Sicurezza by design

Sicurezza by design (security by design) significa che non aggiungiamo la sicurezza a posteriori, ma la integriamo dall'inizio in architettura, sviluppo e gestione. I nostri principi sono gli stessi in tutte le lingue e le regioni: fiducia attraverso la trasparenza, prevenzione prima della reazione e miglioramento continuo.

Progettiamo e gestiamo la piattaforma in modo che disponibilità, integrità e riservatezza dei vostri dati siano garantite. Utilizziamo tecniche e standard collaudati e, dove possibile, ci allineiamo a framework riconosciuti come ISO/IEC 27001, senza affermare di essere noi stessi pienamente certificati.

La rete è costruita in due livelli: la rete edge e la rete di calcolo. Insieme garantiscono velocità, sicurezza e scalabilità.

Flusso del traffico: Le richieste in entrata raggiungono prima la rete edge, distribuita in molte località nel mondo. Ogni richiesta viene instradata al punto edge più vicino. Qui passa attraverso la mitigazione DDoS e il Web Application Firewall (WAF). La risposta viene poi servita dalla cache edge (contenuto statico) o inoltrata alla rete di calcolo dove gira la vostra applicazione.

Cache edge: Asset statici (CSS, JavaScript, immagini) vengono messi in cache all'edge. Questo riduce il carico sull'applicazione e la latenza per gli utenti. La cache viene automaticamente svuotata a ogni deploy per non servire file obsoleti. Potete impostare i vostri header Cache-Control e Expires; vengono rispettati.

Rete di calcolo: L'applicazione gira in una rete privata e non è raggiungibile direttamente da internet pubblico. L'accesso è solo tramite la rete edge. Il calcolo è distribuito su più zone di disponibilità (multi-AZ) per stabilità e recupero rapido da guasti. Il traffico è bilanciato tra le istanze disponibili (load balancing).

Traffico in uscita: Le richieste in uscita dalla piattaforma usano indirizzi IP fissi per regione, disponibili per allowlisting su firewall, security group o servizi esterni che la vostra applicazione deve chiamare.

Il traffico da e verso la piattaforma passa attraverso una rete edge globale. Questo consente:

• Protezione DDoS a livello di rete (L3/L4) e applicativo (L7), con rilevamento e mitigazione automatici degli attacchi di denial of service distribuito.
• Web Application Firewall (WAF) con set di regole allineati all'OWASP Top 10. Il traffico viene filtrato prima di raggiungere la vostra applicazione.
• Crittografia SSL/TLS per tutte le connessioni. Opzionale Strict-Transport-Security (HSTS) per imporre HTTPS.
• Header di sicurezza su ogni risposta: X-Frame-Options (contro abuso da iframe), X-Content-Type-Options: nosniff (contro confusione di tipo MIME).
• Gestione bot: per certi tipi di traffico automatizzato (es. crawler o monitoring) può essere mostrata una challenge JavaScript; gli utenti legittimi passano.
• Rate limiting: limite al numero di richieste per IP per finestra temporale, con azioni come challenge, throttle o blocco temporaneo contro gli abusi. Restrizioni aggiuntive per ripetute risposte di errore (4xx) o superamento del rate limit.
• Modalità sotto attacco: in caso di DDoS L7 grave o picchi di traffico sospetti può essere attivato un livello di sicurezza aggiuntivo. I visitatori vedono brevemente una pagina di verifica e devono superare una challenge JavaScript; il traffico valido viene consentito, quello sospetto o automatizzato bloccato. Questa modalità scade automaticamente dopo un periodo impostato.

A livello applicativo utilizziamo, tra l'altro:

• Regole di sicurezza gestite aggiornate per le nuove minacce, inclusa protezione zero-day quando fornita dai servizi sottostanti.
• Rilevamento abusi come credenziali trapelate, upload malevoli ed esposizione di dati sensibili.
• Analytics di sicurezza per rivedere il traffico bloccato e mitigato e affinare la configurazione.

