SICLOUD-A26

Paradigmi di Servizio e Convenzioni del Documento

I servizi erogati da SI.NET si articolano in quattro paradigmi, richiamati con la medesima denominazione in ogni articolo del presente documento:

Su temi di governance generale (accessi, ruoli, ciclo di vita degli account), Managed SaaS si comporta come il SaaS Interno; su temi tecnico-infrastrutturali (ad esempio crittografia o virtualizzazione) si comporta invece come i servizi Managed PaaS e Managed IaaS, poiché la conformità è garantita dal CSP o dal vendor esterno sottostante e riflessa da SI.NET sul cliente — è il caso, ad esempio, dell'Art. 13 sulla sicurezza di trasporto.

Quando il trattamento di un controllo è identico tra due o più paradigmi, questi sono raggruppati in un'unica sottosezione (es. "SaaS Interno e Managed SaaS"); quando differiscono, sono sempre trattati separatamente.

Ogni articolo e sottosezione riporta tra parentesi il riferimento al controllo ISO 27001/27017/27018 di origine, nella stessa notazione della Matrice (es. "27017 5.1.1"), per consentire una verifica puntuale in fase di audit; l'Appendice finale raccoglie l'indice completo di tutti i controlli citati nel documento.

1. Gestione degli accessi e delle utenze (controllo 27001:2022 5.15)

Tutti gli applicativi e le piattaforme erogati da SI.NET dispongono di una gestione avanzata degli accessi basata sui concetti di utenze e permessi. Nella maggior parte dei casi i permessi sono distribuiti attraverso gruppi che raccolgono più utenze con pari autorizzazioni.

1.1 SaaS Interno e Managed SaaS. Al cliente vengono fornite una o più utenze amministrative con le quali può gestire in autonomia utenti e permessi. Alcuni applicativi consentono inoltre di definire policy avanzate di gestione delle credenziali (scadenza, complessità).

1.2 Managed PaaS e Managed IaaS. La regolamentazione degli accessi è definita nella Politica di sicurezza degli ambienti cloud. Al cliente vengono fornite credenziali di utilizzo della piattaforma/infrastruttura che, a seconda dei casi, ammettono la possibilità di generare e gestire ulteriori utenze. SI.NET non dispone di profili di accesso supplementari rispetto a quelli assegnati al cliente e gestisce il servizio esclusivamente a livello di hypervisor.

Riflesso sul CSP. L'accesso alle risorse messe a disposizione dal CSP a monte è regolato secondo la relativa Politica di sicurezza per gli ambienti cloud e gli strumenti ivi definiti (es. Art. 3.2 del contratto AWS).

2. Ciclo di vita degli account (controlli 27001:2022 5.16, 27018 A.10.10, A.10.13)

2.1 SaaS Interno e Managed SaaS (27001:2022 5.16). Gli account possono essere disabilitati e/o eliminati direttamente dal cliente tramite utenze con profilo amministrativo. I contenuti collegati a questi account potrebbero essere mantenuti agganciati ad account "segnalibro" per garantire la continuità di funzionamento dell'applicativo.

2.2 Managed PaaS e Managed IaaS (27001:2022 5.16). Gli account creati e gestiti da SI.NET seguono quanto indicato nella Politica di sicurezza; la loro eliminazione o disabilitazione avviene su richiesta del cliente, per violazione delle regole di uso lecito, o per rescissione/naturale scadenza del contratto. Gli account gestiti autonomamente dal cliente ne restano di sua esclusiva competenza per l'intero ciclo di vita.

2.3 Regole comuni a tutti i paradigmi (27018 A.10.10, A.10.13). Le utenze sono sempre istanziate ad hoc per persona e per contesto: una volta disabilitata, un'utenza non viene mai riassegnata a un nuovo titolare (A.10.10). Le utenze impersonali sono ammesse esclusivamente per automazioni e devono essere richieste e autorizzate secondo la Politica di sicurezza. Quando uno spazio precedentemente in uso viene assegnato a un nuovo cliente, è sempre consegnato privo di qualsiasi dato residuo delle assegnazioni precedenti (A.10.13).

Riflesso sul CSP (27001:2022 5.16, A.10.10, A.10.13). Alla chiusura di un account, il CSP ne elimina i dati in conformità alla ISO 27001 (ed estensioni) e alla qualificazione AgID; le risorse possono essere mantenute per un periodo specifico per-CSP prima della cancellazione definitiva. I CSP utilizzano identificativi di account univoci che impediscono la riassegnazione di un'utenza precedentemente chiusa (A.10.10) e garantiscono, tramite la propria conformità ISO 27018, l'assenza di dati residui nelle risorse assegnate a SI.NET e successivamente riproposte a terzi (A.10.13).

3. Accesso di SI.NET a infrastruttura, piattaforma e servizio (controllo 27001:2022 5.3)

SI.NET non accede mai ai contenuti o ai livelli riservati al cliente se non in accordo con quest'ultimo o a fronte di una richiesta di assistenza tramite il sistema di ticketing. Quando tale accesso è necessario, il personale SI.NET opera con account nominativi, gestiti secondo la Politica di sicurezza, accedendo al minor numero possibile di dati; il cliente può richiedere, nella propria richiesta di assistenza, il monitoraggio dell'attività di supporto.

3.1 SaaS Interno e Managed SaaS. Il limite di accesso autonomo del cliente è il livello applicativo: a tutti i livelli sottostanti, SI.NET ha libero ed esclusivo accesso per le normali operazioni di manutenzione ed evoluzione dei prodotti.

3.2 Managed PaaS. Il limite è il livello operativo della piattaforma; in ambiente managed SI.NET ha accesso libero, per manutenzione ed evoluzione, anche al livello di piattaforma.

3.3 Managed IaaS. Il limite è il livello di virtualizzazione; in ambiente managed SI.NET ha accesso libero, per manutenzione ed evoluzione, anche al livello di infrastruttura.

Riflesso sul CSP. L'accesso di SI.NET ai servizi e ai dati messi a disposizione dal CSP è regolamentato contrattualmente entro i limiti del paradigma del prodotto interessato, sempre secondo normative certificate ISO (es. Art. 3.2 del contratto AWS).

4. Governance di ruoli e permessi lasciata al cliente (controlli 27017 CLD.6.3.1, 27001:2022 5.18, 27018 A.10.9)

4.1 SaaS Interno e Managed SaaS. Il cliente gestisce in maniera indipendente e completa gli aspetti di utenze, ruoli, permessi, gruppi, autenticazione e autorizzazione relativi al proprio applicativo (la terminologia può variare in base al software). SI.NET mantiene solitamente uno o più account amministrativi nominali per le operazioni di supporto e assistenza; il cliente può in qualsiasi momento eliminarli, disabilitarli o crearne di nuovi. L'accesso root all'account non viene mai fornito al cliente, ma il suo utilizzo da parte di SI.NET è comunque sempre tracciato. All'attivazione dell'istanza, al cliente viene formalmente consegnato un profilo di amministrazione con cui può creare e gestire utenze, gruppi e relativi permessi; la documentazione tecnica dell'applicativo ne descrive l'utilizzo e l'amministrazione.

