Source: http://docplayer.it/8562080-Protocollo-interno-per-la-prevenzione-dei-reati-informatici-approvato-data-rev-c-d-a-02-01-2012.html
Timestamp: 2018-05-28 10:05:50+00:00

Document:
PROTOCOLLO INTERNO PER LA PREVENZIONE DEI REATI INFORMATICI Approvato. Data. Rev C.d.A 02/01/ PDF
Download "PROTOCOLLO INTERNO PER LA PREVENZIONE DEI REATI INFORMATICI Approvato. Data. Rev C.d.A 02/01/2012"
1 . PROT. 8 Pag 1/7 PROTOCOLLO INTERNO PER LA PREVENZIONE DEI REATI E DEL TRATTAMENTO ILLECITO DEI DATI, PER LA PREVENZIONE DEI DELITTI IN MATERIA DI VIOLAZIONE DEL DIRITTO D AUTORE E DEI DELITTI CONTRO L INDUSTRIA E IL COMMERCIO PALLOTTA S.P.A. EMESSO APPROVATO REVISIONE DATA FUNZIONE FIRMA FUNZIONE FIRMA..
2 . PROT. 8 Pag 2/7 E DEL TRATTAMENTO ILLECITO DEI DATI 1. INDIVIDUAZIONE DELLE PROBLEMATICHE RELATIVE AI DELITTI 1NFORMATICI E AL TRATTAMENTO ILLECITO DEI DATI La responsabilità dell ente è stata estesa ai delitti informatici e al trattamento illecito dei dati in seguito alla emanazione della legge 48/28 la quale ha introdotto nel D. Lgs. 231/21 l articolo 24 bis il quale prevede la punibilità della società in relazione a detti reati, come previsto dagli articoli 491-bis, 61 5-ter, 61 5-quinquies, 617- quater, 617- quinquies, 632-bis quinquies, 617 quater, 67 1-quinquies, 635-bis quinquies, 640-quinquies del codice penale. La prevenzione dei reati previsti dall art. 24-bis del D. Lgs. 231/21 potrebbe avere impatto sulle funzioni aziendali all interno delle quali si potrebbero attivare le condizioni di contesto per la commissione di un delitto informatico a causa di comportamenti illeciti dei dipendenti che utilizzano gli strumenti informatici aziendali per lo svolgimento delle proprie attività lavorative. La Pallotta S.p.a. considera essenziale la promozione e il mantenimento di un adeguato sistema di controllo interno per verificare le attività allo scopo di assicurare il rispetto delle leggi e delle procedure interne aziendali, pertanto si è dotata di adeguate soluzioni di sicurezza, in conformità alle disposizioni di vigilanza e al codice della privacy, a tutela del proprio patrimonio informativo e dei dati trattati. 2. AREE A RISCHIO REATO In primo luogo è doveroso precisare che i reati previsti dall art. 24 bis del D. Lgs. 231/21 trovano come presupposto l utilizzo degli strumenti informatici e l abuso ditali strumenti nell interesse della società, pertanto vengono definite come aree a rischio tutte le aree aziendali che, per lo svolgimento della propria attività, utilizzano tali strumenti, con particolare riferimento alle funzioni che possono intrattenere rapporti con le Pubbliche Amministrazioni. Il rischio è ipotizzabile per tutte le funzioni aziendali e i dipendenti a causa dell utilizzo quotidiano da parte degli stessi degli strumenti informatici ma solo in linea astratta, poiché la società non ha alcuna possibilità di accedere ai sistemi altrui pertanto l ipotesi di abuso è particolarmente remota. In ogni caso, bisogna sottolineare il fatto che, affinché sussista la possibilità di imputare l illecito alla società, è necessario che il reato sia stato commesso nell interesse o a vantaggio della società stessa e non avvalendosi semplicemente della sua struttura o delle sue attrezzature per il perseguimento del profitto riferibile esclusivamente al soggetto attivo. Nonostante ciò, la società, oltre ai riferimenti all interno del Codice Etico, periodicamente richiama tutti i propri amministratori, dirigenti e dipendenti ad un corretto utilizzo degli strumenti informatici in proprio possesso e si riserva anche il diritto di effettuare periodici controlli, idonei ad impedire l abuso dei sistemi informatici aziendali ovvero la commissione di reati attraverso il loro utilizzo. 3. NORME DI COMPORTAMENTO INTERNE Nell espletamento della propria attività lavorativa per conto della Pallotta S.p.a., i responsabili delle funzioni potenzialmente a rischio reato, sono tenuti al rispetto delle norme di comportamento dettate dal codice etico e dal modello organizzativo nonché dal presente protocollo. In particolare a tutti i soggetti sopra indicati è fatto divieto di: - Porre in essere, collaborare o realizzare comportamenti tali da integrare le fattispecie di reato previste dal D. Lgs. 231/21, - Porre in essere, collaborare o realizzare comportamenti i quali, sebbene non risultino tali da costituire di per sé reato, possano potenzialmente diventarlo. Inoltre è necessario: - Che sia garantito il rispetto del codice etico,
