DefenceLevel
Come proteggiamo i dati di My Defence
My Defence descrive la tua infrastruttura: produttori, prodotti e, se vuoi, note con modelli e versioni. Sono informazioni delicate per chi si occupa di sicurezza, e le trattiamo di conseguenza. Qui trovi cosa conserviamo, dove, chi può vederlo e cosa non facciamo.
Cosa conserviamo
- i produttori e i prodotti che scegli, zona per zona;
- lo schema: le zone, i loro collegamenti, i nomi e le descrizioni che scrivi, e le note che aggiungi alle zone;
- le tue scelte sulle email: briefing ogni giorno o solo sui tuoi prodotti, avvisi per tutti o solo sui tuoi prodotti.
My Defence è facoltativa: senza, ricevi lo stesso il briefing completo e gli avvisi.
Cifrati, con la chiave fuori dal database
Nel database produttori, prodotti, schema e note sono cifrati con AES-256-GCM. La chiave non sta nel database: è conservata a parte, nelle impostazioni protette del servizio. Chi accedesse al solo database, a una sua copia di sicurezza o a una sua esportazione vedrebbe soltanto testo cifrato.
- Il servizio decifra i dati solo in memoria, quando servono: per mostrarteli nella dashboard e per scegliere quali voci del briefing e quali avvisi ti riguardano.
- Ogni testo cifrato è legato al tuo account: copiato su un altro account, non si decifra.
- Per riconoscere una scelta già fatta usiamo un'impronta che non permette di risalire al nome e che cambia da un account all'altro: due aziende con lo stesso prodotto non hanno la stessa impronta.
Dove sono i dati
- Il database è nell'Unione europea, in Irlanda; anche le funzioni del servizio girano in Irlanda, a Dublino.
- Ogni connessione è cifrata. I fornitori cifrano anche i dischi e le copie di sicurezza.
- L'elenco dei fornitori, con il loro ruolo e la loro sede, è nell'informativa sulla privacy.
Chi può vederli
- Nessun altro iscritto. I nomi che il nostro catalogo non conosce li cerchiamo nel National Vulnerability Database del NIST senza nessun dato su di te: se esistono, entrano nel catalogo con il nome ufficiale, uguale per tutti; se non esistono, gli altri non li vedono.
- Nessuno dall'esterno del servizio. L'accesso pubblico al database è chiuso: senza le credenziali del servizio, nessuna tabella è raggiungibile da fuori.
- Non l'area di amministrazione. Lì compaiono solo quanti prodotti e quante zone ha un account, mai quali.
- Non l'intelligenza artificiale. I controlli con IA che scrivono e verificano i testi di briefing e avvisi leggono solo i dati pubblici delle vulnerabilità, con un utente del database che non può aprire i dati degli iscritti.
- Le email. Se scegli «Solo i miei prodotti», le email che ricevi parlano delle vulnerabilità che ti riguardano e, come ogni email, passano dal fornitore che le invia.
Non usiamo questi dati per altri scopi, non li condividiamo con nessuno e non li vendiamo.
Per quanto tempo
Finché non li togli dalla pagina My Defence. Se elimini l'account si cancellano subito; nelle copie di sicurezza del database restano, cifrati, fino alla loro scadenza, al massimo 7 giorni.
Verifiche e segnalazioni
Stiamo organizzando un test di sicurezza indipendente, svolto da una società specializzata: quando sarà concluso, ne pubblicheremo qui l'esito. Se trovi un problema di sicurezza nei nostri sistemi, scrivici come spiegato nella pagina Segnalazioni di sicurezza.
Per le aziende
Se la tua azienda ha bisogno di un accordo sul trattamento dei dati (DPA), per esempio per gli obblighi della NIS2 verso i fornitori, è già pronto: scarica il PDF (in inglese), completa i dati della tua azienda, firmalo e mandalo a privacy@defencelevel.com. Te lo rimandiamo firmato anche da noi.