Politica Integrata

Dichiarazione

La Direzione di VCloud Systems riconosce che la qualità dei servizi erogati, la protezione delle informazioni proprie e di quelle affidate dai clienti, la resilienza operativa e la sicurezza delle infrastrutture digitali gestite costituiscono elementi essenziali per il successo aziendale, la tutela dei propri clienti e la continuità del business.

VCloud Systems opera come fornitore di servizi gestiti di sicurezza informatica e di servizi IT gestiti. L'offerta comprende la protezione degli endpoint, il monitoraggio e la correlazione degli eventi e dei log di sicurezza attraverso piattaforme SIEM, la gestione delle vulnerabilità, la gestione e la manutenzione delle infrastrutture informatiche dei clienti e i servizi professionali erogati anche mediante pacchetti di ore prepagate.

La Direzione considera il Sistema di Gestione Integrato uno strumento strategico per garantire:

• la soddisfazione dei clienti e il rispetto dei livelli di servizio concordati;
• la protezione del patrimonio informativo aziendale e delle informazioni affidate dai clienti;
• la continuità dei servizi erogati e la capacità di ripristino;
• la resilienza informatica e la gestione dei rischi cyber;
• la corretta gestione dei dati personali trattati per conto dei clienti;
• il rispetto dei requisiti normativi, contrattuali e regolamentari applicabili;
• il miglioramento continuo delle prestazioni aziendali.

Chi siamo

VCloud Systems S.r.l. è un fornitore di servizi gestiti di sicurezza informatica (Managed Security Service Provider) con sede a Cernusco sul Naviglio (MI). L'azienda eroga e gestisce servizi di protezione degli endpoint, monitoraggio degli eventi di sicurezza, gestione delle vulnerabilità e amministrazione delle infrastrutture informatiche dei propri clienti, affiancandoli con servizi professionali e consulenza tecnica specialistica.

L'azienda opera con un approccio fortemente orientato al cliente, alla sicurezza e all'affidabilità dei servizi, perseguendo elevati standard qualitativi e tecnologici attraverso un modello organizzativo fondato sulla competenza specialistica del personale, sul presidio continuo delle minacce e sulla gestione strutturata del rischio.

Operando con accessi privilegiati sui sistemi informativi dei propri clienti, VCloud Systems riconosce la particolare responsabilità che deriva dal proprio ruolo e assume la sicurezza della propria catena di fornitura quale principio fondante del modello operativo aziendale.

La nostra missione

La missione di VCloud Systems è proteggere le informazioni e la continuità operativa dei propri clienti, fornendo servizi di sicurezza gestita e servizi IT affidabili, misurabili e sostenibili nel tempo, e creando valore per tutte le parti interessate.

L'organizzazione si impegna a garantire che tutti i servizi erogati siano progettati, erogati, monitorati e mantenuti nel rispetto dei più elevati standard di qualità, sicurezza delle informazioni e protezione dei dati personali affidati dai clienti.

Campo di applicazione del Sistema di Gestione Integrato

Il Sistema di Gestione Integrato di VCloud Systems è conforme ai requisiti delle norme UNI EN ISO 9001:2015 e UNI CEI EN ISO/IEC 27001:2024, con applicazione dei controlli aggiuntivi previsti dalle norme ISO/IEC 27017:2015 per i servizi cloud e ISO/IEC 27018:2019 per la protezione dei dati personali trattati in qualità di responsabile del trattamento.

Il Sistema si applica a tutte le attività svolte presso la sede aziendale di Cernusco sul Naviglio (MI) e ai servizi erogati da remoto ai clienti.

Con riferimento al requisito 8.3 della norma UNI EN ISO 9001:2015, l'attività di sviluppo software è svolta prevalentemente per finalità interne e, nella componente erogata a clienti, sulla base di requisiti definiti in modo completo e dettagliato dal cliente stesso. Il processo di progettazione e sviluppo non risulta pertanto applicabile e le relative attività sono gestite nell'ambito dei processi di erogazione dei servizi. La motivazione dell'esclusione è documentata nel Manuale del Sistema di Gestione Integrato.

