Sicurezza

La sicurezza non è una funzione, è l'architettura.

In questa pagina elenchiamo solo le misure che applichiamo davvero nei prodotti e nella gestione. Non lasciamo intendere certificazioni o audit che non abbiamo.

Identità e accessi

Misure standard della base comune su cui sono costruiti i nostri prodotti web.

Ruoli e permessiOgni schermata e azione dipende da un permesso distinto; l'utente vede solo ciò che serve al suo lavoro. I permessi si gestiscono in un unico punto.
Accesso in due passaggiL'accesso in due passaggi con app di autenticazione (TOTP) si attiva per singolo utente.
Password e bloccoAlmeno 8 caratteri con cifre e lettere; dopo 5 tentativi falliti l'account si blocca per 15 minuti.
SessioniToken di accesso a breve durata in un cookie HttpOnly; il token di rinnovo cambia a ogni uso e le sessioni si chiudono da remoto.
Limitazione delle richiesteLimiti per IP su accesso, password e moduli pubblici bloccano attacchi a forza bruta e invii massivi.

Audit e tracciabilità

Registro delle modificheCreazione, modifica e cancellazione dei record vengono registrate: chi ha cambiato quale campo, quando, con valore precedente e nuovo.
Registro di sicurezzaTentativi di accesso ed eventi di sessione sono conservati separatamente.
Comandi criticiNel prodotto industriale ogni comando inviato al campo viene registrato con utente e valore; azioni selezionate richiedono firma elettronica o approvazione di una seconda persona.
Tempi di conservazioneI registri non sono conservati per sempre; un processo pianificato elimina quelli scaduti. Ad esempio Bella SCADA conserva il registro di audit per 1 anno, quello di sicurezza per 2 anni e i log applicativi per 90 giorni.

Protezione dei dati

Cifratura in transitoTutte le connessioni passano su TLS; HSTS indica al browser di usare solo connessioni sicure.
PasswordLe password non sono conservate in chiaro ma come hash con sale non reversibili.
Segreti fuori dal codiceStringhe di connessione e chiavi stanno in un file d'ambiente sul server, non nel codice sorgente.
Conservazione dei dati personaliI dati personali vengono cancellati o anonimizzati quando la finalità cessa; i tempi sono indicati nell'informativa privacy.

Installazione, backup e ambienti

Dove stanno i datiNell'installazione on-premise software e dati restano sul vostro server; nel cloud il luogo dei dati è scritto nel contratto.
BackupI passaggi di backup e ripristino del database sono documentati e consegnati con l'installazione.
Ambienti separatiSviluppo, test e produzione sono separati; non si testa con dati personali reali, i dati di test sono sintetici.
Dipendenze aggiornateLe librerie usate vengono aggiornate durante la manutenzione; le patch di sicurezza ne fanno parte.

Cosa non dichiariamo

  • Al momento non abbiamo certificazioni ISO 27001, SOC 2 o simili; quando le avremo, le indicheremo qui con il numero.
  • Al momento non pubblichiamo un report di penetration test indipendente; apriamo l'ambiente ai test dei clienti e chiudiamo insieme i rilievi.
  • Non tutti i prodotti hanno tutte le misure nella stessa versione; le misure attive per prodotto sono indicate per iscritto in fase di offerta.