Panoramica della sicurezza in GGWP

Aggiornamenti e patch di sicurezza

• Tempestività: le vulnerabilità critiche vengono risolte entro uno SLA interno di 24 ore.
• Metodo: utilizzo di abbonamenti attivi alle notifiche CVE e scansione delle immagini dei container.

Audit e logging

• Monitoraggio in tempo reale: AWS Security Hub, GuardDuty e gli avvisi in tempo reale garantiscono un intervento immediato in caso di attività sospette.
• Firewall: è attiva una protezione aggiuntiva per monitorare e gestire il traffico di rete.
• Ciclo di revisione: revisioni trimestrali dei report di Security Hub per individuare gli elementi ad alto rischio.
• Controllo degli accessi: utilizzo di OAuth e chiavi API per audit e logging sicuri.

Test di sicurezza

• Interni: revisioni annuali dei flussi di lavoro, dei processi e delle configurazioni di sicurezza.
• Esterni: audit annuali di terze parti su tutti gli endpoint pubblici.
• Standard: certificazione SOC 2.

Collaborazione del team e privacy dei dati

• Controllo degli accessi: vengono applicati rigorosamente controlli degli accessi basati su durata e ruolo, MFA e VPN.
• Direzionalità: la direzionalità degli accessi è definita per limitare il flusso di informazioni sensibili.
• Formazione dei dipendenti: formazione annuale obbligatoria su sicurezza e privacy per i membri del team.
• Crittografia: i dati sono crittografati sia in transito (TLS 1.2) sia a riposo (AES 256).
• Segmentazione: ambienti multi-tenant con chiavi di crittografia diverse per una maggiore sicurezza.
• Isolamento logico: sono presenti barriere rigorose per la segregazione dei dati.
• Revisione degli accessi degli utenti: revisioni periodiche degli accessi degli utenti per garantire il principio del privilegio minimo.

Conformità normativa

Rispettiamo l'Informativa sulla privacy di GGWP, che disciplina i periodi di conservazione dei dati e la conformità alle normative sulla protezione dei dati, come GDPR e CCPA.

Backup dei dati

• Archiviazione: i dati sono archiviati in modo sicuro su AWS S3 e sono accessibili solo a chi ne ha effettiva necessità.
• Disponibilità: alta disponibilità garantita, con snapshot notturni, controlli dell'integrità dei dati, più varianti e gestione delle versioni.

Fasi e azioni di risposta agli incidenti

• Rilevamento: monitoraggio in tempo reale di attività non autorizzate o violazioni dei dati. Le tipologie di incidenti includono:
  • Le informazioni sono state utilizzate da personale o terze parti non autorizzati;
  • Le informazioni sono state scaricate o copiate impropriamente dagli ambienti AWS di GGWP Inc.;
  • Le apparecchiature o i dispositivi contenenti informazioni sono stati smarriti o rubati;
  • Le apparecchiature o i dispositivi contenenti informazioni sono stati oggetto di attività non autorizzate (ad esempio hacking o malware);
  • I dati personali sono stati divulgati, consultati o trasferiti impropriamente.
• Analisi: valutazione immediata da parte del nostro team DevOps al rilevamento dell'incidente per determinarne la probabile causa principale. L'analisi viene registrata e documentata.
• Contenimento: intervento rapido per mitigare la causa principale e prevenire ulteriori danni. Può comportare l'applicazione di controlli aggiuntivi.
• Eradicazione: eliminazione delle vulnerabilità e delle compromissioni dai nostri sistemi, incluso l'accesso dell'autore dell'attacco all'ambiente.
• Ripristino: attività coordinate per riportare i sistemi interessati alla piena operatività.
• Dopo l'incidente:
  • Revisione da parte dell'alta dirigenza.
  • Garantire una comunicazione adeguata sia interna sia esterna.
  • Può comportare una consulenza legale o il coinvolgimento delle forze dell'ordine.
  • Misure preventive: implementate sulla base dell'analisi retrospettiva e della revisione successive all'incidente.

Piano di disaster recovery

• Gestione delle versioni
  • Versione 2.0
  • Rivisto annualmente e aggiornato ogni volta che vengono individuate lacune nei processi
• Obiettivi
  • RTO e RPO: 24 ore o meno per gli incidenti di gravità 1, come previsto dagli accordi SLA.
• Runbook
  • Bassa gravità: include interruzioni semplici, generalmente risolte con il rollback del codice.
  • Alta gravità: comprende perdite di dati, violazioni e interruzioni prolungate. È disponibile un runbook dettagliato.
• Personale
  • Bassa gravità: gestita dagli ingegneri reperibili.
  • Alta gravità: coinvolge sia gli ingegneri reperibili sia gli ingegneri DevOps.
• Procedure
  • Bassa gravità: il rollback del codice è la soluzione tipica.
  • Alta gravità: include rollback del codice, roll forward del codice, ripristino dei database e procedure di sicurezza.
• Tracciamento
  • Registro degli eventi: tracciamento dettagliato degli eventi e delle possibili soluzioni.
• Test
  • Revisione annuale: il runbook di DR viene eseguito e testato annualmente, con analisi retrospettiva.

Comunicazione con i clienti

In caso di incidenti gravi che compromettono l'integrità dei dati o la privacy, GGWP invierà notifiche non appena ragionevolmente possibile attraverso tutti i canali di comunicazione disponibili.