Standard di sicurezza servizi online

SpoonDesign utilizza standard di sicurezza elevati per ospitare i servizi web offerti ai propri clienti avvalendosi di fornitori qualificati e individuati per le loro competenze e peculiarità. I siti e servizi web sono ospitati presso Data Center certificati, strutture progettate e realizzate con sistemi di sicurezza, alimentazione, condizionamento e ridondanza in grado di prevenire l’interruzione dei servizi erogati e assicurare la business continuity anche in caso di manutenzione, guasto o incidente.

Gli apparti hardware sono installati presso Data Center localizzati in territorio italiano. Alcuni dati critici come quelli dei backup e disaster recovery, sono distribuiti geograficamente in altre due sale dati situate in Italia e nell'Unione Europea. La rete internet prevede collegamenti diretti verso carrier come Cogent Communications, Fastweb, Infracom, Metroweb, Retelit, TIM, Wind Tre e Vodafone. La sorveglianza dei locali è garantita 365/7/24 con personale autorizzato e con sistemi di monitoraggio remotizzato.

Gli apparati hardware e la rete godono di un monitoraggio 24 ore su 24, 365 giorni all’anno. Vengono utilizzati esclusivamente storage e apparati di rete di livello enterprise e con supporto H24, 365 giorni l’anno. La rete è protetta da un sistema distribuito anti DDoS, attivabile in caso di attacchi di grande intensità e da un sistema dedicato in grado di bloccare:

• attacchi DoS diretti ad un singolo dominio;
• bot che ricercano vulnerabilità note delle applicazioni web;
• tentativi di attacchi hacker automatizzati;
• attacchi bruteforce password verso backend, form di contatti, registrazioni e commenti.

CONFIGURAZIONI DI SICUREZZA SPECIFICHE PER IL CLIENTE

• accesso all’applicativo tramite link dedicato non pubblico;
• connessione protetta con certificato SSL (algoritmo SHA-256, chiave pubblica a 4.096 bit);
• password operatori di lunghezza minima 8 caratteri, almeno 1 numero, 1 simbolo e 1 maiuscola;
• possibilità di attivare il cambio obbligatorio password ogni 3 mesi con obbligo di indicare una password differente rispetto a quelle precedentemente impiegate;
• possibilità di attivare una notifica agli amministratori degli utenti inattivi da almeno 3 mesi per verifica ed eventuale disattivazione;
• accesso del singolo operatore alle informazioni strettamente necessarie per lo svolgimento dell’incarico.

BACKUP

• on site giornalmente per gli ultimi 30 giorni su storage esterni alla produzione;
• quotidiano presso data center esterno (dati crittografati);
• simulazione di Disaster Recovery bimestrale.

DIRETTIVA NIS2 / D.LGS 138/2024

• per la fornitura dei servizi web ci affidiamo esclusivamente a fornitori certificati ACN (Agenzia per la Cybersicurezza Nazionale)
• abbiamo provveduto a svolgere una specifica formazione in merito alla direttiva NIS2 e alle relative implicazioni con certificazione delle competenze acquisite da parte di un ente terzo
• abbiamo verificato e aggiornato le nostre procedure interne per ottimizzare la risposta in caso di incidente

GDPR E TRATTAMENTO DATI

• operiamo in qualità di Responsabile del trattamento in seguito a specifica nomina;
• abbiamo provveduto alla nomina dei fornitori impiegati quali sub responsabili del trattamento;
• i fornitori utilizzati devono garantire:
  • Rispetto del principio “Data protection by default and by design”;
  • Integrità e sicurezza dei dati;
  • Conservazione log a norma di legge;
  • Riservatezza dei dati;
  • Gestione delle vulnerabilità;
  • Analisi del traffico e protezione della rete;
  • Predisposizione e aggiornamento Registro dei trattamenti;
  • Predisposizione e aggiornamento Documenti di valutazione di impatto (DPIA);
  • Formazione del personale.
• nessun dato trattato viene trasferito al di fuori dell’Unione Europea.