4.2 Managed PaaS e Managed IaaS. A seconda della piattaforma o infrastruttura, al cliente possono essere fornite una o più credenziali che permettono l'operatività e/o la gestione di ulteriori utenze. Dove questa gestione non sia disponibile al cliente, le variazioni possono essere richieste tramite ticket di supporto.

4.3 Tracciamento delle utenze abilitate (A.10.9). Indipendentemente dal paradigma di servizio, SI.NET mantiene un registro aggiornato delle utenze abilitate all'accesso e dei relativi livelli di permesso: per i servizi SaaS tramite il componente di autenticazione integrato nell'applicativo; per i servizi PaaS e IaaS Managed tramite gli strumenti di gestione e monitoraggio degli oggetti di autenticazione e autorizzazione, attivi e storici, messi a disposizione dal CSP.

Riflesso sul CSP. I CSP dichiarano nella propria documentazione tecnica le modalità di accesso e i sistemi di sicurezza utilizzati; tali strumenti sono gli stessi impiegati da SI.NET per creare le proprie utenze e, dove previsto, quelle dei clienti, in conformità alle certificazioni ISO del CSP. I CSP mantengono inoltre con SI.NET account di sicurezza organizzati in una struttura ad albero, garantendo, al di sopra dell'account principale di SI.NET, la validità di questo controllo tramite la propria conformità ISO.

5. Strumenti di autenticazione e federazione (controllo 27001:2022 5.17)

In fase di attivazione e/o di formazione sull'applicativo, sulla piattaforma o sull'infrastruttura, al cliente vengono illustrati tutti i sistemi e gli strumenti utili all'amministrazione delle funzionalità di autenticazione disponibili per lo specifico servizio, compresi i sistemi di federazione (SPID, CIE, TS-CNS) e di integrazione (Active Directory, SSO, Microsoft Entra), laddove applicabili.

Salvo diverso accordo in sede contrattuale, SI.NET non consente l'installazione di strumenti di terze parti non validati direttamente per i meccanismi di autenticazione e autorizzazione in ambiente cloud. Le informazioni sulle procedure di autenticazione sicura valgono indistintamente per tutti i paradigmi di servizio (SaaS Interno, Managed SaaS, Managed PaaS, Managed IaaS).

Riflesso sul CSP. I CSP descrivono nella propria documentazione tecnica i sistemi di sicurezza utilizzati da SI.NET per la creazione delle proprie utenze e di quelle dei relativi clienti, garantendo una gestione degli accessi conforme alle proprie certificazioni ISO.

6. Regolazione e restrizione degli accessi (controllo 27001:2022 8.3)

6.1 SaaS Interno e Managed SaaS. SI.NET mette sempre a disposizione, all'interno del servizio, strumenti di gestione degli accessi e delle relative permission, introdotti e descritti al cliente tramite documentazione tecnica e/o attività di formazione.

6.2 Managed PaaS e Managed IaaS. Nella maggior parte dei casi i servizi offerti dispongono di sistemi autonomi di gestione delle utenze, completamente amministrabili dal cliente. Dove SI.NET non metta a disposizione strumenti specifici, il cliente può avvalersi del sistema di ticketing per qualsiasi variazione relativa ad autenticazione e autorizzazione delle utenze; SI.NET provvede alle variazioni necessarie in conformità alla Politica di sicurezza, dando riscontro al cliente.

Riflesso sul CSP. I CSP dichiarano le modalità di accesso e i propri sistemi di sicurezza nella documentazione specifica, garantendo una gestione completa degli accessi conforme alle proprie certificazioni ISO.

7. Segregazione logica tra clienti e tra amministratori (controlli 27017 CLD.9.5.1, 27001:2022 8.22)

7.1 SaaS Interno e Managed SaaS (CLD.9.5.1). Sono sempre forniti in ambienti multi-tenant o multi-istanza, costruiti appositamente per l'isolamento logico delle diverse soluzioni, anche quando riconducibili allo stesso cliente. Gli amministratori del sistema sottostante l'erogazione utilizzano strumenti, profili e permessi totalmente distinti da quelli applicativi dei clienti.

7.2 Managed PaaS (CLD.9.5.1). È fornito in ambienti costruiti appositamente per l'isolamento logico delle diverse soluzioni. In alcuni casi, in accordo con il cliente, due o più prodotti possono comunicare sul network per garantire capacità di distribuzione di ruoli, compiti o carichi di lavoro. Gli amministratori del sistema sottostante utilizzano strumenti, profili e permessi distinti da quelli applicativi dei clienti.

7.3 Managed IaaS (CLD.9.5.1). È fornito in ambienti costruiti appositamente per l'isolamento logico delle diverse soluzioni, anche quando riconducibili allo stesso cliente. In alcuni casi, in accordo con il cliente, due o più prodotti possono comunicare sul network; per i prodotti IaaS più evoluti, al cliente può essere messa a disposizione la gestione autonoma del network in forma di VPC. Gli amministratori del sistema sottostante utilizzano strumenti, profili e permessi distinti da quelli applicativi dei clienti.

7.4 Segregazione dei dati propri di SI.NET — tutti i paradigmi (27001:2022 8.22). In caso di ambiente multi-tenant, SI.NET garantisce la segregazione dei singoli tenant gli uni dagli altri e non ospita mai i propri dati all'interno di ambienti multi-tenant condivisi con i clienti. Su richiesta, SI.NET supporta il cliente nelle verifiche di segregazione necessarie rispetto ad altri clienti presenti nello stesso servizio cloud.

Riflesso sul CSP (CLD.9.5.1, 27001:2022 8.22). L'isolamento logico per-customer è garantito dal CSP in conformità alla ISO 27017, tramite sistemi di segregazione basati sulla suddivisione in account e su isolamenti logici a basso livello.

8. Autorizzazione al trattamento dei dati personali (controllo 27018 A.10.1)

Si applica trasversalmente a tutti i paradigmi di servizio (SaaS Interno, Managed SaaS, Managed PaaS, Managed IaaS): il personale che accede ai dati personali nell'ambito dell'erogazione dei servizi è preventivamente autorizzato attraverso gli opportuni documenti di autorizzazione al trattamento adottati internamente da SI.NET.

