché degli impegni assunti con i clienti, unitamente al loro costante aggiornamento. A tal fine, il quadro giuridico e normativo entro il quale svolgiamo le nostre attività è il seguente:

Regolamento (UE) 2016/679 del Parlamento Europeo e del Consiglio, del 27 aprile 2016, relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati.
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (Legge Organica spagnola 3/2018, del 5 dicembre, sulla Protezione dei Dati Personali e sulla Garanzia dei Diritti Digitali).
Real Decreto Legislativo 1/1996, de 12 de abril, Ley de Propiedad Intelectual (Regio Decreto Legislativo spagnolo 1/1996, del 12 aprile, che approva il testo consolidato della Legge sulla Proprietà Intellettuale).
Ley 2/2019, de 1 de marzo (Legge spagnola 2/2019, del 1° marzo), che modifica il testo consolidato della Legge sulla Proprietà Intellettuale approvato con Regio Decreto Legislativo 1/1996, del 12 aprile, e recepisce nell’ordinamento spagnolo la Direttiva 2014/26/UE del Parlamento Europeo e del Consiglio, del 26 febbraio 2014, e la Direttiva (UE) 2017/1564 del Parlamento Europeo e del Consiglio, del 13 settembre 2017.
Real Decreto 311/2022, de 3 de mayo (Regio Decreto spagnolo 311/2022, del 3 maggio), che disciplina lo Schema Nazionale di Sicurezza (Esquema Nacional de Seguridad).
Ley 34/2002, de 11 de julio (Legge spagnola 34/2002, dell’11 luglio), sui Servizi della Società dell’Informazione e sul Commercio Elettronico (LSSI).
Ley 39/2015, de 1 de octubre (Legge spagnola 39/2015, del 1° ottobre), sul Procedimento Amministrativo Comune delle Pubbliche Amministrazioni.
Ley 40/2015, de 1 de octubre (Legge spagnola 40/2015, del 1° ottobre), sul Regime Giuridico del Settore Pubblico.

Sviluppo

Per raggiungere questi obiettivi, è necessario:

Migliorare costantemente il nostro sistema di sicurezza delle informazioni.
Identificare le potenziali minacce, nonché l’impatto sulle operazioni aziendali che tali minacce, qualora si concretizzassero, potrebbero causare.
Preservare gli interessi dei principali portatori di interesse (clienti, azionisti, dipendenti e fornitori), la reputazione, il marchio e le attività di creazione di valore.
Collaborare con i nostri fornitori e subappaltatori al fine di migliorare l’erogazione dei servizi IT, la continuità dei servizi e la sicurezza delle informazioni, contribuendo a una maggiore efficienza della nostra attività.
Valutare e garantire la competenza tecnica del personale, nonché assicurarne l’adeguata motivazione a partecipare al miglioramento continuo dei nostri processi, fornendo la formazione e la comunicazione interna necessarie affinché sviluppi le buone pratiche definite nel sistema.
Garantire il corretto stato delle strutture e delle attrezzature adeguate, in modo che corrispondano all’attività, agli obiettivi e ai traguardi dell’azienda.
Garantire un’analisi continua di tutti i processi rilevanti, stabilendo i miglioramenti opportuni in ciascun caso, sulla base dei risultati ottenuti e degli obiettivi fissati.
Strutturare il nostro sistema di gestione in modo che sia di facile comprensione.

La gestione del nostro sistema è affidata al Responsabile dei Sistemi Informatici, e il sistema sarà disponibile nel nostro sistema informativo in un repository, accessibile secondo i profili di accesso concessi in base alla nostra attuale procedura di gestione degli accessi.

La documentazione relativa alla sicurezza del sistema è strutturata in cartelle all’interno del Google Drive aziendale, suddivise in sottocartelle denominate secondo i punti della norma e dei quadri operativi, contenenti le varie procedure, i registri e le evidenze, con accesso riservato al personale dell’azienda; il personale esterno non autorizzato non può accedervi.

La documentazione sulla sicurezza è strutturata come segue:

Regolamenti di sicurezza: documenti che descrivono l’uso delle attrezzature, dei servizi e delle strutture. Descrivono cosa si intende per uso improprio, le responsabilità del personale in relazione al rispetto o alla violazione dei regolamenti, i diritti, i doveri e le misure disciplinari conformemente alla normativa applicabile.
Documenti specifici: documentazione di sicurezza elaborata in conformità alle guide CCN-STIC applicabili.
Procedure di sicurezza: documenti che descrivono in dettaglio come far funzionare gli elementi del sistema.

