Misure di sicurezza

Qui descriviamo come lavoriamo con la sicurezza e il GDPR, e iniziamo con quest'ultimo. La maggior parte del nostro Accordo di servizio riguarda il trattamento dei dati personali e contiene quindi anche aspetti di privacy e sicurezza. Oltre a quanto indicato nell'accordo, manteniamo un registro del trattamento dei dati personali, che include, tra le altre cose, quali dati sono memorizzati per mezzo di archiviazione e per quanto tempo. Conduciamo revisioni regolari per garantire la conformità al GDPR, con l'obiettivo di limitare l'archiviazione dei dati personali e renderla più sicura.

Il nostro ambiente di produzione è mantenuto con aggiornamenti regolari del sistema operativo (Debian) e del software del server come Apache, MariaDB, Tomcat e Java. Non condividiamo i server con altre aziende. Le password degli utenti sono memorizzate crittografate (hashed) con un salt. I file degli utenti sono memorizzati crittografati sul server a condizione che l'utente abbia impostato una password durante il caricamento.

Il nostro software contiene meccanismi per rilevare lo spam e limitare l'invio di email e file.

Nello sviluppo del nostro software, seguiamo regole comuni per prevenire l'iniezione SQL e il Cross-site scripting (XSS). L'input dell'utente viene convalidato sia sul lato client che sul lato server. Tutti i computer dei dipendenti hanno dischi rigidi crittografati.

Misure pianificate

Prevediamo di implementare i seguenti miglioramenti e misure.

1. Meno dati personali nelle email in uscita: Il mittente dovrebbe poter decidere quali dati personali vengono inviati nell'email al destinatario. Dovrebbe anche essere possibile richiedere che il destinatario si identifichi tramite email, cellulare o con BankID svedese.
2. Nessun subfornitore americano: Sprend dovrebbe sostituire i fornitori al di fuori dell'UE con alternative svedesi o basate nell'UE.
3. Eseguire test di penetrazione: Dovremmo testare regolarmente il nostro ambiente di produzione contro vulnerabilità note.
4. Controllo virus: Sprend dovrebbe offrire una scansione automatica dei virus per i file inviati.
5. Maggiore sicurezza al login: Dovrebbe essere offerta l'autenticazione multi-fattore per gli account utente.

Arne Evertsson, 2026-02-05