Agile Telecom e le sue misure di sicurezza

Gestione della sicurezza delle informazioni

Agile Telecom adotta un modello di gestione della sicurezza delle informazioni allineato allo standard ISO/IEC 27001:2022 e la direttiva 2022/2555 (NIS2). Questo approccio garantisce un’applicazione coerente delle politiche di sicurezza informatica in tutte le aree aziendali, assicurando una governance centralizzata e conforme agli standard internazionali.

Sono mappate in modo sistematico tutte le risorse considerate critiche per l’operatività, inclusi asset e processi business-critical. La copertura include anche gli aspetti legati alla continuità operativa della rete e dei servizi. Inoltre, l’intera organizzazione è coinvolta in iniziative di sensibilizzazione e consapevolezza, grazie all’utilizzo di repository documentali e percorsi di formazione, contribuendo a una diffusione capillare della cultura della sicurezza.

 

Gestione del rischio

La gestione dei rischi di sicurezza è organizzata in modo centralizzato presso la holding, permettendo un approccio unificato e coerente nella valutazione e trattamento delle minacce. Questa impostazione assicura l'adozione di metodologie consolidate e condivise a livello di gruppo.

Sono condotti esercizi di analisi del rischio, supportati da metodologie formalizzate che includono valutazioni di minacce, impatti e misure di mitigazione. Tali attività sono accompagnate da una gestione dei risultati, documentati e utilizzati per l’adozione delle misure di protezione più efficaci.

 

Ruoli e responsabilità

La governance della sicurezza è strutturata in modo efficace attraverso la nomina di figure professionali dedicate, con ruoli chiaramente distinti per gli aspetti tecnici di cybersecurity e gli aspetti legati al project management. Questa struttura è affiancata da una funzione di cybersecurity a livello di gruppo che coordina e supporta costantemente l’operatività aziendale.

Sono stati formalmente nominati gli amministratori di sistema e mantenuta aggiornata la lista dei nominativi. È inoltre previsto un sistema di reperibilità adeguato e contrattualizzato per il personale incaricato. Le attività di sensibilizzazione sono regolarmente svolte mediante strumenti di comunicazione interna, rafforzando l’impegno continuo dell’organizzazione nella diffusione della cultura della sicurezza.

 

Gestione delle terze parti

Agile Telecom adotta un modello maturo e ben strutturato per la gestione dei rapporti con le terze parti, ispirato alle direttive ENISA e basato su un’articolazione multilivello tra il gruppo, sotto responsabilità della holding, e l’organizzazione stessa.

 

Controlli sul background

Nel processo di selezione e onboarding delle risorse, Agile Telecom applica un sistema strutturato in collaborazione con la holding, assicurando verifiche puntuali e conformi alle normative vigenti. La valutazione del background include una revisione delle competenze e delle referenze, soprattutto per il personale con ruoli critici in ambito sicurezza.

I criteri da controllare sono formalizzati e applicati in modo sistematico.

 

Competenze e formazione

Agile Telecom adotta un approccio integrato alla formazione del personale in ambito sicurezza, in linea con i programmi definiti dalla holding. Questi percorsi formativi sono pensati per rafforzare la security awareness e promuovere un aggiornamento continuo delle competenze tecniche.

Sono stati implementati programmi specifici per il personale con responsabilità in ambito sicurezza, inclusi corsi mirati, webinar ed esercitazioni. L’efficacia di tali programmi è assicurata anche da test pratici e verifiche delle competenze.

 

Cambiamenti al personale

Il processo di gestione delle modifiche nei ruoli del personale è stato strutturato in modo tale da garantire la protezione continua delle informazioni e degli asset aziendali. Ogni cambiamento è accompagnato da azioni puntuali, tra cui la revoca semiautomatica dei diritti di accesso e la gestione ordinata dell’onboarding.

Le nuove risorse ricevono una formazione mirata sia sulla gestione aziendale della sicurezza delle informazioni, sia sul ruolo specifico assegnato attraverso materiali formativi.

 

Controllo d’accesso alle reti e ai sistemi informativi

Agile Telecom implementa un sistema di gestione degli accessi conforme alle normative e alle best practices del settore. La componente di autenticazione è supportata da tecnologie moderne come il Single Sign-On (SSO) integrato con Google e da soluzioni di autenticazione multifattoriale (MFA), assicurando l’identificazione univoca degli utenti e la protezione degli accessi.

Sono definite politiche robuste in materia di password, gestione dei profili autorizzativi e limitazione delle sessioni parallele, supportate da strumenti centralizzati per l’IAM. L’efficacia di tali controlli è monitorata attraverso sistemi avanzati di logging e analisi degli accessi.

 

Protezione della rete e dei sistemi informativi

Agile Telecom adotta un insieme di misure tecniche e organizzative volte a garantire una protezione multilivello della rete e dei sistemi informativi. I dati critici, inclusi password e chiavi, sono protetti tramite tecniche avanzate di cifratura e hashing. È previsto inoltre l’uso di sistemi SIEM per il monitoraggio centralizzato, insieme a strumenti di gestione automatizzata delle configurazioni. È applicato il principio del minimo privilegio per gli utenti e segmentazione della rete, rafforzando ulteriormente la protezione contro accessi non autorizzati. Sono attivi anche sistemi antispam configurati in modo da prevenire efficacemente la ricezione di contenuti dannosi attraverso la posta elettronica.

