Analisi dell'impatto sulla protezione dei dati (Data Protection Impact Analysis)
Come previsto dal regolamento l’infrastruttura e le politiche di sicurezza sono state oggetto di una valutazione di adeguatezza e di impatto preliminare sulla protezione dei dati. Per stare sempre al passo con i più alti standard di conformità in materia di protezione dei dati dette valutazioni continueranno ad essere effettuare regolarmente.
Data Center localizzati in Europa
Per salvaguardare la riservatezza, l’integrità e la disponibilità dei dati, la piattaforma Mailsenpai si appoggia su server ospitati in data center fisici situati all’interno dell’Unione Europea accessibili dal nostro personale tramite rete privata virtuale. (Hetzner, Aruba, Register…)
Prevenzione della perdita di dati (Data Loss Prevention (DLP))
Mailsenpai crede che le misure di prevenzione della perdita dei dati sono di importanza fondamentale in quanto impediscono che le informazioni sensibili vengano condivise senza autorizzazione. Per questo motivo abbiamo implementato una serie di misure tecniche ed organizzative che ci permettono di poter garantire ai nostri clienti non solo la prevenzione da accessi non autorizzati, ma anche una sicurezza adeguata – in relazione alla tipologia del dato trattato – per tutti gli accessi autorizzati.
Tecniche di mitigazione e Disponibilità del servizio
Le infrastrutture che opsitano i server sui quali Mailsenpai si poggia sono progettate per risultare resilienti agli attacchi di tipo DDoS (Distributed Denial of Service) mediante sistemi in grado di riconoscere riconosce in anticipo quasi tutti i modelli di attacco, di bloccare gli attacchi e contrastare efficacemente la stragrande maggioranza di essi. Le sofisticate misure tecnologiche impiegate consentono di fornire una protezione di prim’ordine contro attacchi DDoS su larga scala.
Crittografia
- A livello fisico i nostri dati sono protetti attraverso le specifiche metodologie che ciascun service provider terzo applica sui server. Dette misure, in caso di furto di supporti di memoria fisici, non consentono l’estrazione di dati sensibili.
- A livello applicativo, abbiamo la possibilità di tenere al sicuro i dati contenuti nei database clienti con un criptaggio di dati a riposo.
- A livello di trasporto, i dati, mentre viaggiano attraverso Internet o all’interno delle reti, sono vulnerabili agli accessi non autorizzati. Per tale motivo, la protezione dei dati in transito ha un’alta priorità.
- Utilizziamo i protocolli crittografici TLS / SSL che utilizzano la crittografia simmetrica basata su una chiave condivisa per fornire la sicurezza nella comunicazione garantendo l’integrità dei dati sulla rete.
- Per una sicurezza ancora maggiore utilizziamo, all’interno del TLS / SSL, l’algoritmo di cifratura chiamato AES-256 (Advanced Encryption Standard).
Protezione dalle minacce (Threat Protection)
- Verifichiamo regolarmente e automaticamente che tutti i nostri server siano aggiornati e abbiano le ultime patch di sicurezza installate.
- Impieghiamo sistemi avanzati per la ricerca di virus nella posta elettronica (sia in entrata che in uscita), di spoofing (utilizzo di mittenti contraffatti) e abbiamo una chiara policy antispam.
- Identificazione e blocco di file dannosi nella nostra rete interna grazie all’utilizzo di sistemi antivirus e proxy.
- Strumenti di analisi anti-phishing e protezione avanzata dalle minacce avanzate come spear phishing.
Autenticazione multi-fattore e firewall (Multi-Factor Authentication e firewall)
- L’autenticazione multi-fattore è un metodo di autenticazione che richiede più di un metodo di verifica e con il quale viene aggiunto almeno un secondo livello di sicurezza per accessi e transazioni degli utenti. Questo metodo è utilizzato dagli amministratori di sistema.
- Vari firewall di rete integrati proteggono l’infrastruttura aziendale.
- Vi sono inoltre firewall per applicazioni web e dispositivi IDS (Intrusion Detection System) che vengono utilizzati per il monitoraggio delle risorse informatiche (pattern). Anche grazie a puntuali analisi del traffico dati svolte dal nostro personale altamente specializzato è possibile rilevare attacchi alla rete o ai computer dove gli Intrusion Detection System fungono da “antifurto”.
