{"id":1394,"date":"2026-04-21T13:40:52","date_gmt":"2026-04-21T13:40:52","guid":{"rendered":"https:\/\/mumble.it\/?page_id=1394"},"modified":"2026-10-01T09:47:06","modified_gmt":"2026-10-01T09:47:06","slug":"sicurezza-e-conformita","status":"publish","type":"page","link":"https:\/\/mumble.it\/it\/sicurezza-e-conformita\/","title":{"rendered":"Sicurezza e conformit\u00e0"},"content":{"rendered":"\t\t
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t

Politica di sicurezza e conformit\u00e0<\/h1>\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t\t

La Politica di sicurezza e conformit\u00e0 di Mumble si fonda su Zero Trust, Privacy by Design e un'infrastruttura basata su AWS. Conformit\u00e0 al GDPR, rilevamento delle minacce basato sull'AI e una difesa su pi\u00f9 livelli: cos\u00ec garantiamo piattaforme digitali sicure, resilienti e pronte per il futuro.<\/h3>\t\t\t\t<\/div>\n\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Questo documento descrive le misure di sicurezza e conformit\u00e0 adottate da Mumble per proteggere le piattaforme e i servizi digitali che sviluppiamo, rilasciamo e manteniamo per i nostri clienti. Il nostro obiettivo \u00e8 offrire un ambiente sicuro, resiliente e conforme, che riduca i rischi di cybersicurezza e garantisca pratiche solide di gestione dei dati.<\/p>

A chi si rivolge<\/strong><\/p>

Questo documento \u00e8 destinato a:<\/p>

  • clienti e partner che utilizzano i servizi di Mumble;<\/li>
  • responsabili IT e della conformit\u00e0 che necessitano di informazioni sulle misure di sicurezza dei dati;<\/li>
  • fornitori e collaboratori tenuti a rispettare i nostri standard di sicurezza.<\/li><\/ul>

    <\/strong><\/p>

    Principi fondamentali di sicurezza<\/strong><\/p>

    Mumble adotta un approccio proattivo alla sicurezza, basato sui seguenti principi:<\/p>

    • Privacy by Design<\/strong>: la protezione dei dati \u00e8 integrata in ogni fase dello sviluppo.<\/li>
    • Architettura Zero Trust<\/strong>: accessi e privilegi sono limitati al minimo indispensabile.<\/li>
    • Difesa in profondit\u00e0<\/strong>: pi\u00f9 livelli di protezione riducono i rischi per la sicurezza.<\/li>
    • Monitoraggio continuo<\/strong>: la nostra infrastruttura \u00e8 analizzata e monitorata senza interruzioni per individuare e gestire potenziali minacce.<\/li>
    • Conformit\u00e0 normativa<\/strong>: aderiamo ai principali standard di settore in materia di sicurezza e protezione dei dati.<\/li><\/ul>

      Questo documento viene aggiornato periodicamente per tenere conto delle nuove minacce e delle migliori pratiche di sicurezza adottate da Mumble.<\/p>

      Conformit\u00e0 normativa<\/strong><\/p>

      Mumble rispetta pienamente le normative applicabili in materia di sicurezza e protezione dei dati, tra cui GDPR e NIS2. Pur non disponendo di una certificazione formale ISO 27001, le nostre pratiche operative sono allineate ai suoi principi chiave, garantendo misure rigorose di sicurezza, gestione del rischio e protezione dei dati. Questi riferimenti sono la base delle nostre pratiche di sicurezza e assicurano il rispetto delle migliori pratiche in materia di protezione dei dati, gestione del rischio e resilienza operativa.<\/p>

      Sicurezza dell’infrastruttura<\/strong><\/p>

      Infrastruttura cloud<\/strong><\/p>

      L’infrastruttura di Mumble \u00e8 interamente basata su AWS e Cloudflare<\/strong>, a garanzia di alta disponibilit\u00e0, scalabilit\u00e0 e sicurezza. Ogni progetto \u00e8 assegnato a un account AWS<\/strong> separato: questo assicura una netta separazione della fatturazione e un isolamento rigoroso degli ambienti, a vantaggio della sicurezza e dell’efficienza operativa. Salvo diversa richiesta, utilizziamo principalmente le region AWS eu-south-1 (Milano) ed eu-central-1 (Francoforte)<\/strong>, cos\u00ec che i dati restino in Europa nel rispetto delle normative applicabili.<\/p>

      Servizi di sicurezza Cloudflare<\/strong><\/p>

      Mumble impone Cloudflare come requisito di sicurezza obbligatorio per tutte le infrastrutture condivise. Per le infrastrutture dedicate ne raccomanda l’adozione, lasciando la decisione finale al cliente. Nei rari casi in cui non sia possibile modificare i nameserver del dominio, Cloudflare non viene utilizzato, anche se lo sconsigliamo fortemente; in questi casi adottiamo livelli di sicurezza alternativi, definiti in base all’architettura, per garantire comunque una protezione solida.<\/p>

      Quando \u00e8 in uso, Cloudflare offre:<\/p>

      • Protezione DDoS:<\/strong> mitigazione automatica degli attacchi su larga scala.<\/li>
      • Web Application Firewall (WAF):<\/strong> filtraggio del traffico malevolo e blocco delle vulnerabilit\u00e0.<\/li>
      • Content Delivery Network (CDN) globale:<\/strong> prestazioni e disponibilit\u00e0 del sito migliorate.<\/li>
      • Gestione dei bot:<\/strong> individuazione e mitigazione delle minacce automatizzate.<\/li><\/ul>

