Informativa sulla protezione dei dati – Misure organizzative e tecniche
Radius Limited (“Radius”) si impegna a garantire la sicurezza e la protezione di tutti i dati personali che tratta, siano essi di proprietà dell’organizzazione, trattati per conto dei propri clienti o degli utenti dei propri servizi. Adottando un approccio alla privacy dei dati basato sul rischio, sono stati implementati efficaci controlli organizzativi, procedurali e tecnici per conformarsi alla normativa vigente e ai principi di protezione dei dati.
Per garantire tale protezione, Radius utilizza il quadro di riferimento del Sistema di Gestione della Sicurezza delle Informazioni (SGSI) ISO 27001. Grazie a ingenti investimenti nella propria infrastruttura IT, Radius detiene tale certificazione dal 2018, avendo ottenuto con successo la certificazione secondo il nuovo standard 2022 nel marzo 2024. Inoltre, Radius ha ottenuto la certificazione Cyber Essentials Plus già dal 2016.
Le informazioni riportate di seguito forniscono una descrizione dettagliata delle misure di controllo implementate dall’organizzazione.
La presente dichiarazione è stata revisionata e aggiornata l’ultima volta il 16 gennaio 2026 – Versione 2.0
I ruoli e le responsabilità organizzative sono definiti e documentati, con un responsabile esecutivo che ne risponde, garantendo l’assegnazione di risorse adeguate in linea con la direzione strategica del Gruppo. L’ISMS è gestito a livello centrale da un team dedicato composto da professionisti in materia di conformità, audit interno, sicurezza delle informazioni e sicurezza informatica.
I rischi per la sicurezza delle informazioni vengono identificati nell’ambito di un quadro di gestione dei rischi basato sull’ambito di applicazione e sui criteri definiti dell’ISMS. Gli obiettivi interni vengono fissati e monitorati regolarmente insieme ai principali stakeholder.
È in vigore una politica generale di sicurezza delle informazioni corredata da una dichiarazione esecutiva. Le politiche primarie sono obbligatorie per tutto il personale, mentre una serie di politiche secondarie è classificata in base alla rilevanza per determinate aree dell’attività, ad esempio lo sviluppo di software IT. Tutto il personale può accedervi tramite il nostro sito Intranet interno e viene fornita formazione su base annuale all’interno del nostro Sistema di Gestione dell’Apprendimento.
Tutte le informazioni vengono trattate secondo le linee guida del Gruppo sulla classificazione dei dati, con controlli adeguati assegnati ai dati riservati, privati e pubblici. È presente un inventario delle risorse e dei sistemi, con la responsabilità assegnata ai dirigenti competenti.
È inoltre in vigore una politica e una procedura di segnalazione degli incidenti, con un meccanismo di segnalazione di facile utilizzo che consente al personale di segnalare eventi o incidenti. Gli incidenti vengono registrati e gestiti dai team interni di sicurezza delle informazioni e di sicurezza informatica. Una procedura di segnalazione delle violazioni è documentata e integrata nella pianificazione della continuità operativa dell’organizzazione. I piani vengono rivisti e testati regolarmente (almeno una volta all’anno). Le lezioni apprese vengono documentate e diffuse a tutti i livelli.
Vengono condotte valutazioni dei rischi di sicurezza per i fornitori in base alla loro interazione con i sistemi e i dati di Radius. I contratti, gli accordi e gli accordi di riservatezza (NDA) vengono implementati in linea con una politica formale di gestione dei fornitori.
Tutte le leggi e i requisiti normativi pertinenti sono stati identificati e rivisti, con un monitoraggio continuo del panorama normativo. È stato nominato un Responsabile della protezione dei dati per garantire la conformità alla legislazione sulla privacy dei dati a cui Radius è soggetta nelle giurisdizioni in cui opera. Vengono condotte valutazioni d’impatto per qualsiasi modifica significativa alle attività di trattamento, al fine di garantire la conformità continua.
Tutti i dipendenti vengono sottoposti a screening in linea con i livelli di rischio accettati, con ulteriori controlli DBS effettuati per il personale senior e per coloro che svolgono attività in aree regolamentate. Le responsabilità e i termini e le condizioni relativi alla riservatezza vengono comunicati e sottoscritti dal personale nei contratti di lavoro, con disposizioni che rimangono in vigore anche dopo la cessazione del rapporto.
