Politica del sistema di gestione della sicurezza delle informazioni

FARENIO ECOSISTEMA

ARTICOLO 1 – SCOPO

La presente Politica del Sistema di Gestione della Sicurezza delle Informazioni ("ISMS") stabilisce il quadro di governance per proteggere la riservatezza, l'integrità, la disponibilità, l'autenticità e la resilienza delle informazioni elaborate dall'Ecosistema FARENIO.

Gli obiettivi di questa Politica sono:

• Proteggere le informazioni del cliente;
• Salvaguardare le informazioni aziendali;
• Supportare operazioni Saas sicure;
• Proteggere le transazioni del mercato;
• Servizi sicuri abilitati a AI;
• Gestire i rischi legati alla sicurezza informatica;
• Soddisfare gli obblighi contrattuali;
• Rispettare i requisiti legali e normativi applicabili.

ARTICOLO 2 – AMBITO DI APPLICAZIONE

Questa politica si applica a:

• Dipendenti;
• Direttori;
• Appaltatori;
• Sviluppatori;
• consulenti;
• venditori;
• Fornitori di servizi cloud;
• Fornitori di servizi gestiti;
• Fornitori terzi con accesso ai sistemi FARENIO.

Copre:

• Patrimonio informativo;
• SaaS Piattaforma;
• Mercato;
• Portale host;
• Portale più pulito;
• Portale venditori;
• Portale di amministrazione;
• APIs;
• Applicazioni mobili;
• Infrastruttura cloud;
• AI Sistemi;
• Ambienti di sviluppo;
• Sistemi di produzione;
• Sistemi di backup.

ARTICOLO 3 – PRINCIPI DI SICUREZZA

FARENIO deve proteggere le informazioni implementando controlli progettati per garantire:

Riservatezza

Le informazioni sono accessibili solo alle persone autorizzate.

Integrità

Le informazioni rimangono complete, accurate e protette da modifiche non autorizzate.

Disponibilità

I sistemi rimangono disponibili agli utenti autorizzati quando richiesto.

Autenticità

Gli utenti e i sistemi sono opportunamente autenticati.

Responsabilità

Le attività rilevanti per la sicurezza sono attribuibili e controllabili.

Resilienza

I servizi critici possono resistere e riprendersi dalle interruzioni.

ARTICOLO 4 – GOVERNANCE

L'alta direzione è responsabile dell'efficacia complessiva del ISMS.

Le responsabilità operative possono essere assegnate a:

• Responsabile della Sicurezza delle Informazioni;
• Responsabile della conformità;
• Responsabile della Protezione dei Dati (ove nominato);
• Operazioni IT;
• Ingegneria;
• DevSecOps;
• AI Funzione di Governance.

Le responsabilità in materia di sicurezza devono essere documentate e riviste periodicamente.

ARTICOLO 5 – GESTIONE DEL RISCHIO

I rischi per la sicurezza delle informazioni saranno:

• Identificato;
• Valutato;
• prioritario;
• Trattato;
• Monitorato;
• Recensito.

Il trattamento del rischio deve essere proporzionato a:

• Impatto aziendale;
• Probabilità;
• Obblighi legali;
• Esigenze operative.

ARTICOLO 6 – CONTROLLO DEGLI ACCESSI

L'accesso alle informazioni segue il principio del privilegio minimo.

L'accesso è concesso:

• In base alle esigenze aziendali;
• Approvato dal personale autorizzato;
• Revisionato periodicamente;
• Revocato tempestivamente quando non più necessario.

L'accesso privilegiato è soggetto a un monitoraggio rafforzato.

ARTICOLO 7 – GESTIONE DELL'INCIDENTE

Gli incidenti di sicurezza devono essere:

• Segnalato;
• Valutato;
• Contenuto;
• Investigato;
• Documentato;
• riparato;
• Recensito.

Ove richiesto, gli incidenti che coinvolgono dati personali saranno gestiti in conformità con la Procedura di risposta alla violazione dei dati personali.

ARTICOLO 8 – CONTINUITÀ AZIENDALE

FARENIO mantiene misure adeguate per sostenere:

• Resilienza operativa;
• Ripristino di emergenza;
• Ripristino del backup;
• Continuità del servizio;
• Recupero degli incidenti.

