In merito al sistema di gestione della Qualità la Direzione si impegna a:

• Adottare ed implementare i principi e le buone pratiche riconosciute per garantire la Qualità dei processi aziendali, dei servizi erogati.
• Stabilire un Sistema di Gestione della qualità (Integrato con la sicurezza delle informazioni) garantendo la conformità ai requisiti ISO 9001:2015, per garantire il diritto dei clienti al miglior servizio possibile basato su processi di qualità.
• Individuare ruoli e responsabilità, da assegnarsi al proprio organico, indipendentemente dal livello gerarchico occupato, coinvolgendo anche gli eventuali soggetti terzi che svolgono incarichi chiave.
• Assegnare le risorse necessarie al fine di assicurare l’impiego di misure idonee per gli aspetti riguardanti la qualità dei processi interni e dei servizi alla clientela.
• Promuovere continuamente il Sistema di Gestione Integrato, anche mediante un impegno costante degli Organi e dei Soggetti apicali.
• Individuare, documentare ed applicare regole che disciplinano le modalità di erogazione dei servizi secondo principi etici e di costante miglioramento.
• Sviluppare un programma di consapevolezza per il personale, mediante sessioni informative e formative periodiche.
• Predisporre adeguate misure di reazione e gestione a fronte del verificarsi di eventi che possono compromettere la qualità dei processi aziendali e della qualità dei servizi offerti alla clientela.
• Mantenere l’osservanza delle disposizioni contrattuali, legislative e regolamentari sia nei processi interni che nelle attività per i clienti.
• Selezionare e promuovere lo sviluppo dei fornitori secondo i principi di questa politica impegnandoli a mantenere comportamenti coerenti con essi.
• Impegnarsi a svolgere un processo continuo di miglioramento ed evoluzione del Sistema di Gestione Integrato, pianificando, eseguendo, verificando e attuando con continuità misure ed accorgimenti atti al contrasto di potenziali eventi che possano compromettere la Qualità nei processi e servizi alla clientela, nel modo più sostenibile possibile, dal punto di vista ambientale.

In merito alla Sicurezza delle informazioni, la Direzione si impegna a:

• Adottare ed implementare principi e best practice riconosciuti, nonché misure di sicurezza per garantire la Sicurezza delle Informazioni da violazioni, furti e frodi, e promuovere l’acquisizione di certificazioni di conformità agli standard di riferimento.
• Proteggere le informazioni relative a clienti, aziende, dipendenti interni e cittadini, garantendo riservatezza, integrità e disponibilità.
• Assicurare l’accesso corretto alle informazioni e prevenire accessi non autorizzati.
• Definire e implementare misure di sicurezza per prevenire violazioni, abusi e frodi.
• Proteggere i dati personali da accessi o modifiche non autorizzate, tutelando i diritti degli interessati secondo il principio di Accountability (art. 5.2 GDPR).
• Stabilire ruoli e responsabilità interni ed esterni in materia di sicurezza delle informazioni, coinvolgendo anche eventuali soggetti terzi che svolgono incarichi chiave.
• Supportare il personale e i collaboratori aziendali con un’adeguata istruzione e formazione per sensibilizzare in materia di sicurezza informatica al fine di minimizzare i rischi.
• Predisporre adeguate misure di reazione e gestione a fronte del verificarsi di incidenti che possono compromettere la sicurezza delle informazioni e la normale operatività.
• Garantire la continuità della sicurezza delle informazioni in caso di scenario sfavorevole o qualora si concretizzi una minaccia.
• Formare e sensibilizzare il personale per ridurre i rischi.
• Garantire la continuità operativa in caso di crisi o disastri.
• Promuovere continuamente il Sistema di Gestione per la Sicurezza delle Informazioni, anche mediante un impegno costante degli Organi e dei Soggetti apicali
• Soddisfare i requisiti previsti dalle norme ISO/IEC 27001, ISO/IEC 27017 e ISO/IEC 27018 e alle disposizioni contrattuali, legislative e regolamentari in materia di Cybersecurity & Resilience.
• Mantenere il Sistema di Gestione per la Sicurezza delle Informazioni relativamente alle attività in Cloud in conformità con le norme ISOI/IEC 27017:2015 e ISO/IEC 27018:2019, avendo cura di garantire la loro costante ottemperanza.
• Tenere costantemente sotto controllo la gestione della capacity nell’ambiente di produzione per evitare che un suo eventuale sovraccarico causi il collasso dei sistemi, causando interruzioni lavorative e downtime non pianificati.
• Assicurare che venga eseguito il corretto processo di gestione (riciclo o dismissione) di materiale informativo digitale, contenente dati aziendali, al fine di evitare la perdita di dati e informazioni sensibili.
• Promuovere assiduamente il miglioramento continuo dei processi, controlli e pratiche di sicurezza delle informazioni, al fine di garantire la piena conformità ai requisiti degli standard internazionali in materia di sicurezza delle informazioni e tutelare in modo efficace i dati e gli asset informativi aziendali, nel modo più sostenibile possibile, dal punto di vista ambientale.