Dove possibile ci allineiamo alla threat intelligence e alle best practice attuali per limitare le minacce in modo proattivo.

L'applicazione gira in un ambiente isolato e gestito in modo professionale. Le caratteristiche includono:

• Infrastruttura dedicata: proprio compute, rete e scalabilità dove serve, per prestazioni prevedibili e senza "vicini rumorosi".
• Rete privata: l'applicazione è raggiungibile solo tramite la rete edge, non direttamente da internet pubblico. Connettività ai servizi di supporto dove possibile tramite reti private, per minore latenza e minore esposizione.
• Indirizzi IP in uscita statici per regione, per whitelisting semplice, tracciabilità e conformità.
• Alta disponibilità con failover automatico: più nodi su zone di disponibilità e load balancing su tutte le istanze quando si scala orizzontalmente.

L'ambiente è progettato con la conformità in mente: compute isolato, superficie di attacco ridotta e gestione secondo le best practice.

I dati personali e altre informazioni sensibili sono protetti da:

• Crittografia in transito (come descritto sopra) e, ove applicabile, crittografia a riposo per i dati memorizzati.
• Controllo degli accessi rigoroso e principio del minimo privilegio: solo ciò che serve per il compito.
• Registrazione e monitoraggio per rilevare e investigare gli incidenti.

Conosciamo ISO/IEC 27001 (sistemi di gestione della sicurezza delle informazioni) e applichiamo i principi e i controlli ivi descritti dove fattibile e appropriato nella nostra architettura e erogazione del servizio—inclusi gestione del rischio, controllo degli accessi, crittografia e miglioramento continuo della sicurezza.

Non affermiamo di essere pienamente certificati ISO 27001 come organizzazione; prendiamo sul serio lo standard e agiamo in conformità dove possibile. Per domande specifiche di conformità (es. accordi di trattamento dati o audit), contattateci.

La sicurezza non è un passo una tantum ma un processo continuo. Monitoriamo le minacce, adattiamo configurazioni e regole e utilizziamo processi di sviluppo e release sicuri. In caso di incidenti seguiamo procedure chiare per comunicazione e recupero.

Per domande sul nostro approccio o per maggiori dettagli tecnici o legali, contattateci.

Siamo impegnati per una piattaforma sicura e conforme. Ci allineiamo a framework riconosciuti senza affermare di possedere noi stessi tutte le relative certificazioni.

SOC 2 Type 2 è un framework (sviluppato dall'AICPA) che si concentra su come i servizi restino sicuri e proteggano i dati dei clienti. Include cinque Trust Services Categories con criteri per sicurezza, riservatezza, disponibilità e altro. L'infrastruttura e i processi su cui gira la piattaforma sono, ove applicabile, progettati secondo gli stessi principi: Security, Confidentiality e Availability.

ISO/IEC 27001 è lo standard internazionalmente riconosciuto per i sistemi di gestione della sicurezza delle informazioni (SGSI). Come descritto nella sezione Standard e conformità, applichiamo i principi e i controlli ivi descritti dove fattibile e appropriato nella nostra architettura.

Cosa significa per voi:

• Sicurezza dei dati: protezione dei vostri dati da accesso, uso, divulgazione, interruzione, modifica o distruzione non autorizzati.
• OWASP Top 10: il traffico tramite la nostra rete edge viene filtrato con set di regole allineati all'OWASP Top 10 (iniezione, autenticazione, esposizione dati, ecc.) prima di raggiungere la vostra applicazione.
• Disponibilità: impegno per il funzionamento continuo della piattaforma e la minimizzazione dei tempi di inattività.
• Riservatezza: mantenimento della privacy dei vostri dati e prevenzione dell'accesso non autorizzato.
• Conformità: aderenza alle best practice e alle normative rilevanti ove applicabile.

Manteniamo questa pagina aggiornata. Per domande sulla nostra conformità o sicurezza, contattateci.