Gestione degli incidenti. 5.1 La Gestione degli Incidenti comprende tutte le attività tra il Cliente e XXXX XXXXX XXXXX in relazione alla notifica e alla gestione dei Guasti fino alla loro risoluzione.
Gestione degli incidenti. Il Fornitore deve implementare un framework di gestione degli incidenti che consenta di gestire, contenere e rimuovere/mitigare efficacemente gli incidenti e le relative causa alla radice nell'ambiente del Fornitore. Il Fornitore deve adottare una procedura per la Gestione di Incidenti e Crisi, che preveda un processo di escalation a Barclays per gli Incidenti e le Crisi. Il Fornitore deve garantire che i team e i processi di risposta a Incidenti e Xxxxx vengano testati, almeno una volta l'anno, per dimostrare la propria capacità di reagire in modo efficace ed efficiente in caso di Incidente. Il Fornitore deve inoltre verificare la propria capacità di informare, entro i tempi stabiliti, i contatti interessati da un incidente e dimostrarlo a Barclays quando richiesto. Il Fornitore deve disporre di piani ben documentati per la risposta agli Incidenti, che definiscano i ruoli dei suoi dipendenti e le fasi di gestione degli incidenti: • Responsabilità e procedure - Occorre definire responsabilità e procedure di gestione, al fine di garantire una risposta rapida, efficace e ordinata agli incidenti. • Segnalazione degli incidenti - Gli incidenti devono essere segnalati al più presto possibile tramite i canali di gestione appropriati. Inoltre, il meccanismo di segnalazione deve essere semplice e accessibile a tutti i dipendenti e appaltatori del Fornitore. • Valutazione degli incidenti - Gli incidenti devono essere valutati per determinarne la criticità, la classificazione e la risposta appropriate. ▪ Classificazione degli incidenti - Occorre stabilire una scala di classificazione degli incidenti e decidere se un determinato evento deve essere classificato come incidente o meno. La classificazione e la definizione delle priorità degli incidenti possono contribuire a determinare l'impatto e l'entità di un incidente. • Risposta agli incidenti - Gli incidenti devono ricevere una risposta conforme alle procedure di Gestione degli incidenti documentate del Fornitore.
Gestione degli incidenti. MailUp si è dotata, a livello di Gruppo, di una procedura relativa alla gestione degli eventi di sicurezza e dei data breach. L’organizzazione ha inoltre redatto una policy per la definizione del flusso di comunicazione degli incidenti di sicurezza, che innesca, ove necessario, una segnalazione interna nei confronti del DPO. In MailUp eventuali incidenti di sicurezza vengono comunicati attraverso i canali prestabiliti in Azure o a mezzo e-mail.
Gestione degli incidenti. In caso di malfunzionamento dei Servizi, il Cliente dovrà innanzitutto effettuare i test tecnici consigliati sul sito web di OVHcloud. Nel caso in cui tali test non dovessero risolvere l'Incidente, il Cliente potrà segnalarlo all'Assistenza OVHcloud come sopra indicato e fornire quante più informazioni possibili per facilitare una corretta diagnosi. Quando viene segnalato un Incidente, l'Assistenza OVHcloud effettuerà le indagini necessarie per identificare la causa del malfunzionamento osservato e definire una diagnosi. Il Cliente si impegna a rimanere sempre a disposizione per collaborare con OVHcloud ai fini di una corretta diagnosi e risoluzione dell'Incidente, in particolare fornendo a OVHcloud ogni informazione aggiuntiva, ed eseguendo tutti i test e le verifiche necessarie. Nell'ambito della gestione dell'Incidente, OVHcloud e le sue società partner sono espressamente autorizzate dal Cliente a connettersi al Servizio Clienti sia a livello hardware sia software, al fine di intraprendere qualsiasi azione necessaria per effettuare una diagnosi. Tale connessione può richiedere al Cliente di eseguire un'azione sul proprio Servizio. OVHcloud terrà il Cliente ragionevolmente informato sullo stato di avanzamento delle operazioni. Se OVHcloud stabilisce che i suoi Servizi sono disponibili e funzionano correttamente, o che l'esistenza dell'Incidente non può essere confermata, o che l'Incidente non rientra nella responsabilità di OVHcloud, OVHcloud ne informerà il Cliente. In questo caso, il tempo dedicato da OVHcloud all'esecuzione della diagnosi e all'assistenza al Cliente potrà essere addebitato al Cliente come servizio aggiuntivo fornito, sulla base del tariffario disponibile sul sito web di OVHcloud o fornito al Cliente. XXXxxxxx si riserva il diritto di rifiutare qualsiasi assistenza qualora accerti, nel corso delle sue indagini, che il Cliente utilizzi il Servizio in violazione del Contratto o di qualsiasi legge o regolamento applicabile. Se l'Incidente sembra rientrare nella responsabilità di OVHcloud, OVHcloud ultimerà gli accertamenti e lavorerà per ristabilire la disponibilità dei Servizi interessati. In questo caso, il lavoro svolto da OVHcloud non comporterà alcun costo aggiuntivo. L'accertamento sarà attuato da OVHcloud con tutti i mezzi necessari, in particolare sulla base di un confronto tra le parti e dei dati del sistema informativo di OVHcloud (come i dati di login) che il Cliente accetta espressamente di rendere ammissibili e pienamente uti...