I dispositivi di continuità operativa devono essere testati periodicamente.

ARTICOLO 9 – CONSAPEVOLEZZA SULLA SICUREZZA

Il personale deve ricevere una sensibilizzazione sulla sicurezza delle informazioni adeguata alle proprie responsabilità.

La formazione può includere:

• Consapevolezza del phishing;
• Sicurezza della password;
• Segnalazione di incidenti;
• Gestione sicura delle informazioni;
• Consapevolezza della sicurezza Ai;
• Ingegneria sociale.

ARTICOLO 10 – ADEMPIMENTO

Il ISMS supporta la conformità con:

• GDPR;
• Legge francese sulla protezione dei dati;
• Obblighi contrattuali;
• Standard riconosciuti di sicurezza delle informazioni;
• Legislazione applicabile sulla sicurezza informatica.

ARTICOLO 11 – MIGLIORAMENTO CONTINUO

Il ISMS sarà rivisto periodicamente.

Le revisioni devono considerare:

• Incidenti di sicurezza;
• Risultati dell'audit;
• Tendenze della vulnerabilità;
• Sviluppi tecnologici;
• Modifiche normative.

Le azioni correttive devono essere documentate e monitorate.

ARTICOLO 12 – CONTATTO

Le richieste di sicurezza possono essere indirizzate a:

Funzione di sicurezza delle informazioni

GQ VENTURES SAS

E-mail: security@farenio.com

ARTICOLO 13 – ACCETTAZIONE

Tutto il personale e le terze parti interessate dovranno rispettare la presente Politica.

L'utilizzo dell'Ecosistema FARENIO costituisce il riconoscimento degli obblighi applicabili in materia di sicurezza delle informazioni.

ALLEGATO A

POLITICA DI GESTIONE DEL PATRIMONIO

Scopo

Garantire che tutte le risorse informative siano identificate, possedute, classificate, protette, mantenute e smaltite in modo sicuro durante tutto il loro ciclo di vita.

Inventario delle risorse

FARENIO deve mantenere un inventario centrale del patrimonio informativo, tra cui:

• Hardware;
• Server;
• Dispositivi dell'utente finale;
• Dispositivi mobili;
• Servizi cloud;
• Banche dati;
• Repository del codice sorgente;
• APIs;
• modelli AI;
• Documentazione;
• Backup;
• Chiavi crittografiche;
• Applicazioni di terze parti.

Proprietà delle risorse

Ciascun patrimonio informativo deve avere un proprietario designato responsabile di:

• Classificazione;
• Utilizzo Autorizzato;
• Protezione;
• Revisione periodica;
• Decisioni sul ciclo di vita.

Classificazione delle informazioni

Le informazioni devono essere classificate, come minimo, come:

• Pubblico;
• Interno;
• confidenziale;
• Limitato.

La classificazione determina i requisiti di manipolazione, stoccaggio, trasmissione e smaltimento.

Ciclo di vita delle risorse

I controlli si applicano a partire da:

• Acquisizione;
• Registrazione;
• Uso operativo;
• Manutenzione;
• Archivio;
• Smaltimento sicuro.

Disposizione

Il patrimonio informativo deve essere eliminato in modo sicuro utilizzando metodi adeguati ai media e alla sensibilità delle informazioni.

ALLEGATO B

CONTROLLI CRITTOGRAFICI STANDARD

FARENIO utilizzerà la crittografia adeguata ai rischi e ai requisiti legali applicabili.

Crittografia

Le informazioni sensibili devono essere protette:

• In transito;
• A riposo;
• Durante il backup, ove appropriato.

Gestione delle chiavi

I controlli disciplinano:

• Generazione di chiavi;
• Magazzinaggio;
• Distribuzione;
• Rotazione;
• Revoca;
• Distruzione.

L'accesso alle chiavi crittografiche sarà limitato al personale e ai sistemi autorizzati.

Gestione dei certificati

I certificati digitali saranno:

• Inventariato;
• Monitorato;
• Rinnovato prima della scadenza;
• Revocato dove compromesso.