Riflesso sul CSP. I CSP garantiscono le proprie politiche di riservatezza interne tramite documentazione dedicata (es. "GDPR Data Processing Addendum").

9. Comunicazione dei change (controllo 27001:2022 8.32)

9.1 SaaS Interno e Managed SaaS. Le change vengono analizzate internamente da SI.NET monitorando lo stato delle risorse e delle vulnerabilità applicative, con procedura di analisi tracciata tramite ticket. Il processo di change per aggiornamenti che comportano variazioni di funzionalità viene valutato da SI.NET e applicato prima su ambienti di sviluppo e test; il cliente viene avvisato via mail (o tramite i riferimenti indicati nei documenti di commessa) prima dell'installazione, con indicazione di categoria del change, pianificazione (data, ora, durata), descrizione tecnica e notifica di inizio e fine dell'intervento.

9.2 Managed PaaS e Managed IaaS. Le change vengono analizzate internamente da SI.NET con le medesime modalità, tracciate tramite ticket. Il processo di change della piattaforma o dell'infrastruttura è valutato in primo luogo da SI.NET in coordinamento con il CSP; a seguito delle valutazioni interne sulla fattibilità economica e infrastrutturale della modifica, questa viene comunicata al cliente tramite il canale di comunicazione dedicato agli avvisi o tramite ticket.

Riflesso sul CSP. I CSP comunicano per tempo eventuali change ai servizi erogati tramite diversi strumenti (mail dedicata, newsletter, console di gestione, notifiche push, Partner network), lasciando un ampio margine di tempo per l'eventuale adeguamento strutturale; l'obbligo di notifica è imposto dalla relativa certificazione ISO.

10. Gestione degli incidenti e notifica di data breach (controlli 27001:2022 5.26, 27018 A.9.1)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET effettua la gestione del data breach in conformità con quanto normato dal GDPR e mantiene una gestione strutturata degli incidenti e degli eventi che possono condurre a un possibile data breach. In caso di incidente il cliente viene tempestivamente avvisato tramite ticket specifico o canale di comunicazione dedicato; la notifica riporta natura della violazione, categorie e numero approssimativo di interessati e di record coinvolti, conseguenze probabili e misure adottate o proposte per mitigarne gli effetti, così da consentire al cliente di adempiere ai propri obblighi di notifica verso l'Autorità Garante nei termini previsti dal GDPR (Art. 33). SI.NET si rende poi disponibile ad affiancare il cliente per le eventuali ulteriori procedure operative necessarie.

Riflesso sul CSP. I CSP, in conformità al GDPR e alla certificazione ISO 27018, sono tenuti a comunicare a SI.NET il verificarsi di eventi di data breach.

11. Nuovi rischi legati all'erogazione cloud (controllo 27001:2022 8.20)

Si applica trasversalmente a tutti i paradigmi di servizio. I rischi principali sono legati agli applicativi più esposti ad attacchi esterni in quanto pubblicati sulla rete. SI.NET mitiga questo rischio applicando, a livello di firewall, regole restrittive che limitano drasticamente il numero di porte abilitate alla comunicazione da/verso l'esterno, laddove possibile limitandola a specifici indirizzi. Su alcuni progetti possono inoltre essere attivi strumenti avanzati di monitoraggio intelligente della comunicazione, del comportamento delle risorse e della conformità alla politica di sicurezza o alla privacy dei dati.

Riflesso sul CSP. Le certificazioni ISO (ed eventuali altri standard internazionali) garantiscono la presa di coscienza da parte dei CSP verso tutte le problematiche, le procedure e gli interventi operativi necessari a garantire la sicurezza di dati e strutture erogate.

12. Crittografia e pseudonimizzazione (controllo 27001:2022 8.24)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET adotta una Politica di Crittografia che definisce gli algoritmi e i protocolli ammessi e non ammessi (tra gli esclusi: SSLv2/SSLv3, cifratura RC4, DES/3DES a 64 bit, chiavi con lunghezza inferiore a 128 bit, suite senza forward secrecy), in linea con la SSL Labs Server Rating Guide. Per gli asset erogati in SaaS, PaaS e IaaS, la gestione delle chiavi crittografiche a livello di servizio è delegata al Key Management Service (KMS) del CSP di riferimento, a cui fanno riferimento tutti gli strati applicativi superiori; per ogni servizio erogato, SI.NET mette inoltre a disposizione, nella documentazione tecnica, le informazioni sui componenti e le funzionalità pre-attivate o attivabili nel contesto di crittografia e pseudonimizzazione.

Riflesso sul CSP. Il CSP descrive nella propria documentazione tecnica tutte le soluzioni e le modalità d'uso degli strumenti di crittografia e pseudonimizzazione che rende disponibili a SI.NET, incluso il proprio servizio di KMS. In base all'analisi dei possibili rischi per il servizio, SI.NET attiva inoltre sistemi crittografici a livello applicativo.

13. Sicurezza di trasporto, registrazione e multi-tenancy (controllo 27001:2022 5.14)

13.1 SaaS Interno. SI.NET eroga i propri servizi SaaS Interno in piena conformità a questo controllo: tutte le transazioni sono protette da TLS, con certificati a firma RSA con hash SHA-256 ("sha256WithRSAEncryption"), rilasciati da una Certificate Authority open quale Let's Encrypt Authority X3, ed escludendo gli algoritmi e i protocolli deboli o insicuri definiti nella Politica di Crittografia (cfr. Art. 12); la registrazione di nuovi utenti avviene con metodi ad alto grado di sicurezza (es. SPID di livello 2, CIE) o, in caso di creazione manuale, con indicazione della robustezza della password e, a seconda del servizio, obbligo di password strong; la gestione della multi-tenancy è completamente isolata per singola istanza, senza concetti di virtualizzazione condivisa.

13.2 Managed SaaS. Per i servizi SaaS esterni gestiti da SI.NET per conto del cliente, la conformità a questo requisito è garantita dal CSP/vendor esterno — SI.NET la riflette sui propri clienti sfruttando l'obbligo per quest'ultimo di possedere la certificazione ISO corrispondente per collaborare con SI.NET. Per le configurazioni a livello di piattaforma gestite direttamente da SI.NET, vengono comunque implementate le configurazioni indicate nel presente documento o nella Politica di sicurezza.

13.3 Managed PaaS. Analogamente, per l'erogazione dei servizi PaaS, SI.NET riflette sui propri clienti la conformità garantita dal CSP, sfruttandone l'obbligo di certificazione ISO corrispondente; per le configurazioni di piattaforma gestite direttamente da SI.NET si applicano le configurazioni indicate in questo documento o nella Politica di sicurezza.

