Linea Guida: Modello SGSI Agile e Lavoro da Qualsiasi Luogo

1. Scopo

Definire l'impostazione del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) di Nuova Agile Technology srl secondo un approccio agile/lean, coerente con un'azienda cloud-native senza sede fisica. Questa Linea Guida orienta tutti gli altri documenti del SGSI.

2. Ambito

L'ambito SGSI copre lo sviluppo software (licenze on-premise e SaaS), i dati dei clienti e le credenziali aziendali, trattati su servizi esclusivamente cloud (Aruba in Italia, Hetzner in UE, piattaforme AI). Non esiste un perimetro fisico aziendale: niente server in sede, niente data center proprietario. L'ambito si definisce sui dati, gli account e i dispositivi, non sui luoghi.

3. Principi dell'approccio agile/lean

• Scope stretto: si protegge ciò che conta (codice, dati clienti, credenziali cloud), senza estendere controlli a perimetri inesistenti.
• Documentazione minima e viva: regole brevi e pratiche, aggiornate spesso; niente burocrazia. Ogni documento è uno strumento operativo, non un adempimento.
• Responsabilità condivisa col cloud: la sicurezza fisica dei data center e gran parte dell'infrastruttura sono responsabilità di Aruba/Hetzner; noi ci occupiamo di account, accessi, configurazioni, dati e dispositivi (controllo A.5.23 sicurezza nei servizi cloud, 27017/27018).
• Secure-by-default: MFA ovunque, cifratura di default, SSO, account aziendali gestiti centralmente.
• Evidenze automatizzate: la piattaforma SGSI registra controlli periodici e audit; si privilegiano prove generate dal sistema rispetto a registri manuali.

4. Il modello Work-from-Anywhere

Il luogo di lavoro può essere qualsiasi: casa, coworking, viaggio, all'aperto. La sicurezza non dipende dal luogo ma dal modo di lavorare:

• Ogni collaboratore usa un portatile e uno smartphone aziendali dedicati, cifrati e gestiti (MDM), con separazione netta tra strumenti privati e di lavoro.
• Posta e servizi sono aziendali, amministrati dalla società: niente account personali per il lavoro.
• Le chiavi/credenziali di accesso al cloud hanno copie di sicurezza controllate (key escrow cifrato), così lo smarrimento di un dispositivo non causa perdita di accesso.

5. Come si applicano gli altri documenti

La Politica di Lavoro da Remoto e Mobilità (33) regola il comportamento da qualsiasi luogo; la Politica sui Dispositivi (34) regola portatili e smartphone; la Politica di Posta e Servizi (35) regola account ed email; la Procedura Chiavi Cloud (36) regola la custodia delle credenziali. Tutti discendono dai principi qui esposti.

6. Ruoli

Vedi organigramma SGSI. Direzione/Presidente: Silvia Garretto. RSGSI: Massimo Tagliavini. Responsabile IT e Sicurezza: Simon Fattori. DPO: consulente esterno.

7. Controlli ISO e riferimenti NIS2

Controlli collegati: A.6.7, A.7.9, A.8.1, A.5.10, A.5.23 (ISO/IEC 27001:2022; 27017/27018). NIS2 (D.Lgs. 138/2024): art.23 (governance), art.24 (misure di gestione del rischio). ISO è buona prassi, non obbligo di legge.

8. Riesame e versionamento

Documento vivo, riesaminato almeno annualmente o a fronte di cambiamenti rilevanti; versione tracciata nella piattaforma SGSI.