Sicurezza dei dati: come proteggiamo i vostri documenti

Accesso in due passaggi

Misura ACN PR.AA-03 Autenticazione a più fattori sui sistemi rilevanti

Per entrare non basta la password. Subito dopo chiediamo un codice di 6 cifre: arriva per email oppure si legge nell'app di autenticazione del telefono (Google Authenticator, Microsoft Authenticator e simili). Chi ruba o indovina una password, da sola, non entra.

• Vale per ogni utente: il titolare, i colleghi, gli esperti esterni che invitate.
• Potete far ricordare un dispositivo per 30 giorni. Dal vostro account lo revocate quando volete, su tutti i dispositivi insieme.
• Dopo 5 codici sbagliati si ricomincia dalla password.
• L'indirizzo email si verifica alla registrazione: l'area riservata resta chiusa finché non aprite il link che vi mandiamo.
• Cambiando la password, le altre sessioni aperte si chiudono subito.

Antivirus su ogni file

Misura ACN DE.CM-09 Protezioni che rilevano i programmi malevoli

Nel servizio arrivano file da fuori: report del fornitore IT, certificati, contratti, verbali. Ognuno, anche quello caricato da un fornitore con il suo link, passa da un server antivirus dedicato (ClamAV) prima di essere salvato.

• Se il file è infetto viene rifiutato e non viene salvato. Chi lo stava caricando vede subito l'avviso, e gli amministratori del servizio ricevono un'email.
• Se per un momento l'antivirus non risponde, il file resta in attesa: non si apre, non si approva e non conta nello scadenzario finché non è stato analizzato. Il servizio riprova da solo ogni 10 minuti.
• Allo scanner arriva un nome neutro, mai il nome che il file aveva sul vostro computer.
• Nell'app, accanto a ogni file controllato c'è un piccolo segno verde: passandoci sopra leggete quando è stato analizzato e che è cifrato.

File cifrati, con la chiave custodita fuori dal server

Misura ACN PR.DS-01 Protezione dei dati a riposo

Ogni file caricato viene cifrato con una chiave sua, generata solo per quel file, con un algoritmo moderno e collaudato (XChaCha20-Poly1305, della libreria libsodium). Sul disco resta solo il file cifrato. Un file troncato o alterato non si decifra: ce ne accorgiamo.

Dove stanno le chiavi

Le chiavi dei file non sono mai salvate in chiaro: nel database restano solo «avvolte», cioè cifrate a loro volta. Le avvolge un servizio separato di custodia delle chiavi, su un'altra infrastruttura (un Worker Cloudflare), con una chiave diversa per ogni azienda, ricavata da una chiave principale che non sta sul nostro server. Quel servizio risponde solo al nostro server.

Per questo un disco o un backup rubati, da soli, non bastano per leggere i file caricati: senza il servizio delle chiavi restano illeggibili. E la chiave di un'azienda non apre i file di un'altra.

Il registro delle attività: nessuno lo può ritoccare

Misura ACN PR.PS-04 Registri di log generati e conservati in modo sicuro

Ogni azione nel servizio finisce nel registro delle attività: chi l'ha fatta, quando, da dove (indirizzo IP e browser) e cosa è cambiato, con il valore di prima e quello di dopo. Vale per gli utenti, per i fornitori che caricano dal loro link, per gli amministratori del servizio e per le operazioni automatiche. Ci sono anche gli accessi, i codici sbagliati, i download e le esportazioni.

• Le righe non si possono modificare né cancellare, nemmeno da noi. Il database lo impedisce, e ogni riga contiene l'impronta (hash) della precedente: toccarne una spezzerebbe la catena.
• Ogni notte la catena viene sigillata con una marca temporale RFC 3161 di un ente terzo (oggi DigiCert, con Sectigo e FreeTSA di riserva). All'ente arriva solo l'impronta, nessun dato.
• Ogni notte una verifica ricalcola tutta la catena e controlla le marche. Se qualcosa non torna, gli amministratori del servizio vengono avvisati.
• Il titolare dell'azienda consulta il registro e ne scarica un estratto in PDF o CSV, con le impronte e le marche del periodo: si verifica anche fuori dal servizio, per esempio davanti a un revisore.
• Conserviamo il registro 5 anni, il termine entro cui un'autorità può contestare un adempimento.

I link dei fornitori, personali e a scadenza

Misure ACN GV.SC Sicurezza della catena di fornitura

Il fornitore IT non ha bisogno di un account: riceve un link personale per caricare i documenti che gli assegnate.

• Il link vale 30 giorni. Scaduto, rigenerato o disattivato, la pagina dice solo di chiederne uno nuovo, senza mostrare nessun dato.
• Il fornitore vede solo i documenti e le attività che gli avete assegnato, mai i file già caricati.
• Ogni file che carica passa dall'antivirus e viene cifrato come tutti gli altri, e conta solo dopo la vostra approvazione.
• Anche le sue azioni finiscono nel registro delle attività.
• Il link non è salvato in chiaro: nel database c'è la sua impronta, più una copia cifrata che serve a rimandarlo negli avvisi.

Dati separati per azienda, copie ogni ora

Misure ACN PR.AA-05 · PR.DS-11 Accessi secondo necessità e backup

• Ogni azienda vede solo i propri dati. I file di ognuna stanno in una cartella sua, cifrati con una chiave diversa per ogni azienda.
• Dentro l'azienda, il registro delle attività lo consulta il titolare, e gli esperti esterni lavorano al percorso ma non approvano.
• Ogni ora una copia coerente del database entra nel backup, che sta su un server separato.
• Le connessioni sono cifrate (HTTPS).
• Potete esportare tutti i vostri dati, o cancellare l'azienda, quando volete.

Le misure dell'ACN, applicate a noi

Le misure di sicurezza di base dell'ACN sono quelle che il percorso vi aiuta a mettere in pratica. Ecco quelle che riguardano un servizio come il nostro, e cosa facciamo per ognuna.

Non è una certificazione, e non vi mette in regola al posto vostro: è il modo in cui abbiamo costruito il servizio. Le stesse misure, per la vostra azienda, sono spiegate nella guida alle misure di sicurezza di base. Come trattiamo i dati personali è scritto nell'informativa privacy.

Domande frequenti