Sicurezza
Dove sono i vostri dati e chi può vederli
Uno strumento di comunicazione interna finisce per contenere buste paga, procedure e quello che l'organico pensa della propria azienda. Ecco che cosa facciamo con questi dati, nel concreto.
Dove sono i dati
- Server nell'Unione europea, senza trasferimenti fuori dal SEE.
- Banca dati raggiungibile solo dal server stesso, mai esposta a internet.
- Copie di sicurezza nella stessa giurisdizione.
- Nessun terzo che analizzi il contenuto delle vostre comunicazioni.
Chi può vedere che cosa
- Ogni interrogazione alla banca dati porta con sé l'identificativo dell'azienda: un dato di un'altra organizzazione non esiste per la vostra sessione.
- Sei ruoli con ambiti diversi, e le tutele verificate sul server, non solo sullo schermo.
- I file non sono pubblici: ogni scaricamento ricontrolla sessione e appartenenza.
- Registro di audit di iscrizioni, uscite, cambi di ruolo e approvazioni.
Credenziali e sessioni
- Le password non si conservano: si conserva un derivato con scrypt e sale per ogni utente.
- L'identificativo di sessione è archiviato cifrato; una copia della tabella non permette di impersonare nessuno.
- Blocco temporaneo dopo diversi tentativi falliti.
- Cambiando la password si chiudono le sessioni aperte su altri dispositivi.
Anonimato nei sondaggi
- Quando un sondaggio è contrassegnato come anonimo, la risposta si salva senza alcun collegamento con la persona.
- Né un amministratore né noi possiamo ricostruire chi ha risposto che cosa.
- In cambio si perde il dettaglio per reparto, e lo diciamo sullo schermo stesso.
- È l'unico modo perché un sondaggio sul clima aziendale serva a qualcosa.
Infrastruttura e sub-responsabili
I server di Blastack sono ospitati da terzi, e ognuno di questi terzi ha le proprie certificazioni. Qui c'è chi è chi e che ruolo ha ciascuno, con il nome del titolare davanti a ogni certificato perché si possa verificare tramite il suo numero di registro.
Fornitore dell'infrastruttura
Hostinger International Limited
- Hostinger International Limited è la società con cui è firmato il contratto di responsabile del trattamento, ed è titolare del sistema autonomo a cui appartiene il server.
- Hostinger International Limited è certificata ISO/IEC 27001:2022. L'audit è firmato da TÜV Thüringen.
- Il perimetro di quella certificazione è quello di Hostinger International Limited: la sua infrastruttura e i suoi processi.
Si verifica senza passare da noi, nel suo centro di fiducia: trust.hostinger.com.
Gestore del centro dati
Digital Realty
- L'edificio in cui stanno i server è un centro dati di Digital Realty a Parigi (Francia, Unione Europea).
- Digital Realty possiede per quel centro le certificazioni ISO 27001, ISO 14001 e ISO 50001.
- È chi gestisce l'edificio e i suoi impianti. Non è il fornitore del server e non interviene nel servizio.
Ogni certificazione di questa sezione è in capo all'azienda nominata appena sopra, e copre la sua infrastruttura. Il titolare sta davanti di proposito: un certificato senza titolare non si può verificare, e in una gara vale quanto non portarne nessuno.
Quello che ancora non abbiamo
Preferiamo dirlo qui piuttosto che farvelo scoprire in riunione. Oggi non abbiamo la certificazione ISO 27001 né l'attestazione SOC 2 Tipo II; non abbiamo una verifica in due passaggi nostra, anche se chi entra con l'account della propria azienda passa dall'accesso condizionale del suo fornitore; e non parliamo SAML 2.0 —il single sign-on va con OpenID Connect, che copre Microsoft Entra ID, Google Workspace e Okta, ma se il vostro capitolato pretende SAML per iscritto, quello non ce l'abbiamo—. Sono nel piano di lavoro, senza una data promessa.
Se una di queste tre è indispensabile per voi, scriveteci e vi diciamo a che punto siamo.
L'elenco completo di quello che oggi non facciamo, con il dettaglio di ogni voce, è nelle domande frequenti.
Dubbi precisi del vostro reparto IT?
Rispondiamo ai questionari di sicurezza senza problemi. Scriveteci e vi rispondiamo per iscritto.