13.4 Managed IaaS. Analogamente, per l'erogazione dei servizi IaaS, SI.NET riflette sui propri clienti la conformità garantita dal CSP; per le configurazioni a livello di infrastruttura gestite direttamente da SI.NET si applicano le configurazioni indicate in questo documento o nella Politica di sicurezza.

Riflesso sul CSP. Tutti i CSP che collaborano con SI.NET danno evidenza della conformità a questi requisiti tecnici tramite la corrispondente certificazione ISO e/o la disponibilità di servizi ad-hoc; SI.NET opera esclusivamente con CSP certificati ISO 27001, 27017 e 27018, verificati in fase di accordo contrattuale (procedura di Approvvigionamento) e riesaminati annualmente sugli aspetti di sicurezza.

14. Classificazione delle informazioni (controllo 27001:2022 5.13)

14.1 SaaS Interno e Managed SaaS. Applicativi diversi possono adottare metodi di classificazione differenti a seconda del target del software. Dove sia messo a disposizione un sistema di raccolta dati dagli utenti finali, questo permette una configurazione precisa delle raccolte, così da consentire al cliente di definire input precisi e limitati; dove non specificato o non specificabile, i dati raccolti sono sempre considerati riservati.

14.2 Managed PaaS e Managed IaaS. Piattaforme e infrastrutture diverse possono adottare strumenti di classificazione differenti a seconda del target. In generale, dove non sono disponibili sistemi di tagging, vengono messi a disposizione del cliente vari strumenti di messa in sicurezza, adottabili anche cumulativamente secondo una propria classificazione; quando questi strumenti non sono disponibili, tutte le informazioni sono trattate come riservate.

Riflesso sul CSP. I CSP offrono nel proprio catalogo sistemi di tagging e/o strumenti di automazione per la classificazione delle informazioni e l'applicazione di regole di conformità e sicurezza comuni; dove questi sistemi non sono resi disponibili, tutte le informazioni sono generate e trattate come riservate.

15. Applicativi installabili sull'ambiente (controllo 27001:2022 8.19)

15.1 SaaS Interno e Managed SaaS. Se non diversamente specificato in fase contrattuale, l'installazione di software aggiuntivo all'interno di un prodotto SaaS è tecnicamente proibita o, laddove non possibile, fortemente sconsigliata. SI.NET deve comunque essere informata di qualsiasi volontà di installare componenti software aggiuntive, che devono essere preventivamente approvate.

15.2 Managed PaaS e Managed IaaS. Il cliente può installare qualsiasi software rispetti le norme di uso accettabile dei servizi e non ponga pericoli per la sicurezza dei dati, della piattaforma/infrastruttura, dei livelli operativi sottostanti o delle specifiche contrattuali. In caso di software particolarmente gravoso in termini di performance o potenzialmente pericoloso per la sicurezza, il cliente è invitato, ma non obbligato, a richiedere l'affiancamento di un tecnico SI.NET per l'ottimizzazione e la messa in sicurezza.

Riflesso sul CSP. Ogni CSP include nel contratto con SI.NET una normativa di uso accettabile che dichiara le attività lecite operabili sulle risorse; SI.NET riflette tali norme in maniera uguale o più restrittiva sui propri clienti. Laddove il CSP non alleghi una normativa di questo tipo, SI.NET applica la propria.

16. Configurazione sicura delle macchine virtuali (controllo 27017 CLD.9.5.2)

16.1 SaaS Interno e Managed SaaS. La configurazione dell'infrastruttura virtuale sottostante il livello applicativo è completamente gestita da SI.NET, in conformità alla Politica di sicurezza e al controllo ISO di riferimento.

16.2 Managed PaaS. La configurazione dell'infrastruttura virtuale sottostante il livello di piattaforma è completamente gestita da SI.NET, con le medesime modalità.

16.3 Managed IaaS. SI.NET monitora a livello di hypervisor e API le richieste di risorse per ogni servizio in uso, valutando eventuali anomalie con il cliente, e può applicare alle risorse strumenti automatizzati per la verifica della conformità e per l'analisi di eventuali difformità rispetto alle regole di uso accettabile. In accordo con il cliente, o se specificato contrattualmente, SI.NET può installare sulle istanze di calcolo agenti per la rilevazione o la gestione remota di aspetti di sicurezza, performance, supporto o conformità, ed eseguire audit di sicurezza per verificarne la corrispondenza alle modalità d'uso concordate. Il cliente può in qualunque momento segnalare tramite ticket eventuali problematiche riscontrate; la baseline di configurazione è disponibile nell'omonimo documento.

Riflesso sul CSP. Il CSP mette a disposizione di SI.NET tutti gli strumenti necessari all'hardening delle VM, che SI.NET utilizza secondo la Politica di sicurezza e il principio del least privilege. In caso di violazione dei termini contrattuali di uso accettabile, il CSP può effettuare verifiche e/o sospensioni dei servizi per preservare l'operatività dell'infrastruttura.

17. Valutazione d'impatto sulla protezione dei dati (DPIA) (GDPR Art. 35)

Si applica trasversalmente a tutti i paradigmi di servizio. Nell'ambito del proprio programma di conformità GDPR, SI.NET effettua, in caso di necessità, una valutazione d'impatto sulla protezione dei dati (DPIA) per i trattamenti che, per natura, ambito, contesto o finalità, comportano un rischio elevato per i diritti e le libertà degli interessati. La valutazione è condotta dai responsabili di progetto nell'ambito delle attività di conformità GDPR, che comprendono inoltre la tenuta del registro dei trattamenti, l'adozione di misure tecniche e organizzative adeguate e la definizione di ruoli e responsabilità relativi al trattamento dei dati.

Riflesso sul CSP. I CSP forniscono la documentazione necessaria (es. "GDPR Data Processing Addendum") a supporto delle valutazioni d'impatto condotte da SI.NET o dal cliente, in conformità alla propria certificazione ISO 27018 e al GDPR.

18. Backup, restore e continuità (controlli 27001:2022 8.13, 27018 A.10.3)

18.1 SaaS Interno. SI.NET mette a disposizione, nei propri servizi, strumenti di esportazione e importazione dei contenuti e delle strutture, così da permettere il backup in qualunque momento da parte del cliente; in fase contrattuale sono specificati i servizi di backup attivi con le relative specifiche. La gestione dei backup, svolta a un livello più basso di quello applicativo, non è direttamente gestibile dal cliente, che può richiedere in ogni momento un ripristino a un punto di disponibilità precedente tramite ticket; quantità e periodicità dei punti di disponibilità sono definite in fase contrattuale.

