Bizneo dipende dai sistemi informativi. Questi sistemi sono gestiti con diligenza, adottando misure adeguate per proteggerli da danni accidentali o intenzionali che possano compromettere la disponibilità, l'integrità, la riservatezza, l'autenticità o la tracciabilità delle informazioni trattate e dei servizi forniti.

Consapevole dell'importanza della sicurezza delle informazioni, e in linea con il percorso che contraddistingue la nostra stessa identità, Bizneo ha promosso l'istituzione di un sistema di gestione della sicurezza delle informazioni (di seguito, ISMS) secondo la norma ISO 27001 e in conformità con i requisiti del Regio Decreto 311/2022, del 3 maggio, che regola il Regime di Sicurezza Nazionale nel campo dell'Amministrazione Elettronica (di seguito, ENS), al fine di identificare, valutare e ridurre al minimo i rischi a cui sono esposte le sue informazioni e quelle dei suoi clienti, nonché di garantire la conformità con gli obiettivi stabiliti.

Lo scopo di questa Politica di Sicurezza è garantire la qualità delle informazioni e la fornitura continua di servizi, agendo in modo preventivo e supervisionando l'attività quotidiana, nonché fornire un quadro di riferimento per la definizione di obiettivi di sicurezza che permettano a Bizneo di sviluppare una cultura aziendale, un modo di lavorare e di prendere decisioni, allineato con la sicurezza delle informazioni e che il rispetto dei dati personali siano una costante.

I sistemi informativi sono protetti da minacce in rapida evoluzione, i cui danni potenziali riguardano la riservatezza, l'integrità, la disponibilità, l'uso previsto (tracciabilità) e il valore delle informazioni (autenticità) dei servizi. Per difendersi da queste minacce, è stata definita una strategia che si adatta ai cambiamenti delle condizioni ambientali per garantire la fornitura continua dei nostri servizi.
I diversi dipartimenti di Bizneo assicurano che la sicurezza sia parte integrante di ogni fase del ciclo di vita del sistema, dalla sua concezione alla sua dismissione, comprese le decisioni di sviluppo o acquisizione e le attività operative.

La Bizneo è preparata a prevenire, individuare, reagire e recuperare gli incidenti, in conformità con l'articolo 12 della ENS, e ha quindi agito per migliorare i diversi aspetti della sicurezza delle informazioni:

Quadro Legale e Normativo

Bizneo condurrà le sue attività in conformità con il quadro giuridico e normativo in vigore. Si impegna a rispettare tutte le leggi e i regolamenti pertinenti relativi alla sicurezza delle informazioni, compresi, ma non solo, quelli indicati nel documento “Legislazione ISMS applicabile”.

Bizneo integra le norme ENS e ISO 27001 nella politica di sicurezza dell'organizzazione per fornire una struttura più completa e solida per affrontare aspetti specifici della sicurezza delle informazioni, sia a livello nazionale che internazionale. Inoltre, l'adozione di questi standard aumenta la credibilità dell'azienda, dimostrando il suo impegno verso le migliori pratiche di sicurezza.

Quadro Organizzativo della Sicurezza

Questa politica di sicurezza è stata stabilita in conformità con i principi fondamentali delineati nel Capitolo II del Regio Decreto 311/2022 ed è stata sviluppata utilizzando i seguenti requisiti minimi:

Organizzazione in materia di sicurezza

In conformità con lo Schema di Sicurezza Nazionale (ENS), la nostra organizzazione adotta i seguenti principi di base per garantire la sicurezza delle informazioni:

1. Sicurezza completa
2. Gestione del rischio
3. Prevenzione, rilevamento e risposta
4. Linee di difesa
5. Rivalutazione continua
6. Ruoli e responsabilità
7. Sicurezza proporzionale
8. Documentazione e registrazione

Bizneo ha identificato e definito i ruoli e le funzioni di sicurezza necessari per garantire la protezione delle informazioni. Ogni ruolo ha responsabilità chiaramente definite (Responsabilità Autorità e Competenze ENS).

Bizneo ha nominato un Comitato per la sicurezza che supervisionerà il monitoraggio e la conformità dell'ISMS. Il Comitato per la sicurezza è composto da posizioni aziendali e di responsabilità all'interno dell'organizzazione. L'elenco dei membri costitutivi del Comitato per la sicurezza è definito nella procedura creata a tale scopo (PS00 - Manuale ISMS). Il Comitato per la sicurezza avrà le seguenti funzioni e responsabilità:

• Coordinare tutte le attività connesse alla sicurezza delle TIC.
• È responsabile della redazione della politica di sicurezza.
• È responsabile dell'elaborazione e dell'adozione delle norme che disciplinano l'uso dei servizi TIC.
• Adottare le procedure operative relative all'uso dei servizi TIC.
• Adottare i requisiti di formazione e qualificazione per gli amministratori, gli operatori e gli utenti a partire dal punto di vista della sicurezza delle TIC.

Sono stati inoltre definiti i ruoli e le responsabilità del responsabile della sicurezza, del responsabile dell'informazione e del responsabile dei servizi, nonché il loro rapporto con il Comitato per la sicurezza.

Al fine di descrivere il processo e la gerarchia per la risoluzione dei conflitti di autorità che possono verificarsi durante la gestione della ENS tra i profili critici con responsabilità in materia di sicurezza, Bizneo ha definito le funzioni per la risoluzione dei conflitti di autorità che si applicano a tutti i profili specifici di gestione della ENS (vedi Responsabilità Autorità e Competenze ENS).

Il Responsabile della sicurezza delle informazioni, il Responsabile dei servizi e il Responsabile delle informazioni saranno nominati dalla Direzione su proposta del Comitato per la sicurezza. Queste nomine saranno riviste ogni 2 anni o quando la posizione diventa vacante.

Il seguente organigramma delinea le posizioni con funzioni o responsabilità relative alla sicurezza delle informazioni. In assenza di uno di questi responsabili, l'escalation sarà effettuata secondo le linee gerarchiche segnate in questo diagramma.

Analisi e gestione dei rischi 

Tutti i sistemi soggetti a questa Politica sono stati valutati attraverso un'analisi dei rischi, valutando le minacce e i rischi a cui sono esposti. Questa analisi deve essere ripetuta

• regolarmente, almeno una volta all'anno
• quando cambiano le informazioni trattate
• quando cambiano i servizi forniti
• quando si verifica un grave incidente di sicurezza
• quando vengono segnalate gravi vulnerabilità

Documentazione e comunicazione

La presente Politica di sicurezza delle informazioni deve essere resa disponibile come informazione documentata e comunicata all'interno dell'organizzazione. Inoltre, deve essere condivisa con le parti interessate, come le autorità, gli operatori e gli utenti del trasporto pubblico, a seconda dei casi.

Revisione e aggiornamento

Questa politica sarà rivista annualmente o prima se ci sono cambiamenti significativi nell'ambiente operativo o tecnologico di Bizneo. L'alta direzione si impegna a mantenere questa politica allineata con gli obiettivi dell'azienda e con i requisiti di sicurezza delle informazioni applicabili.

Questa politica di sicurezza delle informazioni sarà sempre allineata con le politiche generali dell'azienda e con quelle che fungono da quadro di riferimento per altri sistemi di gestione interna, come le politiche di qualità.

A Madrid, il 16 luglio 2024

Santiago Salas

CEO Bizneo