Sicurezza e protezione dei dati

• MFA obbligatoria

  Password e codice dell’app di autenticazione – oppure una passkey, che copre entrambi i fattori – per ogni persona, anche per i nostri amministratori.

• Passkey

  Accesso con impronta digitale, Face ID, Windows Hello o una chiave di sicurezza. Una passkey copre entrambi i fattori; password e app di autenticazione restano come alternativa.

• Accesso con account aziendale (SSO)

  Accesso tramite il vostro identity provider (OpenID Connect con PKCE), ad es. Microsoft Entra ID, Google Workspace, Okta o Keycloak. I vostri amministratori possono rendere l’SSO obbligatorio per la vostra azienda.

• Password con Argon2id

  Almeno 12 caratteri, archiviate esclusivamente come hash Argon2id.

• Blocco progressivo dell’account

  Blocco dopo ripetuti tentativi falliti, più lungo con ulteriori tentativi: 15 minuti, 1 ora, 24 ore.

• Rate Limiting e blocco IP

  I tentativi di accesso per indirizzo IP sono limitati; in presenza di schemi di attacco l’indirizzo viene bloccato e l’esercizio viene avvisato.

• Avviso per un nuovo dispositivo

  Quando qualcuno accede da un nuovo dispositivo, la persona riceve un’e-mail.

• Timeout di sessione

  Disconnessione dopo 30 minuti di inattività, al più tardi dopo 10 ore (impostazione predefinita; per azienda 10–60 minuti e 4–12 ore).

• Nuova conferma prima di azioni sensibili

  Per azioni particolarmente sensibili Complass richiede una nuova conferma con codice dell’app o passkey (“step-up”), anche all’interno di una sessione in corso.

• Ruoli e autorizzazioni granulari

  Nessun accesso, lettura o scrittura per persona e area, più diritti speciali, facoltativamente limitati nel tempo.

• Profili di ruolo

  I profili di ruolo predefiniti come “Auditor esterno” possono essere adottati e adattati alla vostra azienda dai vostri amministratori.

• Principio dei quattro occhi

  Per le accettazioni del rischio e le approvazioni dei documenti i vostri amministratori possono impostare il principio dei quattro occhi. Gli interventi di Complass sui vostri dati (ad es. reimpostare password e MFA, modificare un indirizzo e-mail, eliminare definitivamente un progetto) avvengono da noi sempre e solo previa approvazione di una seconda persona.

• Separazione dei clienti

  Ogni interrogazione è limitata alla vostra azienda; gli altri oggetti risultano “non trovati”.

• Accesso fornitori

  I fornitori vedono solo i questionari e le evidenze loro assegnati; la separazione viene verificata automaticamente.

1. Nel cestino, ripristinabile per 30 giorni; solo dopo aver digitato il nome del progetto.
2. In tutti i progetti o solo in quelli impostati su “modifica”.
3. Solo con accesso a tutti i progetti.

La modifica richiede una licenza valida; dopo la scadenza della licenza restano possibili la visualizzazione e l’esportazione. L’ultimo amministratore di un’azienda non può essere declassato, così il vostro team non rimane mai senza nessuno che lo gestisca.

La tabella mostra le impostazioni predefinite dei ruoli. In “Autorizzazioni” i vostri amministratori adeguano i diritti per ogni persona in modo granulare: per area (ogni framework, ogni modulo, ogni voce di menu) nessun accesso, lettura o scrittura, più diritti speciali come esportare (anche per area), eliminare, approvare documenti, trasmettere le fasi di notifica, importare asset, invitare persone e gestire le autorizzazioni, facoltativamente limitati nel tempo e tramite profili di ruolo. Vale sempre la regola più restrittiva; la sola lettura non scrive mai. Le voci di menu senza autorizzazione sono nascoste e il server respinge le richieste dirette. Singole persone possono inoltre essere invitate a un solo oggetto (ad es. un’attività o un documento) per commentare o modificare insieme senza ricevere ulteriori diritti. La matrice delle autorizzazioni filtrata si esporta come evidenza (Excel, CSV, PDF).

• Asset, incidenti, vulnerabilità, attività

  Non accessibili agli amministratori di Complass nell’interfaccia utente.

• Progetti solo con autorizzazione del consulente

  I nostri consulenti vedono progetti, documenti e evidenze solo quando il vostro amministratore concede l’accesso consulente. Ogni sessione in cui un consulente apre un progetto compare nel vostro registro, con il tipo di accesso.