3 . PROT. 8 Pag 3/7 - Che tutte le attività e le operazioni svolte per conto della Pallotta s.p.a. siano improntate al massimo rispetto delle leggi vigenti e dei principi di correttezza, trasparenza, buona fede e tracciabilità della documentazione. In particolare, è il responsabile del trattamento dei dati personali che è stato delegato alla gestione e alla proposta dell evoluzione informatica dell azienda; tra i compiti assegnati a detto responsabile ci sono anche il controllo e lo sviluppo del sistema informatico aziendale in base agli aspetti organizzativi e tecnici dell azienda stessa con il fine della gestione completa e sicura dei dati aziendali. Per questo motivo, la procedura prevede i seguenti comportamenti che devono essere posti in essere: - Assegnazione e gestione delle postazioni di lavoro; - Processo di rilascio delle credenziali di accesso agli strumenti informatici e password; - Utilizzo delle misure di sicurezza per assicurare il normale svolgimento delle attività aziendali. Per quanto riguarda il primo punto, ad ogni dipendente, affinché possa svolgere la propria attività, viene assegnato una postazione di lavoro con in dotazione un personal computer. Qualora per motivi organizzativi dovesse rendersi necessario lo spostamento del dipendente presso altra postazione di lavoro, sarà cura del responsabile del trattamento supervisionare tutta la fase di spostamento affinché la dotazione hardware e software sia conservata integra e funzionale e affinché la postazione di lavoro lasciata ad un nuovo dipendente non contenga dati di esclusiva competenza del dipendente precedente. Lo stesso responsabile del trattamento supervisionerà la fase di dismissione della postazione di lavoro nel caso in cui il dipendente decidesse di lasciare l azienda per dimissioni, pensionamento o licenziamento, con particolare attenzione alla dotazione hardware del personal computer affidato. In merito al processo di rilascio delle credenziali di accesso o delle password, che sono l elemento di accesso al sistema informatico ma anche uno degli strumenti per la protezione dei dati e del sistema, è il responsabile del trattamento che deve attivare e custodire le credenziali di autenticazione ed autorizzazione, anche in funzione di eventuali controlli; le modalità di consegna così come delle caratteristiche della password sono specificate nel protocollo operativo aziendale sulla privacy a cui si rimanda per i dettagli. La Pallotta S.p.a., attraverso l operato del responsabile del trattamento dei dati, ha adottato una serie di operazioni e controlli sulla sicurezza al fine di prevenire i rischi che incombono sul trattamento elettronico dei dati stessi. A questo proposito: - sono stati installati software antivirus su tutte le postazioni di lavoro e sui server aziendali; - tutti i messaggi di posta elettronica in entrata ed in uscita sono analizzati da un sistema di antivirus; vengono richieste password per l accesso ad ogni postazione di lavoro; - sono adottate procedure per il back up dei dati a cadenze regolari; - è posto l assoluto divieto ai dipendenti di utilizzare software non ufficiali e preventivamente testati nella loro integrità; - sono state adottate delle misure di protezione fisica dei dati stessi, specificate nel protocollo operativo aziendale sulla privacy a cui si rimanda per i dettagli. I dipendenti che gestiscono ed utilizzano le apparecchiature, gli strumenti informatici ed il relativo patrimonio informatico, sono tenuti ad osservare, oltre alla normativa di legge e le previsioni del codice etico interno, delle specifiche norme di condotta; i dipendenti, per questo motivo: - devono essere incaricati di accedere ad un personal computer e ricevere le apposite credenziali e password necessarie all utilizzo; - sono tenuti alla segnalazione al responsabile del trattamento di eventuali anomalie in merito alla sicurezza (con particolare rilievo per gli attacchi informatici da parte di hacker esterni); - sono responsabili del corretto utilizzo delle risorse informatiche a loro assegnate e che devono essere utilizzate esclusivamente per l espletamento delle proprie attività; - oltre a dover conservare in modo appropriato le risorse informatiche assegnate, devono informare tempestivamente la società di eventuali furti o danneggiamenti; - devono utilizzare le informazioni, le applicazioni e le apparecchiature esclusivamente per motivi di ufficio; - non devono prestare o cedere a terzi qualsiasi apparecchiatura informatica senza la preventiva autorizzazione del responsabile del trattamento; - devono evitare di introdurre e/o conservare in azienda, in qualsiasi forma, a qualsiasi titolo e per qualsiasi ragione, documentazione o materiale informatico di natura riservata e di proprietà di terzi;