La presente politica è integrata dal resto delle politiche, procedure e documenti in vigore per lo sviluppo del nostro sistema di gestione.

Organizzazione della sicurezza

La responsabilità essenziale spetta alla Direzione Generale dell’organizzazione, poiché è responsabile dell’organizzazione delle funzioni e delle responsabilità e della fornitura di risorse adeguate per raggiungere gli obiettivi dell’ENS. I dirigenti sono altresì responsabili di dare il buon esempio seguendo gli standard di sicurezza stabiliti.

Questi principi sono fatti propri dalla Direzione, che fornisce i mezzi necessari e dota i propri dipendenti di risorse sufficienti per il rispetto delle norme, rendendoli pubblici attraverso la presente Politica dei Sistemi di Gestione Integrati.

Questa definizione di compiti e responsabilità è completata nei profili professionali e nei documenti di sistema Registro dei Responsabili, dei Ruoli e delle Responsabilità.

Risoluzione dei conflitti

Eventuali divergenze di criteri che possano dar luogo a un conflitto saranno trattate in seno al Comitato di Sicurezza, e in ogni caso prevarrà il criterio della Direzione Generale.

Comitato di Sicurezza

La procedura per la sua nomina e il suo rinnovo sarà la ratifica da parte del Comitato di Sicurezza.

Il comitato per la gestione e il coordinamento della sicurezza è l’organo con la maggiore responsabilità all’interno del sistema di gestione della sicurezza delle informazioni, in modo che tutte le decisioni più importanti relative alla sicurezza siano concordate da questo comitato.

I membri del comitato per la sicurezza delle informazioni sono:

Responsabile della Sicurezza: Silvia Raga
Responsabile del Sistema: Xavier Robert
Responsabile del Servizio: Ricardo Jauregui
Responsabile delle Informazioni: Ricardo Jauregui

Questi membri sono nominati dal comitato, unico organo che può nominarli, rinnovarli e revocarli.

Il Comitato di Sicurezza è un organo autonomo ed esecutivo, dotato di autonomia decisionale e non è tenuto a subordinare la propria attività ad alcun altro elemento della nostra azienda.

L’organizzazione della Sicurezza delle Informazioni è sviluppata nel documento complementare alla presente Politica, la Politica di Organizzazione della Sicurezza.

La presente politica è integrata dal resto delle politiche, procedure e documenti in vigore per lo sviluppo del nostro sistema di gestione.

Gestione del rischio

Tutti i sistemi soggetti alla presente Politica devono essere sottoposti a un’analisi del rischio, valutando le minacce e i rischi a cui sono esposti. Questa analisi viene rivista periodicamente:

Almeno una volta all’anno;
Quando cambiano le informazioni trattate;
Quando cambiano i servizi forniti;
Quando si verifica un grave incidente di sicurezza;
Quando vengono segnalate vulnerabilità gravi.

Per armonizzare le analisi del rischio, il Comitato di Sicurezza ICT stabilirà una valutazione di riferimento per i diversi tipi di informazioni trattate e i diversi servizi forniti. Il Comitato di Sicurezza ICT promuoverà la disponibilità delle risorse necessarie a soddisfare le esigenze di sicurezza dei diversi sistemi, favorendo investimenti trasversali.

L’analisi del rischio terrà conto della metodologia di analisi del rischio sviluppata nella procedura di Analisi del Rischio.

Gestione del personale

Tutti i membri di DYCARE hanno l’obbligo di conoscere e rispettare la presente Politica di Sicurezza delle Informazioni e i Regolamenti di Sicurezza, essendo responsabilità del Comitato di Sicurezza ICT fornire i mezzi necessari affinché le informazioni raggiungano gli interessati.

Tutti i membri di DYCARE parteciperanno a una sessione di sensibilizzazione sulla sicurezza ICT almeno una volta all’anno. Sarà istituito un programma continuo di sensibilizzazione rivolto a tutti i membri di DYCARE, in particolare ai nuovi assunti.

