Sicurezza e protezione dei dati con ePost

Crittografia e gestione delle chiavi

• I dati vengono crittografati durante la trasmissione e l’archiviazione.
  
• Crittografia del trasporto tramite TLS 1.2+, internamente mTLS
  
• Archiviazione con AES-256
  
• Separazione logica specifica per tenant
  
• Infrastruttura Vault indipendente per la gestione delle chiavi
  
• I contenuti non crittografati sono accessibili solo per i processi autorizzati. Il fornitore di servizi cloud non ha accesso ai dati di testo in chiaro.
  

La Master Key è protetta da un ulteriore livello di sicurezza e può essere ricostruita solo nell’ambito di una procedura di emergenza definita.

Monitoraggio della sicurezza e processi di emergenza

I sistemi vengono monitorati costantemente.

Per gli eventi di sicurezza sono previsti processi di analisi ed escalation definiti. Tali processi sono eseguiti in collaborazione con le unità di sicurezza della Posta.

L’infrastruttura è concepita in modo ridondante. Le procedure di ripristino sono documentate e vengono verificate regolarmente.

Controllo degli accessi

L’accesso ai sistemi e ai dati avviene secondo principi chiaramente regolamentati:

• Controllo degli accessi basato sui ruoli
  
• Autenticazione a più fattori
  
• Principio dell’autorizzazione minima
  
• Registrazione degli accessi rilevanti ai fini della sicurezza
  

È escluso l’accesso alle lettere digitali e ai relativi metadati, che possono essere decriptati e letti solo dal tenant.

Certificazioni e controlli

Certificazioni di ePost:

• ISO 27001
  
• ISAE 3000 (archiviazione conforme all’Olc)
  

A ciò si aggiungono:

• regolari penetration test esterni
  
• verifiche esterne di sicurezza
  
• cloud Lawful Access Risk Assessment (monitoraggio di PostCom e IFPDT)
  

ScanningService

ScanningService elabora gli invii fisici in Svizzera.

• Apertura meccanizzata
  
• Digitalizzazione in un ambiente sicuro
  
• Crittografia prima della consegna digitale
  
• Conservazione limitata nel tempo degli originali cartacei
  
• Eliminazione secondo standard di sicurezza definiti
  

I fornitori di servizi impiegati soddisfano elevati standard in materia di protezione dei dati e sicurezza e sono regolarmente sottoposti a verifiche. Il servizio è certificato ISO.