4 . PROT. 8 Pag 4/7 - devono evitare di trasferire all esterno dell azienda o trasmettere files, documenti o qualsiasi documentazione riservata di proprietà della società se non per fini strettamente attinenti allo svolgimento delle proprie mansioni e con l autorizzazione del responsabile del trattamento; - devono evitare di lasciare incustodito e accessibile il proprio personal computer oppure consentire l utilizzo dello stesso ad altre persone se non espressamente autorizzate; - devono evitare l utilizzo di altre password di altri utenti aziendali salvo autorizzazione del responsabile del trattamento; - devono utilizzare la connessione ad internet per gli scopi ed il tempo strettamente necessario allo svolgimento delle attività che hanno reso necessario il collegamento; - devono impiegare solo apparecchiature della società e solo prodotti ufficialmente acquisiti dalla società; - devono astenersi dall effettuare copie non autorizzate di dati e di software; - devono evitare l utilizzo di strumenti software e hardware atti ad intercettare, falsificare, alterare o sopprimere il contenuto di documenti informatici; - devono osservare ogni disposizione stabilita dalla società per il rispetto della normativa sulla privacy e la protezione dei dati sensibili. In particolare è fatto divieto ai dipendenti, ai dirigenti e agli amministratori, di porre in essere comportamenti che possano rientrare nelle fattispecie di reato previste dal D. Lgs. 231/21 come: - introdursi abusivamente in un sistema telematico o informatico protetto da misure di sicurezza contro la volontà del titolare dell accesso; - accedere al sistema informatico o telematico, o a parti di esso, non possedendo le credenziali di accesso o mediante l utilizzo di credenziali altrui; - utilizzare dispositivi tecnici o strumenti software non autorizzati (come ad esempio virus, worm, troian, spywarc, dialer ecc.) per impedire o interrompere le comunicazioni relative ad un sistema informatico o telematico o intercorrenti tra più sistemi; - distruggere, deteriorare, cancellare, alterare, sopprimere informazioni, dati o programmi informatici altrui o anche solo mettere in pericolo l integrità e la disponibilità di informazioni, dati o programmi utilizzati dallo stato o da altro ente pubblico o di pubblica utilità; - introdurre o trasmettere dati, informazioni o programmi al fine di distruggere, danneggiare, rendere in tutto o in parte inservibile, ostacolare il funzionamento di sistemi informatici o telematici di pubblica utilità; - detenere, procurarsi, riprodurre o diffondere abusivamente codici di accesso o comunque mezzi idonei all accesso di un sistema protetto da misure di sicurezza; - procurare, riprodurre, diffondere, comunicare, mettere a disposizione di altri, apparecchiature, dispositivi o programmi al fine di danneggiare illecitamente un sistema o i dati e i programmi ad esso pertinenti ovvero favorirne l interruzione o l alterazione del suo funzionamento; - alterare mediante l utilizzo della firma elettronica altrui documenti informatici; - produrre e trasmettere documenti in formato elettronico con dati falsi e/o alterati. 4. COMPITI DELL ORGANISMO DI VIGILANZA I compiti dell Organismo di Vigilanza in relazione alla prevenzione dei reati di cui al presente protocollo sono: - Monitorare il rispetto dei principi e delle regole del protocollo stesso, - Monitorare il rispetto dei principi e delle regole del codice etico, - Esaminare eventuali segnalazioni disponendo gli accertamenti ritenuti necessari, - Aggiornare il modello nell eventualità dell incremento della stessa tipologia di reati previsti dal presente protocollo, - Proporre aggiornamenti sulle misure ritenute necessarie od opportune al fme di preservare l adeguatezza e l effettività del modello stesso, - Curare l emanazione e l aggiornamento di istruzioni standardizzate relative all uso degli strumenti informatici e alla riservatezza nel trattamento dei dati, - Verificare la validità delle istruzioni attraverso azioni di controllo nei confronti dei destinatari con il fine di controllare il rispetto dei comportamenti da seguire, - Attuare meccanismi sanzionatori in caso di violazioni del protocollo. L OVC dovrà comunicare al consiglio di amministrazione della società i risultati della propria attività di vigilanza e controllo.
