1. Premessa
Cefriel considera le informazioni proprie, dei clienti e dei partner un patrimonio da proteggere. Le attività di ricerca, formazione, innovazione e consulenza dipendono da strumenti digitali, servizi cloud e, sempre più, da sistemi di intelligenza artificiale. La sicurezza delle informazioni è quindi una condizione per la fiducia dei clienti nonché un vantaggio competitivo. Questa politica definisce principi, obiettivi e responsabilità del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) implementato secondo lo standard ISO/IEC 27001:2022 e costituisce il quadro per fissare e riesaminare gli obiettivi di sicurezza.

2 Obiettivi e principi di sicurezza
Il SGSI protegge le informazioni in base ai seguenti obiettivi:

• Riservatezza – le informazioni sono accessibili solo a chi è autorizzato.


• Integrità – le informazioni sono accurate, complete e protette da modifiche non autorizzate.


• Disponibilità – le informazioni e i servizi sono accessibili quando servono.

Principali approcci operativi che ne derivano:

• Sviluppo della cultura della cybersecurity: trasmettere le conoscenze, i comportamenti corretti e le norme che rendono la cyber security parte integrante del lavoro.


• Need-to-know e privilegio minimo: accessi concessi solo per le esigenze del ruolo e rivisti periodicamente.


• Zero trust: identità verificata a ogni accesso, con autenticazione multifattore per i sistemi critici e l’accesso remoto.


• Segregazione dei compiti: le attività a rischio elevato sono ripartite tra più persone.


• Security e privacy by design: la sicurezza è prevista fin dall’avvio di progetti, prodotti e servizi.


• Approccio basato sul rischio: i controlli sono scelti in base a una valutazione dei rischi aggiornata almeno una volta l’anno.


• Non divulgazione senza autorizzazione formale o base contrattuale.

3. Impegni della Direzione
La Direzione di Cefriel si impegna a:

• integrare la sicurezza delle informazioni nei processi e nella strategia aziendale;


• assegnare risorse adeguate (persone, competenze, strumenti, budget);


• soddisfare i requisiti applicabili di legge, contratto e standard;


• approvare la valutazione dei rischi e il piano di trattamento;


• promuovere il miglioramento continuo del SGSI;


• comunicare l’importanza della sicurezza e dare l’esempio nei comportamenti.

In coerenza con la direttiva NIS2, gli organi di amministrazione approvano le misure di gestione del rischio, ne sorvegliano l’attuazione e seguono una formazione specifica.

4. Gestione degli incidenti e continuità operativa
Incidenti o anomalie di sicurezza relative ai sistemi, servizi o informazioni gestite da Cefriel possono essere segnalate all’indirizzo security.contact@cefriel.com.
Cefriel garantisce rilevazione, contenimento, analisi e ripristino rapidi, e trae lezioni da ogni incidente. Il piano di continuità operativa individua i processi critici, i tempi di ripristino accettabili e le contromisure. Piano e backup sono testati almeno una volta l’anno.

5. Uso responsabile dell’intelligenza artificiale
Cefriel usa e sviluppa sistemi di IA in modo sicuro, trasparente e conforme all’AI Act. Si utilizzano solo strumenti di IA approvati e censiti, con condizioni contrattuali che tutelano i dati, con particolare attenzione ai dati personali. I risultati prodotti dall’IA sono verificati da una persona prima di essere usati in decisioni o consegnati ai clienti. Nello sviluppo di sistemi di IA sono considerati rischi specifici, come manipolazione dei prompt, fuga di dati o avvelenamento dei dati di addestramento, e classificati secondo l’AI Act. Tutto il personale riceve infine una formazione di alfabetizzazione sull’IA, come richiesto dall’art. 4 dell’AI Act.

6. Fornitori e catena di approvvigionamento
I fornitori sono valutati in base al rischio prima dell’affidamento di un incarico e periodicamente. I contratti includono requisiti di sicurezza, riservatezza, protezione dei dati, notifica degli incidenti e diritto di audit. I servizi cloud e i fornitori di IA rispettano requisiti minimi su localizzazione dei dati, cifratura e uso dei dati per l’addestramento. Gli accessi dei fornitori sono limitati, temporanei e tracciati.

7. Formazione e consapevolezza
Tutto il personale riceve una formazione all’ingresso sulla sicurezza, aggiornata almeno una volta l’anno, affiancata da percorsi specifici per ruoli tecnici, responsabili di progetto e organi di amministrazione. Simulazioni di phishing e campagne di sensibilizzazione periodiche mantengono alta l’attenzione, mentre chi usa e/o sviluppa sistemi di IA segue un percorso di alfabetizzazione dedicato.