Sicurezza

Vascend tratta documenti contabili, movimenti bancari e codice sorgente: dati la cui compromissione produrrebbe un danno diretto e concreto. La sicurezza è quindi un requisito di progetto, non un livello aggiunto a posteriori. Adottiamo tre principi operativi: privilegio minimo su ogni accesso, difesa in profondità su ogni perimetro, assunzione di compromissione nella progettazione dei controlli.

I dati sono cifrati in transito con TLS 1.3 (TLS 1.2 come minimo accettato) e a riposo con AES-256. Le credenziali degli utenti sono conservate come hash con algoritmi progettati per la resistenza al calcolo massivo. I segreti applicativi non risiedono nel codice: sono gestiti da un archivio dedicato, con rotazione periodica e accesso tracciato.

L'accesso alla piattaforma è protetto da autenticazione con sessioni a scadenza e revoca immediata. È disponibile l'autenticazione a due fattori e l'accesso tramite provider SSO. I permessi seguono il modello a ruoli: ogni ruolo espone soltanto le operazioni necessarie alla propria funzione. Gli accessi amministrativi all'infrastruttura richiedono autenticazione a più fattori, transitano su reti private e sono registrati integralmente.

I servizi sono isolati in container, esposti soltanto attraverso un gateway che applica autenticazione, limiti di frequenza e filtraggio del traffico applicativo. I database non sono raggiungibili da rete pubblica. Le comunicazioni tra servizi interni avvengono su rete privata. Le componenti sono aggiornate secondo un ciclo definito, con applicazione prioritaria delle patch di sicurezza critiche. L'infrastruttura primaria è collocata in data center nell'Unione Europea con certificazioni di sicurezza fisica e ambientale.

Ogni modifica al codice passa da revisione prima dell'integrazione. La pipeline esegue analisi statica, controllo delle dipendenze e ricerca di segreti esposti; una segnalazione critica blocca il rilascio. Gli ambienti di sviluppo e produzione sono separati e non condividono credenziali. I dati reali non vengono utilizzati negli ambienti di test.

Raccogliamo log applicativi, di accesso e di rete su un sistema centralizzato, con allarmi su schemi anomali: tentativi di accesso ripetuti, picchi di errore, traffico irregolare verso le API. In caso di incidente attiviamo una procedura definita: contenimento, valutazione dell'impatto, ripristino, analisi delle cause. Quando l'incidente comporta una violazione di dati personali con rischio per gli interessati, notifichiamo l'autorità di controllo entro settantadue ore dalla conoscenza del fatto e informiamo i clienti coinvolti senza ingiustificato ritardo.

I dati sono sottoposti a backup automatici cifrati, con conservazione su più giorni e verifiche periodiche di ripristino: un backup non verificato non è un backup. Manteniamo obiettivi definiti di tempo e punto di ripristino, riesaminati al variare dell'architettura, e procedure documentate per il ripristino dei servizi critici.

Se individui una vulnerabilità, scrivi a security@vascend.it con una descrizione tecnica e i passi per riprodurla. Rispondiamo entro tre giorni lavorativi e ti aggiorniamo fino alla chiusura. Chiediamo di non divulgare la vulnerabilità prima della correzione, di non accedere a dati di altri utenti e di non compromettere la disponibilità del Servizio durante l'analisi. A queste condizioni non intraprendiamo azioni legali nei confronti di chi segnala in buona fede. Test di sicurezza attivi sull'infrastruttura richiedono autorizzazione scritta preventiva.