{"id":1171,"date":"2021-03-18T09:44:07","date_gmt":"2021-03-18T09:44:07","guid":{"rendered":"https:\/\/sofialocks-ext.com\/?page_id=1171"},"modified":"2024-07-22T06:26:55","modified_gmt":"2024-07-22T06:26:55","slug":"security-and-data-protection-psti","status":"publish","type":"page","link":"https:\/\/sofialocks.com\/it\/security-and-data-protection-psti\/","title":{"rendered":"Sicurezza e protezione dei dati (PSTI)"},"content":{"rendered":"\n
\n
\n
\n
\n

OPEN SOURCE A SUPPORTO DELLA SICUREZZA<\/h2>\n\n\n\n

Riteniamo strategico affidarci a componenti software Open Source ampiamente manutenuti e consolidati, evitando ove possibile soluzioni custom difficili da manutenere e non ampiamente testate. Gli approcci \u201cnot invented here<\/em>\u201d e \u201csecurity through obscurity<\/em>\u201d non fanno parte della nostra cultura, prima ancora che dei nostri sistemi.<\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n\n\n
\n
\n
\n

BEST-PRACTICE INFRASTRUTTURALI E APPLICATIVE<\/h2>\n\n\n\n

Affidabilit\u00e0, scalabilit\u00e0 e sicurezza sono state le motivazioni che ci hanno portato a scegliere il Cloud Provider leader di mercato come partner di riferimento per i nostri sistemi Cloud. La sicurezza degli applicativi rilasciati su AWS \u00e8 garantita dall\u2019adozione delle best-practice consigliate dal medesimo Cloud Provider, dalla cifratura del dato (a livello di database in primis, come poi su object storage ed in qualsiasi altro supporto dati \u201cat rest<\/em>\u201d) alla comunicazione tra servizi (sempre su VPC interne, e rigorosamente su canale SSL sicuro), fino all\u2019autenticazione degli utenti (tramite standard OAuth 2.0 per gli utenti del sistema, e Single Sign-on aziendale con multi-factor authentication per il dipendente che interviene sull\u2019infrastruttura).<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n\n\n

\n
\n
\n

INFRASTRUCTURE-AS-CODE E RESILIENZA<\/h2>\n\n\n\n

L\u2019intera infrastruttura \u00e8 gestita attraverso un \u201capproccio dichiarativo\u201d nella definizione delle risorse e nella loro configurazione: questo abilit\u00e0 procedure automatiche di \u201cdisaster recovery<\/em>\u201d robuste, che permettono di ridurre al minimo Recovery Time Objective (RTO) e Recovery Point Objective (RPO) in caso di failure distribuito. Tendiamo a testare periodicamente tali procedure per assicurarci che siano aggiornate e corrette, commissionando assessment periodici a consulenti di Cyber Security esterni all\u2019organizzazione, per validare le scelte tecnologiche e le misure messe in atto a difesa del perimetro della piattaforma.<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n\n\n

\n
\n
\n
\n

TUTELA DEL PERIMETRO AZIENDALE<\/h2>\n\n\n\n

La sicurezza dei computer e dei dispositivi aziendali \u00e8 garantita tramite cifratura del disco, identificazione biometrica del dipendente e gestione remota completa della flotta dei dispositivi. L\u2019autenticazione del personale per l\u2019accesso a servizi interni ed esterni all\u2019azienda avviene, ove tecnicamente fattibile, tramite Single Sign-On (SSO) via Google Suite Business: questo ci garantisce un unico punto di accesso alle comunicazioni aziendali ed ai sistemi, con policy stringenti sul rinnovo delle password ed identificazione a pi\u00f9 fattori. Le chiavi di accesso a sistemi che non supportano l\u2019integrazione con il nostro Provider SSO sono condivise tramite un servizio di gestione segreti apposito, a sua volta accessibile unicamente tramite SSO aziendale.<\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n\n\n
\n
\n
\n
\n

PARTIZIONAMENTO DATI E GESTIONE DEI SEGRETI<\/h2>\n\n\n\n

Gli ambienti di produzione e di sviluppo sono fisicamente e logicamente indipendenti, permettendoci di limitare fortemente l\u2019accesso a dati reali degli utenti al solo personale strettamente autorizzato ad attivit\u00e0 di manutenzione applicativa ed infrastrutturale. Il codice applicativo ed i segreti necessari per l\u2019accesso ai sistemi sono sempre gestiti in maniera indipendente, utilizzando procedure automatiche per la riconciliazione dei riferimenti ai segreti durante le fasi di rilascio del software nei rispettivi ambienti. L\u2019utilizzo di un servizio di gestione segreti affidabile (basato su un\u2019architettura \u201czero knowledge<\/em>\u201d) e centralizzato ci permette di automatizzare la gestione delle chiavi di accesso e la loro rotazione periodica.<\/p>\n<\/div><\/div>\n<\/div>\n\n\n\n

\n
\n
\"\"<\/figure>\n<\/div><\/div><\/div>\n<\/div>\n<\/div>\n<\/div><\/div>\n\n\n\n
\n
\n
\n

AUDITING & LOGGING DISTRIBUITO<\/h2>\n\n\n\n

Qualsiasi attivit\u00e0 degli utenti nel sistema viene tracciata tramite log applicativi e di sistema: da una parte, il tracciamento delle attivit\u00e0 pu\u00f2 aiutare in fase di risoluzione dei problemi, fornendo una cronistoria precisa delle attivit\u00e0 effettuate e delle rispettive responsabilit\u00e0 di sviluppatori, amministratori di sistema e\/o utenti finali; dall\u2019altra, garantire la compliance della nostra piattaforma con le pi\u00f9 recenti norme imposte dalla GDPR.<\/p>\n<\/div><\/div>\n<\/div>\n<\/div>\n\n\n\n

\n
\n
\n

CONSIDERAZIONI ULTERIORI SUL TEMA GDPR<\/h2>\n\n\n\n

Tutte le attivit\u00e0 fin qui descritte vanno a garantire gli standard di sicurezza richiesti dalla General Data Protection Regulation (GDPR) in qualsiasi fase dello sviluppo e tenuta in opera del sistema. Oltre alle scelte tecniche volte alla minimizzazione del rischio, il trattamento del dato \u00e8 garantito rispetto ai principi di liceit\u00e0 enunciati nel Regolamento, in particolare:<\/p>\n\n\n\n