Sicurezza e subresponsabili del trattamento
Cosa dovrebbe essere in grado di verificare un CISO o un acquirente prima di affidarci il proprio inventario: dove funzionano i nostri server, chi altro vede i tuoi dati passare, cosa protegge la piattaforma e a chi scrivere se trovi un difetto.
Hosting e posizione
L'applicazione, il suo database, il suo motore di ricerca e il nostro server di posta funzionano su server gestiti da OVHcloud (OVH SAS), una società francese, in data center situati in Francia.
Il sito Web e l'applicazione sono serviti tramite Cloudflare, che funge da proxy inverso: consegna delle pagine, protezione contro gli attacchi denial-of-service e filtraggio del traffico dannoso. Come ogni proxy inverso, Cloudflare vede passare gli indirizzi IP, le intestazioni e il contenuto delle richieste. Cloudflare, Inc. è una società americana con una rete mondiale, pertanto trattiamo questo flusso come un trasferimento al di fuori dell'Unione Europea, coperto dalle garanzie elencate di seguito.
I nostri subresponsabili
Di seguito l'elenco completo dei fornitori che trattano dati personali per nostro conto. Appare anche nel nostro politica sulla privacy.
| Subresponsabile del trattamento | Ruolo | Dati coinvolti | Paese | Tutele sui trasferimenti |
|---|---|---|---|---|
| OVHcloud (OVH S.A.S.) | Hosting dei server, del database e del server di posta | Tutti i dati del servizio: account, inventari, avvisi, casi, registri, e-mail inviate | Francia | Non applicabile: ospitato in Francia |
| Cloudflare, Inc. | Proxy inverso, page delivery (CDN) e protezione dagli attacchi, davanti al sito web e all'applicazione | Indirizzi IP, intestazioni e contenuto delle richieste in transito | Stati Uniti | Certificazione UE-USA Data Privacy Framework e clausole contrattuali standard della Commissione Europea |
| PostHog, Inc. | Misurazione dell'audience per il sito web e l'applicazione | Visualizzazioni di pagina, clic, informazioni tecniche sul browser, indirizzo IP. Solo con il tuo consenso: un identificatore persistente, registrazione della sessione (input digitato mascherato) e, nell'applicazione, identificatore del tuo account, email, nome, ruolo, lingua e piano | Compagnia americana; dati ospitati nell'UE (Francoforte) | Accordo sul trattamento dei dati (DPA) e clausole contrattuali tipo |
| Maestrale AI | Assistente "Vigie" e funzionalità AI | Messaggi inviati all'assistente e contesto tecnico necessario per rispondere (componenti, avvisi, CVEs, date di fine vita), solo quando si utilizzano queste funzionalità | Francia; ospitato nell'UE | Non applicabile: trattati nell'Unione Europea |
| Paddle (Mercato Paddle.com limitato) | Rivenditore ufficiale (Merchant of Record): pagamento, fatturazione e tasse per gli abbonamenti | Nome, email, indirizzo di fatturazione, partita IVA, modalità di pagamento (inserito con Paddle, mai con noi) | Regno Unito | Decisione di adeguatezza della Commissione Europea per il Regno Unito, ovvero clausole contrattuali standard |
Le e-mail (avvisi, riepiloghi, messaggi di servizio) vengono inviate dal nostro server di posta, ospitato da OVHcloud: nessun provider di consegna e-mail è coinvolto. Sono firmati DKIM e il nostro dominio pubblica record SPF e DMARC.
Le notifiche che imposti verso i tuoi strumenti (Slack, Microsoft Teams, webhook) arrivano alle destinazioni che scegli: quei servizi sono tuoi, non i nostri subresponsabili del trattamento.
Non utilizziamo i tuoi dati per addestrare un modello. Secondo i termini di Mistral AI, i dati inviati al suo API a pagamento non vengono utilizzati nemmeno per addestrare i suoi modelli; viene conservato per 30 giorni per il rilevamento di abusi.
Misure in atto
Questo elenco contiene solo le misure che funzionano oggi. Ciò che non c'è, non lo rivendichiamo.
Conti e autenticazione
- Password sottoposte ad hashing con bcrypt, mai archiviate in testo semplice.
- Autenticazione a due fattori con codici a tempo (TOTP, RFC 6238), disponibile su ogni account, con codici di ripristino monouso. L'attivazione chiude le altre sessioni aperte.
- OpenID Connect single sign-on (SSO) sul piano Business, con verifica dei domini dell'organizzazione.
- Token di accesso validi 15 minuti, rinnovati con token di sessione monouso validi 7 giorni, trasportati nei cookie HttpOnly e Secure.
- La modifica o la reimpostazione di una password chiude ogni sessione dell'account.
- I tentativi di registrazione, accesso, autenticazione a due fattori e richieste di reimpostazione della password sono limitati, con un avviso al nostro team quando il limite viene superato.
Applicazione e API
- Sull'applicazione: una rigorosa content security policy (CSP) con un nonce rinnovato ad ogni richiesta; visualizzazione all'interno di frame di terze parti bloccata; Intestazioni HSTS, X-Content-Type-Options, Referrer-Policy e Permissions-Policy.
- Sul sito web: intestazioni X-Frame-Options, X-Content-Type-Options e Referrer-Policy.
- Chiavi API archiviate solo come hash, revocabili e limitate a famiglie specifiche di dati.
