Security Center
Il Security Center descrive il modello di sicurezza applicato a Firmato European e-sign V3. Il documento integra, senza sostituirli, gli obblighi contrattuali, il DPA e le misure specifiche dei provider utilizzati.
1. Governance della sicurezza
UESE ITALIA S.p.A. applica un modello di sicurezza basato su rischio, separazione dei ruoli e principio del minimo privilegio. Le responsabilità sono ripartite tra gestione applicativa, amministrazione, finance, compliance/KYC, contact center e funzioni di audit. Le attività sensibili sono soggette a tracciamento e, ove configurato, autenticazione rafforzata.
2. Identità, autenticazione e accessi
Le password sono memorizzate esclusivamente in forma derivata mediante algoritmi di hashing robusti. Firmato supporta 2FA TOTP, gestione delle sessioni, revoca degli accessi, RBAC e segregazione degli utenti di organizzazione. Le API utilizzano credenziali dedicate e scope limitati.
3. Protezione di dati, segreti e documenti
I segreti applicativi e le credenziali dei provider sono cifrati localmente con AES-256-GCM quando previsto dall’architettura. I file sono soggetti a controlli di tipo, dimensione e autorizzazione; i documenti e le evidenze sono associati a hash SHA-256 per supportare verifiche di integrità.
4. Sicurezza applicativa e API
Il software adotta query parametrizzate, escaping dell’output, protezioni CSRF, cookie sicuri, controlli di autorizzazione server-side, validazione dei webhook e misure di rate limiting ove configurate. Gli endpoint amministrativi e le operazioni ad alto impatto sono protetti da controlli ulteriori.
5. Logging, audit e risposta agli incidenti
Login, attività amministrative, billing, KYC, firme, wallet e operazioni probatorie generano eventi di audit. Gli eventi di sicurezza sono valutati, contenuti, documentati e, quando sussistono i presupposti, notificati nel rispetto del GDPR, della disciplina NIS2 applicabile e degli impegni contrattuali.
6. Dipendenze e responsabilità condivisa
Firma elettronica, KYC, pagamenti, timestamp e altri servizi possono dipendere da infrastrutture e provider terzi. UESE presidia l’integrazione e i controlli di propria competenza; il Cliente resta responsabile della sicurezza dei propri dispositivi, utenti, API key, configurazioni, reti e dati caricati.
7. Segnalazioni di sicurezza
Vulnerabilità o eventi sospetti devono essere comunicati mediante i canali di supporto indicati in piattaforma, evitando divulgazioni pubbliche premature e includendo solo le informazioni tecniche strettamente necessarie. UESE può richiedere ulteriori elementi per la verifica e la mitigazione.
8. Versionamento, prevalenza e conservazione della prova
Firmato conserva la versione del documento resa disponibile e, ove previsto dal flusso applicativo, la relativa accettazione con data, account e informazioni tecniche di audit. Le modifiche sostanziali possono richiedere una nuova presa visione o accettazione. La lingua e il Paese sono variabili distinte: la lingua determina la versione linguistica, mentre il Paese determina l’integrazione nazionale applicabile.