Affidabilità
La sicurezza, in parole semplici
I registri di salute e sicurezza riportano i nomi di persone reali nei loro giorni peggiori. Ecco come li tratta Forma360, con le stesse parole semplici del resto del sito. Compresa la parte che quasi tutte le pagine sulla sicurezza tralasciano: quello che ancora non abbiamo.
Un'organizzazione, un confine
Ogni record appartiene alla tua organizzazione ed è limitato a essa a livello di dati. Uno spazio di lavoro non può mai leggere un altro spazio di lavoro. L'isolamento è il modo in cui la piattaforma è costruita, non un filtro applicato sopra.
Permessi applicati sul server
Set di permessi con un nome stabiliscono chi può vedere e fare cosa, e ogni controllo avviene sul server. Nascondere un pulsante non è mai il modello di sicurezza. Assegna una persona a dei siti e vedrà i record di quei siti, di tutti i siti sottostanti e il proprio lavoro. Vale allo stesso modo per registri, ricerca, esportazioni, dashboard e assistente. La disattivazione di una persona ha effetto immediato, anche sulle sessioni già aperte, e la piattaforma rifiuta qualsiasi modifica che lascerebbe uno spazio di lavoro senza amministratore.
Un accesso che resiste alle password trafugate
Accedi con una password o con un codice monouso inviato alla tua email. Ogni account può sempre usare il codice. Le password devono avere almeno 12 caratteri, vengono confrontate con le violazioni note quando le imposti e sono conservate in forma di hash. Ogni modifica o reimpostazione della password invia un'email al titolare dell'account e chiude le altre sessioni.
Link di condivisione sotto il tuo controllo
I link di condivisione pubblici (report di ispezione, briefing) usano token lunghi e impossibili da indovinare, sono esclusi dall'indicizzazione dei motori di ricerca e si possono revocare in qualsiasi momento. La revoca è immediata.
L'assistente vede ciò che vedi tu
L'assistente IA risponde solo dai record del tuo spazio di lavoro, filtrati in base ai tuoi permessi. Su WhatsApp, ogni messaggio in arrivo viene verificato tramite firma e il mittente viene abbinato al suo account prima di cercare qualsiasi dato.
Telemetria senza i tuoi dati
Le segnalazioni di errore vengono ripulite prima di lasciare l'applicazione: corpi delle richieste, cookie, query string e token di accesso vengono rimossi, così diagnosticare un guasto non significa mai esportare i tuoi record.
Cifratura, backup e audit
Tutto il traffico è cifrato in transito e l'applicazione gira su un'infrastruttura cloud gestita. Le attività amministrative sono registrate in un registro di audit che i tuoi amministratori possono consultare dalle impostazioni, e ogni registro si esporta quando vuoi. I tuoi record non sono mai tenuti in ostaggio.
Cosa non abbiamo ancora
Preferiamo dirtelo noi piuttosto che tu lo scopra da solo: il single sign-on (SSO/SAML) e le certificazioni formali come ISO 27001 non sono ancora disponibili. Se la tua organizzazione deve far compilare un questionario di sicurezza prima di adottare la piattaforma, mandacelo. Rispondiamo con onestà.
Domande, questionari, segnalazioni di vulnerabilità
Scrivi tutto a support@forma360.io. Se pensi di aver trovato una vulnerabilità, segnalala lì prima di renderla nota altrove. Prendiamo sul serio le segnalazioni e rispondiamo come persone vere.