Principi della Politica Integrata

Qualità dei servizi (ISO 9001)

La Direzione si impegna a:

• comprendere e soddisfare le esigenze espresse ed implicite dei clienti;
• assicurare la conformità dei servizi ai requisiti contrattuali, normativi e regolamentari applicabili;
• rispettare i livelli di servizio concordati, monitorando i tempi di presa in carico, di risposta e di risoluzione delle richieste;
• garantire trasparenza nella rendicontazione delle attività svolte e del consumo dei pacchetti di ore acquistati dai clienti;
• gestire con tempestività reclami e non conformità, applicando azioni correttive volte a rimuoverne le cause;
• misurare sistematicamente le prestazioni dei processi e la soddisfazione dei clienti;
• selezionare, qualificare e monitorare i fornitori sulla base di criteri definiti;
• sviluppare le competenze professionali del personale in coerenza con l'evoluzione delle tecnologie e dello scenario delle minacce;
• promuovere l'innovazione tecnologica quale fattore competitivo;
• perseguire il miglioramento continuo dei processi aziendali.

Sicurezza delle informazioni (ISO/IEC 27001)

La Direzione riconosce che la sicurezza delle informazioni rappresenta un elemento essenziale per la tutela del patrimonio aziendale e della fiducia dei clienti e si impegna a garantire:

• la riservatezza delle informazioni, assicurando che esse siano accessibili esclusivamente ai soggetti autorizzati;
• l'integrità delle informazioni, garantendo accuratezza e completezza dei dati e dei processi;
• la disponibilità delle informazioni e dei servizi critici;
• la protezione degli asset informativi e delle infrastrutture tecnologiche, proprie e gestite per conto dei clienti;
• la gestione degli accessi privilegiati ai sistemi dei clienti secondo i principi del minimo privilegio e della necessità di conoscere, con autenticazione a più fattori, tracciamento delle operazioni e riesame periodico delle utenze;
• l'adozione di adeguate misure organizzative, fisiche e logiche di sicurezza;
• la gestione sistematica dei rischi relativi alla sicurezza delle informazioni;
• la gestione degli incidenti di sicurezza e delle vulnerabilità, con informativa tempestiva ai clienti interessati;
• la sicurezza delle risorse umane, attraverso verifiche proporzionate in fase di inserimento, vincoli di riservatezza e formazione continua;
• l'applicazione di principi di sviluppo sicuro a tutte le componenti software realizzate, con particolare attenzione agli strumenti che operano con privilegi sui sistemi dei clienti;
• la protezione dei dati trattati per conto dei clienti;
• la continuità operativa e la capacità di ripristino dei servizi.

Servizi cloud (ISO/IEC 27017)

In relazione ai servizi erogati in ambiente cloud e alla gestione delle infrastrutture dei clienti, la Direzione si impegna a:

• definire e comunicare al cliente il modello di responsabilità condivisa, distinguendo con chiarezza le attività in carico a VCloud Systems da quelle che restano in carico al cliente;
• garantire la segregazione logica degli ambienti, delle credenziali e dei dati dei diversi clienti;
• applicare misure di irrobustimento e di gestione del ciclo di vita delle macchine e delle immagini virtuali;
• presidiare la sicurezza operativa delle attività di amministrazione, con separazione dei ruoli e tracciamento delle operazioni svolte sui sistemi dei clienti;
• monitorare i servizi erogati e rendere disponibili al cliente, secondo quanto concordato, le evidenze e i log di sua pertinenza;
• assicurare l'allineamento delle misure di sicurezza tra reti fisiche e virtuali;
• gestire la restituzione e la rimozione documentata dei dati e degli asset del cliente al termine del rapporto contrattuale, secondo tempi e modalità definiti.

Protezione dei dati personali trattati per conto dei clienti (ISO/IEC 27018)

Nello svolgimento della propria attività VCloud Systems tratta dati personali in qualità di responsabile del trattamento ai sensi dell'art. 28 del Regolamento (UE) 2016/679. La Direzione si impegna a:

• trattare i dati personali dei clienti esclusivamente sulla base di istruzioni documentate e per le sole finalità connesse all'erogazione dei servizi;
• non utilizzare i dati dei clienti per finalità proprie, ivi comprese attività di marketing, profilazione o addestramento di sistemi di intelligenza artificiale;
• vincolare a obblighi di riservatezza il personale autorizzato al trattamento;
• comunicare al cliente l'elenco dei sub-responsabili e l'ubicazione geografica dei trattamenti, privilegiando il mantenimento dei dati nello Spazio economico europeo;
• assistere il cliente nell'evasione delle richieste degli interessati e nella gestione delle violazioni di dati personali;
• informare il cliente delle richieste di accesso ai dati provenienti da autorità, nei limiti consentiti dalla legge;
• restituire o cancellare i dati personali al termine del servizio, fornendone evidenza al cliente.

