1. Scopo

Stabilire come Nuova Agile Technology srl classifica le informazioni in base alla loro sensibilità e criticità e quali misure di trattamento, protezione e conservazione applicare a ciascun livello, lungo l'intero ciclo di vita (creazione, uso, condivisione, archiviazione, cancellazione).

2. Ambito

Si applica a tutte le informazioni gestite dall'Azienda, indipendentemente dal formato e dal supporto: codice sorgente, documentazione di progetto, dati dei servizi SaaS (inclusi i dati personali dei clienti), credenziali e segreti, documenti amministrativi e contrattuali, comunicazioni interne. Riguarda i dati nel cloud (Aruba, Hetzner), sui PC portatili e presso le piattaforme AI.

3. Riferimenti

ISO/IEC 27001:2022 Annex A (A.5.12, A.5.13, A.5.14, A.5.10, A.8.10, A.8.12)
ISO/IEC 27018:2019 (protezione dei dati personali nel cloud)
GDPR; Politica di Crittografia; Politica di Controllo degli Accessi

4. Ruoli e responsabilità

Il Responsabile SGSI Massimo Tagliavini mantiene lo schema di classificazione e ne supervisiona l'applicazione. Il Responsabile IT e Sicurezza Simon Fattori implementa le misure tecniche per livello. Il DPO (consulente esterno) presidia il corretto trattamento dei dati personali. Ogni dipendente/collaboratore, in qualità di proprietario o utilizzatore dell'informazione, è responsabile della sua corretta classificazione e gestione.

5. Schema di classificazione

Livello	Descrizione	Esempi
Pubblico	Informazioni destinate alla diffusione, senza impatto se divulgate.	Materiale marketing, documentazione pubblica del prodotto
Interno	Uso interno; divulgazione non autorizzata con impatto limitato.	Procedure interne, comunicazioni di team
Riservato	Informazioni sensibili aziendali o di terzi; impatto significativo se divulgate.	Codice sorgente proprietario, contratti, dati clienti non personali
Strettamente riservato	Massima sensibilità; impatto grave (legale, reputazionale, sanzionatorio).	Dati personali dei clienti nel SaaS, credenziali, chiavi API, segreti

6. Regole di trattamento per livello

6.1 Etichettatura

I documenti e i repository riportano, ove pertinente, il livello di classificazione. I dati personali sono trattati come Strettamente riservati per impostazione predefinita.

6.2 Misure minime

Pubblico: nessuna restrizione di accesso particolare; verifica di accuratezza prima della pubblicazione.
Interno: accesso limitato al personale; non condividere all'esterno senza autorizzazione.
Riservato: accesso su base need-to-know; trasmissione cifrata; conservazione nei sistemi aziendali autorizzati; divieto di copia su supporti non controllati.
Strettamente riservato: cifratura obbligatoria a riposo e in transito; accesso con MFA e minimo privilegio; tracciabilità degli accessi; divieto di trasmissione a piattaforme AI senza minimizzazione/anonimizzazione; nessuna conservazione su supporti personali.

6.3 Dati personali nel SaaS (ISO 27018 / GDPR)

Trattamento secondo le istruzioni documentate dei clienti (in qualità di responsabile del trattamento), con isolamento per tenant.
Applicazione dei principi di minimizzazione e limitazione della conservazione.
Supporto ai diritti degli interessati e gestione delle richieste di cancellazione.

6.4 Conservazione e cancellazione sicura

I periodi di conservazione sono definiti per categoria e in base a obblighi legali e contrattuali.
La cancellazione avviene in modo sicuro (cancellazione logica irreversibile dei dati nei sistemi cloud, distruzione delle copie); per i PC portatili la dismissione prevede wipe sicuro o riformattazione con disco già cifrato.

7. Controlli ISO collegati e riferimenti NIS2

A.5.12 (Classificazione delle informazioni), A.5.13 (Etichettatura delle informazioni), A.5.14 (Trasferimento delle informazioni), A.5.10 (Uso accettabile delle informazioni e degli asset), A.8.10 (Cancellazione delle informazioni), A.8.12 (Prevenzione della fuga di dati). Cloud: ISO/IEC 27018. Riferimento NIS2: D.Lgs. 138/2024 art.24 (misure di gestione del rischio, incluse politiche di sicurezza delle informazioni).

8. Registrazioni ed evidenze

Schema di classificazione, inventario degli asset informativi con livello, registro dei trattamenti (GDPR), evidenze di cancellazione sicura.

9. Riesame e versionamento

Approvata dal Responsabile SGSI. Revisione almeno annuale. Versione 1.0.