È in vigore una procedura formale per l’assunzione, il trasferimento e la cessazione del rapporto di lavoro, volta a definire i criteri di inserimento e uscita dall’azienda, con azioni disciplinari chiaramente specificate per i dipendenti che non rispettano le politiche di sicurezza delle informazioni.
La formazione sulla sicurezza delle informazioni è obbligatoria e viene fornita a tutto il personale con cadenza almeno annuale tramite il Sistema di Gestione dell’Apprendimento del Gruppo. Verrà fornita formazione aggiuntiva a seguito di eventuali eventi, feedback o modifiche legislative.
Vengono condotte valutazioni dei rischi per tutte le sedi Radius in linea con i principi delle migliori pratiche in materia di sicurezza fisica, con l’implementazione di numerosi controlli quali tessere di identificazione per il controllo degli accessi, telecamere a circuito chiuso (CCTV) e telecamere ANPR, nonché allarmi di sicurezza. L’accesso alle aree protette viene concesso in base alle necessità ed è approvato e verificato dai responsabili di reparto. Presso le sedi degli uffici vengono effettuate regolarmente operazioni di svuotamento delle scrivanie.
I data center di terze parti sono ospitati in strutture con rigorosi requisiti di sicurezza fisica e sono sottoposti a verifiche annuali.
Viene effettuata una manutenzione regolare delle apparecchiature e dei servizi di utenza, mentre le apparecchiature a fine vita vengono registrate e smaltite in conformità con la normativa RAEE (o equivalente al di fuori del Regno Unito) e con la nostra Politica Ambientale.
Gestita dai propri team interni di Operazioni IT, Sicurezza informatica e Infrastrutture, Radius utilizza tecnologie all’avanguardia per identificare, monitorare e mitigare potenziali minacce all’interno della propria rete sicura e degli ambienti server, ad esempio NDR ed EDR, con protezione degli endpoint implementata su tutte le risorse. Le chiavi crittografiche sono gestite centralmente e in conformità con le migliori pratiche.
A tutti gli utenti vengono assegnati account utente standard composti da un ID univoco, una password e il principio del «privilegio minimo». All’accesso degli amministratori si applicano privilegi elevati e la separazione dei compiti. L’accesso può essere concesso solo tramite ticket di assistenza interni con le relative approvazioni. L’autenticazione a più fattori (MFA) è in uso in tutto il Gruppo e il Single Sign-On (SSO) viene adottato sempre più spesso. L’accesso viene regolarmente rivisto per garantire il rispetto dei principi di «necessità di sapere».
Vengono condotte revisioni periodiche della gestione della capacità con avvisi automatici per determinare quando la capacità raggiunge il proprio limite. Sono in atto procedure di backup che vengono testate regolarmente per garantire che funzionino in una situazione “reale”. I registri vengono conservati per 12 mesi.
La segregazione di rete è implementata in tutto il patrimonio informatico con numerosi meccanismi di sicurezza per rilevare e impedire l’accesso ai sistemi informativi, quali firewall e DMZ. È inoltre in atto il monitoraggio della rete tramite soluzioni NDR ed EDR.
La verifica da parte di terzi viene ottenuta tramite test di penetrazione indipendenti effettuati regolarmente, e vengono condotte periodicamente valutazioni di vulnerabilità delle applicazioni esposte all’esterno. Vengono inoltre eseguiti audit di certificazione annuali per le norme ISO 27001 e Cyber Essentials.
La sicurezza delle informazioni è integrata nei principi di «security by design» per lo sviluppo di software IT, con valutazioni d’impatto sulla protezione dei dati (DPIA) completate per tutte le modifiche obbligatorie. Sono in vigore politiche e processi per un ciclo di vita dello sviluppo del software (SDLC) sicuro, con revisioni del codice completate. I test vengono effettuati da un team di test interno. Una procedura di abilitazione/gestione delle modifiche è allineata ai principi ITIL v4 e si tiene una riunione settimanale del Comitato consultivo sulle modifiche per esaminare e approvare le modifiche pianificate.