18.2 Managed SaaS, Managed PaaS e Managed IaaS. Data la natura di questi servizi, il cliente può effettuare backup personali tramite gli strumenti nativi di utilizzo della piattaforma o dell'infrastruttura (es. mysqldump per un servizio PaaS RDBMS MySQL) in ogni momento; anche in questo caso i servizi di backup attivi e le relative specifiche sono definiti in fase contrattuale e, per i servizi Managed PaaS e Managed IaaS su AWS, comprendono almeno quelli della baseline indicata in offerta (Art. 42). In ambiente managed, la gestione dei backup a un livello inferiore a quello di piattaforma/infrastruttura non è direttamente gestibile dal cliente, che può richiedere un ripristino tramite ticket; SI.NET garantisce in questi ambienti la strutturazione, il monitoraggio e la manutenzione dei servizi di backup concordati contrattualmente. In ambiente a gestione autonoma del cliente, SI.NET consiglia le modalità di utilizzo durante le sessioni formative, senza entrare nel merito della messa in opera delle attività.

18.3 SLA di backup e restore — tutti i paradigmi. Tutte le politiche di backup e restore implementate da SI.NET per lo specifico servizio sono documentate a livello contrattuale e contengono esplicitamente i periodi di ritenzione e rotazione dei dati. Con cadenza almeno annuale, l'efficacia dei backup viene inoltre verificata tramite test di restore a campione (ripristino di macchine virtuali, database, file e snapshot), svolti dalle aree tecniche competenti.

18.4 Log del processo di ripristino — tutti i paradigmi (A.10.3). Il cliente può richiedere, nel medesimo ticket di ripristino, la produzione di log relativi al processo di restore. Il cliente è in ogni caso invitato a effettuare, tramite gli strumenti messi a disposizione, copie personali dei propri dati per una maggiore sicurezza, velocità e indipendenza nel ripristino.

Riflesso sul CSP. I CSP non offrono contrattualmente piani di backup predefiniti, ma soluzioni sotto forma di servizi che permettono a SI.NET di gestire, secondo le proprie esigenze, qualsivoglia attività di backup e ripristino; forniscono inoltre strumenti avanzati di backup e restore, documentati nella loro documentazione tecnica, i quali colloquiano con i tool di logging per garantire trasparenza nell'attività di recupero. Internamente, i CSP garantiscono a SI.NET la validità dei propri piani di ripristino in caso di incident tramite le apposite certificazioni ISO.

19. Raccolta e accesso ai log (controllo 27001:2022 8.15)

19.1 SaaS Interno e Managed SaaS. Tutti gli applicativi rilasciati da SI.NET implementano capacità di logging, più o meno avanzate, a cui il cliente può avere accesso nativo o su richiesta (via ticket).

19.2 Managed PaaS e Managed IaaS. Tutti i servizi rilasciati da SI.NET implementano capacità di logging, più o meno avanzate, a cui il cliente può avere accesso nativo o su richiesta (via ticket).

19.3 Regole comuni a tutti i paradigmi. Laddove l'accesso alle informazioni di log non sia automatizzato da un servizio che rispetti nativamente i requisiti richiesti, tale accesso viene reso disponibile, a seguito di richiesta via ticket, attraverso un documento semplice. Poiché, a seconda delle modalità di logging configurate, i log possono riportare dati personali e/o sensibili, tutti i documenti di log sono ritenuti strettamente riservati e isolati per tenant.

19.4 Riesame periodico — tutti i paradigmi. Gli accessi tracciati nei log sono inoltre oggetto di un riesame periodico dei diritti di accesso, condotto dagli amministratori tramite un report generato dal servizio di analisi degli accessi sul tenant di riferimento.

Riflesso sul CSP. Tutti i CSP garantiscono capacità di logging per i servizi messi a disposizione di SI.NET attraverso specifiche risorse autonomamente consultabili; i servizi di logging sono isolati per account e realizzati a livello di infrastruttura e/o API, e non contengono dunque dati personali o sensibili degli utenti finali, disponibili invece solo ad alto livello.

20. Rotazione e conservazione dei log (controllo 27001:2022 8.15)

Si applica trasversalmente a tutti i paradigmi di servizio. I servizi adottano una di due procedure di rotazione dei log: rotazione automatica, in cui i documenti vengono eliminati e/o sovrascritti senza intervento dello staff; oppure rotazione ibrida, in cui alcuni log seguono una rotazione automatica molto breve (per-chiamata o per-ora) mentre altri, più generici e di sistema, sono gestiti manualmente dallo staff, che ne definisce contrattualmente il limite con i clienti. I log relativi agli accessi sono conservati per un periodo minimo di 90 giorni per singolo tenant (aggregati fino a un anno a livello organizzativo) e non sono in alcun modo modificabili o eliminabili, nemmeno dagli amministratori di SI.NET o dallo staff del CSP, garantendo l'integrità delle informazioni registrate. Per i servizi Managed PaaS e Managed IaaS su AWS, la conservazione minima degli altri log segue la baseline indicata in offerta (Art. 42). È contrattualmente definito che l'accesso alle informazioni di log è concesso esclusivamente per scopi di debug, ottimizzazione delle performance e verifica del funzionamento dell'applicativo.

Riflesso sul CSP. Tutti i servizi di logging messi a disposizione dai CSP implementano politiche di ritenzione limitate nel tempo e automatiche. I sistemi di controllo degli accessi limitano l'accesso alle sole figure preposte all'amministrazione del sistema e alle verifiche di operatività. L'utilizzo di servizi che estendono in maniera illimitata la conservazione di specifici log deve essere richiesto, motivato e documentato via ticket, e approvato dall'Architect di riferimento.

21. Sincronizzazione temporale — NTP (controllo 27001:2022 8.17)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET utilizza, all'interno dei propri servizi, le risorse NTP di riferimento dei CSP su cui vengono ospitati gli applicativi. I clienti possono richiedere in qualunque momento informazioni a riguardo via ticket.

Riflesso sul CSP. I CSP garantiscono e forniscono servizi NTP ad hoc (o collegamenti ai servizi di riferimento) all'interno della propria documentazione; si utilizza il servizio NTP di riferimento di ogni CSP per tutti i progetti ospitati sullo stesso.

22. Monitoraggio delle risorse, vincoli di capacity e SLA (controllo 27017 CLD.12.4.5)

22.1 SaaS Interno e Managed SaaS. SI.NET non consente ai clienti dei servizi SaaS di accedere a strumenti di monitoraggio diretti sui livelli sottostanti quello applicativo; a seconda del software, il cliente può comunque richiedere in ogni momento dati di utilizzo delle risorse tramite ticket, oppure avere a disposizione strumenti di controllo automatizzati. I limiti di capacity per istanza sono definiti contrattualmente; le metriche prodotte sono in ogni caso eguali o superiori a quelle di conformità SLA.

