Come Reaudit protegge i tuoi dati.

1. Panoramica sulla sicurezza

In Reaudit, la sicurezza è un elemento fondamentale di tutto ciò che facciamo. Applichiamo pratiche di sicurezza allineate agli standard più avanzati del settore per proteggere i dati, mantenere l'integrità della piattaforma e garantire la continuità operativa.

Il nostro programma di sicurezza si fonda sui principi di:

• Riservatezza: Protezione dei dati da accessi non autorizzati
• Integrità: Garanzia dell'accuratezza dei dati e prevenzione di manomissioni
• Disponibilità: Mantenimento di un accesso affidabile ai servizi
• Privacy: Rispetto dei diritti degli utenti e delle leggi sulla protezione dei dati

2. Crittografia dei dati

2.1 Crittografia in transito

• TLS 1.3: Tutti i dati trasmessi tra il browser dell'utente e i nostri server sono crittografati tramite TLS 1.3
• HTTPS Everywhere: Applichiamo HTTPS su tutte le pagine e le API
• Perfect Forward Secrecy: Le chiavi di sessione sono effimere e non possono essere compromesse retroattivamente

2.2 Crittografia a riposo

• AES-256: Tutti i dati archiviati sono crittografati con crittografia AES-256
• Crittografia del database: Crittografia a riposo tramite MongoDB per tutti i database
• Archiviazione dei file: Crittografia server-side AWS S3 per i file caricati
• Crittografia dei backup: Tutti i backup sono crittografati prima dell'archiviazione
• Gestione delle chiavi: Le chiavi di crittografia sono gestite tramite AWS KMS con rotazione automatica

2.3 Sicurezza delle password

• Hashing bcrypt: Le password sono sottoposte a hashing tramite bcrypt con salt
• Nessun testo in chiaro: Non conserviamo mai le password in chiaro
• Requisiti delle password: Minimo 8 caratteri con requisiti di complessità

3. Controlli di accesso

3.1 Autenticazione

• OAuth 2.0: Autenticazione sicura di terze parti (Google)
• Gestione delle sessioni: Sessioni basate su JWT con cookie sicuri httpOnly e scadenza automatica (massimo 7 giorni)
• reCAPTCHA v3: Protezione dai bot nei flussi di autenticazione
• Rate limiting: Protezione contro gli attacchi di tipo brute force

3.2 Autorizzazione

• Controllo degli accessi basato sui ruoli (RBAC): Permessi granulari in base al ruolo dell'utente
• Principio del minimo privilegio: Gli utenti dispongono delle autorizzazioni minime necessarie
• Isolamento dei progetti: Separazione dei dati tra progetti diversi
• Gestione delle chiavi API: Chiavi API sicure con limitazioni di ambito

3.3 Accesso del team

• Accordi di riservatezza: Accordi di non divulgazione firmati da tutti i membri del team
• Principio del minimo privilegio: I membri del team dispongono solo dell'accesso richiesto dal proprio ruolo
• Offboarding: Revoca immediata dell'accesso in caso di uscita dall'azienda

4. Sicurezza dell'infrastruttura

4.1 Infrastruttura cloud

• MongoDB Atlas: Hosting del database gestito con certificazione SOC 2 e ISO 27001
• Deployment Docker: Applicazione containerizzata con politiche di riavvio automatico
• Protezione DDoS: Mitigazione DDoS e WAF di Cloudflare

4.2 Sicurezza di rete

• WAF Cloudflare: Web Application Firewall a protezione dagli attacchi più comuni
• Terminazione TLS: Cloudflare gestisce la terminazione TLS e la gestione dei certificati
• Accesso limitato: Accesso amministrativo riservato al personale autorizzato

4.3 Sicurezza dell'applicazione

• OWASP Top 10: Protezione dalle vulnerabilità web più comuni
• Validazione degli input: Sanitizzazione di tutti gli input degli utenti
• Prevenzione delle SQL injection: Query parametrizzate e ORM
• Protezione XSS: Content Security Policy e codifica dell'output
• Protezione CSRF: Token anti-CSRF su tutti i moduli
• Scansione delle dipendenze: Scansione automatizzata delle vulnerabilità delle librerie di terze parti

5. Monitoraggio e rilevamento

5.1 Monitoraggio

• Monitoraggio degli errori: Rilevamento e notifica degli errori in tempo reale tramite Sentry
• Logging strutturato: Logging centralizzato dell'applicazione con timestamp e contesto utente
• Monitoraggio della disponibilità: Monitoraggio della disponibilità del servizio con notifiche

5.2 Log di audit

• Registrazione completa: Tutte le azioni vengono registrate con timestamp e ID utente
• Log immutabili: Audit trail a prova di manomissione
• Conservazione dei log: Log conservati per un minimo di 1 anno
• Report di conformità: Log di audit disponibili per le verifiche di conformità

5.3 Risposta agli incidenti

• Piano di risposta agli incidenti: Procedure documentate per gli incidenti di sicurezza
• Contenimento: Isolamento rapido dei sistemi coinvolti
• Notifica: Notifica tempestiva agli utenti interessati come richiesto dalla legge (72 ore per il Regolamento generale sulla protezione dei dati - GDPR)

6. Protezione dei dati

6.1 Minimizzazione dei dati

Raccogliamo solo i dati necessari a fornire i nostri servizi ed eliminiamo i dati quando non sono più necessari.

