Sicurezza in CRA Evidence

CRA Evidence è ospitato su AWS nell'Unione Europea. Tutti i dati dei clienti sono crittografati in transito e a riposo. Usiamo controlli di isolamento dei tenant per mantenere i dati della tua organizzazione separati da quelli degli altri clienti.

Crittografia

• In Transito: TLS 1.2 o superiore su tutte le connessioni (HTTPS obbligatorio)
• A Riposo: Crittografia AES-256 su tutti gli archivi dati
• Gestione Chiavi: Servizio dedicato di gestione delle chiavi; le chiavi non sono mai esposte al livello applicativo
• Credenziali: Password hashate con algoritmi memory-hard; chiavi API hashate prima dell'archiviazione (il testo in chiaro non viene mai conservato)

Autenticazione e Controllo degli Accessi

• Accesso: Email/password, OAuth (Google, Microsoft, GitHub), SAML SSO
• MFA: Autenticazione multifattore basata su TOTP con codici di backup; le organizzazioni possono imporre l'MFA a tutti i membri
• Ruoli: Quattro ruoli per organizzazione (Proprietario, Amministratore, Membro, Visualizzatore), seguendo il principio del minimo privilegio
• Chiavi API: Permessi definiti, revocabili individualmente
• Imposizione SSO: Le organizzazioni possono richiedere SAML SSO per tutti i membri

Isolamento dei Tenant

CRA Evidence è una piattaforma multi-tenant progettata per mantenere lo spazio di lavoro, le evidenze, i prodotti, gli SBOM, le vulnerabilità e i documenti di conformità di ogni cliente logicamente isolati dagli altri clienti.

• Gli spazi di lavoro dei clienti sono separati da controlli di accesso e verifiche di autorizzazione a livello applicativo
• I record di sicurezza del prodotto e di conformità sono limitati all'organizzazione proprietaria
• L'archiviazione dei file e i record di audit sono separati per spazio di lavoro cliente
• L'accesso ai dati dei clienti viene registrato per responsabilità e indagine

Gestione delle Vulnerabilità

• Base di Conoscenza delle Vulnerabilità: L'intelligence sulle vulnerabilità da più fonti viene aggiornata regolarmente da fonti pubbliche autorevoli e usata come livello di verifica indipendente.
• Monitoraggio Dipendenze: Controlli automatizzati delle dipendenze dell'applicazione
• Gestione Patch: Aggiornamenti regolari dei componenti dell'applicazione e dell'infrastruttura

Conservazione dei Dati

• Dati dell'account attivo: Conservati finché l'abbonamento è attivo
• Account cancellati: Dati rimossi entro 30 giorni dalla richiesta
• Log di audit: Conservati per 10 anni secondo i requisiti dell'Articolo 13(14) del CRA
• Backup: Snapshot giornalieri automatizzati crittografati

GDPR e Privacy

• Accordo sul Trattamento dei Dati (DPA): Disponibile su richiesta (privacy@craevidence.com)
• Registro delle Attività di Trattamento (ROPA): Mantenuto secondo l'articolo 30 del GDPR
• Sub-responsabili: Lista pubblicata con notifica di modifica di 30 giorni
• Portabilità dei Dati: Esportazione SBOM in formati standard (CycloneDX, SPDX)
• Cancellazione dei Dati: Account e tutti i dati associati cancellati entro 30 giorni dalla richiesta
• Informativa sulla Privacy: Leggi la nostra informativa sulla privacy

Conformità

La Nostra Conformità

• Conforme al GDPR (UE 2016/679): ROPA, DPA, lista sub-responsabili, informativa sulla privacy
• Residenza dei dati nell'UE: tutti i dati ospitati nell'Unione Europea
• RFC 9116: security.txt pubblicato
• Allineato ISO 29147/30111: Processo di Divulgazione Coordinata delle Vulnerabilità

Certificazioni del Fornitore di Infrastruttura

Il nostro fornitore di infrastruttura mantiene le certificazioni SOC 1/2/3, ISO 27001, ISO 27017, ISO 27018 e C5 (BSI tedesco) per la regione UE in cui operiamo.

Roadmap

• Test di penetrazione indipendente (pianificato)
• SOC 2 Type II (pianificato)
• ISO 27001 (in valutazione)

Stiamo costruendo la nostra postura di conformità parallelamente al nostro prodotto. Questa pagina riflette dove siamo oggi.

Divulgazione delle Vulnerabilità

Accogliamo la ricerca sulla sicurezza responsabile. Se scopri una vulnerabilità nella nostra piattaforma, segnalala.

Come Segnalare

• Email: security@craevidence.com
• Risposta: Conferma di ricezione entro 24 ore, valutazione iniziale entro 7 giorni lavorativi

Ambito

• In ambito: *.craevidence.com, l'API CRA Evidence, la CLI CRA Evidence
• Fuori ambito: Servizi di terze parti, ingegneria sociale, attacchi denial-of-service

Safe Harbor

Non intraprenderemo azioni legali contro i ricercatori di sicurezza che:

• Agiscono in buona fede
• Evitano violazioni della privacy, distruzione di dati o interruzione del servizio
• Segnalano le scoperte tempestivamente e concedono tempo ragionevole per la risoluzione

Politica CVD

Seguiamo gli standard ISO 29147/30111 per la Divulgazione Coordinata delle Vulnerabilità.

Contatto

• Segnalazioni di sicurezza: security@craevidence.com
• Richieste sulla privacy: privacy@craevidence.com
• Richieste DPA: privacy@craevidence.com

Ultimo aggiornamento: Giugno 2026.