22.2 Managed PaaS. Analogamente, il limite è il livello di piattaforma; gli strumenti di controllo automatizzati, dove disponibili, sono limitati al relativo contesto. I limiti di capacity e le metriche SLA seguono le stesse regole.

22.3 Managed IaaS. Il cliente può utilizzare qualsiasi strumento, nativo o di terze parti (se conforme alle norme di uso accettabile), a livello di sistema operativo per monitorare l'utilizzo delle risorse anche in tempo reale, oltre a poter richiedere in ogni momento dati di utilizzo tramite ticket; in ambiente managed sono comunque garantiti accessi sufficienti ai servizi di reportistica. I limiti di capacity e le metriche SLA seguono le stesse regole.

22.4 Managed PaaS e Managed IaaS su AWS. Il monitoraggio svolto da SI.NET sulle risorse comprende almeno i controlli della baseline indicata in offerta (Art. 42).

Riflesso sul CSP. Nella documentazione tecnica, i CSP descrivono soft e hard limits per ogni servizio e mettono a disposizione strumenti di monitoraggio pianificato o continuo, che permettono a SI.NET di verificare l'occupazione delle risorse in uso con metriche eguali o superiori a quelle di conformità SLA.

23. Gestione delle vulnerabilità — VA/PT (controllo 27001:2022 8.8)

Si applica trasversalmente a tutti i paradigmi di servizio. La gestione delle vulnerabilità è un processo continuo, tracciato in un registro dedicato che ne documenta l'identificazione, l'analisi del rischio e lo stato di remediation nel tempo; il processo si appoggia, in misura progressivamente crescente, a strumenti nativi di scansione automatica e continua messi a disposizione dal CSP, che per i servizi Managed PaaS e Managed IaaS su AWS seguono la baseline indicata in offerta (Art. 42). SI.NET non rilascia spontaneamente informazioni riguardo alle attività di Vulnerability Assessment/Penetration Test effettuate periodicamente. Il cliente è informato contrattualmente della possibilità di richiedere, tramite ticket, rapporti generici sugli esiti di tali attività.

Riflesso sul CSP. I CSP non espongono, o espongono in maniera estremamente limitata, informazioni riguardo alle attività di VA/PT effettuate; alcuni CSP permettono di richiedere informazioni a riguardo tramite servizi dedicati o supporto.

24. Virtual network e ambienti di virtualizzazione (controllo 27017 CLD.13.1.4)

24.1 SaaS Interno. I servizi SaaS Interno offerti da SI.NET non implementano logiche di virtualizzazione gestibili dal cliente.

24.2 Managed SaaS, Managed PaaS e Managed IaaS. SI.NET descrive, all'interno della documentazione tecnica e/o a livello contrattuale, le specifiche di sicurezza e le linee guida di messa in sicurezza dell'ambiente di virtualizzazione, laddove questo sia messo a disposizione del cliente.

24.3 Allineamento tra sicurezza di rete virtuale e fisica — tutti i paradigmi. La coerenza tra la sicurezza della rete virtuale e quella della rete fisica sottostante deriva dalla netta separazione di responsabilità definita nel Modello a responsabilità condivisa (Contratto Unico, Art. 3): il CSP opera sul proprio perimetro di rete fisica secondo le proprie certificazioni ISO; SI.NET, sul perimetro di rete virtuale a essa assegnato, utilizza esclusivamente gli strumenti di sicurezza già certificati messi a disposizione dal CSP, configurandoli secondo le best practice del provider o in accordo con il cliente finale, nel rispetto delle proprie procedure certificate ISO. L'allineamento tra i due livelli non richiede quindi una verifica congiunta ad hoc, essendo garantito a monte dal fatto che la sicurezza di rete virtuale di SI.NET è costruita esclusivamente sopra strumenti e linee guida già certificati dal CSP per quel livello.

Riflesso sul CSP. I CSP descrivono, nella propria documentazione tecnica e nei programmi di formazione e certificazione (laddove presenti), le best practice e le linee guida consigliate per la messa in sicurezza dei network.

25. Funzionalità di sicurezza e riservatezza (NDA) (controllo 27001:2022 6.6)

Si applica trasversalmente a tutti i paradigmi di servizio. Le procedure di messa in sicurezza dei servizi implementate da SI.NET — a livello infrastrutturale, di firewall, di networking, di sviluppo sicuro e di gestione delle vulnerabilità tecniche — sono descritte nella documentazione tecnica del singolo servizio o nel documento contrattuale. Tali informazioni, per la loro natura sensibile, sono comunicate nel rispetto di accordi di riservatezza (NDA) a tutela della loro diffusione all'esterno.

Riflesso sul CSP. I CSP descrivono, nella documentazione tecnica dei singoli servizi, le soluzioni messe in campo per la sicurezza dei servizi e dei dati in essi contenuti o in transito.

26. Evidenze digitali sull'ambiente cloud (controllo 27001:2022 8.15)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET implementa e concorda con il cliente, in fase contrattuale, il tracciamento delle operazioni di gestione dell'ambiente cloud attraverso servizi o applicativi interni ad hoc (es. log di amministrazione, timestamp delle transazioni).

Riflesso sul CSP. I CSP offrono servizi di tracciamento delle attività di gestione dell'ambiente cloud e li mettono a disposizione di SI.NET, garantendo un monitoraggio condiviso.

27. Fine del servizio e cancellazione dei contenuti (controllo 27017 CLD.8.1.5)

27.1 SaaS Interno e Managed SaaS. Su richiesta del cliente, o alla risoluzione/scadenza del contratto, SI.NET provvede alla cancellazione definitiva di ogni contenuto e/o struttura del cliente, senza conservarne copia, e consegna al cliente la lista degli asset e degli account eliminati.

27.2 Managed PaaS e Managed IaaS. Si applicano le medesime regole; diversamente, se contrattualmente concordato, il servizio può essere sganciato da tutti i riferimenti SI.NET e consegnato al cliente per il suo esclusivo utilizzo.

Riflesso sul CSP. Sebbene la conformità alle normative ISO garantisca a SI.NET piena sicurezza sulla validità delle procedure di end-of-service messe in opera dal CSP, SI.NET si impegna a eliminare, preventivamente rispetto al termine del servizio, ogni contenuto e/o struttura ospitata presso il CSP.

28. Cancellazione dei file temporanei (controllo 27018 A.4.1)

28.1 SaaS Interno e Managed SaaS. I file temporanei generati durante l'erogazione dell'applicativo (cache, export temporanei, aree di staging) sono eliminati entro un periodo definito e documentato per singolo prodotto/servizio dall'area responsabile — Area Sviluppo per SaaS Interno, Area Sistemistica per Managed SaaS — comunicato al cliente su richiesta tramite ticket. Il cliente può inoltre richiedere in qualunque momento la cancellazione dei propri file temporanei.

