Informativa sulla sicurezza

Nell’ambito del nostro processo di assunzione completo, effettuiamo controlli sui precedenti di tutti i candidati in conformità con le leggi, i regolamenti e i principi etici applicabili. Tali controlli hanno lo scopo di verificare il curriculum del candidato e valutarne l’idoneità alla gestione di informazioni sensibili. Il nostro obiettivo è garantire che tutti i nostri dipendenti abbiano una comprovata storia di integrità, senza episodi noti relativi a fughe di informazioni, divulgazione non autorizzata di informazioni riservate o simili violazioni della fiducia.

Tutti i dipendenti devono partecipare a corsi di formazione periodici sulla sicurezza delle informazioni. Questo programma di formazione è stato ideato per garantire che i dipendenti siano sempre aggiornati sulle politiche e sulle procedure della nostra organizzazione, nonché su eventuali modifiche alle stesse che siano attinenti al loro lavoro.

EnovaPoint garantisce che tutti gli accordi stipulati con fornitori terzi coinvolti nel trattamento in subappalto dei Dati dei Clienti includano rigorosi requisiti in materia di sicurezza delle informazioni, riservatezza e protezione dei dati. Tali accordi vengono regolarmente rivisti e valutati, almeno ogni 12 mesi, per verificare che le disposizioni relative alla sicurezza delle informazioni e alla protezione dei dati rimangano pertinenti ed efficaci.

EnovaPoint si impegna a integrare le considerazioni relative alla privacy in ogni fase dello sviluppo dei nostri prodotti e delle nostre operazioni aziendali, seguendo il principio della ‘Privacy by Design’. Questo approccio prevede l’integrazione proattiva delle misure di protezione dei dati nelle nostre architetture di sistema, nei processi aziendali e nelle prassi sin dall’inizio, anziché come elemento aggiunto a posteriori. Adottiamo un approccio di ‘minimizzazione dei dati’, in base al quale raccogliamo, trattiamo e conserviamo solo la quantità minima di dati personali necessaria per legittimi scopi aziendali, in linea con i principi del GDPR.

EnovaPoint aderisce al principio del privilegio minimo, garantendo che gli utenti abbiano accesso solo alle informazioni e alle risorse necessarie per lo svolgimento delle loro mansioni lavorative. Tale accesso è stabilito dall’alta dirigenza e rivisto trimestralmente per assicurarne la corrispondenza con le attuali mansioni lavorative. Qualsiasi accesso ritenuto inappropriato o non necessario viene immediatamente revocato.

La Politica sulla gestione delle password disciplina la creazione, l'uso e la modifica delle password utilizzate per accedere ai sistemi operativi, alle applicazioni e ai dati di EnovaPoint e di fornitori terzi. L'Azienda applica una rigorosa politica in materia di password, che include requisiti relativi alla lunghezza, alla complessità e alla scadenza delle password, al fine di tutelare la privacy e la sicurezza dei dati, sia in fase di archiviazione che di trasmissione.

EnovaPoint attua procedure formali e documentate di controllo delle modifiche per la gestione delle modifiche apportate ai sistemi informativi, alle infrastrutture di supporto e alle strutture. Le modifiche significative che incidono sui dati dei clienti o sui sistemi di supporto vengono comunicate ai clienti prima dell'implementazione tramite notifiche in-app o via e-mail. Prima dell'implementazione delle modifiche viene ottenuta l'approvazione delle parti interessate.

Utilizziamo una serie di metodi di crittografia per proteggere i Dati dei clienti archiviati in forma statica, adattati al supporto di archiviazione utilizzato. Tra questi figurano:

• Microsoft SQL Server su Azure: crittografia trasparente dei dati (TDE) con l'algoritmo AES256.

• Macchine virtuali di Azure: proteggiamo i dati con Azure Disk Encryption, utilizzando anch’esso l’algoritmo AES-256.

• Azure Storage: i dati sono protetti dalla crittografia di Azure Storage, che utilizza l'algoritmo AES-256.

• Microsoft 365: i documenti interni di EnovaPoint, tra cui preventivi, fatture e contratti dei clienti, sono protetti sia in fase di archiviazione (tramite BitLocker e DKM) sia in fase di trasmissione (tramite TLS) con crittografia end-to-end.

• Postazioni di lavoro: utilizziamo BitLocker per crittografare i dati sulle postazioni di lavoro.

Garantiamo che tutti i dati riservati, compresi i Dati dei clienti, trasmessi su reti pubbliche o a soggetti esterni, siano protetti in modo sicuro e crittografati durante il trasferimento, al fine di preservarne l’integrità e la riservatezza. Adottiamo protocolli di sicurezza affidabili quali HTTPS, TLS 1.2 o versioni successive, SSL e StartTLS per il traffico SMTP, al fine di proteggere i dati in transito.

EnovaPoint adotta e mantiene le migliori pratiche standard del settore per proteggere la propria rete aziendale, tra cui, a titolo esemplificativo ma non esaustivo, l’uso di firewall di rete, sistemi di rilevamento o prevenzione delle intrusioni e software antivirus/antimalware su tutti i sistemi supportati. Le prestazioni del software antivirus e anti-malware vengono monitorate regolarmente. Tale monitoraggio garantisce che le scansioni pianificate vengano completate correttamente e che le definizioni delle minacce vengano aggiornate quotidianamente o non appena rese disponibili dal fornitore. Eventuali problemi individuati vengono immediatamente esaminati e risolti.

EnovaPoint effettua test di penetrazione annuali sulle applicazioni che archiviano o consentono l'accesso ai dati dei clienti, compresi i dati personali. Tale procedura viene ripetuta anche ogni volta che vengono apportate modifiche significative a tali applicazioni. L'ultimo rapporto sui test di penetrazione viene messo a disposizione dei clienti su richiesta.

EnovaPoint ha definito politiche e procedure volte a rispondere in modo efficace a incidenti, sospetti o effettivi, relativi alla sicurezza o alla privacy che comportino la violazione di dati riservati. Tali procedure prevedono la tenuta di un Registro degli incidenti, in cui vengono riportati la descrizione dell’incidente, il livello di gravità, il tipo di rischio aziendale, i risultati delle indagini e le misure volte a prevenire il ripetersi di incidenti simili in futuro.

EnovaPoint si impegna a condurre valutazioni periodiche dei rischi relativi alla continuità operativa al fine di identificare i rischi, le minacce, gli impatti, la probabilità di verificarsi e i controlli e le procedure necessari. Sulla base dei risultati di tali valutazioni, EnovaPoint provvederà a documentare, attuare e rivedere annualmente i piani di continuità operativa (BC) e di ripristino di emergenza (DR). Tali piani mirano a garantire il rapido ripristino della disponibilità e dell’accesso ai dati dei clienti in caso di incidenti fisici o tecnici che comportino la perdita o il danneggiamento di tali dati.

EnovaPoint dispone di una procedura di backup e conservazione ben documentata, che garantisce che le copie di backup dei dati vengano create, archiviate e eliminate a intervalli prestabiliti. Questi backup vengono testati regolarmente per garantire l'integrità e la disponibilità dei dati.