Sicurezza

Politica per la sicurezza delle Informazioni di Zucchetti Hospitality SRL

Zucchetti Hospitality S.r.l. è una realtà che raggruppa al proprio interno diverse Business Unit, ciascuna dedicata allo sviluppo di soluzioni software verticali per il settore hospitality: gestionali per il comparto alberghiero (channel manager, booking engine, PMS), ristorazione, wellness e retail. La Società si occupa della progettazione, sviluppo ed erogazione di soluzioni software e servizi integrati per la gestione operativa, commerciale e amministrativa di hotel, ristoranti, centri wellness e attività retail.

Per questo motivo la sicurezza e la salvaguardia del patrimonio informativo costituiscono condizione imprescindibile per il raggiungimento degli obiettivi di business e, in considerazione di ciò, lo svolgimento delle attività aziendali deve sempre avvenire garantendo adeguati livelli di disponibilità, integrità e riservatezza delle informazioni attraverso l’adozione di un formale “Sistema di Gestione della Sicurezza delle Informazioni” (SGSI) in linea con i requisiti attesi dalle parti interessate e nel rispetto delle normative vigenti.

La Società, inoltre, è stata identificata dall’Agenzia per la Cybersicurezza Nazionale come soggetto essenziale ai sensi della Direttiva NIS2, operando nel settore delle Infrastrutture digitali in qualità di fornitore di servizi di cloud computing e nel settore della Gestione dei servizi TIC come fornitore di servizi gestiti. Tale qualificazione comporta l’obbligo di adottare adeguate misure tecniche e organizzative per la gestione dei rischi di cybersicurezza, nonché di notificare tempestivamente all’autorità competente eventuali incidenti significativi.

Il documento di Politica si propone di essere uno strumento informativo attendibile, trasparente ed efficace, disponibile per la consultazione online, per rendere consapevoli tutte le parti interessate, interne ed esterne.

Obiettivi e principi

I principi generali a cui si ispira Zucchetti Hospitality S.r.l. sono:

Soddisfare le aspettative e le esigenze dei Clienti;
Coinvolgimento del Personale quale risorsa di maggior valore, assicurando un ambiente di lavoro sicuro, sano e motivante che tenga in massima considerazione il contributo di ciascun individuo;
Rispetto delle leggi, dei regolamenti vigenti e delle clausole contrattuali;
Sicurezza e continuità dei dati: gli standard di sicurezza con cui si garantisce l’integrità, la disponibilità e la riservatezza dei dati del cliente sono garantiti da misure organizzative e data center certificati secondo gli standard più elevati;
Gestione del rischio cyber e conformità NIS2: in qualità di soggetto essenziale NIS2, la Società adotta misure tecniche e organizzative proporzionate al rischio per proteggere i propri sistemi informativi e di rete, garantire la resilienza operativa e adempiere agli obblighi di notifica degli incidenti significativi allo CSIRT Italia;
Need to know: le informazioni devono essere accessibili solo a coloro che ne abbiano necessità e autorizzazione;
Fornitori Qualificati; assicurare che i fornitori garantiscano un servizio di qualità;
Miglioramento continuo: attraverso la valutazione delle esperienze precedenti e delle prestazioni, i progetti e i sistemi di gestione devono essere continuamente migliorati.

Gli obiettivi generali perseguiti con l’impegno del responsabile designato, sono:

Mantenere un elevato standard qualitativo dei prodotti;
Minimizzare il rischio di perdita, corruzione, indisponibilità o diffusione illecita dei dati dei clienti, con misure e attività poste in essere a garanzia della continuità di servizio;
Svolgere analisi dei rischi, l’esame delle vulnerabilità e delle minacce associate allo scopo di individuare ed attuare le misure correttive e di sicurezza necessarie;
Garantire la Continuità Operativa per gli asset e i processi critici per l’erogazione dei servizi, minimizzando gli impatti sul business in caso di crisi, assicurando un rapido ripristino del normale stato di svolgimento delle attività;
Rispettare le leggi e le disposizioni vigenti, i requisiti contrattuali, le norme e le procedure aziendali;
Perseguire il miglioramento continuo;
Promuovere la cultura della cybersicurezza a tutti i livelli dell’organizzazione, attraverso programmi strutturati di formazione e sensibilizzazione del personale sui rischi cyber e sugli obblighi derivanti dalla normativa NIS2;
Adempiere agli obblighi previsti dalla normativa NIS2, in qualità di soggetto essenziale identificato da ACN, implementando e mantenendo le misure di gestione del rischio di cybersicurezza proporzionate al livello di rischio, alle dimensioni dell’organizzazione e all’impatto potenziale degli incidenti;
Garantire la notifica tempestiva degli incidenti significativi all’ACN, nel rispetto delle scadenze e delle procedure previste dal Decreto NIS e dalle determinazioni dell’Autorità competente;
Garantire la sicurezza della supply chain digitale, verificando che i fornitori e i prestatori di servizi TIC adottino misure di sicurezza adeguate e coerenti con i requisiti NIS2;
Potenziare la capacità di rilevazione, gestione e risposta agli incidenti informatici, anche attraverso la cooperazione con CSIRT Italia e le autorità nazionali competenti.

