Sicurezza e conformità

Standard di sicurezza
Allineamento a best practice

NIS2
Conformità in corso

GDPR
Data protection UE

Sicurezza del prodotto

Qlara applica principi di security-by-design ad applicazione e infrastruttura. I requisiti di sicurezza sono considerati in fase di progettazione, sviluppo, test e rilascio, con attenzione a coding sicuro, segregazione degli ambienti, gestione delle vulnerabilità e change controllati. Il prodotto è soggetto a un modello di governance che include risk assessment, audit interni, revisione delle policy e miglioramento continuo.

Gestione sicura dei dati

Qlara valida e controlla i dati ricevuti da componenti frontend e backend. Input e output sono gestiti per ridurre il rischio di code injection, manipolazione o elaborazione non autorizzata. In presenza di input non valido, l’applicazione gestisce l’evento senza esporre dettagli tecnici che potrebbero rivelare logica interna o informazioni utili a un potenziale attaccante.

Sicurezza delle comunicazioni

Le comunicazioni tra client e server sono protette tramite HTTPS e protocolli TLS sicuri: si utilizza TLS 1.2 o superiore per proteggere i dati in transito, evitando configurazioni deboli o deprecate che esporrebbero a intercettazione o downgrade. Le comunicazioni tra infrastruttura, database e servizi interni avvengono su canali cifrati e percorsi di accesso controllati.

Autenticazione e controllo degli accessi

L’accesso a Qlara e ai sistemi correlati è governato da principi formali di controllo accessi: least privilege, need-to-know e segregazione dei compiti. I permessi sono assegnati per ruolo e necessità operativa e sono soggetti a revisione, aggiornamento e revoca quando i ruoli cambiano. Gli accessi privilegiati sono limitati al personale autorizzato e soggetti a logging, monitoraggio e revisione periodica.

Protezione di password e segreti

Qlara non memorizza password in chiaro: password e segreti sono protetti con pratiche sicure di hashing e credential management. I processi di recupero e cambio password si basano su canali di comunicazione verificati e le credenziali sensibili non vengono esposte tramite URL. Credenziali tecniche e chiavi di accesso sono gestite con tracciabilità e rotazione ove applicabile.

Sicurezza delle sessioni

Qlara implementa pratiche sicure di gestione delle sessioni: le sessioni sono protette con token e cookie configurati per ridurre accessi o riutilizzi non autorizzati. I processi di logout invalidano le informazioni di sessione e le sessioni inattive sono gestite per limitare l’esposizione da postazioni non presidiate o abbandonate.

Sicurezza dei database

Il livello database è protetto da regole di esposizione restrittive: i database non sono raggiungibili pubblicamente e accettano connessioni solo da host e servizi autorizzati. Gli utenti di database sono separati per servizio ove applicabile e i privilegi sono assegnati secondo least privilege e need-to-know. Sono adottate pratiche di query sicure per ridurre il rischio di injection e preservare l’integrità dei dati.

Log e monitoraggio

Qlara genera log per eventi di accesso, azioni rilevanti degli utenti e attività significative per la sicurezza. I log sono centralizzati e protetti da accessi o alterazioni non autorizzate. Le attività di monitoraggio supportano rilevamento anomalie, analisi degli incidenti, audit e ricostruzione forense. Gli eventi di sicurezza possono essere escalati alle funzioni di cybersecurity e al SOC secondo le procedure interne.

Rilevamento minacce e protezione da malware

Qlara beneficia dei controlli di sicurezza di Agile Telecom e del Gruppo Growens progettati per ridurre l’esposizione a malware, tentativi di intrusione e misconfigurazioni. Gli asset sono protetti con strumenti centralizzati, endpoint protection, antimalware, patching, firewall, segregazione di rete e monitoraggio. Le attività sospette sono gestite tramite canali di escalation definiti.

Gestione delle vulnerabilità

Qlara è inclusa in un approccio di vulnerability management basato su identificazione, analisi, prioritizzazione e remediation delle debolezze. Le attività di vulnerability assessment e penetration test sono pianificate in base al rischio e i relativi report guidano le azioni correttive. Prima del rilascio in produzione, sistemi e servizi sono valutati per evitare il deploy di componenti con livelli di rischio non accettabili.

Sviluppo sicuro

Qlara segue pratiche di sviluppo software sicuro allineate alle linee guida di Gruppo. Gli ambienti di sviluppo, test e produzione sono mantenuti separati e i rilasci sono gestiti tramite processi controllati. Modifiche al codice, test e attività di deploy sono soggetti a review e tracciabilità, con requisiti di sicurezza considerati fin dalla progettazione secondo principi di cybersecurity-by-design.

Backup e ripristino

Qlara è supportata da pratiche di backup e recovery pensate per preservare la disponibilità dei dati e supportare il ripristino del servizio in caso di cancellazione, corruzione, perdita o disservizio. I backup sono eseguiti regolarmente, protetti con misure di sicurezza adeguate e testati periodicamente per verificarne la recuperabilità. Le attività di ripristino sono monitorate e soggette ad azioni correttive.

Continuità operativa e resilienza

Qlara opera all’interno di un più ampio framework di resilienza che copre business continuity, disaster recovery, incident response e crisis management. L’organizzazione identifica processi critici, dipendenze, fornitori e obiettivi di ripristino per mantenere la continuità del servizio e supportarne il recupero in caso di disservizio.

Gestione degli incidenti

Qlara è coperta da un processo formale di incident handling. Eventi di sicurezza e sospetti incidenti sono segnalati tramite canali definiti e gestiti con triage, analisi, contenimento, eradicazione, ripristino e revisione post-incidente. La gestione coinvolge le funzioni cybersecurity, IT, legale, privacy e business, con escalation alle autorità ove richiesto dalla normativa applicabile, incluse NIS2 e GDPR.

Sicurezza dell’AI

Dove Qlara utilizza capacità di intelligenza artificiale, i relativi modelli e trattamenti sono gestiti all’interno dell’ambiente tecnologico di Agile Telecom e soggetti agli stessi controlli di sicurezza applicati al perimetro di prodotto e infrastruttura: controllo accessi, monitoraggio, comunicazioni cifrate, protezione degli asset e governance sui dati trattati dai componenti AI.