28.2 Managed PaaS e Managed IaaS. A questi livelli la gestione di file e dati, inclusi eventuali file temporanei generati a livello applicativo, è sotto la governance del cliente secondo il Modello a responsabilità condivisa (Contratto Unico, Art. 3); il controllo non si applica pertanto agli strati gestiti direttamente dal cliente.

Riflesso sul CSP. I CSP, laddove previsto nei servizi offerti a SI.NET, specificano per-servizio le tempistiche e le modalità di ritenzione dei file temporanei generati ai propri livelli infrastrutturali.

29. Restituzione e dismissione degli asset (controllo 27018 A.9.3)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET definisce contrattualmente la distruzione completa di tutti gli asset collegati al cliente al termine del contratto. Durante la durata dell'accordo, il cliente può in qualunque momento richiedere assistenza a SI.NET per organizzare procedure di trasferimento e/o restituzione di eventuale materiale ospitato.

Riflesso sul CSP. I CSP presentano processi certificati ISO 27018 per la distruzione degli asset; trasferimento e restituzione dei contenuti avvengono attraverso i servizi messi a disposizione dai CSP a SI.NET.

30. Gestione dei dispositivi fisici e portatili (controlli 27018 A.10.4, A.10.5)

30.1 Dispositivi fisici di import/export. SI.NET non offre ad oggi alcun servizio cloud che comporti l'utilizzo di hardware esterno; qualora in futuro fosse necessario il ricorso a dispositivi fisici di import/export, questi sarebbero comunque normati e gestiti dal CSP tramite procedure certificate di chain of custody, che SI.NET rifletterebbe sul cliente.

30.2 Dispositivi portatili. SI.NET non utilizza dispositivi portatili non crittografati nell'ambiente operativo cloud.

Riflesso sul CSP. I CSP che offrono servizi legati a dispositivi fisici operano secondo procedure altamente controllate che garantiscono la sicurezza dei dati e la chain of custody, e non utilizzano a loro volta dispositivi portatili non crittografati nell'ambiente operativo offerto.

31. Accountability in fase contrattuale (controllo 27017 CLD.6.3.1)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET adotta un modello di responsabilità condivisa articolato sui concetti di "OF-CLOUD" (responsabilità del CSP sull'infrastruttura globale su cui sono eseguiti i servizi) e "IN-CLOUD" (responsabilità determinata dai servizi cloud scelti dal cliente, che ne definisce l'entità del lavoro di configurazione a proprio carico); il dettaglio sulla suddivisione dei compiti per singolo livello — incluso quello a cui si ferma la responsabilità di SI.NET e quello a cui subentra il cliente — è riportato nella tabella "Modello a responsabilità condivisa" del contratto di servizio (Contratto Unico, Art. 3).

Riflesso sul CSP. Le divisioni di responsabilità sono specificate nei termini di conformità dei CSP di riferimento, che adottano generalmente le stesse regole di condivisione per-paradigma che SI.NET riflette verso i propri clienti; la responsabilità condivisa è riportata anche in diversi punti della Politica di sicurezza.

32. Titolarità del trattamento dei dati (GDPR Art. 24, 28)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET agisce da titolare del trattamento quando raccoglie dati personali e determina finalità e modalità del trattamento (ad esempio quando memorizza le informazioni necessarie alla registrazione e amministrazione di un account, all'accesso ai servizi, o le informazioni di contatto per il supporto clienti). In tutti gli altri casi, il titolare dei dati è il cliente.

Riflesso sul CSP. I CSP specificano nella propria documentazione le regole relative alla titolarità dei dati e al loro trattamento (es. portale GDPR).

33. Limiti e finalità del trattamento dei dati personali (controlli 27018 A.2.1, A.2.2)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET non tratta mai i dati dei clienti al di fuori dell'ambito di erogazione del servizio e della messa in sicurezza delle informazioni; eventuali trattamenti tecnici ulteriori sono formalizzati in fase contrattuale. SI.NET non definisce alcuna ulteriore finalità nell'ambito del rapporto con il cliente (ad esempio, con finalità di marketing).

Riflesso sul CSP. I CSP agiscono come processor, garantendo la propria conformità tramite la certificazione ISO 27018, e documentano le proprie finalità in documentazione specifica (es. "GDPR Data Processing Addendum") o nel contratto con SI.NET.

34. Giurisdizione, localizzazione e trasferimento dei dati (controlli 27018 A.11.1, A.11.2)

Si applica trasversalmente a tutti i paradigmi di servizio. I dati sono fisicamente ospitati in differenti datacenter dislocati in Europa, in conformità al GDPR; i dettagli sulle regioni geografiche utilizzate sono disponibili nella Politica di sicurezza e nel Contratto di servizio. SI.NET descrive, nella propria Politica di sicurezza e nel contratto di servizio, le zone su cui opera; il cliente può richiedere in ogni momento, tramite ticket, evidenze sul posizionamento dei propri dati e sulla conformità ai relativi regolamenti. Sui tenant cliente, i dati non vengono mai trasferiti tra region differenti senza il consenso esplicito del cliente.

Riflesso sul CSP. I CSP offrono diverse location geografiche per l'utilizzo dei servizi, garantendo che tutte le regioni utilizzate da SI.NET siano conformi al GDPR e alle certificazioni ISO 27001/27017/27018. Dove operano su più giurisdizioni, permettono a SI.NET la selezione autonoma delle regioni, garantendo che non venga mai effettuata una migrazione di dati tra regioni se non avviata da SI.NET stessa, e forniscono evidenza di aver effettuato test di raggiungimento delle destinazioni di riferimento.

35. Richieste delle autorità giudiziarie e registrazione delle diffusioni (controlli 27018 A.5.1, A.5.2)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET riporta contrattualmente quanto richiesto sia in merito alla notifica di eventuali richieste di accesso da parte di un'autorità giudiziaria, sia in merito al trasferimento dei dati da SI.NET ai CSP. SI.NET non effettua diffusioni di dati personali al di fuori della collaborazione con il sub-fornitore CSP.

Riflesso sul CSP. I CSP specificano nella propria documentazione (es. "GDPR Data Processing Addendum") e tramite la certificazione ISO 27018 la conformità a quanto richiesto.

36. Proprietà intellettuale e contenziosi (controllo 27001:2022 5.32)

Si applica trasversalmente a tutti i paradigmi di servizio. Tutte le richieste, incluse quelle relative a contenziosi sui diritti di proprietà intellettuale, sono gestite attraverso il sistema di ticketing.

