Sicurezza delle informazioni con metodo: il percorso di Helvetia verso un ISMS su larga scala

Scopra come Helvetia, in stretta collaborazione con Swiss GRC, ha istituito un sistema di gestione della sicurezza delle informazioni (ISMS) valido per l’intero gruppo, che non soltanto garantisce la conformità normativa, ma assicura anche trasparenza, efficienza e una governance sostenibile in tutta l’organizzazione.

Contesto e obiettivi

Con circa 14.400 collaboratori nel mondo, Helvetia è uno dei maggiori gruppi assicurativi svizzeri e tra i più attivi a livello internazionale. Con sede principale a San Gallo, la società opera in Svizzera, Germania, Austria, Italia, Spagna e Francia, nonché in mercati internazionali selezionati come il Liechtenstein e Singapore. Helvetia è presente in tre segmenti di attività, danni, vita e asset management, il che la rende uno degli operatori più ampiamente diversificati del mercato assicurativo svizzero.

Poche organizzazioni si sono spinte così avanti come Helvetia nell’ambito della sicurezza delle informazioni. Con l’implementazione di un ISMS decentralizzato, esteso a più linee di business e a diverse sedi internazionali, Helvetia ha fissato un punto di riferimento per il settore. Per realizzare questo obiettivo ambizioso, Helvetia ha collaborato con Swiss GRC alla progettazione e all’implementazione congiunta di uno degli ISMS più maturi presenti sul mercato: un sistema che coniuga una governance centralizzata con un’esecuzione locale.

Gli obiettivi erano chiari:

• garantire coerenza a livello di gruppo consentendo al tempo stesso l’adattabilità locale
• conformità ai requisiti FINMA nonché al DORA e al RGPD dell’UE
• allineamento ai principali standard quali ISO, NIST e ISF
• istituire un quadro di governance chiaro con responsabilità definite a livello di gruppo e locale
• accrescere efficienza e trasparenza grazie a un’integrazione fluida e all’automazione dei processi

Implementazione e collaborazione

Oltre ai processi ISMS fondamentali, Helvetia ha integrato nella soluzione anche i requisiti in materia di protezione dei dati e di sicurezza fisica. L’allineamento tra sicurezza delle informazioni e protezione dei dati rappresenta una sfida ricorrente per numerose organizzazioni, poiché responsabilità, sistemi di controllo e requisiti normativi vengono spesso gestiti a compartimenti stagni. Integrando questi ambiti in un sistema unificato, Helvetia ha potuto ridurre la complessità, eliminare le ridondanze e definire chiare linee di responsabilità.

Al centro della soluzione si trova un modello di dati incentrato sugli asset, che comprende applicazioni, servizi IT, piattaforme e processi aziendali. Tutte le modifiche, i rischi e le eccezioni sono collegati direttamente a questi asset, in una struttura flessibile e scalabile.

Un tratto distintivo del programma è stata la profonda integrazione con i sistemi esistenti, tra cui:

• LeanIX e ServiceNow per i dati di architettura e configurazione
• Jira e Tempus per la gestione dei progetti e delle modifiche, con approvazioni di sicurezza integrate
• SAP Ariba per la gestione dei fornitori e le valutazioni annuali della sicurezza
• Splunk per i processi di gestione delle vulnerabilità e delle eccezioni

L’ISMS è esercito in un’istanza cloud Azure dedicata, gestita da Swiss GRC. Tutti i dati risiedono in Europa e sono cifrati con chiavi di proprietà di Helvetia: un fattore decisivo per la conformità alle leggi svizzere sulla protezione dei dati e per la tutela delle informazioni sensibili.

Sfide del progetto e soluzioni adottate

Risultati principali e benefici

Grazie alla GRC Toolbox, Helvetia ha istituito un ISMS esteso a tutto il gruppo che oggi funge da strumento di gestione centrale, andando ben oltre i confini della pura conformità.

I benefici principali comprendono:

• Compliance by design: requisiti normativi e standard integrati in modo sistematico
• Efficienza operativa: workflow automatizzati e interfacce di sistema riducono il lavoro manuale
• Trasparenza: cruscotti e report offrono una visione chiara al management e alle unità di business
• Orientamento al futuro: sviluppo continuo con controlli automatizzati e integrazione dei dati di sicurezza cloud

L’ISMS non è diventato soltanto un meccanismo di conformità, ma un abilitatore strategico di sicurezza, resilienza e governance aziendale sostenibile.