Cybersecurity e resilienza (NIS2)

VCloud Systems, in qualità di fornitore di servizi gestiti di sicurezza a organizzazioni rientranti nell'ambito di applicazione del D.Lgs. 138/2024, adotta misure coerenti con i requisiti della Direttiva (UE) 2022/2555 al fine di supportare i propri clienti nell'adempimento dei relativi obblighi. Tali misure sono attuate attraverso i processi e i controlli del Sistema di Gestione per la Sicurezza delle Informazioni. La Direzione si impegna in particolare a:

• adottare un approccio basato sul rischio nella gestione della sicurezza informatica;
• garantire adeguati livelli di resilienza operativa e di continuità dei servizi erogati ai clienti;
• implementare misure tecniche, operative e organizzative proporzionate ai rischi cyber;
• gestire efficacemente gli incidenti di sicurezza informatica e supportare i clienti negli adempimenti di notifica previsti dalla normativa;
• monitorare costantemente minacce, vulnerabilità ed eventi cyber;
• presidiare la sicurezza della catena di fornitura e dei fornitori critici;
• assicurare adeguati programmi di formazione e sensibilizzazione del personale a tutti i livelli, incluso l'organo di gestione;
• promuovere una cultura aziendale orientata alla cybersicurezza;
• verificare periodicamente l'efficacia delle misure di sicurezza adottate.

Fattori critici di successo

La Direzione individua quali fattori strategici per il perseguimento della presente Politica:

• la centralità del cliente e delle sue esigenze;
• il coinvolgimento attivo di tutto il personale;
• la leadership e l'impegno della Direzione;
• la gestione dei rischi e delle opportunità;
• la sicurezza e la resilienza delle infrastrutture digitali proprie e gestite per conto dei clienti;
• la competenza specialistica e l'aggiornamento continuo del personale tecnico;
• il rispetto dei livelli di servizio concordati con i clienti;
• l'innovazione tecnologica continua;
• la collaborazione con partner e fornitori qualificati;
• il rispetto dei requisiti cogenti, normativi e contrattuali;
• il monitoraggio delle prestazioni e degli indicatori aziendali;
• il miglioramento continuo del Sistema di Gestione Integrato.

Impegno della Direzione

La Direzione si impegna a:

• mettere a disposizione risorse adeguate per il mantenimento e il miglioramento del Sistema di Gestione Integrato;
• definire, in sede di riesame, obiettivi misurabili per la qualità e per la sicurezza delle informazioni, coerenti con la presente Politica;
• assicurare che i requisiti del Sistema di Gestione Integrato siano integrati nei processi operativi dell'organizzazione;
• verificare periodicamente l'efficacia del sistema attraverso attività di monitoraggio, audit interni e riesami della direzione;
• promuovere la diffusione e la comprensione della presente Politica a tutto il personale e alle parti interessate pertinenti;
• garantire il miglioramento continuo delle prestazioni organizzative, della qualità dei servizi, della sicurezza delle informazioni e della resilienza informatica.

Con l'approvazione della presente Politica Integrata, la Direzione conferma il proprio impegno al soddisfacimento dei requisiti applicabili e al miglioramento continuo del Sistema di Gestione Integrato, in conformità alle norme UNI EN ISO 9001:2015 e UNI CEI EN ISO/IEC 27001:2024, nonché ai controlli aggiuntivi previsti dalle norme ISO/IEC 27017:2015 e ISO/IEC 27018:2019, a tutela degli interessi di clienti, dipendenti, partner e altre parti interessate.

Diffusione, riesame e struttura documentale

La presente Politica è approvata dalla Direzione, è mantenuta come informazione documentata ed è resa disponibile e comunicata a tutto il personale, che ne prende atto formalmente. È inoltre resa disponibile alle parti interessate pertinenti, tra cui clienti e fornitori, secondo modalità definite dall'organizzazione.

La Politica è riesaminata almeno annualmente in sede di Riesame della Direzione e comunque ogni volta che intervengano cambiamenti significativi nel contesto dell'organizzazione, nei servizi erogati, nella struttura aziendale o nel quadro normativo applicabile.

Dalla presente Politica discendono le politiche tematiche e le procedure del Sistema di Gestione Integrato, tra cui quelle relative al controllo degli accessi, all'uso accettabile delle risorse, alla gestione dei fornitori, alla gestione degli incidenti, alla continuità operativa, alle copie di sicurezza, alla crittografia e allo sviluppo sicuro.