- Segreti di connessione SSO crittografati nel database.
Infrastruttura
- Il database, la cache e il motore di ricerca ascoltano solo sull’interfaccia locale del server: non sono raggiungibili da Internet. L'API può essere raggiunto solo tramite il server web frontale.
- I servizi sono suddivisi su reti Docker separate. I contenitori dell'applicazione e del sito Web vengono eseguiti senza privilegi di root, senza funzionalità Linux e con l'escalation dei privilegi disabilitata; il contenitore dell'applicazione viene eseguito su un file system di sola lettura.
Tracciabilità
- Registro di controllo delle azioni sensibili: accessi, modifiche della password, gruppi e autorizzazioni, configurazione SSO, modifiche dell'inventario, azioni di amministrazione. Conservato per 30 giorni (Free), 90 giorni (Team), 1 anno (Pro) o 5 anni (Business); gli amministratori dell'organizzazione possono consultarlo sui piani Pro e Business.
Filiera del software
- Produciamo una distinta base del software (SBOM) in formato CycloneDX dalle immagini effettivamente distribuite: pacchetti di sistema, librerie e dipendenze, con le loro versioni esatte. Puoi richiedercelo per la valutazione del tuo fornitore.
Segnalazione di una vulnerabilità
Pensi di aver trovato un difetto in TechWatchAlert? Scrivi a [email protected]. Questo indirizzo è pubblicato anche nel formato standard security.txt (RFC 9116), su il sito web così come su l'applicazione.
Ambito
- Nell'ambito: il sito Web techwatchalert.com e l'applicazione e il suo API su app.techwatchalert.com.
- Fuori ambito: servizi dei nostri subresponsabili del trattamento (segnalarli al fornitore interessato), attacchi di negazione del servizio, ingegneria sociale e segnalazioni da strumenti automatizzati senza impatto dimostrato.
Regole di prova
- Prova con i tuoi account. Non accedere o modificare i dati di altri utenti e conservare solo ciò che richiede la dimostrazione.
- I test automatizzati o intrusivi (scansioni, fuzzing, injection) della nostra infrastruttura richiedono la previa autorizzazione scritta, come previsto all'art. Articolo 12.3 delle Condizioni d'Uso: scriveteci prima di eseguirli.
- Dateci il tempo di risolvere il problema prima di qualsiasi pubblicazione e concordiamo insieme la data.
Che rapporto utile contiene
- la pagina, l'indirizzo o l'endpoint API interessato;
- i passaggi da riprodurre, con le relative richieste e risposte;
- l'impatto che sei riuscito a dimostrare;
- come tornare da te.
A cosa ci impegniamo
Prendiamo atto di ogni segnalazione, ti teniamo informato sulla sua gestione finché non viene risolta e concordiamo con te la data di pubblicazione. Non intraprendiamo alcuna azione legale contro chiunque abbia agito in buona fede e nel rispetto di queste regole, come previsto dall'art Articolo 12.2 delle Condizioni d'Uso.
TechWatchAlert nella tua valutazione NIS2
Se la tua organizzazione è soggetta alla direttiva NIS2, TechWatchAlert è uno dei tuoi fornitori: l'articolo 21.2.d ti chiede di tenere conto della sicurezza della tua catena di fornitura. Questa pagina raccoglie ciò che solitamente una valutazione di questo tipo richiede ad un fornitore. Per un questionario o un accordo sul trattamento dei dati (DPA), scrivici.
TechWatchAlert fornisce anche gli strumenti per parte dei tuoi obblighi: monitoraggio che include CERT-FR e EUVD, un registro dei rischi accettati, scadenze di riparazione, fornitori, incidenti. Cosa copre l’offerta e cosa no.
Domande frequenti
I miei dati lasciano l’Unione Europea?
I dati del servizio sono ospitati in Francia, con OVHcloud. Tre sub-responsabili del trattamento sono stabiliti al di fuori dell'Unione Europea: Cloudflare, che vede passare il traffico web, e PostHog, che misura l'audience, sono americani; Paddle, che gestisce la fatturazione, è britannico. Ciascuno di questi trasferimenti è coperto da una tutela prevista dal GDPR, riportata nella tabella dei subresponsabili.
Utilizzi i miei dati per addestrare un'intelligenza artificiale?
No. Quando usi l'assistente Vigie, la tua domanda e il relativo contesto tecnico vanno al API a pagamento di Mistral AI, ospitato nell'Unione Europea. Secondo i termini di Mistral AI, questi dati non vengono utilizzati per addestrare i suoi modelli e vengono conservati per 30 giorni per il rilevamento di abusi.
La misurazione dell’audience attende il tuo consenso?
In parte. Senza il tuo consenso, PostHog misura il traffico senza cookie o archiviazione nel tuo browser, senza registrazione della sessione e senza collegare nulla al tuo account. Con il tuo consenso, imposta cookie, registra sessioni con campi digitati mascherati e, nell'applicazione, collega eventi al tuo account.
Possiamo firmare un accordo sul trattamento dei dati (DPA)?
Sì, su richiesta a partire dal piano Team e viene firmato con il piano Business. Chiedilo, con il tuo modello se ne hai uno; altrimenti forniamo il nostro.
Come posso segnalare una vulnerabilità?
Scrivi a [email protected], seguendo la sezione “Segnalare una vulnerabilità” di questa pagina: ambito, regole di test e cosa contiene un report utile.