Riflesso sul CSP. Per questa tipologia di processi, SI.NET colloquia con i CSP di riferimento tramite il sistema di ticketing messo a disposizione dal provider, o via mail laddove non presente.

37. Evidenze legali delle scelte crittografiche (controllo 27001:2022 5.31)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET rende disponibile, su richiesta via ticket del cliente, le soluzioni crittografiche scelte (cfr. Art. 12) e la motivazione per ciascuna di esse, ai fini della loro accettabilità dal punto di vista legale e di giurisdizione.

Riflesso sul CSP. I CSP garantiscono la validità delle proprie scelte attraverso la conformità alla certificazione ISO 27017.

38. Certificazioni, audit e conservazione della documentazione (controlli 27001:2022 5.35, 27018 A.9.2)

Si applica trasversalmente a tutti i paradigmi di servizio. Nei contratti di vendita dei prodotti, SI.NET include sempre la propria certificazione ISO 27000; il cliente può inoltre richiedere in qualunque momento, tramite ticket, evidenze di conformità alle linee guida, indipendentemente dalla presenza della certificazione. Le copie delle policy e procedure di sicurezza sono conservate secondo quanto descritto nelle procedure di gestione della documentazione del sistema.

Riflesso sul CSP. SI.NET collabora esclusivamente con CSP in possesso, tra le altre, della certificazione ISO 27000; i CSP rispettano quanto richiesto in materia di conservazione documentale certificando la propria procedura tramite ISO 27018.

39. Rapporto con i Cloud Service Provider terzi (controllo 27018 A.7.1)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET formalizza a livello contrattuale il CSP di riferimento per il singolo contratto e ne riflette i riferimenti di sicurezza e conformità verso il cliente.

Riflesso sul CSP. I CSP specificano nella propria documentazione (es. "GDPR Data Processing Addendum") e tramite la certificazione ISO 27018 la conformità a quanto richiesto.

40. Obblighi di sicurezza sulla catena dei fornitori (controllo 27018 A.10.12)

Si applica trasversalmente a tutti i paradigmi di servizio. SI.NET riflette gli obblighi di sicurezza verso i propri fornitori attraverso l'obbligatorietà, per i CSP, di possedere tutte le conformità richieste da SI.NET, tra cui le certificazioni ISO e la compliance al GDPR.

Riflesso sul CSP. I CSP ribaltano a loro volta verso i propri fornitori tutte le caratteristiche di sicurezza necessarie, come obbligo di conformità alla ISO 27018.

41. Principi e assegnazione delle baseline (controlli 27001:2022 5.23, 8.9)

41.1 Ambito. Le baseline di governance si applicano ai servizi Managed PaaS e Managed IaaS erogati da SI.NET su Amazon Web Services, in un ambiente (account) dedicato al singolo prodotto o cliente. Non si applicano ai servizi SaaS Interno e Managed SaaS.

41.2 Livelli. Sono previsti quattro livelli, dalla Baseline 1 alla Baseline 4. Le baseline sono cumulative: ogni livello comprende tutte le garanzie del precedente e vi aggiunge quelle indicate all'Art. 42. Ogni baseline indica il livello minimo garantito: l'ambiente può avere configurazioni più estese, ma non inferiori a quelle della sua baseline.

41.3 Assegnazione. La baseline applicata a un servizio è quella indicata nell'offerta ("Governance Baseline N"). Il passaggio a una baseline diversa avviene con una nuova offerta o un'integrazione contrattuale; il passaggio alla Baseline 4 richiede che il cliente e SI.NET concordino per iscritto il tempo massimo di ripristino (RTO) e la perdita di dati massima accettabile (RPO).

41.4 Gestione. I controlli delle baseline sono configurati, presidiati e mantenuti da SI.NET. Le segnalazioni prodotte dai controlli sono indirizzate a SI.NET, che le gestisce secondo i propri processi; il cliente è informato secondo quanto previsto agli Artt. 9 e 10.

42. Garanzie di ciascuna baseline (controlli 27001:2022 5.23, 8.9, 8.16)

La tabella riporta, per ogni ambito, le garanzie introdotte da ciascuna baseline. "Come la Baseline N" indica che il livello mantiene le garanzie del precedente senza aggiunte. È possibile premere qui per aprire la tabella delle baseline.

43. Limiti ed esclusioni (controllo 27017 CLD.6.3.1)

43.1 Perimetro. Le garanzie di ciascuna baseline sono limitate ai controlli elencati all'Art. 42; ogni attività non elencata è esclusa, salvo diversa indicazione in offerta.

43.2 Livelli esclusi. In conformità al Modello a responsabilità condivisa (Art. 3 del Contratto Unico Clienti), i controlli delle baseline operano a livello di infrastruttura e piattaforma e non si estendono al sistema operativo, alle applicazioni e ai dati applicativi. I controlli che raggiungono tali livelli, come la ricerca di malware sui server, affiancano le soluzioni che il cliente o il prodotto devono comunque prevedere e non le sostituiscono.

43.3 SLA. Le baseline non modificano gli SLA definiti contrattualmente né quelli del CSP; i tempi di ripristino della Baseline 4 sono quelli concordati ai sensi dell'Art. 41.3.

44. Decorrenza e regime transitorio (controllo 27001:2022 5.23)

44.1 Nuovi ambienti. Gli ambienti attivati a partire dal 1° novembre 2026 sono conformi alla baseline indicata in offerta fin dalla loro attivazione.

44.2 Ambienti esistenti. Per gli ambienti attivi prima del 1° novembre 2026, SI.NET garantisce la conformità alla baseline entro 12 mesi, e quindi entro il 1° novembre 2027.

44.3 Regime transitorio. Fino al 1° novembre 2027, agli ambienti esistenti non ancora allineati alla propria baseline si applicano le caratteristiche di operatività precedenti.

La tabella seguente elenca ogni controllo richiamato nel documento, con l'articolo in cui è trattato, per consentire una verifica puntuale in sede di audit. I controlli ISO/IEC 27001 sono citati nella numerazione dell'edizione 2022 (Annex A a 4 temi); i controlli cloud-specifici ISO/IEC 27017 (prefisso "CLD.") e i controlli PII-specifici ISO/IEC 27018 (prefisso "A.") restano nella loro numerazione corrente, non esistendo ad oggi una revisione di questi due standard allineata al nuovo Annex A 2022. I due articoli privi di un controllo ISO realmente pertinente (17, 32) sono ancorati direttamente al GDPR.

La tabella seguente raffronta, per ogni articolo la cui citazione è stata modificata rispetto alla versione precedente di questo documento, il controllo citato prima e dopo l'aggiornamento. Gli articoli non elencati non hanno subito variazioni di citazione.