Sicurezza e conformità della piattaforma
Dove stanno i tuoi dati, chi può vederli e perché la separazione fra clienti non è una promessa, ma una struttura. Le risposte che servono anche per i questionari fornitore.
Ci consegni la mappa dei tuoi punti deboli: è giusto chiederci come la trattiamo
Affidare a un fornitore i dati sulle proprie vulnerabilità significa affidargli informazioni molto delicate. Per questo Dottor Box è progettato perché la sicurezza dei dati dei clienti dipenda dall'architettura, non dalla buona volontà.
Ogni azienda ha una base dati separata dalle altre. L'accesso richiede sempre un secondo fattore. Sui tuoi ambienti Microsoft e Google la piattaforma legge e non modifica. E chi ti fornisce tutto questo è un'azienda certificata ISO/IEC 27001 e ISO 9001, sottoposta agli stessi controlli che ti chiede di adottare.
Un database per ogni cliente, non una colonna in comune
Molte piattaforme multi-cliente separano i dati con un filtro applicativo: basta una query scritta male per mescolarli. Dottor Box no.
Schema dedicato
Ogni Dottor Box ha uno schema di database proprio, identificato da un codice univoco. Sono basi dati distinte, non righe filtrate di una tabella condivisa.
Commutazione autorizzata
A ogni richiesta l'applicazione si collega allo schema del cliente attivo, e solo se l'utente ha un'autorizzazione valida su quel Dottor Box.
Anche i file sono separati
Documenti di conformità, allegati e intestazioni aziendali vivono in una cartella dedicata a ciascun cliente.
Infrastruttura, GDPR e intelligenza artificiale
Il sistema di analisi gira in cloud computing su infrastruttura cloud Google e datacenter proprietari di Dottor Marc. Il trattamento è impostato per la conformità al GDPR e Dottor Marc ha nominato un Responsabile della Protezione dei Dati (DPO).
Le funzioni di intelligenza artificiale, come le bozze di procedura, la verifica delle evidenze e le proposte di checklist di audit, girano su un modello privato installato su infrastruttura controllata. Nessun tuo documento viene inviato a servizi di AI pubblici, e ciò che l'AI produce resta sempre una proposta che una persona approva.
Conservazione
Tutti i dati raccolti sono consultabili dalla piattaforma per la durata del contratto, per un periodo massimo di 2 anni: abbastanza per coprire un intero ciclo di certificazione. La Time Machine offre la consultazione rapida degli ultimi 180 giorni.
Alla fine del contratto l'accesso si chiude, download dei report compreso: se vuoi conservarli, scaricali prima della scadenza.
Chi entra, e come
- Verifica in due passaggi obbligatoria (TOTP con app di autenticazione) su tutta l'area riservata
- Single sign-on con Microsoft Entra ID e Google Workspace, configurabile per cliente; vale come secondo fattore
- Domini ammessi e corrispondenza fra gruppi aziendali e ruoli
- Tre livelli di autorizzazione per ogni Dottor Box
- Conferma dell'indirizzo email prima del primo accesso
- Ogni tentativo di accesso è registrato, riuscito o fallito
- Limiti di frequenza su login, secondo fattore, registrazione e reset della password
- Segreti e credenziali di integrazione cifrati a riposo, mai mostrati né scritti nei log
- La password che scegli al primo accesso è cifrata e inaccessibile anche a Dottor Marc
Come la piattaforma parla con i tuoi sistemi
Ogni canale ha uno scopo preciso e una protezione dichiarata.
| Canale | A cosa serve | Come è protetto |
|---|---|---|
| Sonda Cyber Drill → piattaforma | Invio dei risultati delle scansioni interne | È la sonda a chiamare: nessuna porta in ingresso sul tuo firewall; i comandi sono cifrati con una chiave specifica del cliente |
| Scanner esterno | Scansione di rete esterna e applicazioni web | Filtro sugli indirizzi IP autorizzati e limiti di frequenza |
| Tenant Microsoft 365 | Postura di sicurezza e accessi | Sola lettura. La disabilitazione di un account avviene solo su conferma di una persona |
| Google Workspace | Postura di sicurezza | Account di servizio con ambiti di lettura; la piattaforma esegue solo letture |
| Google Drive | Proposta dei trattamenti per il registro | Solo metadati: nomi e struttura delle cartelle, mai il contenuto dei file |
Attacchi simulati, autorizzati per iscritto
Dottor Box non si limita a guardare: per verificare la sicurezza esegue attacchi simulati, con strumenti automatici e tecniche manuali, sempre nei limiti di una verifica di sicurezza. Per questo il contratto contiene l'autorizzazione esplicita del cliente.
Le scansioni sono progettate per essere non invasive, e puoi escludere singoli indirizzi, porte o dispositivi.
Una status page fuori dalla piattaforma
La pagina status.dottorbox.it vive su un'infrastruttura separata da quella applicativa: puoi verificare lo stato del servizio anche quando il servizio stesso non risponde. Gli incidenti seguono un ciclo dichiarato: Individuato → In analisi → In monitoraggio → Risolto.
È anche il modo in cui applichiamo a noi stessi il controllo che ISO/IEC 27017 chiede ai fornitori di servizi cloud.
Dottor Marc è certificata ISO/IEC 27001 e ISO 9001
Stessi controlli che ti chiediamo
Chi ti fornisce il servizio ha un sistema di gestione della sicurezza certificato da un ente terzo, con audit periodici.
Una risposta per i questionari
Quando un tuo cliente ti qualifica e chiede se i tuoi fornitori ICT sono certificati, la risposta è documentata.
Un'evidenza per la tua supply chain
È l'adempimento sulla catena di fornitura che NIS2, ISO 27001 e DORA chiedono anche a te.
Dati personali nel contratto. Dottor Marc tratta i dati raccolti come Titolare per l'esecuzione del contratto, non li divulga a terzi e mantiene un obbligo di riservatezza reciproco. Il DPO è disponibile per ogni richiesta, compreso l'elenco dei responsabili del trattamento. Dettagli nella pagina Come si attiva.
Sai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.