Le persone con responsabilità nell’uso, nel funzionamento o nell’amministrazione dei sistemi ICT riceveranno una formazione per la gestione sicura dei sistemi nella misura in cui ne abbiano bisogno per svolgere il proprio lavoro. La formazione sarà obbligatoria prima di assumere una responsabilità, sia essa il primo incarico o un cambio di posizione o di responsabilità al suo interno.

Professionalità e sicurezza delle risorse umane

La presente Politica si applica a tutto il personale di DYCARE e al personale esterno che svolge attività all’interno dell’azienda. Le Risorse Umane includeranno le funzioni di sicurezza delle informazioni nelle descrizioni delle mansioni, informeranno tutto il personale di nuova assunzione dei propri obblighi in materia di rispetto della Politica di Sicurezza delle Informazioni, gestiranno gli Accordi di Riservatezza con il personale e coordineranno le attività di formazione degli utenti in relazione alla presente Politica.

Il Responsabile della Gestione della Sicurezza (RGS) è responsabile del monitoraggio, della documentazione e dell’analisi degli incidenti di sicurezza segnalati, nonché della comunicazione con il Comitato di Sicurezza delle Informazioni e con i titolari delle informazioni.

Il Comitato di Sicurezza delle Informazioni sarà responsabile dell’implementazione dei mezzi e dei canali necessari affinché il Responsabile della Gestione della Sicurezza (RGS) possa gestire le segnalazioni di incidenti e anomalie del sistema. Il Comitato si terrà inoltre informato, supervisionerà le indagini, seguirà l’evoluzione delle informazioni e promuoverà la risoluzione degli incidenti di sicurezza delle informazioni.

Il Responsabile della Gestione della Sicurezza (RGS) parteciperà alla predisposizione dell’Accordo di Riservatezza che dovrà essere sottoscritto dai dipendenti e da terzi che svolgono funzioni presso DYCARE, alla consulenza sulle sanzioni da applicare in caso di mancato rispetto della presente Politica e alla gestione degli incidenti di sicurezza delle informazioni.

Tutto il personale di DYCARE è responsabile della tempestiva segnalazione delle debolezze e degli incidenti di sicurezza delle informazioni rilevati.

Professionalità delle risorse umane:

Determinare la competenza richiesta al personale per svolgere lavori che incidono sulla Sicurezza delle Informazioni.
Garantire che le persone siano competenti sulla base di un’istruzione, una formazione o un’esperienza adeguate.
Dimostrare, attraverso la necessaria informazione documentata, la competenza del personale in materia di Sicurezza delle Informazioni.

Gli obiettivi del controllo della sicurezza del personale sono:

Ridurre i rischi di errore umano, l’avvio di irregolarità, l’uso improprio di strutture e risorse e la gestione non autorizzata delle informazioni.
Illustrare le responsabilità in materia di sicurezza nella fase di assunzione del personale e includerle negli accordi da sottoscrivere, nonché verificarne il rispetto durante lo svolgimento delle mansioni del dipendente.
Garantire che gli utenti siano consapevoli delle minacce e delle problematiche relative alla sicurezza delle informazioni e siano formati per supportare la Politica di Sicurezza delle Informazioni dell’organizzazione nello svolgimento delle loro normali mansioni.
Stabilire impegni di riservatezza con tutto il personale e gli utenti al di fuori delle strutture di trattamento delle informazioni.
Stabilire gli strumenti e i meccanismi necessari per promuovere la segnalazione delle debolezze di sicurezza esistenti, nonché degli incidenti, al fine di minimizzarne gli effetti e prevenirne il ripetersi.

Autorizzazione e controllo degli accessi ai sistemi informativi

L’obiettivo del controllo degli accessi ai sistemi informativi è:

Impedire l’accesso non autorizzato ai sistemi informativi, alle banche dati e ai servizi informativi.
Implementare la sicurezza nell’accesso degli utenti attraverso tecniche di autenticazione e autorizzazione.
Controllare la sicurezza nella connessione tra la rete di DYCARE e altre reti pubbliche o private.
Rivedere gli eventi critici e le attività svolte dagli utenti sui sistemi.
Sensibilizzare gli utenti sulla propria responsabilità nell’uso delle password e delle attrezzature.
Garantire la sicurezza delle informazioni quando i computer portatili e i personal computer vengono utilizzati per il lavoro a distanza.