Monitoraggio e controllo accessi
- Ampia visibilità sulle chiamate API.
- Opzioni di aggregazione dei log per ottimizzare le indagini e la reportistica di conformità.
- Definizione, applicazione e gestione di policy di accesso degli utenti su tutti i servizi.
- Monitoraggio degli accessi sospetti al fine di rilevare possibili intrusioni.
- Notifiche di avviso programmabili in caso di superamento soglie o verifica di eventi.
- I diritti e i livelli di accesso dei dipendenti si basano sulla mansione e sul ruolo lavorativo che hanno, utilizzando i principi del “least-privilege” e “need-to-know”, a seconda delle responsabilità definite per il dipendente.
- Le richieste di accesso più approfondito seguono una prassi che prevede l’approvazione da parte del proprietario dei dati o del sistema o da parte di responsabili o altri dirigenti, a seconda dei criteri di sicurezza stabiliti.
Valutazione di vulnerabilità (Vulnerability Assessment)
Mailsenpai esegue regolarmente test di penetrazione della sicurezza.
Gestione degli incidenti (Incident Management)
Il processo adottato di gestione degli incidenti per eventi di sicurezza che possono influire sulla riservatezza, integrità o disponibilità di sistemi o dati segue la logica della priorità in base alla gravità dell’incidente occorso. Hanno priorità più alta gli eventi che hanno un impatto diretto sui clienti.
Sicurezza fisica dei data center
I data center dei vari service provider che ospitano i server sui quali si poggia Mailsenpai sono interessati da elevate misure di sicurezza.
Disponibilità e integrità dei dati personali
Per assicurare la disponibilità dei dati, a fronte di malfunzionamenti dell’hardware, per i server più critici sono previste copie di backup con cadenza minima giornaliera. Mailsenpai mantiene una copia di backup dei database caricati dai clienti per il tempo necessario specificato nella policy di data retention e poi vengono cancellati. Tali backup vengono verificati periodicamente, sono organizzati in maniera tale da garantire la separazione dei dati per ciascun cliente e sono criptati in maniera sicura per garantirne la massima protezione.
Gestione delle risorse (Asset management)
Tutti gli asset fisici e logici vengono monitorati regolarmente.
L’organizzazione applica delle procedure operative stringenti in materia di asset management, al fine di verificarne la correttezza nell’utilizzo e la funzionalità lungo l’intero ciclo di vita della risorsa. Detto ciclo di vita inizia con l’acquisizione di quest’ultima, segue con l’installazione e la verifica degli applicativi software (rigorosamente aggiornati), fino alla sua messa fuori servizio ed eventuale distruzione.
Sviluppo sicuro
Le applicazioni sviluppate da Mailsenpai seguono le linee guida OWASP per lo sviluppo di codice sicuro e di Data Protection By Design. Tutto il personale impegnato in tutte le fasi di development viene continuamente formato e aggiornato sulle best practice derivanti dai principali standard in materia.
Formazione
Mailsenpai fornisce a tutti i suoi dipendenti gli strumenti necessari per la propria crescita professionale.
Classificazione dei dati
I dati e le informazioni trattate da Mailsenpai sono classificati in relazione alla propria importanza in termini di riservatezza, disponibilità, tracciabilità e integrità. I dati e le informazioni sono classificati in conformità a quanto prescritto dai principali standard in materia di sicurezza delle informazioni.
Valutazione del rischio
Sono attuate procedure aziendali specifiche per la valutazione del rischio avverso le principali minacce informatiche. Perseguiamo l’approccio risk based in ogni ambito dell’attività.
Gestione dei fornitori
Controlliamo continuamente i nostri fornitori e terze parti. Sul fornitore effettuiamo una valutazione del rischio e verifichiamo le sue misure tecniche e organizzative. Tale verifica viene svolta in conformità con l’art.28 del GDPR nel caso di trattamenti di dati personali presso un fornitore nominato Responsabile del Trattamento. Gli accordi con i nostri fornitori sono regolarmente monitorati e controllati anche al fine di verificare i livelli di servizio (SLA).
Documento aggiornato il: 20 Marzo 2020