6.2 Separazione dei dati

• Separazione logica: I dati di ciascun cliente sono logicamente separati
• Isolamento dei progetti: I progetti all'interno degli account sono isolati
• Controlli di accesso: Controlli rigorosi impediscono l'accesso incrociato ai dati tra clienti diversi

6.3 Backup dei dati

• Backup automatici: Backup automatici giornalieri di tutti i dati
• Distribuzione geografica: Backup conservati in più regioni
• Crittografia: Tutti i backup sono crittografati a riposo
• Conservazione: Conservazione dei backup per 30 giorni
• Test: Test periodici di ripristino dei backup

6.4 Cancellazione dei dati

• Cancellazione sicura: Cancellazione crittografica dei dati eliminati
• Diritto alla cancellazione: Gli utenti possono richiedere la cancellazione dei dati
• Politiche di conservazione: Cancellazione automatica al termine del periodo di conservazione
• Verifica: Conferma della rimozione completa dei dati

7. Conformità e certificazioni

7.1 Conformità attuale

• GDPR: Piena conformità al Regolamento generale sulla protezione dei dati (GDPR) dell'Unione europea
• CCPA: Conformità al California Consumer Privacy Act
• ePrivacy: Conformità alla direttiva ePrivacy dell'UE
• PCI DSS: Payment Card Industry Data Security Standard (tramite Stripe)

7.2 Allineamento con

• Criteri SOC 2 Trust Service: Controlli di sicurezza allineati al framework SOC 2 dell'AICPA. Una verifica formale di Tipo II è nella nostra roadmap.
• ISO 27001: Pratiche di sicurezza allineate al framework di gestione della sicurezza delle informazioni ISO 27001. La certificazione è nella nostra roadmap.

8. Test di sicurezza

8.1 Gestione delle vulnerabilità

• Scansione delle dipendenze: Scansione automatizzata delle vulnerabilità dei pacchetti di terze parti
• Divulgazione responsabile: Accogliamo con favore le segnalazioni di vulnerabilità da parte di ricercatori di sicurezza (v. sezione 12)
• Gestione delle patch: Le patch di sicurezza critiche vengono applicate prontamente

8.2 Sicurezza del codice

• Analisi statica: Scansione automatizzata della sicurezza del codice
• Revisione del codice: Peer review obbligatoria per tutte le modifiche al codice
• Audit delle dipendenze: Audit periodici delle dipendenze di terze parti
• Sviluppo sicuro: Pratiche di secure coding conformi a OWASP

9. Continuità operativa

9.1 Alta disponibilità

• Database gestito: MongoDB Atlas con failover automatico e replicazione
• Riavvio dei container: Politiche di riavvio Docker per il ripristino automatico del servizio
• CDN: CDN di Cloudflare per la distribuzione globale dei contenuti e la cache

9.2 Backup e ripristino

• Backup automatici: Backup automatici giornalieri del database tramite MongoDB Atlas
• Ripristino point-in-time: Possibilità di ripristinare i dati a qualsiasi punto nella finestra di backup
• Backup crittografati: Tutti i dati di backup sono crittografati a riposo

10. Sicurezza dei fornitori terzi

Esaminiamo attentamente tutti i fornitori terzi:

• Valutazione dei fornitori: Revisione di sicurezza prima dell'integrazione
• Verifica della conformità: Verifica delle certificazioni dei fornitori
• Obblighi contrattuali: Accordi sulla protezione dei dati con tutti i fornitori
• Revisioni periodiche: Valutazioni di sicurezza continue dei fornitori

11. Sviluppo sicuro

• Revisione del codice: Tutte le modifiche al codice sono sottoposte a peer review prima del deployment
• TypeScript Strict Mode: Codebase type-safe che riduce gli errori a runtime
• Audit delle dipendenze: Revisione periodica delle vulnerabilità dei pacchetti di terze parti
• Separazione degli ambienti: Ambienti distinti per sviluppo, staging e produzione

12. Divulgazione responsabile

Accogliamo con favore le segnalazioni responsabili di vulnerabilità da parte di ricercatori di sicurezza:

13. Aggiornamenti sulla sicurezza

Manteniamo la massima trasparenza in materia di sicurezza:

• Changelog: I miglioramenti di sicurezza sono documentati nelle note di rilascio
• Trust Center: Informazioni aggiornate su conformità e sicurezza su reaudit.io/trust

14. Contatta il team di sicurezza

Per domande o dubbi relativi alla sicurezza: