Piano di Risposta agli Incidenti di Sicurezza
Questo documento descrive le procedure adottate da TDS AI Systems per la gestione degli incidenti di sicurezza informatica, in conformita' al GDPR (Art. 33-34) e alle best practice internazionali.
1. Ambito di Applicazione
Questo piano si applica a qualsiasi evento di sicurezza che coinvolga la piattaforma TDS Automation Platform, inclusi accessi non autorizzati, violazioni di dati personali (data breach), attacchi DDoS, compromissione di credenziali, esposizione involontaria di dati e malfunzionamenti di sicurezza.
2. Classificazione degli Incidenti
| Livello | Descrizione | Tempo di Risposta |
|---|---|---|
| P1 — Critical | Violazione dati personali, compromissione sistema | < 1 ora |
| P2 — High | Tentativo di accesso non autorizzato, anomalia critica | < 4 ore |
| P3 — Medium | Vulnerabilita' rilevata, errore di configurazione | < 24 ore |
| P4 — Low | Anomalia minore, evento informativo | < 72 ore |
3. Procedura di Risposta
Identificazione dell'incidente tramite monitoraggio, audit log, segnalazione utente o alert automatici.
Isolamento immediato del sistema compromesso. Revoca token/sessioni se necessario. Backup dello stato.
Determinazione della causa, dell'impatto e dei dati coinvolti. Revisione audit log e log di sistema.
Applicazione della patch/fix. Ripristino dei servizi. Verifica che la vulnerabilita' sia chiusa.
Se coinvolge dati personali: notifica al Garante Privacy entro 72 ore (Art. 33 GDPR). Se rischio elevato per gli interessati: notifica diretta agli utenti (Art. 34 GDPR).
Documentazione completa. Lessons learned. Aggiornamento procedure. Comunicazione agli stakeholder.
4. Notifica Data Breach (GDPR Art. 33-34)
Notifica all'Autorita' Garante: Entro 72 ore dalla scoperta della violazione, salvo che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le liberta' delle persone fisiche.
Notifica agli Interessati: Quando la violazione e' suscettibile di presentare un rischio elevato per i diritti e le liberta' delle persone fisiche, il titolare comunica la violazione all'interessato senza ingiustificato ritardo.
5. Contatti di Emergenza
DPO / Incident Manager: paolo@tds-automation.com
Garante per la Protezione dei Dati Personali: garanteprivacy.it
Ultimo aggiornamento: 2 marzo 2026