Gestione degli incidenti. Nel caso si verificassero incidenti di sicurezza relativamente ai dati oggetto di trattamento da parte dell’Ente delegato (furto di identità, accesso non autorizzato al SIAN, furto di documenti, perdita di documenti, accesso non autorizzato a documenti, utenza non disabilitata se l’utente a cui è stata assegnata non è più autorizzato ad accedere al SIAN, etc.), l’Ente delegato deve immediatamente segnalare l’incidente al Responsabile sicurezza delle informazioni di Agea tramite la casella di posta xxxxxxxx.xxxxxxxxx@xxx.xx, il quale provvederà anche a valutare, d’intesa con il Responsabile della protezione dei dati (RPD) di AGEA, se si tratti anche di una violazione dei dati personali per attivare eventuali azioni conseguenti ai sensi di quanto previsto agli art. 33 e 34 del GDPR in accordo ai documenti S-AGE-SSGE-L5-16002 Procedura per la Gestione degli Incidenti di sicurezza e S-AGE- SSGE-L5-18001 Procedura per il Personal Data Breach Management. Nel caso in cui l’Ente delegato, nominato da AGEA Responsabile del trattamento dei dati personali, ritenga, da una prima analisi, che si tratti di Data Breach è tenuto anche ad informare tempestivamente e senza ingiustificato ritardo, entro 24 ore dall’avvenuta conoscenza dell’evento, il Titolare del trattamento dei dati AGEA ed il RPD AGEA. Tale notifica – da effettuarsi ad AGEA sia tramite PEC all’indirizzo xxxxxxxxxx@xxx.xxxx.xxx.xx che tramite mail all’indirizzo xxxxxxxxxxx@xxxx.xxx.xx – deve essere accompagnata da ogni documentazione utile per permettere ogni valutazione e azione di competenza.
Gestione degli incidenti. 3.29 La Terza parte deve disporre di un quadro coerente e consolidato per la gestione degli incidenti, a garanzia che tali eventi vengano gestiti, contenuti e mitigati in maniera adeguata, e che copra i seguenti aspetti: • Garantire che ogni membro del personale conosca il proprio ruolo e la procedura da implementare in caso sia richiesto un intervento. • Garantire che gli incidenti vengano comunicati coerentemente con criteri prestabiliti. • Garantire che venga compreso l’impatto dell’incidente. • Garantire che, in caso di necessità, verranno svolte adeguate indagini, internamente o ad opera di uno specialista. • Garantire che tutti gli apprendimenti derivanti dagli incidenti verificatisi vengano incorporate in una best practice. • Garantire che le informazioni correlate a un incidente che coinvolge BT vengano trattate come “Riservate”.
