Sicurezza

Infrastruttura sicura

I nostri servizi sono ospitati sull’infrastruttura di Amazon Web Services (AWS). Non ospitiamo né gestiamo autonomamente router, bilanciatori di carico, server DNS o server fisici. I data center di Amazon sono dotati di sicurezza presidiata 24 ore su 24, controllo degli accessi biometrico, videosorveglianza e chiusure fisiche. Tutti i sistemi, i dispositivi collegati in rete e i circuiti sono costantemente monitorati. Le strutture AWS sono certificate secondo gli standard ISO 27001, SOC 1 e SOC 2/SSAE 16/ISAE 3402 (precedentemente SAS 70 Tipo II), PCI Livello 1, FISMA Moderate e Sarbanes-Oxley (SOX). Scoprite di più sulla sicurezza di AWS.

Ospitato negli Stati Uniti o nell’Unione Europea: a sua scelta

Stati Uniti – gestiti da data center e sub-responsabili del trattamento con sede negli Stati Uniti, con i nostri servizi principali ospitati nella Virginia del Nord; e l’Unione Europea – gestiti da data center dell’UE, con i nostri servizi principali ospitati a Francoforte, in Germania. Alcuni subappaltatori, quali quelli addetti all’invio di e-mail, ai pagamenti, alla registrazione degli errori, al monitoraggio delle applicazioni e alla generazione facoltativa di contenuti e immagini tramite intelligenza artificiale, trattano i dati al di fuori dell’UE. La nostra pagina dedicata ai subappaltatori elenca ciascuno di essi e indica dove vengono trattati i dati.

Sempre crittografato

Crittografia in transito – Tutti i dati inviati da o verso la nostra infrastruttura vengono crittografati in transito secondo le migliori pratiche del settore, utilizzando il protocollo Transport Layer Security (TLS 1.2 o 1.3). La nostra configurazione SSL ha ottenuto un punteggio di sicurezza A+ da Qualys SSL Labs.

Crittografia dei dati inattivi – Tutti i dati dei nostri utenti vengono crittografati nei nostri database utilizzando l’algoritmo di crittografia AES256, di comprovata efficacia.

Pagamenti sicuri

La nostra attività non prevede la gestione né l’archiviazione dei numeri delle carte di credito: i dati della Sua carta vengono acquisiti direttamente e archiviati in modo sicuro da Braintree (una società di PayPal), il nostro fornitore di servizi di pagamento. Braintree è certificata conforme allo standard PCI Livello 1 ed è inserita nell’elenco dei fornitori conformi a livello globale di Visa® e MasterCard® (SDP). Effettuiamo annualmente un’autovalutazione PCI DSS con Braintree. Scoprite di più sulla sicurezza e la conformità di Braintree.

Monitoraggio della sicurezza delle applicazioni

• Utilizziamo una soluzione di monitoraggio della sicurezza per ottenere visibilità sulla sicurezza delle nostre applicazioni, identificare gli attacchi e reagire tempestivamente in caso di violazione dei dati.
• Utilizziamo tecnologie per monitorare le eccezioni e i log e per individuare eventuali anomalie nelle nostre applicazioni.
• Raccogliamo e archiviamo registri completi al fine di fornire una traccia di controllo delle attività delle nostre applicazioni. I nostri registri generano avvisi automatici, sui quali il nostro team svolge le opportune verifiche.
• Gli eventi relativi alla sicurezza vengono registrati e, in caso di attacchi critici, vengono inviate notifiche per consentire un intervento correttivo tempestivo.

Protezione della sicurezza delle applicazioni

• Utilizziamo Amazon Web Application Firewall per proteggere i nostri utenti da un’ampia gamma di vulnerabilità. AWS WAF integra misure di protezione contro le categorie di attacchi più critiche, quali le iniezioni SQL e il cross-site scripting. Blocca gli attacchi in tempo reale e ci avvisa quando gli aggressori iniziano a mettere sotto pressione le nostre applicazioni.
• I moduli del nostro sito web utilizzano Cloudflare Turnstile per bloccare i bot.
• Utilizziamo le intestazioni di sicurezza per proteggere i nostri utenti dagli attacchi. I nostri servizi hanno ottenuto il voto A+ da SecurityHeaders.io.