 

Gestione dei cambiamenti alle reti e ai sistemi informativi

La gestione dei cambiamenti tecnologici è regolata da criteri chiari e condivisi, che includono la definizione di rollback, ambienti di test, e una comunicazione strutturata e tempestiva dei cambiamenti. Ogni modifica viene tracciata tramite strumenti dedicati al controllo delle modifiche di sistema, assicurando piena tracciabilità e trasparenza.

 

Gestione degli asset

Agile Telecom impiega un sistema completo per la gestione degli asset, in piena coerenza con le best practice del settore. Per le infrastrutture in cloud è attivo un sistema di monitoraggio continuo, mentre i dispositivi mobili sono gestiti tramite Microsoft Intune, garantendo un controllo centralizzato. Viene eseguita una procedura di formattazione per assicurare la completa sanitizzazione e protezione dei dati sensibili contenuti nei dispositivi durante la restituzione al fornitore.

Tutti i dispositivi assegnati ai dipendenti vengono gestiti attraverso un processo ordinato di onboarding e sono soggetti a criteri chiari di tracciabilità.

 

Rilevamento e risposta agli incidenti di sicurezza

È presente un processo formalizzato per la gestione degli incidenti di sicurezza, operando in sinergia con la funzione di cybersecurity della holding. Questo approccio integrato consente di affrontare tempestivamente ogni fase dell’incidente, dalla rilevazione all’analisi, dal contenimento fino al ripristino.

Gli strumenti utilizzati includono piattaforme di trouble ticketing e tool per il rilevamento e l’analisi forense. La gestione dei data breach è regolata da procedure dedicate che assicurano la conformità al GDPR e prevedono una risposta tempestiva e strutturata. L’intero personale è coinvolto in iniziative di formazione specifica e partecipazione a esercitazioni, rafforzando la preparazione organizzativa in caso di eventi critici. Le attività sono supportate da un registro dettagliato degli incidenti, che consente una visione completa e tracciabile delle attività di risposta e miglioramento continuo.

 

Reportistica sugli incidenti di sicurezza

Sono formalizzati all'interno dell'Organizzazione criteri strutturati per la redazione di report relativi agli incidenti di sicurezza, assicurando la disponibilità di informazioni chiare e tempestive per tutte le parti interessate. Le segnalazioni avvengono in conformità con le normative nazionali ed europee, includendo l'indirizzamento a clienti, autorità e soggetti interni.

Tali report garantiscono trasparenza e accountability, contribuendo a una comunicazione efficace degli eventi e alla definizione di eventuali azioni correttive.

 

Monitoraggio e logging

Sono stabiliti criteri chiari che definiscono quali azioni debbano essere monitorate, includendo non solo login/logout, ma anche attività rilevanti per la sicurezza, sia per gli amministratori di sistema che per gli altri utenti.

 

Valutazione della sicurezza

La sicurezza dei sistemi viene costantemente monitorata attraverso attività strutturate di assessment e vulnerability management. L’organizzazione ha definito criteri specifici per l’esecuzione di test di sicurezza, come i VAPT (Vulnerability Assessment e Penetration Test), condotti con cadenza regolare sugli assett dell'Organizzazione.

È stata inoltre istituita una funzione dedicata alla gestione degli eventi di sicurezza legati ai fornitori e ai produttori, assicurando una risposta tempestiva e informata a ogni segnalazione. Sono previsti strumenti per la gestione semiautomatica delle patch e degli aggiornamenti, garantendo tempestività e coerenza nell'applicazione delle correzioni.

 

Sicurezza dei dati a riposo

Agile Telecom adotta un insieme di misure avanzate per la protezione dei dati a riposo. Tutti i dispositivi client sono protetti tramite cifratura con tecnologia Full Disk Encryption, assicurando la protezione delle informazioni memorizzate. Inoltre, non è previsto l’uso di supporti rimovibili, a favore di sistemi di condivisione cloud sicuri come Google Drive.

 

Sicurezza dei dati in transito

Sono definiti criteri strutturati per la sicurezza delle interfacce applicative e di rete, adottando tecniche diffuse di validazione degli input e protezione contro le principali vulnerabilità note (es. XSS, SQL Injection). Le comunicazioni in transito sono protette tramite l’uso di protocolli cifrati sicuri come TLS 1.2 o superiori, applicati sia sulle interfacce interne che esterne.

 

Sicurezza del software

Per lo sviluppo del software interno, seguiamo rigorosamente le linee guida definite a livello di gruppo dalla holding. Viene garantita la separazione degli ambienti di sviluppo, test e produzione, così da assicurare la protezione dell’integrità delle applicazioni durante tutto il ciclo di vita del software.

Tutti i rilasci sono soggetti a test approfonditi, anche tramite pipeline automatizzate, e sottoposti a processi di code review, con attenzione particolare ai progetti critici. Questo approccio rafforza la qualità del codice, previene vulnerabilità e favorisce la continuità operativa delle applicazioni, in linea con i principi di security by design.