Descrizione della sicurezza

Descrizione della sicurezza dei server e dei data server utilizzati da Apprix Oy

Informazioni generali

I data server uti­lizzati da Apprix Oy sono i data server di Hetzner Online GmbH che sono situati nei pressi di Hel­sinki, in Finlandia.

Hetzner è uno dei prin­cipali for­nitori di servizi hosting in Europa.

I Server

Il Server Center è cer­ti­ficato secondo lo standard ISO/IEC 27001

Pro­te­zione fisica:

• Ambiente server ad alta sicurezza,
• Include, ad esempio: video­sor­ve­glianza, con­trollo elet­tronico degli accessi, raf­fred­da­mento, ali­men­ta­zione di backup.

Sicu­rezza della rete dati:

• Con­nes­sioni mul­ti­li­vello sicure

Sicu­rezza dei server:

• Pre­ven­zione degli attacchi DDoS (Distri­buided Denial of Service)
• Firewall
  • Sono aperte solo porte accu­ra­ta­mente selezionate
  • Restri­zioni IP in uso
• Iden­ti­fi­ca­zione delle vulnerabilità
• Pre­ven­zione delle intrusioni
• Anti­virus
• Pre­ven­zione di intru­sioni nei database (es. SQL injection)

Aggior­na­menti del software dei server:

• Aggior­na­menti automatici
• Server cer­ti­ficati secondo lo standard di sicu­rezza “Common Cri­teria EAL2”
• Pro­cessi e ruoli definiti per gli aggior­na­menti regolari dei server

Gestione dei server:

• Gestione server centralizzata
• Accesso alla manu­ten­zione del server solo tramite con­nes­sione VPN.
• Con­nes­sioni SSH/TSL pro­tette dei server uti­lizzati dagli ammi­ni­stratori desi­gnati da Apprix Oy
• Con­trolli regolari delle pre­sta­zioni dei server in stile Heartbeat

Software implementato da Apprix Oy

Sicu­rezza della tra­smis­sione dei dati

• Tutto il traffico che attra­versa l’in­ter­faccia web è crit­to­grafato (https, SHA-256).
• La crit­to­grafia viene uti­lizzata anche per tutte le altre tra­smis­sioni dati nei server.

Backup e ripri­stino dei dati

• Tutto il codice del pro­gramma è memo­rizzato nella ver­sione di con­trollo, da dove può essere ripri­stinato alla ver­sione più recente o precedente.
• Il backup del database e del server dove sono memo­rizzate le appli­ca­zioni viene ese­guito auto­ma­ti­ca­mente una volta al giorno
  • I dati sono con­servati per 7 giorni.
  • Inoltre, viene con­servato un backup mensile.
• Copie dei dischi del server sin­cro­nizzati dalla IAAS, da cui è pos­sibile avviare rapi­da­mente un nuovo server identico, ad esempio in caso di errore hardware.
• Backup manuale facile da implementare.
• Il recupero dei dati viene testato rego­lar­mente su base trimestrale.

Service Por­ta­bility

• Se con­cordato, il ser­vizio può essere installato (database e software) su un nuovo server compatibile

Ubi­ca­zione delle infor­ma­zioni dei servizi, includono: dati per­sonali e restri­zioni di trasferimento

• Il ser­vizio e le sue infor­ma­zioni, vedi ad esempio i dati per­sonali, si trovano nella sala com­puter di Hetzner Ag in Finlandia.
• La direttiva GDPR è applicata
  • I dati non saranno comu­nicati al di fuori dell’UE in nessun momento del loro trat­ta­mento, manu­ten­zione o trasferimento.

Can­cel­la­zione dei dati

• I dati ver­ranno eli­minati dal system server e dai server di backup al termine del contratto.

Audit per la sicu­rezza delle attività

• L’audit per la sicu­rezza delle attività è gestito da un orga­nismo pro­fes­sionale esterno.

Gestione dei servizi, utenti, ruoli e responsabilità

• L’amministratore prin­cipale è la persona respon­sabile del ser­vizio asse­gnata da Apprix Oy.
  • L’amministratore prin­cipale ha il diritto di accedere e gestire tutte le sezioni e i dati del servizio.
• Gli ammi­ni­stratori del cliente hanno accesso a tutte le sezioni e le infor­ma­zioni che sono state create per loro.
• Gli ammi­ni­stratori possono con­cedere un accesso limitato al sistema, basato sui ruoli, tramite le fun­zioni di con­trollo degli accessi.
  • Tutte le cre­den­ziali sono per­sonali, le cre­den­ziali con­divise non sono utilizzate.
• Tutti i sistemi dispongono di un con­trollo degli accessi basato sulla pas­sword di ogni utente.

Accordi relativi alla sicurezza

Accordo di riser­va­tezza (NDA)

• Tra Apprix Oy ed il cliente viene sti­pulato l’obbligo reci­proco di riser­va­tezza delle informazioni
• Ogni dipen­dente di Apprix, (dipen­denti interni e subap­pal­tatori) che gestisce le infor­ma­zioni dei clienti, ha firmato un con­tratto di NDA (Non-Disclosure Agreement).

Accordo per il trat­ta­mento dei dati per­sonali (DPA)

• Per quanto riguarda i dati per­sonali, siamo tenuti ad osservare il rego­la­mento europeo sulla pro­te­zione dei dati (GDPR).
• Un accordo DPA è in vigore tra Apprix Oy e Hetzner Online GmbH.
• Qualora si ela­borino dati per­sonali, accordi DPA ver­ranno sti­pulati con il cliente.

Accordo sul livello di ser­vizio (SLA)

• L’ac­cordo sul livello di ser­vizio sti­pulato tra Apprix Oy ed il cliente defi­nisce il livello di sup­porto (ad es. tempi di risposta in situa­zioni ecce­zionali) e fissa i livelli target SLA.