Politica di sicurezza delle informazioni
Vip District S.L. fa parte del Gruppo Epassi.
La sicurezza delle informazioni è un aspetto importante del sistema di sicurezza, perché le informazioni sono un elemento fondamentale nelle operazioni quotidiane di Epassi Group Oy (di seguito Epassi). Epassi ha stabilito e sviluppato il suo Sistema di Gestione della Sicurezza delle Informazioni sulla base di standard e best practice pertinenti. Epassi Group Oy è certificata in conformità alla norma ISO/IEC 27001:2022.
Questa politica descrive i requisiti minimi stabiliti per la sicurezza delle informazioni in Epassi. Tutte le pianificazioni e le implementazioni relative alla sicurezza delle informazioni devono essere allineate a questa politica. Potranno essere create politiche e procedure aggiuntive per supportarne l’implementazione.
Lo scopo di questa politica è quello di descrivere e stabilire le linee guida per garantire un’elaborazione sicura e conforme delle informazioni e per assicurare la protezione delle risorse e dei beni vitali di Epassi.
Questa politica si applica e deve essere comunicata a tutti i dipendenti di Epassi. Le violazioni di questa politica possono comportare azioni disciplinari.
Raggiungimento
Questa politica si applica all’intera organizzazione di Epassi Group Oy e delle sue società del gruppo.
Obiettivi
Gli obiettivi principali di questa politica sono:
- Garantire la riservatezza, l’integrità e la disponibilità di tutte le informazioni elaborate e di proprietà di Epassi.
- Mitigare i rischi per la sicurezza delle informazioni e garantire la continuità aziendale.
- Assicurarsi che tutti i dipendenti siano consapevoli del loro ruolo in relazione alla sicurezza delle informazioni in Epassi.
- Garantire la conformità alle leggi, ai regolamenti e agli standard pertinenti che riguardano la sicurezza delle informazioni in Epassi.
- Continuare a fornire servizi in un ambiente sicuro.
Ruoli e responsabilità
L‘Amministratore Delegato è il responsabile ultimo della sicurezza delle informazioni in Epassi. L’Amministratore Delegato, insieme al team di gestione, esamina e approva questa politica.
L’Extended Leadership Team sostiene il lavoro di sicurezza delle informazioni in Epassi e garantisce che l’organizzazione disponga di una sicurezza delle informazioni funzionale. Fornisce le risorse necessarie per raggiungere gli obiettivi dichiarati e comunica l’importanza di questo documento a tutti i dipendenti. Approva questa politica insieme all’Amministratore Delegato.
I responsabili di area assicurano che le pratiche di sicurezza siano applicate quotidianamente dai dipendenti delle rispettive aree.
Il Compliance Officer è responsabile delle questioni relative alla privacy, come l’elaborazione dei dati personali in conformità alle leggi e ai regolamenti vigenti.
L’Organizzazione per la sicurezza definisce i requisiti, i principi e gli standard di sicurezza delle informazioni. È supportata da esperti di sicurezza, quando necessario. Il Responsabile IT è responsabile della sicurezza informatica. Il Responsabile della sicurezza è responsabile della definizione e del mantenimento degli standard e delle pratiche di sicurezza descritti in questa politica. Entrambi sono responsabili del miglioramento continuo della sicurezza delle informazioni.
Tutti i dipendenti si impegnano a rispettare questa politica e le altre politiche e procedure che la supportano. Ogni dipendente è tenuto a informare i responsabili competenti se identifica carenze, rischi e/o abusi relativi alla sicurezza informatica di Epassi e a partecipare alla formazione annuale sulla sicurezza informatica.
Operazioni di sicurezza informatica
Gestione del rischio
I rischi per la sicurezza delle informazioni vengono valutati regolarmente in Epassi, in conformità con una Politica di gestione del rischio documentata e con le istruzioni che supportano il processo. Oltre alle valutazioni regolari, i rischi vengono anche analizzati quando necessario. La politica viene rivista annualmente e aggiornata in base ai risultati della revisione.
Classificazione ed elaborazione delle informazioni
Epassi classifica tutte le informazioni che elabora e possiede in base ai requisiti legali e normativi, nonché alla loro criticità e al loro valore per le operazioni. I controlli di sicurezza specifici per il trattamento delle informazioni sono progettati in base a questa classificazione.
Gestione dei diritti di accesso
La gestione degli accessi segue un processo documentato. Il principio chiave è che qualsiasi accesso creato o esistente deve essere basato su una necessità valutata e verificata. Gli accessi vengono rivisti regolarmente.
Formazione e sensibilizzazione
Attraverso la formazione, Epassi si assicura che i dipendenti comprendano e si impegnino a rispettare le politiche di sicurezza informatica e siano consapevoli dei processi concordati. La formazione sulla sicurezza viene organizzata almeno una volta all’anno ed è obbligatoria per tutti i dipendenti. Il livello di completamento della formazione viene monitorato.
Oltre alla formazione annuale, Epassi organizza una formazione specifica per funzione per gruppi specifici, ove opportuno.
Sviluppo continuo
La sicurezza delle informazioni viene rivista regolarmente sia internamente che esternamente. Le revisioni interne si basano su processi pianificati, come il calendario annuale e le metriche. Le revisioni esterne comprendono audit annuali in conformità alla norma ISO/IEC 27001:2022. Inoltre, vengono condotti ulteriori audit e test per coprire l’intero sistema di gestione della sicurezza delle informazioni.
Tutti i dipendenti hanno l’obbligo di segnalare eventuali carenze e/o abusi rilevati.
Continuità aziendale e risposta agli incidenti
Epassi dispone di piani documentati per garantire la continuità e la risposta rapida agli incidenti. Il Piano di continuità aziendale guida le misure necessarie per recuperare o ripristinare le funzioni dopo un evento dirompente. Il Piano di risposta agli incidenti guida il processo rapido dall’identificazione alla gestione dell’incidente.
Approvazione e revisione
La presente Politica di sicurezza delle informazioni è stata approvata dal Management Team l’11.2.2025.
Questa politica sarà rivista annualmente, oltre che in caso di cambiamenti rilevanti che riguardano le sue linee guida. La versione rivista e aggiornata sarà approvata dal team di gestione.
Storia della versione
| Versione | Data | Descrizione |
| 1.0 | 9.4.2021 | Prima versione approvata. |
| 1.01 | 24.2.2022 | Contenuto aggiornato allo stato attuale. Rivisto e approvato dal team di gestione. |
| 1.02 | 13.2.2023 | Contenuto rivisto, linguaggio aggiornato. |
| 1.03 | 21.5.2024 | Contenuto rivisto. |
| 1.04 | 17.9.2024 | Aggiornamenti secondo la norma ISO 27001:2022. |
| 1.1 | 15.1.2025 | Aggiornamento dello stato di certificazione. |
| 2.0 | 11.2.2025 | Approvato dal Team di Leadership allargato |