• Accesso di emergenza solo con la vostra autorizzazione

  Solo se lo avete consentito in precedenza, con motivazione e approvazione di una seconda persona, al massimo 60 minuti, in sola lettura, nel registro e con e-mail immediata ai vostri amministratori.

• Allegati dell’assistenza solo se autorizzati

  Vediamo gli allegati dei ticket di assistenza solo dopo che il vostro amministratore ha approvato il ticket.

• Sessione di assistenza solo con autorizzazione

  La persona interessata autorizza la sessione, limitata a 30, 60 o 120 minuti, per impostazione predefinita in sola lettura e senza file né esportazione. L’accesso in scrittura richiede inoltre il consenso del vostro amministratore.

• Visibile e terminabile in qualsiasi momento

  Un banner mostra “sessione di assistenza attiva” e potete terminarla in qualsiasi momento. Ogni visualizzazione di pagina viene registrata e Complass richiede inoltre l’MFA per la sessione.

• Ruoli separati in Complass

  I ruoli sono separati internamente, ad es. sviluppo, vendite e amministrazione: il personale vede solo ciò che serve per il proprio compito.

• Data in Transit

  Solo HTTPS, HSTS per un anno, sottodomini inclusi.

• File di evidenza per ogni cliente

  Cifrati con una chiave separata per ogni cliente (XChaCha20-Poly1305), al di fuori della directory pubblica.

• Secret e codici MFA

  Secret MFA cifrati, link di invito e codici di ripristino archiviati esclusivamente come HMAC.

• Giornaliero

  Backup giornaliero del database e di tutti i file di evidenza.

• Cifrato con una chiave pubblica

  Il backup del database è cifrato con libsodium (XChaCha20-Poly1305) per una chiave pubblica.

• Chiave privata non sul server

  Conserviamo la chiave privata per la decifratura esclusivamente offline.

• I file di evidenza restano cifrati

  I file di evidenza vengono salvati nel backup in forma cifrata (chiave per ogni cliente).

• Le manomissioni vengono rilevate

  I backup alterati o danneggiati vengono rilevati al ripristino e non vengono applicati.

• Fino a 60 giorni e ripristino mirato

  Sul server restano gli ultimi 30 backup giornalieri; fuori dal server ci sono inoltre stati giornalieri che non possono essere eliminati dal server e una copia mensile offline. Ogni backup viene eliminato o sovrascritto al più tardi dopo 60 giorni; i singoli progetti possono essere ripristinati in modo selettivo come copia.

• Copia fuori dal server

  Una copia cifrata di ogni backup è inoltre conservata fuori dal server in un data center in Germania.

• Ospitato in Germania

  Presso Hetzner Online GmbH in data center in Germania, con contratto di trattamento dei dati.

• Monitoring

  Backup, cron job, storage, dati sulle vulnerabilità, recapito delle e-mail, errori del server e tempi di risposta vengono controllati in continuo; Complass viene avvisato automaticamente in caso di anomalie.

• Rapporto giornaliero sull’esercizio

  Complass riceve ogni giorno un rapporto sullo stato dell’esercizio, senza contenuti dei clienti.

• Disponibilità verificabile dall’esterno

  Un indirizzo di stato senza dati dei clienti consente un monitoring della disponibilità dall’esterno; è in corso la configurazione di un monitoring esterno.

• Solo il punto di ingresso è pubblico

  Database, evidenze, backup e codice del programma sono bloccati rispetto al web.

• Content security policy

  Solo script, stili e font dal nostro server, nessuno script inline, nessun incorporamento in altri siti.

• Header di sicurezza e protezione CSRF

  Header di sicurezza in ogni risposta, token CSRF per ogni modifica.

• Controlli sui caricamenti

  I file caricati vengono verificati per estensione e contenuto effettivo; sono consentiti solo i tipi ammessi.

• Elaborazione XML sicura

  Importazioni XML (ad es. Nmap, scanner, Excel) senza caricare risorse esterne e senza risolvere entità esterne.

• Catture di rete solo nel browser

  I file PCAP vengono analizzati nel browser e non vengono caricati.

• Scansioni di sicurezza automatiche

  A ogni modifica del codice: analisi statica del codice, ricerca di secret salvati per errore, verifica di tutti i componenti di terze parti per vulnerabilità note, una distinta dei componenti software (SBOM) e una scansione dinamica dell’applicazione in esecuzione.