Gestione degli incidenti

I presunti incidenti di sicurezza, comprese eventuali violazioni della sicurezza logica e fisica, vengono registrati, monitorati e risolti in conformità con la nostra Politica di gestione degli incidenti e le relative procedure. Laddove richiesto dalla normativa vigente, ivi inclusa la legge dell’UE sulla resilienza informatica (Cyber Resilience Act), segnaliamo alle autorità competenti (quali l’ENISA) gli incidenti di sicurezza significativi entro i termini previsti dalla legge. Qualora una violazione dei dati personali dovesse riguardare i Suoi dati, informeremo i clienti interessati senza indebito ritardo ed entro 48 ore dalla conferma dell’evento. Notificheremo le autorità di regolamentazione e le persone interessate come previsto dalla legge. Se ha domande o sospetta che si sia verificato un incidente, La preghiamo di contattare security@groupmap.com.

Segnalazione dei tempi di inattività

Pubblichiamo gli incidenti che incidono sulla disponibilità sulla nostra pagina di stato non appena ne confermiamo il verificarsi. In caso di incidenti di livello “Elevato” o “Critico” (secondo la classificazione prevista dalla nostra Politica di gestione degli incidenti), inviamo inoltre un’e-mail ai referenti designati dai clienti aziendali. La nostra piattaforma di hosting consente solitamente di evitare tempi di inattività quando apportiamo modifiche ai nostri servizi. Pianifichiamo interventi di manutenzione programmata per ridurre al minimo le interruzioni e li pubblichiamo sulla nostra pagina di stato.

La vostra privacy è tutelata

I Suoi dati rimangono di Sua proprietà e sono accessibili solo alle persone con cui decide di condividerli. TeamRetro (e il team di GroupMap Technology) può accedere ai Suoi dati solo in circostanze limitate, ad esempio quando richiesto dalla legge o per fornire assistenza tecnica. Maggiori dettagli sono disponibili nell’Informativa sulla privacy di TeamRetro.

Conservazione e cancellazione dei dati

Conserviamo i dati dei nostri utenti per un periodo di 365 giorni dalla scadenza del periodo di prova o dell’abbonamento. Successivamente, tutti i dati vengono completamente rimossi dall’applicazione. Gli utenti possono richiedere la cancellazione dei dati in qualsiasi momento, eliminando il proprio account o contattando l’assistenza di TeamRetro. Per ulteriori informazioni sulle nostre impostazioni relative alla privacy, si prega di consultare la nostra Informativa sulla privacy.

Continuità operativa e ripristino in caso di emergenza

Eseguiamo il backup di tutte le nostre risorse critiche e proviamo regolarmente a ripristinare il backup per garantire un recupero rapido in caso di emergenza. Effettuiamo un backup completo dei dati dei clienti ogni 24 ore. I backup vengono crittografati in modo sicuro e conservati per 30 giorni, dopodiché vengono distrutti in modo sicuro. Abbiamo definito piani di continuità operativa e di ripristino di emergenza e li rivediamo annualmente.

Programmazione sicura

I nostri sviluppatori sono tenuti ad attenersi alla nostra Politica sulla sicurezza delle applicazioni, formalmente documentata, e a seguire le migliori pratiche e i framework di sicurezza (OWASP Top 10, SANS Top 25). Adottiamo le seguenti migliori pratiche per garantire il massimo livello di sicurezza nel nostro software:

• Gli sviluppatori partecipano a corsi di formazione periodici sulla sicurezza per acquisire conoscenze sulle vulnerabilità e sulle minacce più comuni
• Ogni modifica viene sottoposta a revisione tra pari, comprese quelle relative alle vulnerabilità di sicurezza: ove possibile, prima dell’integrazione; in caso contrario, successivamente, nell’ambito di una revisione mensile di tutte le modifiche integrate senza approvazione. Anche le versioni di produzione necessitano di approvazione prima della loro implementazione.
• Aggiorniamo regolarmente le nostre dipendenze e ci assicuriamo che nessuna di esse presenti vulnerabilità note
• Utilizziamo il test statico di sicurezza delle applicazioni (SAST) per individuare le vulnerabilità di sicurezza di base nel nostro codice sorgente
• Utilizziamo il Dynamic Application Security Testing (DAST) per eseguire la scansione delle nostre applicazioni
• Grazie all’utilizzo di Datadog, siamo in grado di risolvere in modo più efficiente le vulnerabilità individuate dai test di sicurezza, dagli audit o dal programma di segnalazione delle vulnerabilità. Ogni versione di produzione viene analizzata alla ricerca di componenti con vulnerabilità note e Dependabot propone aggiornamenti delle dipendenze ogni settimana.

