Politica qualità e sicurezza informazioni

Politica integrata qualità, sicurezza delle informazioni ed erogazione servizi cloud

Scopo e campo di applicazione

La presente Politica definisce i principi generali di qualità e sicurezza delle informazioni, nonché gli obiettivi e gli impegni definiti da Xtremecloud per garantire la riservatezza, l’integrità e la disponibilità delle informazioni trattate. A tal fine, l’Organizzazione adotta e mantiene un Sistema di Gestione Integrato Qualità e Sicurezza delle Informazioni conforme alle norme ISO 9001:2015, ISO/IEC 27001:2022, ISO/IEC 27017:2015 e ISO/IEC 27018:2025, includendo la gestione della sicurezza nei servizi cloud e la protezione delle informazioni personali (PII) trattate in tali contesti.

La presente Politica si applica a tutte le informazioni aziendali, ai servizi IT erogati, inclusi quelli basati su infrastrutture cloud, al personale interno, ai collaboratori, ai fornitori e ai sistemi informativi utilizzati dall’Organizzazione.

Riferimenti

• ISO 9001:2015 – Quality Management System.
• ISO/IEC 27001:2022 Information security, cybersecurity and privacy protection — Information security management systems — Requirements.
• ISO/IEC 27017:2015 Information technology - Security techniques - Code of practice for information security controls based on ISO/IEC 27002 for cloud services.
• ISO/IEC 27018:2025 - Information technology - Security techniques - Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors.
• Direttiva 2555/2022 – NIS2 recepita dal D.Lgs. 138/2024.
• Decreto legislativo 30 giugno 2003, n. 196 – Provvedimenti del Garante e Regolamento Europeo 679/2016 in materia di protezione dei dati personali recepito dal D.Lgs. 101/2018.

Descrizione

La Direzione di Xtremecloud si impegna a perseguire una politica che pone al centro delle attività il Cliente e le sue informazioni, insieme all’impegno per il soddisfacimento dei requisiti e il miglioramento continuo del Sistema di Gestione Integrato Qualità e Sicurezza delle Informazioni (IMS), nel rispetto delle norme ISO 9001:2015, ISO/IEC 27001:2022, ISO/IEC 27017:2015 e ISO/IEC 27018:2025, oltre che delle normative cogenti.

Xtremecloud è organizzata attraverso l’individuazione e la gestione dei processi principali che sono in grado di generare valore, sul prodotto e servizio e sulla prestazione globale, tale da essere percepito dal Cliente.

A tale scopo, Xtremecloud adotta un approccio di Direzione per la Qualità che comprende:

• La piena soddisfazione del Cliente, perseguita offrendo e adeguando tutti i processi alle sue esigenze e monitorando il raggiungimento degli obiettivi concordati;
• Mantenere e consolidare un sistema di gestione della qualità, che impieghi il miglioramento continuo come strumento di gestione dei processi aziendali, sia produttivi che organizzativi, e ne accresca l’efficacia;
• Ricercare con continuità le soluzioni, i processi, le modalità operative che consentano di essere all’avanguardia in tutte le attività che abbiano influenza sulla qualità prevenendo la gestione delle non conformità, attraverso il coinvolgimento di tutte le strutture interne, comprendendo in tale processo anche i partner tecnologici e fornitori in generale;
• Pianificare, definire, programmare e condividere, con tutti i collaboratori, le attività che influenzano la qualità dei processi, raccogliendo e analizzando dati e fatti che permettano di definire e attuare analisi di rischi ed opportunità;
• Mantenere e migliorare costantemente il sistema di controllo e sviluppo dei servizi, volto a monitorare la conformità dei processi;
• Favorire la conoscenza e la comprensione, da parte di tutti i collaboratori, delle politiche, dei processi che le applicano, del loro ruolo e delle loro responsabilità, per contribuire al miglioramento continuo del sistema qualità.

La Politica della Sicurezza delle Informazioni di Xtremecloud si ispira ai seguenti principi:

• Garantire all’organizzazione la piena conoscenza delle informazioni gestite e la valutazione della loro criticità, al fine di agevolare l’implementazione degli adeguati livelli di protezione;
• Garantire l’accesso sicuro alle informazioni, in modo da prevenire trattamenti non autorizzati o realizzati senza i diritti necessari;
• Garantire che l’organizzazione e le terze parti collaborino al trattamento delle informazioni adottando procedure volte al rispetto di adeguati livelli di sicurezza;
• Garantire che le anomalie e gli incidenti aventi ripercussioni sul sistema informativo e sui livelli di sicurezza aziendale siano tempestivamente riconosciuti e correttamente gestiti attraverso efficienti sistemi di prevenzione, comunicazione e reazione al fine di minimizzare l’impatto sul business;
• Garantire che l’accesso alle sedi ed ai singoli locali aziendali avvenga esclusivamente da personale autorizzato, a garanzia della sicurezza delle aree e degli asset presenti;
• Garantire la conformità con i requisiti di legge ed il rispetto degli impegni di sicurezza stabiliti nei contratti con le terze parti;
• Garantire la rilevazione di eventi anomali, incidenti e vulnerabilità dei sistemi informativi al fine di rispettare la sicurezza e la disponibilità dei servizi e delle informazioni;
• Garantire la Business Continuity aziendale e il Disaster Recovery, attraverso l’applicazione di procedure di sicurezza stabilite.

Xtremecloud definisce e documenta la politica, gli obiettivi e gli impegni per la Qualità e per la Sicurezza delle Informazioni, compresi gli aspetti di sicurezza dei servizi cloud e delle PII in essi trattati, tenendo conto delle aspettative degli stakeholder, dei rischi e delle opportunità, nonché dei requisiti cogenti e del Cliente.

Xtremecloud adotta un Sistema di Gestione per la Sicurezza delle Informazioni basato sull’analisi del rischio e orientato al miglioramento continuo.

Gli obiettivi della sicurezza delle informazioni comprendono la tutela della riservatezza, dell’integrità e della disponibilità delle informazioni, la protezione dei dati personali e il mantenimento della fiducia delle parti interessate.

Per i servizi cloud l’Organizzazione definisce ruoli e responsabilità, protegge gli accessi, garantisce la segregazione dei dati e monitora la sicurezza degli ambienti.

I dati personali sono trattati esclusivamente per finalità legittime e gestiti in conformità agli obblighi normativi e contrattuali.

Eventuali violazioni della sicurezza delle informazioni sono gestite attraverso azioni correttive e di miglioramento.

Per attuare tale Politica, la Direzione individua e determina come raggiungere degli obiettivi definiti, rendendoli quantificabili e misurabili. Tutti i collaboratori sono impegnati nel rispetto della Qualità e della Sicurezza delle Informazioni impiegando la loro professionalità, esperienza ed attività quotidiana per garantire il rispetto dei requisiti stabiliti.

La Direzione approva la presente Politica, i responsabili di processo ne assicurano l’applicazione e tutto il personale è tenuto al rispetto delle regole di sicurezza.

Xtremecloud promuove la formazione e la sensibilizzazione del personale sui temi della sicurezza delle informazioni.

La presente Politica è riesaminata periodicamente o in caso di cambiamenti significativi.