Ciclo di vita crittografico

I controlli crittografici saranno periodicamente rivisti per far fronte alle minacce in evoluzione e agli sviluppi tecnologici.

ALLEGATO C

STANDARD DI GESTIONE DELLA VULNERABILITÀ

FARENIO implementerà un programma strutturato di gestione delle vulnerabilità.

Identificazione

Le vulnerabilità possono essere identificate attraverso:

• Scansione automatizzata;
• Revisioni del codice;
• Test di penetrazione;
• Consulenze ai fornitori;
• Intelligenza sulle minacce;
• Divulgazione responsabile.

Priorità

La priorità delle vulnerabilità deve essere assegnata in base a:

• Gravità;
• Sfruttabilità;
• Impatto aziendale;
• Criticità delle risorse.

Bonifica

Dovranno essere assegnate e monitorate le azioni correttive appropriate.

Verifica

L'efficacia della bonifica dovrà essere verificata prima della chiusura.

Segnalazione

La direzione riceve relazioni periodiche riguardanti:

• Vulnerabilità eccezionali;
• Stato della riparazione;
• Tendenze;
• Esposizione al rischio.

ALLEGATO D

POLITICA DI GESTIONE DELLA SICUREZZA DEI FORNITORI

I fornitori sono sottoposti a due diligence di sicurezza adeguate ai servizi forniti.

Diligenza dovuta

La valutazione può includere:

• Certificazioni di Sicurezza;
• Conformità alla privacy;
• Stabilità finanziaria;
• Capacità tecniche;
• Storia degli incidenti.

Controlli contrattuali

I contratti riguarderanno:

• Riservatezza;
• Protezione dei dati;
• Obblighi di sicurezza;
• Diritti di revisione;
• Notifica dell'incidente;
• Subappalto.

Monitoraggio

Le prestazioni del fornitore saranno periodicamente riviste.

Fuoribordo

Alla cessazione:

• L'accesso sarà revocato;
• Beni restituiti;
• Informazioni riservate cancellate in modo sicuro o restituite come richiesto contrattualmente.

ALLEGATO E

STANDARD DI REGISTRAZIONE E MONITORAGGIO

Gli eventi rilevanti per la sicurezza devono essere registrati per supportare la gestione operativa, la risposta agli incidenti e la conformità.

Registrazione eventi

I registri possono includere:

• Eventi di autenticazione;
• Tentativi di accesso;
• Azioni amministrative;
• Modifiche al sistema;
• API Attività;
• Avvisi di sicurezza;
• AI Azioni amministrative ove opportuno.

Monitoraggio

I registri devono essere monitorati per:

• Comportamento sospetto;
• Anomalie Operative;
• Incidenti di sicurezza;
• Problemi di prestazioni.

Conservazione

I registri devono essere conservati in conformità con i requisiti legali, operativi e di sicurezza.

Revisione

Le revisioni periodiche devono verificare:

• Completezza del registro;
• Integrità;
• Efficacia del monitoraggio.

Avviso

Meccanismi di allerta adeguati supportano l'indagine tempestiva di eventi significativi.

ALLEGATO F

STANDARD DI BACKUP E RIPRISTINO DI DISASTRO

FARENIO manterrà accordi di backup e ripristino adeguati ai requisiti aziendali e normativi.

Strategia di backup

I backup devono essere:

• Programmato;
• Protetto contro l'accesso non autorizzato;
• Testato periodicamente;
• Conservati in conformità con gli obiettivi di resilienza.

Obiettivi di recupero

La pianificazione del ripristino definisce:

• Obiettivo Tempo di Recupero (RTO);
• Obiettivo del punto di ripristino (RPO);

per i sistemi critici in base all’impatto aziendale.

Restauro

Le procedure di ripristino devono essere documentate e testate periodicamente per verificarne la recuperabilità.

Ripristino di emergenza

La pianificazione del ripristino di emergenza deve includere:

• Ruoli e responsabilità;
• Procedure di comunicazione;
• Priorità di ripristino;
• Accordi operativi alternativi;
• Convalida dei servizi ripristinati.

Resilienza

Le capacità di continuità aziendale e ripristino di emergenza devono essere riviste e migliorate attraverso esercitazioni periodiche, lezioni apprese e revisione della direzione.