5 . PROT. 8 Pag 5/7 Al fine di agevolare l attività di vigilanza da parte dell OVC, dovranno essere portate a conoscenza dell organismo stesso le principali informazioni in merito all attuazione del protocollo. Il responsabile del trattamento dovrà consegnare copia della propria lettera di nomina nonché copia di tutte le lettere di nomina degli incaricati al trattamento da lui scelti. Allo stesso modo, il responsabile comunicherà, alla prima riunione utile dell organismo di vigilanza, il nome dell azienda incaricata per la riparazione e la manutenzione degli strumenti elettronici e consegnare copia della dichiarazione di cui all allegato 4 del protocollo sulla privacy. Il responsabile, inoltre, dovrà immediatamente comunicare all OVC, qualunque notizia in merito alle violazioni delle norme interne di comportamento previste dal presente protocollo, in particolare sulle misure di sicurezza, così come di ogni altra situazione che possa rappresentare rischio per l azienda. PROTOCOLLO INTERNO PER LA PREVENZIONE DEI DELITTI IN MATERIA D I VIOLAZIONE DEL DIRITTO D AUTORE E DEI DELITTI CONTRO L INDUSTRIA E IL COMMERCIO 1. INDIVIDUAZIONE DELLE PROBLEMATICHE RELATIVE AI DELITTI IN MATERIA DI VIOLAZIONE DEL DIRITTO D AUTORE Un nuovo gruppo di reati è entrato a fare parte dell impianto del D. Lgs. 23 l/21,aumentando, di fatto, il novero delle fattispecie attraverso le quali si può riconoscere la responsabilità amministrativa delle imprese. La legge 99/29, infatti, ha aumentato l elenco dei reati suscettibili di determinare la responsabilità amministrativa dell ente introducendo l articolo 25-bis I sui delitti contro l industria e il commercio e l articolo 25-novies sui delitti in materia di violazione del diritto d autore, oltre che ad apportare alcune modifiche all articolo 25-bis già esistente. La decisione operata dal legislatore di inserire nella gamma dei reati presupposto del D. Lgs. 231/21 anche le tipologie riguardanti la tutela della proprietà industriale e intellettuale, rientra nella dura lotta alla contraffazione e prevede l inasprimento delle pene contro tutte quelle tipologie di reato che danneggiano l economia nazionale e che violano i diritti del consumatore o dell utente finale. 2. AREE A RISCHIO REATO L analisi delle fattispecie di reato previsti dall art, 25-bis i e dell articolo 25 novies del D. Lgs. 231/21 ha condotto a ritenere assolutamente marginale il rischio di una loro commissione all interno delle attività della società; ciò nonostante, la Pallotta S.p.a. considera comunque essenziale la promozione e il mantenimento di un adeguato sistema di controllo interno per verificare le attività allo scopo di assicurare il rispetto delle leggi e delle procedure. In ogni caso, bisogna sottolineare il fatto che, affinché sussista la possibilità di imputare l illecito alla società, è necessario che il reato sia stato commesso nell interesse o a vantaggio della società stessa e non avvalendosi semplicemente della sua struttura o delle sue attrezzature per il perseguimento del profitto riferibile esclusivamente al soggetto attivo. Particolare attenzione deve essere tenuta sulla disposizione che colpisce la condotta di abusiva duplicazione. Il legislatore italiano si è mostrato molto più severo rispetto alle norme europee inserendo la rilevanza penale di ogni condotta di duplicazione di software che avviene per fini di lucro, elemento che potrebbe avere delle ricadute sulla società qualora all interno della stessa vengano usati, a scopi lavorativi, programmi non originali,al solo fine di risparmiare il costo dei software originali. 3. NORME DI COMPORTAMENTO INTERNE Nell espletamento della propria attività lavorativa per conto della Pallotta S.p.a., gli amministratori, i dirigenti e i dipendenti sono tenuti al rispetto delle norme di comportamento dettate dai codice etico e dal modello organizzativo nonché dai presente protocollo.