Impegno della direzione

L’Alta Direzione/Direzione si impegna a perseguire, con i mezzi e le risorse adeguate, gli obiettivi e i principi della presente politica. Tutto il personale, nell’ambito delle relative responsabilità, è responsabile dell'attuazione della presente politica con il supporto della Direzione ed è coinvolto nella segnalazione di eventuali incidenti riscontrati e di qualsiasi debolezza identificata nel SGSI; tutta l’organizzazione è impegnata a supportare l’implementazione, la messa in opera e il riesame periodico del SGSI

L’azienda, in qualità di soggetto essenziale ai sensi della Direttiva NIS2, riconosce la propria responsabilità nel garantire un elevato livello di cybersicurezza e si impegna a perseguire la piena conformità ai requisiti normativi previsti dalla Direttiva stessa e dal quadro regolatorio nazionale, incluse le disposizioni emanate dall’Agenzia per la Cybersicurezza Nazionale (ACN). L’organizzazione si impegna a rispettare puntualmente i termini e gli obblighi stabiliti dalla normativa vigente, aggiornando tempestivamente processi, controlli e documentazione del SGSI in funzione dell’evoluzione del quadro regolatorio.

Riesame

La presente Politica viene riesaminata periodicamente dalla Direzione ed eventualmente aggiornata in caso di cambiamenti significativi che influenzino i sistemi, tenendo conto del contesto della realtà aziendale, delle normative, dei risultati delle analisi periodiche e dei successivi monitoraggi.

Lodi, 1 settembre 2026

La Direzione

Politica per la Sicurezza delle Informazioni di Zucchetti Spa

La sicurezza e la salvaguardia del patrimonio informativo costituiscono condizione imprescindibile per il raggiungimento degli obiettivi di business di Zucchetti SpA.

In considerazione di ciò lo svolgimento delle attività aziendali deve sempre avvenire garantendo adeguati livelli di disponibilità, integrità e riservatezza delle informazioni attraverso l’adozione di un formale “Sistema di Gestione della Sicurezza delle Informazioni” (SGSI) in linea con i requisiti attesi dalle parti interessate di Zucchetti e nel rispetto delle normative vigenti.

In particolare il sistema è applicato:

nella conservazione digitale di documenti informatici, in modo tale da garantire la conservazione nel lungo periodo;
all’area datacenter, in modo tale da garantire buone pratiche nella gestione dei sistemi e infrastrutture necessari al trattamento dei dati di business dei clienti, eventualmente soggetti a norme cogenti;
nell’erogazione di servizi fiduciari (marcatura temporale, certificati per chiavi di sottoscrizione) con funzione di Autorità di Certificazione;
alle soluzioni HR per la gestione del personale, e cioè la progettazione, sviluppo e manutenzione di prodotti software, i relativi servizi di post-vendita per professionisti e aziende e infine la realizzazione, erogazione e gestione del servizio SaaS/PaaS per dette soluzioni.

Gli obiettivi generali del SGSI perseguiti con l’impegno del responsabile designato, sono:

dimostrare al mercato la propria capacità di fornire con regolarità prodotti/servizi sicuri, massimizzando gli obiettivi di business;
minimizzare il rischio di perdita e indisponibilità dei dati dei clienti, pianificando e gestendo le attività a garanzia della continuità di servizio, e mettere in campo ogni azione volta a scongiurare corruzione, diffusione inappropriata di detti dati;
svolgere di conseguenza una adeguata analisi dei rischi, determinando il valore delle risorse informative coinvolte e valutando il rischio conseguente, attraverso l’esame delle vulnerabilità e delle minacce associate;
rispettare le leggi e le disposizioni vigenti, i requisiti contrattuali, le norme e le procedure aziendali;
promuovere la collaborazione, comprensione e consapevolezza del SGSI da parte dei fornitori strategici;
conformarsi ai principi e ai controlli stabiliti dalla ISO/IEC 27001 o altre norme/regolamenti che disciplinano le attività di business in cui opera l’azienda;
perseguire il miglioramento continuo.

A ciò si aggiungono gli obiettivi specifici del Sistema di Conservazione:

soddisfare con un trattamento adeguato delle informazioni (in relazione al loro valore, alle prescrizioni legali, alla sensibilità e criticità) le esigenze della comunità designata;
monitorare e controllare la sicurezza dei sistemi informativi a supporto del Sistema di Conservazione, minimizzando il rischio residuo, assicurando la continuità del business e il soddisfacimento dei requisiti relativi alla privacy e alla protezione dei dati personali;
seguire e attuare le indicazioni date nel Piano della Sicurezza e nel Manuale della Conservazione;
prevedere e, se il caso, attuare, piani di successione, piani di emergenza, di affidamento a terzi, in caso di cessazione del servizio.

il cui raggiungimento è dato in carico al Responsabile del Servizio di Conservazione designato. Nel perseguire detti obiettivi il Responsabile del Servizio di Conservazione ha facoltà e delega a redigere una o più Politiche di Sicurezza relative a temi specifici riguardanti il Sistema di Conservazione, impegnandosi a garantirne la coerenza con la presente Politica.

Al fine di promuovere e favorire l’implementazione degli obiettivi di politica, viene costituito un gruppo di lavoro interfunzionale che opera per la gestione delle attività necessarie a garantire la sicurezza delle informazioni.

Le finalità del gruppo di lavoro sono la promozione della sicurezza, l’individuazione e la definizione degli obiettivi, l’impegno e la disponibilità delle risorse necessarie alle azioni di tutela, la formazione del personale e la revisione periodica o in occasioni significative del sistema.

Tutto il personale, nell’ambito delle relative responsabilità, è coinvolto nella segnalazione di eventuali incidenti riscontrati e di qualsiasi debolezza identificata nel SGSI.

Tutta l’organizzazione è impegnata a supportare l’implementazione, la messa in opera e il riesame periodico del SGSI.

Il vertice aziendale si impegna a perseguire, con i mezzi e le risorse adeguate, gli obiettivi di questa politica.

Indietro