Protezione delle strutture

Gli obiettivi della presente politica in materia di protezione delle strutture sono:

Prevenire l’accesso non autorizzato, i danni e le interferenze ai locali, alle strutture e alle informazioni di DYCARE.
Proteggere le apparecchiature critiche di elaborazione delle informazioni di DYCARE collocandole in aree protette e proteggendole con un perimetro di sicurezza definito, con misure di sicurezza e controlli di accesso adeguati. Ciò include anche la protezione di tali apparecchiature durante il trasporto e mentre rimangono al di fuori delle aree protette per manutenzione o altri motivi.
Controllare i fattori ambientali che potrebbero compromettere il corretto funzionamento delle apparecchiature informatiche che ospitano le informazioni di DYCARE.
Implementare misure per proteggere le informazioni trattate dal personale negli uffici, nell’ambito normale delle loro mansioni abituali.
Fornire una protezione proporzionata ai rischi individuati.

La presente Politica si applica a tutte le risorse fisiche relative ai sistemi informativi di DYCARE: strutture, apparecchiature, cablaggi, archivi, supporti di memorizzazione, ecc.

Il Responsabile della Gestione della Sicurezza (RGS), insieme ai Titolari delle Informazioni, ove opportuno, definirà le misure di sicurezza fisica e ambientale per la protezione degli asset critici, sulla base di un’analisi del rischio, e ne supervisionerà l’attuazione. Verificherà inoltre il rispetto delle disposizioni in materia di sicurezza fisica e ambientale.

I responsabili dei vari dipartimenti definiranno i livelli di accesso fisico del personale DYCARE alle aree riservate di loro competenza. I Titolari delle Informazioni autorizzeranno formalmente, se lo riterranno opportuno, il lavoro fuori sede da parte dei dipendenti DYCARE relativo alle informazioni aziendali di loro competenza.

Tutto il personale di DYCARE è responsabile del rispetto della politica dello schermo pulito e della scrivania pulita, per la protezione delle informazioni relative al lavoro quotidiano negli uffici.

Acquisizione dei prodotti

I vari dipartimenti devono garantire che la sicurezza ICT sia parte integrante di ogni fase del ciclo di vita del sistema, dalla sua concezione alla sua dismissione, incluse le decisioni di sviluppo o acquisizione e le attività operative. I requisiti di sicurezza e le esigenze di finanziamento devono essere identificati e inclusi nella pianificazione, nelle richieste di proposta e nei capitolati di gara per i progetti ICT.

Inoltre, la sicurezza delle informazioni sarà presa in considerazione nell’acquisizione e nella manutenzione dei sistemi informativi, limitando e gestendo i cambiamenti.

La politica sullo sviluppo e l’acquisizione dei sistemi informativi è definita nel documento: Politica di Acquisizione, Sviluppo e Manutenzione dei Sistemi.

Sicurezza per impostazione predefinita

DYCARE ritiene strategico che i processi dell’ente integrino la sicurezza delle informazioni come parte del proprio ciclo di vita. I sistemi e i servizi informativi devono includere la sicurezza per impostazione predefinita dalla loro creazione fino alla loro dismissione, includendo la sicurezza nelle decisioni di sviluppo e/o acquisizione e in tutte le attività operative, stabilendo la sicurezza come processo integrale e trasversale.

Integrità e aggiornamento del sistema

DYCARE si impegna a garantire l’integrità del sistema attraverso un processo di gestione del cambiamento che consenta di controllare l’aggiornamento degli elementi fisici o logici mediante autorizzazione preventiva prima della loro installazione nel sistema. Questa valutazione sarà effettuata principalmente dal dipartimento sistemi, che valuterà l’impatto sulla sicurezza del sistema prima di apportare modifiche e documenterà e controllerà le modifiche ritenute significative o con implicazioni per la sicurezza dei sistemi.

Attraverso revisioni periodiche della sicurezza, sarà valutato lo stato di sicurezza dei sistemi in relazione alle specifiche dei produttori, alle vulnerabilità e agli aggiornamenti che li riguardano, reagendo con diligenza per gestire il rischio in base al loro stato di sicurezza.

Protezione delle informazioni archiviate e in transito

DYCARE stabilisce misure di protezione della Sicurezza delle Informazioni per le informazioni archiviate o in transito attraverso ambienti non sicuri. Saranno considerati ambienti non sicuri i computer portatili, gli assistenti digitali personali (PDA), i dispositivi periferici, i supporti di memorizzazione delle informazioni e le comunicazioni su reti aperte o con crittografia debole.