6 . PROT. 8 Pag 6/7 In particolare a tutti i soggetti sopra indicati è fatto divieto di: - Porre in essere, collaborare o realizzare comportamenti tali da integrare le fattispecie di reato previste dal D. Lgs. 231/21, - Porre in essere, collaborare o realizzare comportamenti i quali, sebbene non risultino tali da costituire di per sé reato, possano potenzialmente diventarlo. Inoltre è necessario: - Che sia garantito il rispetto del codice etico, - Che tutte le attività e le operazioni svolte per conto della Pallotta s.p.a. siano improntate al massimo rispetto delle leggi vigenti e dei principi di correttezza, trasparenza, buona fede e tracciabilità della documentazione. In particolare, è il responsabile del trattamento dei dati personali che è stato delegato alla gestione e alla proposta dell evoluzione informatica dell azienda; tra i compiti assegnati a detto responsabile ci sono anche il controllo e lo sviluppo del sistema informatico aziendale in base agli aspetti organizzativi e tecnici dell azienda stessa con il fine della gestione completa e sicura dei dati aziendali. Per questo motivo tutto il software utilizzato dalla società è regolarmente licenziato e il responsabile del trattamento controlla e archivia tutte le licenze relative al sistema informatico utilizzato. Gli incaricati al trattamento devono seguire tutti i principi generali di prevenzione così come le disposizioni specifiche previste dal protocollo aziendale sulla privacy a cui rimanda per i dettagli. 4. COMPITI DELL ORGANISMO DI VIGILANZA I compiti dell Organismo di Vigilanza in relazione alla prevenzione dei reati di cui al presente protocollo sono: - Monitorare il rispetto dei principi e delle regole del protocollo stesso, - Monitorare il rispetto dei principi e delle regole del codice etico, - Esaminare eventuali segnalazioni disponendo gli accertamenti ritenuti necessari, - Aggiornare il modello nell eventualità dell incremento della stessa tipologia di reati previsti dal presente protocollo, - Proporre aggiornamenti sulle misure ritenute necessarie od opportune al fine di preservare l adeguatezza e l effettività del modello stesso, - Verificare la validità delle istruzioni attraverso azioni di controllo nei confronti dei destinatari con il fine di controllare il rispetto dei comportamenti da seguire, - Attuare meccanismi sanzionatori in caso di violazioni del protocollo. L OVC dovrà comunicare al consiglio di amministrazione della società i risultati della propria attività di vigilanza e controllo
7 . PROT. 8 Pag 7/7 INDICE E DEL TRATTAMENTO ILLECITO DEI DATI 1. INDIVIDUAZIONE DELLE PROBLEMATICHE RELATIVE AI DELITTI 1NFORMATICI E AL TRATTAMENTO ILLECITO DEI DATI Pag AREE A RISCHIO REATO Pag NORME DI COMPORTAMENTO INTERNE Pag COMPITI DELL ORGANISMO DI VIGILANZA Pag. 4 PROTOCOLLO INTERNO PER LA PREVENZIONE DEI DELITTI IN MATERIA DI VIOLAZIONE DEL DIRITTO D AUTORE E DEI DELITTI CONTRO L INDUSTRIA E IL COMMERCIO 1. INDIVIDUAZIONE DELLE PROBLEMATICHE RELATIVE AI DELITTI IN MATERTA DI VIOLAZIONE DEL DIRITTO D AUTORE Pag AREE A RISCHIO REATO Pag NORME DI COMPORTAMENTO INTERNE Pag COMPITI DELL ORGANISMO DI VIGILANZA Pag. 6 INDICE Pag. 7

References: articolo 24
 art. 24
 art. 24
 articolo 25
 articolo 25
 articolo 25
 articolo 25