Approccio alla sicurezza
Sytance applica misure di protezione tecniche e organizzative al servizio ospitato, al ciclo di vita dello sviluppo software e alle attività di supporto. I controlli sono selezionati e riesaminati in base alle informazioni trattate, all’architettura del servizio, alle minacce plausibili e ai potenziali effetti sui clienti.
Questa pagina offre una panoramica pubblica e non costituisce un rapporto di audit, una certificazione, l’esito di un test di penetrazione o un allegato contrattuale sulla sicurezza. Eventuali requisiti specifici del cliente in materia di sicurezza, garanzie, localizzazione dei dati o notifiche devono essere concordati tramite la procedura commerciale applicabile.
Identità e accesso
- L’accesso si basa su account individuali e autorizzazioni associate ai ruoli.
- Gli amministratori dei clienti gestiscono i membri e assegnano i ruoli all’interno della propria organizzazione e delle relative aree di lavoro.
- Le richieste di accesso ai Contenuti del Cliente sono verificate rispetto alle regole di accesso a livello di tenant, area di lavoro e singolo oggetto.
- Le sessioni di autenticazione utilizzano cookie HTTP-only impostati dal server e le protezioni per le richieste cross-site previste in produzione.
- L’accesso amministrativo autorizzato per l’assistenza è limitato all’ambiente del cliente interessato e viene registrato.
Separazione tra tenant e protezione dei dati
- I controlli applicativi e del database contribuiscono a mantenere separate le registrazioni dei diversi tenant.
- Il traffico di browser e API in produzione è protetto durante la trasmissione tramite HTTPS al confine pubblico del Servizio.
- I file e i contenuti multimediali dei clienti sono forniti tramite percorsi autenticati anziché collegamenti pubblici senza restrizioni.
- Alcune anteprime e alcuni download utilizzano collegamenti di accesso a tempo limitato.
- I campi noti contenenti credenziali, token, cookie e segreti sono esclusi dai normali registri applicativi o vengono oscurati.
- L’accesso ai dati è limitato alle funzioni del Servizio, alle istruzioni del cliente, alle esigenze di assistenza o alle responsabilità operative che lo richiedono.
Sviluppo sicuro e gestione delle modifiche
- Nella progettazione e nel riesame delle funzionalità pertinenti consideriamo i requisiti e l’architettura di sicurezza.
- Le revisioni del codice e i controlli automatizzati aiutano a individuare difetti prima della distribuzione.
- Le modifiche vengono rilasciate tramite processi controllati di compilazione e distribuzione, mantenendo separate le attività di sviluppo dall’esercizio in produzione.
- Le dipendenze e le vulnerabilità segnalate sono valutate in base alla loro pertinenza, sfruttabilità, esposizione e al potenziale impatto sul Servizio.
Monitoraggio e risposta agli incidenti
Gli eventi di autenticazione, autorizzazione, amministrazione, applicazione e infrastruttura rilevanti per la sicurezza vengono registrati o monitorati, ove opportuno, per supportare il rilevamento, le indagini e la responsabilizzazione.
L’autenticazione e alcuni endpoint pubblici utilizzano limiti di frequenza e controlli di prevenzione degli abusi. Gli incidenti sospetti sono valutati tramite un processo che comprende triage, contenimento, indagine, correzione, ripristino e lezioni apprese.
Se un incidente richiede una notifica ai clienti o alle autorità di regolamentazione, la forniremo in conformità alla legge applicabile e all’accordo con il cliente interessato.
Per un sospetto accesso illecito a un account, contatta support@sytance.com; per una sospetta vulnerabilità o esposizione di dati, contatta security@sytance.com. Indica l’account o la risorsa interessati, l’ora e il comportamento osservato, ma non inviare password, token di sessione o file del cliente non necessari. Potremmo concordare un metodo sicuro per scambiare ulteriori evidenze.
Quando trattiamo per conto di un Cliente dati personali interessati, le notifiche e la collaborazione in caso di incidente seguono l’Appendice A dei Termini di servizio. La prima comunicazione non viene rinviata fino all’accertamento di tutti i fatti; le informazioni successive vengono fornite man mano che prosegue l’indagine.
Trattamento assistito dall’intelligenza artificiale (IA)
Le azioni assistite dall’IA vengono eseguite all’interno di flussi di lavoro autenticati del prodotto. Il Servizio invia le istruzioni e il contesto dell’area di lavoro pertinenti alla funzione richiesta; i risultati restano soggetti al riesame del cliente.
Gestione delle vulnerabilità
Le potenziali vulnerabilità possono essere individuate tramite controlli in fase di sviluppo, monitoraggio operativo, informazioni sulle dipendenze, segnalazioni di clienti o ricercatori e valutazioni di sicurezza mirate. I rilievi sono convalidati e prioritizzati considerando fattori di rischio quali gravità, sfruttabilità, esposizione, dati e utenti interessati, evidenze di sfruttamento attivo e mitigazioni disponibili.
I ricercatori esterni possono segnalare una sospetta vulnerabilità tramite la nostra procedura di divulgazione coordinata. La politica definisce la ricerca autorizzata, i requisiti di segnalazione, gli obiettivi di risposta, la tutela della ricerca in buona fede e il coordinamento della divulgazione.
Richieste e garanzie sulla sicurezza
I clienti e i potenziali clienti possono porre domande sulla sicurezza o richiedere informazioni di supporto scrivendo a hello@sytance.com o contattando il consueto referente commerciale. Le richieste dovrebbero essere proporzionate alle loro esigenze. Per sospette compromissioni di account o problemi di sicurezza che riguardano il Servizio, i clienti già registrati dovrebbero scrivere a support@sytance.com.
Segnala in via riservata le sospette vulnerabilità a security@sytance.com secondo la Politica di divulgazione delle vulnerabilità.
Le informazioni sulla sicurezza possono essere condivise nell’ambito di accordi proporzionati di riservatezza e accesso, per evitare di esporre altri clienti o dettagli tecnici sfruttabili. Una richiesta di garanzie non autorizza test di penetrazione. I diritti di audit contrattuali e i poteri legali delle autorità di regolamentazione restano disciplinati dall’accordo applicabile e dalla legge.