In merito ai servizi di Cloud service Provider (CSP), si precisa che Mizar Tech si configura come Provider di tali servizi (CSP) di tipo Software as a Service (SaaS), dal momento che eroga dei servizi per la Gestione dei Sinistri per conto dei propri clienti, vale a dire diverse compagnie assicurative in primis.

Mentre non si qualifica come Cloud Service Customer (CSC) secondo quanto previsto dalla norma ISO/IEC 27017, in quanto utilizza esclusivamente un servizio di colocation standard (o housing) offerto da un CSP globale. La colocation non rientra nel perimetro dei servizi cloud così come definiti dalla norma (IaaS, PaaS, SaaS), poiché si tratta di un semplice affitto di spazio fisico e connettività, senza la fornitura di risorse virtualizzate o scalabili on-demand. Pertanto, inquadrare l’organizzazione come CSC risulterebbe improprio e superfluo, poiché non usufruisce direttamente di servizi cloud gestiti, né personalizza o amministra infrastrutture cloud fornite dal CSP.

Come erogatore di servizi Cloud SaaS, Mizar Tech: 

• Ha valutato i requisiti di qualità e di sicurezza di base applicabile nella progettazione sviluppo e implementazione (attivazione) dei servizi cloud;
• Nell’erogazione dei servizi SaaS verso i propri clienti sono valutati tutti i rischi relativi alla sicurezza delle informazioni all’interno del ciclo annuale di valutazione dei rischi rientranti all’interno del sistema di gestione ISO/IEC 27001;
• ha valutato il rischio derivante dall’operato del suo personale interno nella gestione delle informazioni dei clienti elaborate in Cloud;
• ha garantito che il cliente possa accedere solo ai dati di appartenenza e non abbia nessuna possibilità di accedere fisicamente alle macchine ove sono tratteti i dati; per eventuali richieste inerenti ai suoi dati può contattare l’Organizzazione attraverso le modalità di comunicazione formalizzate in sede contrattuale;
• Ha garantito che il sistema di virtualizzazione sia sicuro, secondo quanto previsto dalle best practice di mercato;
• Permette al cliente, secondo specifiche modalità di autenticazione, di accedere ai dati caricati all’interno del servizio erogato in SaaS garantendo la segregazione delle informazioni tra Clienti;
• Garantisce un ciclo di vita delle credenziali degli utenti che usufruiscono del servizio SaaS prontamente eliminando eventuali accessi non più necessari (es. per mancata sottoscrizione del contratto).
• Garantisce che eventuali data breach che possono verificarsi, coinvolgendo eventualmente dati personali, sono prontamente gestiti e che è definito un protocollo di segnalazione dell’evento all’autorità competenti;
• Ha una specifica procedura scritta per la gestione degli incidenti di sicurezza delle informazioni. Il Cliente deve verificare se l’assegnazione delle responsabilità per la gestione degli incidenti di sicurezza delle informazioni è adeguata e deve assicurarsi che soddisfi i propri requisiti. In caso di incidente che coinvolga la perdita di una o più caratteristiche tra Riservatezza, Integrità, Disponibilità, Autenticità riguardanti informazioni personali (Data Protection), è compito della Parte che identifica l’incidente dare immediata informazione all’altra Parte.