Il Sistema di Gestione per la Sicurezza delle Informazioni (SGSI) di SIA S.p.A. è certificato da Bureau Veritas secondo la norma ISO/IEC 27001, lo standard internazionale di riferimento per la gestione della sicurezza delle informazioni.
La certificazione riguarda il seguente campo di applicazione:
"Sviluppo, gestione ed erogazione di piattaforme applicative software e di servizi IT per il settore assicurativo".
In SIA S.p.A. la sicurezza delle informazioni è parte integrante del nostro modo di lavorare. Da oltre 40 anni sviluppiamo ed eroghiamo soluzioni software per compagnie, agenzie e broker: proteggere i dati che ci vengono affidati dai nostri clienti è una responsabilità che condividiamo a tutti i livelli dell'organizzazione.
La Direzione ha adottato una Information Security Policy che definisce i principi e le regole con cui l'azienda si impegna a:
- garantire la riservatezza, l'integrità e la disponibilità delle informazioni e dei sistemi informativi;
- proteggere le informazioni da accessi non autorizzati e da usi impropri;
- valutare e gestire i rischi attraverso un'analisi costantemente monitorata e aggiornata;
- applicare i principi fondamentali della cybersecurity: identificare, proteggere, rilevare, rispondere e ripristinare;
- assicurare la continuità operativa dei servizi erogati;
- richiedere a fornitori e partner livelli di sicurezza coerenti con i propri;
- perseguire il miglioramento continuo del Sistema di Gestione per la Sicurezza delle Informazioni.
- Controllo degli accessi: i diritti di accesso a dispositivi, server e software sono assegnati in base al ruolo e alle effettive necessità lavorative (criterio del need to know) e sono verificati periodicamente.
- Sviluppo sicuro del software: i processi di sviluppo e manutenzione applicano metodologie di quality assurance e standard di sviluppo sicuro del codice.
- Gestione dei sistemi ICT: procedure documentate per la gestione delle vulnerabilità e delle patch, i backup, la raccolta e la protezione dei log, la trasmissione dei dati e l'uso della crittografia.
- Gestione degli incidenti: un processo definito per classificare, registrare, gestire e analizzare gli incidenti di sicurezza, con l'obiettivo di contenerne l'impatto e ripristinare rapidamente la normale operatività.
- Business continuity e disaster recovery: strategie e piani che tengono conto dei servizi critici, dei requisiti di ripristino e dei principali scenari di rischio.
- Persone e fornitori: dipendenti, collaboratori e terze parti sono tenuti ad applicare le politiche aziendali in materia di sicurezza delle informazioni.
SIA S.p.A. opera nel rispetto delle leggi e dei regolamenti applicabili al settore in cui opera, dei contratti con i propri clienti e degli standard adottati volontariamente. Tra i principali riferimenti:
- Regolamento (UE) 2016/679 (GDPR) e D.Lgs. 196/2003 "Codice in materia di protezione dei dati personali";
- Direttiva (UE) NIS2 sulla sicurezza delle reti e dei sistemi informativi;
- Regolamento (UE) DORA sulla resilienza operativa digitale del settore finanziario;
- Regolamento (UE) sull'Intelligenza Artificiale (AI Act);
- D.Lgs. 231/2001 sulla responsabilità amministrativa degli enti;
- D.Lgs. 81/2008 "Testo Unico sulla Sicurezza sul Lavoro";
- normativa sul diritto d'autore e sulla proprietà intellettuale.