Policy di gestione della continuità aziendale

Classificazione: Public

Versione: Maggio 2025

Policy

HCLSoftware si impegna a istituire, mantenere e testare regolarmente un sistema completo Business Continuity Management System (BCMS) per garantire la resilienza delle proprie operazioni a fronte di diverse minacce. Siamo consapevoli che eventi imprevisti possono compromettere la nostra capacità di fornire prodotti e servizi e siamo impegnati a pianificare proattivamente e a rispondere rapidamente per mitigare tali impatti.

Questa policy impone lo sviluppo e l'implementazione di solidi Business Continuity Plan (BCP) per tutte le funzioni critiche, al fine di garantire la sicurezza del nostro personale, l'integrità dei nostri dati e la continuità dei nostri servizi a contatto con la clientela.

Scope

Questa policy si applica a tutti gli aspetti delle nostre operazioni aziendali fondamentali per la progettazione, lo sviluppo, la realizzazione, la manutenzione e il supporto dei nostri prodotti e servizi software. Riguarda tutto il personale, i sistemi, i dati e i processi all'interno di HCLSoftware, oltre alle nostre interazioni con fornitori e partner di terze parti.

Il nostro impegno:

1. Business Impact Analysis (BIA): un'analisi dell'impatto aziendale (BIA) viene condotta periodicamente (almeno una volta all'anno) e dopo modifiche organizzative o dei prodotti significative per:

• Identificare le funzioni aziendali critiche
• Valutare l'impatto di potenziali interruzioni dell'operatività
• Determinare gli RTO (Recovery Time Objective)
• Determinare gli RPO (Recovery Point Objectives, RPO)
• Identificare le dipendenze
• Identificare le risorse critiche

2. Valutazione del rischio: viene eseguita una valutazione completa dei rischi per identificare potenziali minacce e vulnerabilità per le funzioni e gli asset aziendali critici. Questo include:

• Identificazione delle minacce
• Analisi delle vulnerabilità
• Analisi di probabilità e impatto
• Strategie di mitigazione

3. Business Continuity Plan (BCP):sulla base dell'analisi BIA e della valutazione del rischio, vengono sviluppati piani BCP dettagliati per ciascuna funzione aziendale critica.
Ogni BCP include:

• Criteri di attivazione
• Procedure di risposta agli incidenti
• Procedure di disaster recovery
• Strategie di recupero
• Requisiti in termini di risorse
• Protocolli di comunicazione
• Ruoli e responsabilità
• Procedure di escalation
• Procedure di disattivazione

4. Gestione delle crisi e risposta agli incidenti:viene creato e formato un Crisis Management Team (CMT) per gestire e coordinare la risposta complessiva a eventi perturbativi significativi.
Il team CMT è responsabile di:

• Valutazione degli incidenti
• Processo decisionale
• Coordinamento
• Comunicazioni
• Analisi post-incidente

5. Strategia di comunicazione: una comunicazione efficace è di fondamentale importanza durante un'interruzione delle operazioni. La nostra strategia di comunicazione include:

• Comunicazione interna
• Comunicazione esterna
• Archivio di informazioni di contatto di emergenza

6. Formazione e sensibilizzazione: tutti i dipendenti ricevono adeguata formazione e sensibilizzazione in merito alla Policy di continuità aziendale e ai propri ruoli specifici all'interno del BCP.
Questo include:

• Formazione iniziale
• Corsi di aggiornamento
• Formazione specifica per il ruolo
• Campagne di sensibilizzazione

7. Test e analisi: i Business Continuity Plan (BCP) vengono regolarmente testati per garantirne l'efficacia e identificare le aree di miglioramento.
I piani BCP vengono testati almeno una volta all'anno o con maggiore frequenza in caso di cambiamenti significativi (ad es. lancio di nuovi prodotti, importanti aggiornamenti di sistema, ristrutturazione organizzativa).
Tipi di test:

• Esercitazioni teoriche: esercizi basati sul dibattito per esaminare le fasi del piano BCP.
• Esercizi di simulazione: esercizi realistici che prevedono interruzioni simulate.
• Esercitazioni complete: test completi che prevedono failover effettivi del sistema e procedure di recupero, ove possibile.

Dopo ogni test viene condotta un'analisi approfondita per documentare le lezioni apprese, identificare le carenze e aggiornare i piani BCP di conseguenza.

8. Audit:il nostro Business Continuity Management System (BCMS) è certificato in base agli standard ISO 22301 ed è soggetto periodicamente a controlli interni ed esterni indipendenti in conformità agli standard ISO per garantire la conformità a questa policy e alle best practice.

9. Sistemi critici esternalizzati: quando una Business Unit (BU) inizia il processo di selezione per l'outsourcing di un sistema critico a un fornitore esterno, la Business Unit si assicura di selezionare un fornitore che disponga di procedure BCP o DR con SLA accettabili.

Revisione e aggiornamenti della policy

La presente Policy di continuità aziendale sarà rivista e aggiornata dal Senior Management almeno una volta all'anno o secondo necessità, per riflettere i cambiamenti dell'organizzazione, del profilo di rischio, della tecnologia, dei requisiti normativi o in base alle lezioni apprese da incidenti o test.