• OWASP ASVS 5.0

  OWASP ASVS 5.0: livello 1 98 % · livello 2 93 % · livello 3 85 % (autovalutazione, stato al 21.10.2026). Un’eccezione motivata, indicata apertamente.

• Cronologia delle modifiche per oggetto

  Chi, quando, valore precedente e nuovo, ad es. su voci di catalogo, attività e fasi.

• Versioni con approvazione

  Le versioni precedenti dei documenti con approvazione (nome, data) e le versioni dei file di evidenza restano disponibili.

• Cronologia dei commenti

  I commenti modificati conservano le versioni precedenti; i commenti ritirati e nascosti vengono conservati.

• Esportazione per audit

  Un pacchetto cifrato per audit interni ed esterni: progetti, documenti, evidenze, registri e registro eventi, solo nei limiti dei diritti di lettura della persona che lo richiede. Il link per il download arriva via e-mail. Un manifest con checksum dimostra che il pacchetto non è stato modificato; lo verificate nel portale.

• Registro attività cliente

  Accessi, esportazioni, modifiche alle autorizzazioni, eliminazioni e altre azioni importanti, filtrabili ed esportabili per i vostri amministratori.

• Registro con rilevamento delle manomissioni

  Ogni voce del vostro registro attività cliente e degli eventi di sicurezza è collegata alla precedente tramite una catena di hash (HMAC-SHA-256); modifiche o cancellazioni diventano visibili durante la verifica. Lo stato della verifica (ultimo controllo, valore di controllo) è visibile nel registro attività cliente e nell’esportazione.

• Nessun tracker pubblicitario

  Nell’area clienti nessuno strumento di tracciamento o di analisi, nessun font o script esterno; sul sito web pubblico statistiche dei visitatori senza cookie (Plausible, UE); solo cookie tecnicamente necessari: la sessione e, se scegliete una lingua, la vostra lingua.

• Periodi di conservazione

  Gli indirizzi IP nel registro vengono abbreviati dopo 90 giorni, le voci del registro eliminate dopo 24 mesi, le richieste dei potenziali clienti dopo 12 mesi.

• Esportazione in qualsiasi momento, nessun lock-in

  Documenti, tabelle, rapporti e pacchetto di compliance con tutti i file di evidenza esportabili in qualsiasi momento.

• Cambio di fornitore senza costi

  Passaggio a un altro fornitore o al proprio sistema con termini fissi ed esportazione dei dati della vostra azienda in formati aperti. La pagina “Cambio di fornitore ed esportazione dei dati” descrive la procedura e i formati.

• Accesso in lettura dopo la fine del contratto

  Dopo la fine del contratto i vostri contenuti restano leggibili ed esportabili; è bloccata solo la modifica.

• Cancellazione dei dati su richiesta

  Nel portale: prima l’esportazione, poi la conferma con password, MFA, nome dell’azienda ed e-mail, periodo di attesa di 7 giorni, conferma di cancellazione in PDF.

• Replica delle fonti pubbliche

  NVD, CISA KEV, EPSS ed ENISA EUVD vengono scaricati sul server.

• Nessun dato dei clienti inviato all’esterno

  Le informazioni del vostro inventario degli asset non vengono inviate a servizi esterni per la corrispondenza.

• Sub-responsabili del trattamento

  Per i contenuti che registra nel portale utilizziamo Hetzner Online GmbH (hosting). Con il modulo aggiuntivo “Allarme tramite SMS e chiamata” interviene sms77 io GmbH (seven.io) per il numero di telefono e il testo dell’allarme.

• Assistenza tramite il vostro amministratore

  Segnalazioni, richieste e domande ci arrivano raccolte tramite il vostro amministratore. Stato e risposte sono visibili nel ticket, fino a “risolto nella versione …”. Non vedete mai i ticket di altri clienti, e viceversa.

• Cronologia delle versioni

  Ciò che cambia è elencato per ogni versione in “Novità”.

• Segnalare una vulnerabilità

  Inviate le segnalazioni di vulnerabilità di sicurezza a security@complass.de; contatto anche in /.well-known/security.txt.

• Contenuti con il supporto dell’IA

  I contenuti vengono creati con il supporto dell’IA e verificati rispetto ai testi originali dai nostri esperti.