Dati personali

Ciò riguarda i dati personali, ai quali possono avere accesso solo le persone autorizzate; comprende gli archivi interessati e i corrispondenti titolari del trattamento. Tutti i sistemi informativi saranno adeguati ai livelli di sicurezza richiesti dalla normativa in base alla natura e alla finalità dei dati personali raccolti, come indicato nel citato Documento di Sicurezza.

Terze parti

Nella fornitura di servizi ad altre organizzazioni o nel trattamento di informazioni appartenenti ad altre organizzazioni, queste saranno informate della presente Politica di Sicurezza delle Informazioni; saranno stabiliti canali per la segnalazione e il coordinamento con i rispettivi Comitati di Sicurezza ICT, e saranno stabilite procedure di intervento per rispondere agli incidenti di sicurezza. Quando vengono utilizzati servizi di terzi o vengono trasferite informazioni a terzi, questi saranno informati della presente Politica di Sicurezza e dei Regolamenti di Sicurezza applicabili a tali servizi o informazioni. Tale terza parte sarà soggetta agli obblighi stabiliti in detti regolamenti e potrà sviluppare le proprie procedure operative per rispettarli. Saranno stabilite procedure specifiche per la segnalazione e la risoluzione degli incidenti. Sarà garantito che il personale di terze parti sia adeguatamente sensibilizzato in materia di sicurezza, almeno allo stesso livello stabilito nella presente Politica. Qualora un qualsiasi aspetto della Politica non possa essere soddisfatto da una terza parte come richiesto nei paragrafi precedenti, sarà richiesta una relazione del Responsabile della Sicurezza che specifichi i rischi assunti e le modalità con cui saranno affrontati. Sarà necessaria l’approvazione di tale relazione da parte dei responsabili delle informazioni e dei servizi interessati prima di procedere.

Prevenzione dei sistemi informativi interconnessi

DYCARE stabilisce misure di protezione della Sicurezza delle Informazioni, in particolare per proteggere il perimetro, soprattutto se connesso a reti pubbliche, specialmente se utilizzate interamente o principalmente per la fornitura di servizi di comunicazione elettronica disponibili al pubblico.

In tutti i casi, saranno analizzati i rischi derivanti dall’interconnessione del sistema, attraverso reti, con altri sistemi, e sarà controllato il relativo punto di connessione.

Registri delle attività

DYCARE registrerà le attività degli utenti, conservando le informazioni necessarie per monitorare, analizzare, indagare e documentare le attività improprie o non autorizzate, consentendo di identificare in ogni momento la persona che ha svolto l’azione.

I principali obiettivi della Gestione degli Incidenti sono:

Stabilire un sistema per la rilevazione e la reazione al codice dannoso.
Disporre di procedure per la gestione degli incidenti di sicurezza e delle debolezze rilevate negli elementi del sistema informativo. Tali procedure copriranno i meccanismi di rilevazione, i criteri di classificazione, le procedure di analisi e risoluzione, nonché i canali di comunicazione verso le parti interessate e la registrazione delle azioni intraprese. Questo registro viene utilizzato per il miglioramento continuo della sicurezza del sistema.
Garantire che i servizi IT ritornino a un rendimento ottimale.
Ridurre i possibili rischi e impatti che un incidente può causare.
Salvaguardare l’integrità dei sistemi in caso di incidente di sicurezza.
Comunicare l’impatto di un incidente non appena viene rilevato, al fine di dare l’allarme, e attuare un adeguato piano di comunicazione aziendale.
Promuovere l’efficienza aziendale.

Continuità operativa

DYCARE, allo scopo di garantire la continuità operativa, stabilisce misure affinché i sistemi dispongano di copie di backup e stabilisce i meccanismi necessari per garantire la continuità delle operazioni in caso di perdita delle consuete risorse di lavoro.

Miglioramento continuo del processo di sicurezza

DYCARE stabilisce un processo di miglioramento continuo della sicurezza delle informazioni applicando i criteri e la metodologia stabiliti in standard internazionali quali l’ISO 27001.

Il presente documento è disponibile pubblicamente e può essere condiviso liberamente. Non contiene informazioni sensibili o riservate.