Informativa sulla sicurezza

In attuazione dal 25 maggio 2018

Abstract

In Ablio prendiamo molto sul serio la protezione dei dati dei clienti. Questa informativa di sicurezza di Ablio descrive le misure organizzative e tecniche che Ablio implementa su tutta la piattaforma per impedire l’accesso non autorizzato, l’uso, l’alterazione o la divulgazione dei dati dei clienti. I servizi di Ablio operano su Servizi di web hosting operati da ProfitBricks e PAX8; questa politica descrive le attività di Ablio all’interno delle proprie istanze su tali Servizi, se non diversamente specificato. Mentre continui a leggere ulteriori informazioni su Ablio, ti consigliamo di consultare anche la nostra Informativa sulla privacy.

Il team di sicurezza

Il nostro team di infrastruttura e sicurezza include persone che hanno svolto ruoli di guida nella progettazione, realizzazione e gestione di sistemi Internet ad alta sicurezza in aziende che vanno dalle startup alle grandi aziende pubbliche.

Best Practices

Abbiamo implementato procedure formali per le pratiche di sicurezza e abbiamo istruito tutto il nostro personale su di esse:

• Quando vengono rilevati eventi di sicurezza, vengono inoltrati al nostro profilo di emergenza, i team vengono avvisati e rapidamente attivati.
• Dopo aver risolto un evento di sicurezza, scriviamo un’analisi post-mortem.
• L’analisi viene esaminata di persona, distribuita in tutta l’azienda e include elementi di azione che renderanno più facile il rilevamento e la prevenzione di un evento simile in futuro.
• Ablio provvederà tempestivamente a informare per iscritto nel momento in cui si verifica una violazione della sicurezza dei servizi che riguardano i dati dell’utente. La notifica descriverà la violazione e lo stato delle indagini di Ablio.

Sviluppo di processi di automazione:

• Disponiamo di processi di automazione funzionanti e utilizzati frequentemente, in modo da poter implementare in modo sicuro e affidabile le modifiche sia alla nostra applicazione che alla piattaforma operativa in pochi minuti.
• Generalmente effettuiamo aggiornamenti di codice ogni settimana, quindi abbiamo la certezza che possiamo implementare rapidamente una soluzione di sicurezza quando richiesto.

Infrastrutture

Tutti i nostri servizi funzionano su cloud. Ablio non conduce i propri router, bilanciamenti di carico, server DNS o server fisici.

Tutti i nostri servizi e dati sono ospitati nelle strutture ProfitBricks e Pax8 in Germania e negli Stati Uniti e protetti dalle loro procedure di sicurezza. Ulteriori informazioni specifiche sui processi e misure di sicurezza di ProfitBricks e Pax8 sono disponibili su richiesta. Tutta la nostra infrastruttura è distribuita su diversi data center e continuerà a funzionare nel caso in cui uno di tali data center si guasti in modo imprevisto. In quanto tale, Ablio si basa sulla sicurezza fisica e sui controlli ambientali forniti da tali fornitori.

Ablio utilizza una soluzione di backup per le basi di dati che contengono i dati dei clienti.

Dati

I dati del cliente sono memorizzati in datastore multi-tenant; non abbiamo datastore individuali per ogni cliente. Tuttavia, nel nostro codice applicativo sono previsti severi controlli sulla privacy, progettati per garantire la riservatezza dei dati e per impedire a un cliente di accedere ai dati di un altro cliente (ad es. separazione logica). Conduciamo molti test per garantire che questi controlli sulla privacy funzionino come previsto. Questi test vengono eseguiti ogni volta che il codice sorgente viene aggiornato e se anche un singolo test fallisce si impedisce che il nuovo codice venga inviato alla produzione.

Ogni sistema Ablio utilizzato per elaborare i dati dei clienti è adeguatamente configurato ed utilizzato, applicando metodi commercialmente ragionevoli secondo riconosciuti standard di riferimento.

Ablio utilizza alcuni processori terzi per elaborare i dati dei clienti. Questi processori terzi sono elencati qui, e di volta in volta possono essere aggiornati da Ablio.

Autenticazione

Ablio è servito al 100% su https.

Utilizziamo forme di autenticazione a due fattori (2FA) con norme per password complesse su GitHub, Google, Twilio, MongoDB, Intercom e Ablio per garantire la protezione dell’accesso ai servizi cloud.

Permessi e controlli di amministrazione

Ablio consente di impostare i livelli di autorizzazione per qualsiasi dipendente o fornitore di servizi con accesso ad Ablio. Le autorizzazioni e l’accesso possono essere impostati per includere le impostazioni dell’app, la fatturazione, i dati dell’utente o la possibilità di inviare / modificare messaggi manuali e messaggi automatici.

Monitoraggio delle applicazioni

Produciamo log di auditing per tutte le attività a livello di applicazione.

Tutti gli accessi alle applicazioni di Ablio vengono registrati

Tutte le azioni eseguite sulle console di produzione o nell’applicazione Ablio vengono registrate.

Processi di pagamento

L’elaborazione di tutti gli strumenti di pagamento per l’acquisto dei servizi Ablio viene eseguita da Stripe. Per ulteriori informazioni sulle pratiche di sicurezza di Stripe, consultare stripe.com/docs/security/stripe.

Responsabilità del cliente

• Gestire i propri account utente e ruoli all’interno dei servizi di Ablio.
• Proteggere il proprio account e le credenziali dell’utente per tutti i dipendenti che accedono ai servizi di Ablio.
• Conformarsi ai termini del contratto di servizi con Ablio, anche in relazione al rispetto delle leggi.
• Notificare tempestivamente ad Ablio se le credenziali di un utente sono state compromesse o se si sospettano possibili attività che potrebbero avere un impatto negativo sulla sicurezza dei servizi Ablio o del proprio account.
• Non eseguire test di penetrazione della sicurezza o attività di valutazione della sicurezza senza l’esplicito consenso scritto di Ablio.