Security Policy HOREVIA

1. Obiettivo e perimetro

La Security Policy descrive il modello di sicurezza applicabile alla piattaforma HOREVIA, ai relativi account, moduli, integrazioni e processi di supporto. Il documento espone principi e controlli pubblicabili senza divulgare dettagli che possano ridurre la sicurezza dell’infrastruttura.

2. Modello di responsabilità condivisa

UESE protegge il perimetro applicativo e infrastrutturale sotto il proprio controllo. Il cliente è responsabile della sicurezza dei propri endpoint, delle credenziali, della corretta assegnazione dei ruoli, delle integrazioni configurate, della qualità dei dati inseriti e della tempestiva revoca degli utenti non più autorizzati.

3. Governance e gestione del rischio

Le misure sono selezionate in funzione di rischi di riservatezza, integrità, disponibilità e tracciabilità e vengono riesaminate in occasione di evoluzioni significative, incidenti, vulnerabilità o modifiche dell’architettura. Le attività di sicurezza devono essere documentate in misura adeguata alla criticità del servizio.

4. Identità, autenticazione e autorizzazioni

• account individuali e gestione dei ruoli applicativi;
• principio del minimo privilegio e separazione delle funzioni ove supportata dai moduli;
• supporto all’autenticazione a due fattori (2FA);
• protezione delle sessioni tramite cookie HttpOnly e Secure su HTTPS, con SameSite coerente con il flusso applicativo;
• revoca delle sessioni e disattivazione degli account in caso di necessità.

5. Segregazione multi-tenant

HOREVIA utilizza controlli applicativi e riferimenti di tenant per segregare logicamente i dati delle organizzazioni. Le funzioni amministrative di piattaforma sono soggette a ruoli distinti rispetto agli utenti aziendali. La segregazione deve essere verificata anche nei nuovi moduli e nelle query evolutive.

6. Protezione dei dati e dei segreti

Le comunicazioni con il portale devono avvenire tramite HTTPS/TLS. Password e segreti non devono essere conservati in chiaro quando esistono meccanismi sicuri appropriati; le password utente sono gestite tramite hashing e i segreti applicativi sensibili devono essere protetti secondo il loro livello di criticità.

7. Logging, audit e monitoraggio

La piattaforma registra eventi rilevanti per sicurezza, amministrazione e operatività nei limiti necessari alla finalità. I log devono essere protetti da accessi non autorizzati e utilizzati per diagnosi, audit, investigazione degli incidenti e accountability, applicando criteri di retention proporzionati.

8. Secure development e change management

Le modifiche devono essere introdotte con controlli proporzionati, inclusi test, validazione sintattica, gestione delle migrazioni, backup dei file interessati e possibilità di rollback quando tecnicamente applicabile. Le modifiche di sicurezza critiche possono essere distribuite con priorità rispetto ai normali cicli evolutivi.

9. Vulnerability management

Segnalazioni, dipendenze, componenti e superfici esposte sono oggetto di valutazione e prioritizzazione secondo rischio. Le vulnerabilità confermate vengono trattate con misure correttive o compensative coerenti con gravità e sfruttabilità. Le modalità di segnalazione responsabile sono descritte nella Vulnerability Disclosure Policy.

10. Backup, ripristino e continuità

HOREVIA adotta procedure di backup e ripristino compatibili con l’architettura e il piano di servizio. Backup e disaster recovery non sostituiscono l’obbligo del cliente di esportare o conservare autonomamente i documenti quando la normativa di settore richieda archivi ulteriori o conservazione a norma.

11. Incident response

Gli eventi di sicurezza sono qualificati, contenuti, analizzati e documentati secondo severità. In caso di violazione di dati personali, UESE attiva il processo previsto dal DPA e dal GDPR. Le comunicazioni esterne tengono conto di evidenze disponibili, obblighi di legge e necessità di non compromettere l’investigazione.

12. Fornitori e integrazioni

I servizi esterni vengono valutati in funzione del ruolo svolto e del rischio. API key e credenziali di integrazione devono essere gestite come segreti. Quando un fornitore tratta dati personali per conto del cliente tramite HOREVIA, si applicano il DPA e il processo di gestione dei sub-responsabili.

13. AI security

Le funzioni HOREVIA AI inviano al provider configurato esclusivamente il contesto necessario alla specifica richiesta secondo il flusso applicativo. Le istruzioni di sistema richiedono di non inventare dati e di distinguere raccomandazioni da fatti. Gli output AI non devono essere considerati controlli di sicurezza né sostituire verifiche umane su operazioni sensibili.

14. Obblighi del cliente

• abilitare 2FA e politiche di accesso adeguate per gli utenti privilegiati;
• mantenere dispositivi, browser e sistemi endpoint aggiornati e protetti;
• non condividere credenziali e revocare tempestivamente gli accessi cessati;
• limitare i dati caricati a quelli necessari e verificare permessi e configurazioni;
• segnalare senza ritardo comportamenti anomali, sospetti account compromessi o vulnerabilità.

15. Limiti della policy

La sicurezza è un processo continuo e nessun sistema informatico può essere dichiarato immune da vulnerabilità o indisponibilità. La presente policy descrive l’impostazione di HOREVIA e non costituisce garanzia assoluta né sostituisce gli impegni di sicurezza eventualmente previsti da contratto, DPA o SLA.