Misure di sicurezza
Di seguito descriviamo il nostro approccio alla sicurezza e alla conformità al GDPR, partendo proprio da quest’ultima. La maggior parte dei nostri Termini di servizio riguarda il trattamento dei dati personali e comprende pertanto anche disposizioni in materia di privacy e sicurezza. Oltre a quanto previsto dall’accordo, teniamo un registro dei trattamenti dei dati personali che specifica, tra le altre cose, quali dati vengono conservati sui diversi supporti di archiviazione e per quanto tempo. Effettuiamo verifiche periodiche per garantire il rispetto del GDPR, con l’obiettivo di ridurre al minimo la conservazione dei dati personali e garantirne una gestione sempre più sicura.
Il nostro ambiente di produzione viene aggiornato regolarmente, sia per quanto riguarda il sistema operativo (Debian) sia per i software server, tra cui Apache, MariaDB, Tomcat e Java. I nostri server sono dedicati e non vengono condivisi con altre aziende. Le password degli utenti vengono archiviate in forma crittografata mediante hashing e l’utilizzo di un salt. Anche i file degli utenti vengono archiviati in forma crittografata sui nostri server, a condizione che l’utente abbia impostato una password al momento del caricamento.
Il nostro software integra inoltre meccanismi per rilevare lo spam e limitare l’invio di e-mail e file.
Nello sviluppo del software adottiamo le pratiche di sicurezza comunemente utilizzate per prevenire attacchi di tipo SQL injection e cross-site scripting (XSS). Gli input degli utenti vengono convalidati sia lato cliente sia lato server. Tutti i computer utilizzati dai nostri dipendenti sono dotati di dischi rigidi crittografati.
Misure previste
Abbiamo in programma di introdurre i seguenti miglioramenti e misure di sicurezza:
- Riduzione dei dati personali nelle e-mail in uscita: il mittente dovrebbe poter decidere quali dati personali includere nell’e-mail inviata al destinatario. Dovrebbe inoltre essere possibile richiedere al destinatario di identificarsi tramite e-mail, telefono cellulare o Swedish BankID.
- Nessun subappaltatore statunitense: Sprend intende sostituire i fornitori con sede al di fuori dell’UE con alternative svedesi o con sede nell’UE.
- Penetration test: intendiamo sottoporre regolarmente il nostro ambiente di produzione a test per verificare la presenza di vulnerabilità note.
- Controllo antivirus: Sprend intende introdurre la scansione automatica dei file inviati alla ricerca di virus.
- Maggiore sicurezza in fase di accesso: intendiamo offrire l’autenticazione a più fattori per gli account degli utenti.