Analisi delle vulnerabilità

TeamRetro viene sottoposto a scansione su base mensile, nonché in seguito al rilascio di versioni significative, da parte di intruder.io al fine di individuare potenziali vulnerabilità a livello di infrastruttura, piattaforma e applicazioni. Eventuali vulnerabilità individuate vengono valutate e mitigate in conformità con le nostre politiche di sicurezza delle applicazioni.

Test di penetrazione

Periodicamente commissioniamo test di penetrazione indipendenti per verificare la sicurezza della piattaforma TeamRetro. Risolviamo tutte le criticità entro 48 ore e i problemi di elevata gravità entro 7 giorni.

Valutazioni dei rischi

Viene condotta una valutazione annuale dei rischi al fine di individuare minacce e vulnerabilità dei sistemi TeamRetro. Sulla base dei risultati di tale valutazione vengono elaborate strategie di mitigazione.

Rafforzamento della sicurezza del sistema

CONTAINERIZZAZIONE DEI SERVER – TeamRetro utilizza la containerizzazione del sistema operativo tramite AWS Fargate per garantire che l’accesso ai dati e al codice di TeamRetro sia adeguatamente limitato. Tutti i servizi di TeamRetro vengono eseguiti su risorse di elaborazione dedicate, isolate nella propria rete virtuale.

SISTEMI DI FILE EFIMERI DEI SERVER – I server di TeamRetro funzionano su un sistema di file effimero, che viene ripristinato con una copia aggiornata del codice implementato più di recente almeno una volta al giorno, oppure ogni volta che viene implementata una nuova versione.

AGGIORNAMENTI DI SISTEMA – Gli aggiornamenti a livello di piattaforma (sistema operativo, librerie di sistema e servizi) dei server applicativi e di database di TeamRetro vengono effettuati su base continuativa.

AGGIORNAMENTI DELLE APPLICAZIONI – Gli aggiornamenti delle applicazioni (librerie delle applicazioni, ecc.) vengono effettuati da TeamRetro su base continuativa.

COMPUTER – Tutte le risorse del team (quali i computer portatili e i desktop utilizzati per lo sviluppo) dispongono di sistemi di archiviazione crittografati e sono protette da software antivirus sempre aggiornati.

Registrazione completa

Conserviamo registri completi di ogni transazione effettuata sul sistema, con registrazioni specifiche relative ai tentativi di accesso. Il nostro team utilizza tali registri, nonché gli avvisi automatici da essi generati, per indagare sui tentativi di accesso non autorizzato.

L’accesso del nostro team

• Il nostro team può accedere ai dati degli utenti solo previa approvazione del nostro team di sicurezza e solo qualora ciò sia richiesto dalla legge o al fine di fornire assistenza tecnica. Maggiori dettagli sono disponibili nella nostra Informativa sulla privacy.
• I nostri dipendenti e collaboratori esterni sottoscrivono un accordo di non divulgazione e riservatezza al fine di tutelare le informazioni sensibili dei nostri clienti.
• I nostri dipendenti e collaboratori esterni vengono sottoposti a un controllo da parte di un servizio leader nel settore della verifica dei precedenti personali.
• Il livello di accesso di ciascuno dei nostri dipendenti viene determinato in base alle esigenze, rivisto periodicamente e revocato qualora non fosse più necessario. Applichiamo l’autenticazione a più fattori per tutti i sistemi critici di TeamRetro.
• Per l’accesso amministrativo è richiesta l’autenticazione a due fattori.

Divulgazione responsabile

Invitiamo tutti coloro che adottano un approccio responsabile alla segnalazione delle vulnerabilità e rispettano le nostre politiche e i nostri termini di servizio a partecipare al nostro programma di segnalazione delle vulnerabilità. Si prega di evitare i test automatizzati ed eseguire i test di sicurezza esclusivamente con i propri dati. Si prega di non divulgare alcuna informazione relativa alle vulnerabilità fino a quando non le avremo risolte. A nostra discrezione, potremo offrire un riconoscimento per segnalazioni di alta qualità e di grande rilevanza. Scopra di più sul programma di segnalazione responsabile di TeamRetro.