Gestione degli incidenti. Il Fornitore si impegna a definire con la Fondazione una procedura di escalation per gestire la risoluzione degli incidenti. La procedura prevede una modalità di comunicazione per informare il prima possibile la Fondazione su eventuali problemi che possono compromettere il servizio, azioni per gestirli, i rischi e le criticità conseguenti. Il fornitore deve: • dare supporto alla fondazione anche in caso di incidenti rilevati dalla Fondazione; • segnalare alla Fondazione incidenti rilevati aventi un impatto, anche potenziale, su sistemi e servizi a supporto dei processi della Fondazione, e relativa gestione, con particolare riferimento agli incidenti critici; • produrre reportistica a supporto del processo di gestione incidenti; • supportare la Fondazione nell’invio al Garante della Privacy delle comunicazioni relative ad eventuali violazioni dei dati (data breach) o incidenti informatici (accessi abusivi, azione di malware…) verificatesi sui dati della Fondazione. Dispositivi collegati alle reti della Fondazione Il collegamento di un dispositivo del Fornitore o subfornitore alla rete della Fondazione deve essere autorizzato dalla fondazione. Il fornitore è responsabile della messa in sicurezza del dispositivo con antivirus e patch per proteggere asset e informazioni della Fondazione. Qualsiasi dispositivo di proprietà del Fornitore che memorizza le informazioni della Fondazione, dove essere protetto anche crittografando le informazioni.
Gestione degli incidenti. Il soggetto attuatore deve dettagliare nel Piano della Sicurezza la procedura di gestione degli incidenti di sicurezza. Viene considerato incidente di sicurezza un evento o una serie di eventi, non voluti o inattesi, che hanno una probabilità significativa di compromettere la sicurezza delle informazioni e che, pertanto, abbiano portato ad una diminuzione di almeno una delle tre caratteristiche fondamentali: riservatezza, integrità e disponibilità. La responsabilità della gestione degli incidenti di sicurezza è in capo al soggetto attuatore, che tuttavia è tenuta a collaborare con il Security Operation Center (SOC) di InnovaPuglia e/o con il CSIRT Regionale. Nel caso in cui il SOC di InnovaPuglia rilevi un potenziale incidente di sicurezza che riguarda la fornitura in oggetto, esso informerà tempestivamente il Referente per la Sicurezza indicato nel Piano della Sicurezza. Il soggetto attuatore è tenuto a prendere in considerazione tale segnalazione e ad effettuare le fasi di analisi, contenimento, ripristino e raccolta evidenze. Al termine delle operazioni, il soggetto attuatore è tenuto a dare un riscontro al SOC e/o al CSIRT Regionale circa le azioni intraprese e la gravità dell’incidente. Resta in capo al soggetto attuatore adempiere agli obblighi normativi in caso di Data Breach. Qualora la Ditta Aggiudicatrice rilevi un potenziale problema riguardante la struttura ospitante (il Datacenter di InnovaPuglia) o che in qualche modo risulta impattante sulla infrastruttura messe a disposizioni dal cloud Regionale, essa è tenuta ad inviare una segnalazione ai riferimenti di InnovaPuglia, che verranno resi noti in fase esecutiva del contratto. Inoltre, nell’ambito delle attività di monitoraggio continuo della Cyber Security, il Fornitore ha l’obbligo di segnalare gli incidenti di sicurezza al CSIRT Puglia secondo modalità e procedure che saranno fornite nella fase esecutiva del contratto.
Gestione degli incidenti. Si chiede di descrivere tutte le attività, i ruoli e le responsabilità relative alla gestione delle violazioni di dati (personali e no), con l’obiettivo di: • ridurre al minimo gli impatti degli incidenti di sicurezza delle informazioni; • garantire un tempestivo ripristino delle condizioni di normale operatività; • assicurare l'adeguato coinvolgimento di tutto il personale necessario; • identificare gli strumenti da utilizzare per documentare gli incidenti (inclusi i “near miss”), con l’analisi delle cause e le soluzioni adottate.
Gestione degli incidenti. 11.1 Incidenti sulla sicurezza. Se NTT viene a conoscenza di una violazione della sicurezza che comporta la distruzione accidentale o illecita, la perdita, l 'alterazione, la divulgazione non autorizzata o l'accesso a dati personali del Cliente durante l'elaborazione da parte di NTT (ciascuno di tali eventi di seguito "Incidente di Sicurezza"), NTT dovrà tempestivamente e senza indebito ritardo: