Sicurezza e NIS2

Questa pagina raccoglie in un unico posto le informazioni che i clienti ci chiedono per valutare SupportHost come fornitore, ad esempio per gli adempimenti sulla sicurezza della catena di fornitura previsti dalla Direttiva NIS2 o per il registro dei trattamenti GDPR. Puoi condividere questo link con il tuo consulente o con il tuo responsabile della sicurezza.

Il fornitore con cui hai il contratto è SupportHost OÜ, Ahtri tn 12, 15551 Tallinn, Estonia.

NIS2

SupportHost OÜ è soggetta alla Direttiva NIS2 come fornitore di servizi di registrazione di nomi a dominio, sotto la vigilanza dell’autorità estone per la cibersicurezza (Riigi Infosüsteemi Amet, RIA), presso la quale è registrata. Gli incidenti significativi vengono notificati all’autorità entro 24 ore, come previsto dalla legge.

Certificazioni

SupportHost OÜ è certificata ISO/IEC 27001 (sicurezza delle informazioni), ISO/IEC 27017 (sicurezza dei servizi cloud), ISO/IEC 27018 (protezione dei dati personali nel cloud), ISO 9001 (qualità) e ISO 14001 (ambiente). Certificati, enti certificatori, ambiti e scadenze: pagina Certificazioni.

I data center in cui si trovano i nostri server hanno le proprie certificazioni: le trovi, fornitore per fornitore, nell’elenco dei sub-responsabili.

Dove si trovano i dati

I dati dei clienti sono conservati in Europa, salvo i servizi negli USA scelti espressamente dal cliente. Il nostro personale e i nostri collaboratori operano dall’Unione Europea o da Paesi con una decisione di adeguatezza della Commissione europea; in mancanza, con le garanzie previste dal GDPR (clausole contrattuali standard). Lo stesso vale per i fornitori di servizi accessori, elencati con le relative garanzie nella sezione sub-responsabili.

Misure di sicurezza tecniche e organizzative

Su tutta l’infrastruttura

• Data center con controllo degli accessi fisici, videosorveglianza continua, alimentazione e raffreddamento ridondati, protezione antincendio.
• Protezione dagli attacchi DDoS a livello di rete.
• Monitoraggio 24 ore su 24 dei server di hosting e dei server gestiti, con allarmi automatici e personale sempre di turno (i server non gestiti non sono monitorati da noi).
• Accesso amministrativo ai server solo con chiavi crittografiche personali, una per ciascun membro dello staff; l’accesso con password è disattivato.
• Autenticazione a due fattori sui pannelli dei fornitori e dei registri dei domini.
• Registri degli accessi amministrativi conservati per 30 giorni.
• Accessi dello staff revocati immediatamente all’uscita o al cambio di ruolo e riesaminati almeno una volta l’anno.
• Personale qualificato, che opera secondo procedure interne documentate.

Sull’hosting condiviso

• Ogni account è isolato dagli altri: un sito compromesso non può leggere i file degli altri clienti.
• Firewall applicativo e protezione da intrusioni, con blocco automatico degli attacchi.
• Scansione antimalware dei file.
• Backup automatici giornalieri, conservati 30 giorni, su storage offsite separato dai server di hosting.
• Aggiornamenti del pannello di controllo automatici; aggiornamenti del sistema operativo installati periodicamente dal personale.

Cifratura

• Connessioni ai pannelli e ai servizi protette con TLS.

Chi fa cosa

Nei server non gestiti il cliente ha l’accesso amministrativo completo: le misure sul sistema operativo e sui dati sono sue.

Gestione degli incidenti di sicurezza

• Il nostro monitoraggio interno e le segnalazioni dei clienti ci permettono di accorgerci dei problemi: il personale di turno li classifica per gravità e li gestisce secondo procedure interne documentate.
• Se una violazione di sicurezza coinvolge i tuoi dati personali (per esempio un accesso non autorizzato o una perdita di dati), ti avvisiamo entro 48 ore da quando ne veniamo a conoscenza, via email all’indirizzo del tuo account. Le informazioni che non sono disponibili subito te le comunichiamo appena le abbiamo, anche in più riprese.
• La comunicazione indica cosa è successo, quali dati sono coinvolti, le conseguenze probabili e le misure adottate o proposte.
• Lo stesso impegno è scritto nel nostro accordo sul trattamento dei dati.
• I guasti e i disservizi, per esempio un server o un sito non raggiungibile, li risolviamo con il personale di turno: non sono violazioni dei dati e non prevedono un avviso individuale.
• Per segnalarci un problema di sicurezza: apri un ticket dall’area clienti oppure usa la pagina contatti.

Continuità operativa e disaster recovery

• Infrastruttura distribuita su più data center e più fornitori: un guasto in un sito non coinvolge gli altri.
• Monitoraggio 24/7 con personale sempre di turno per intervenire sui guasti.
• Backup dell’hosting su storage offsite separato dai server, per ripristinare singoli siti o un intero server.
• In caso di perdita di un server di hosting, gli account vengono ripristinati dai backup su un altro server. I dati recuperabili sono quelli dell’ultimo backup giornaliero.
• Procedure interne documentate per il ripristino e il trasferimento dei servizi.
• Il ripristino dai backup viene verificato regolarmente con prove reali.

Protezione dei dati (GDPR)

• Accordo sul trattamento dei dati (nomina a responsabile, art. 28 GDPR): nomina a responsabile del trattamento.
• Autorità di controllo competente: Andmekaitse Inspektsioon (Estonia).
• Non abbiamo designato un DPO. Per le richieste sulla protezione dei dati: ticket dall’area clienti o pagina contatti.

Sub-responsabili

Questi fornitori trattano dati dei clienti per nostro conto, ciascuno con il proprio accordo sul trattamento dei dati. Ti avvisiamo con almeno 15 giorni di preavviso prima di aggiungere o sostituire un sub-responsabile.

Ricevono inoltre i dati, come titolari autonomi e solo per il servizio richiesto: i registri dei domini (NIC.it, EURid, SWITCH e gli altri), le autorità di certificazione SSL e i servizi di pagamento (Stripe, Revolut, Wise, PayPal).

Dichiarazione NIS2

Dichiarazione firmata digitalmente sulle misure di sicurezza adottate: Dichiarazione NIS2, versione 1 (PDF).