        Conservazione dei dati e conformit\u00e0 privacy<\/strong><\/p>

        La politica di conservazione dei dati<\/strong> di Mumble \u00e8 sempre definita insieme al cliente, in base ai requisiti specifici del progetto. Indipendentemente dalle specifiche dei singoli progetti, le nostre politiche di conservazione sono pienamente conformi al GDPR<\/strong>. I clienti e i loro utenti finali mantengono il pieno diritto di accedere ai propri dati e di richiederne la cancellazione, tramite meccanismi automatici dove previsti o con una richiesta diretta. Allo stesso modo, anonimizzazione e pseudonimizzazione<\/strong> dei dati vengono applicate come richiesto dal GDPR, nel rispetto degli standard di protezione dei dati e della privacy.<\/p>

        Backup e conservazione dei dati<\/strong><\/p>

        I backup vengono eseguiti ogni giorno e conservati per almeno una settimana, a garanzia della disponibilit\u00e0 dei dati e della capacit\u00e0 di ripristino in caso di disastro. Per massimizzare resilienza e affidabilit\u00e0, i backup sono di norma conservati in modo ridondante su pi\u00f9 livelli:<\/p>

        • Ridondanza su pi\u00f9 livelli:<\/strong> i backup sono salvati localmente sul server, copiati su Amazon S3 e rafforzati da snapshot EBS automatici per una protezione aggiuntiva.<\/li>
        • Backup RDS:<\/strong> interamente gestiti da AWS, con snapshot automatici e ripristino point-in-time per garantire l’integrit\u00e0 dei database.<\/li>
        • Repository del codice:<\/strong> tutto il codice sorgente \u00e8 sotto controllo di versione e conservato in modo sicuro su GitLab o GitHub<\/strong>, con ridondanza, storico delle versioni e una collaborazione pi\u00f9 semplice.<\/li><\/ul>

          Conservare il codice in repository Git<\/strong> offre diversi vantaggi:<\/p>

          • Controllo di versione:<\/strong> ogni modifica \u00e8 tracciata, ed \u00e8 facile tornare a una versione precedente quando serve.<\/li>
          • Collaborazione e integrazione CI\/CD:<\/strong> semplifica il lavoro di squadra e si integra con le pipeline automatiche di test e rilascio.<\/li>
          • Sicurezza e controllo degli accessi:<\/strong> autenticazione obbligatoria, permessi basati sui ruoli e log di audit garantiscono l’integrit\u00e0 del codice e un accesso controllato.<\/li>
          • Ridondanza geografica:<\/strong> i repository in cloud assicurano che il codice resti disponibile e recuperabile anche in caso di guasti all’infrastruttura locale.<\/li><\/ul>

            Grazie a queste pratiche, dati e codice restano sicuri, ridondati e facilmente ripristinabili in caso di incidenti.<\/p>

            Controllo degli accessi e regole firewall<\/strong><\/p>

            Sicurezza della rete d’ufficio<\/strong><\/p>

            La rete interna dell’ufficio di Mumble \u00e8 completamente isolata<\/strong> e non accessibile dall’esterno<\/strong>. Nessuna porta \u00e8 aperta al traffico esterno, per un ambiente totalmente chiuso. L’accesso alle risorse interne \u00e8 rigorosamente controllato e le connessioni in uscita seguono policy di sicurezza che riducono al minimo l’esposizione alle minacce esterne.<\/p>

            Disponiamo inoltre di una VPN di backup isolata<\/strong>, utilizzata solo nei rari casi in cui la rete d’ufficio non sia disponibile o sia necessario un accesso remoto. Questa VPN resta completamente separata dall’operativit\u00e0 quotidiana, per la massima sicurezza.<\/p>

            Sicurezza dell’infrastruttura cloud<\/strong><\/p>

            Per le infrastrutture cloud, Mumble applica una policy di accesso a privilegio minimo<\/strong> su tutti i componenti, cos\u00ec che ogni servizio, utente e sistema disponga solo dei permessi strettamente necessari. Lo facciamo attraverso:<\/p>

            • Security Group:<\/strong> controllo rigoroso del traffico in entrata e in uscita a livello di istanza, consentendo solo le comunicazioni indispensabili.<\/li>
            • Subnet private:<\/strong> i componenti critici dell’infrastruttura (ad esempio database e servizi di backend) sono di norma collocati in subnet private, senza accesso diretto a internet.<\/li>
            • Regole firewall e Network ACL:<\/strong> ulteriori livelli di protezione per bloccare il traffico non autorizzato e segmentare i diversi ambienti.<\/li>
            • IP whitelisting:<\/strong> l’accesso esterno all’infrastruttura \u00e8 limitato agli indirizzi IP di Mumble, cos\u00ec che possa connettersi solo personale autorizzato.<\/li><\/ul>

              Con queste misure, sia la rete interna dell’ufficio sia le infrastrutture cloud di Mumble restano altamente sicure, riducendo al minimo la superficie di attacco senza rinunciare all’efficienza operativa.<\/p>

              <\/strong><\/p>

              Monitoraggio della sicurezza e analisi del codice<\/strong><\/p>

              Risposta agli incidenti e monitoraggio<\/strong><\/p>

              Mumble utilizza sistemi di rilevamento e allerta degli incidenti in tempo reale<\/strong> che avvisano il team su pi\u00f9 canali, tra cui Slack, SMS, telefonate ed email<\/strong>, per una presa in carico immediata di qualsiasi incidente di sicurezza. I nostri Service Level Agreement (SLA)<\/strong> garantiscono alta disponibilit\u00e0 e interventi rapidi, con un uptime indicativo del 99,99%<\/strong>, per un servizio senza interruzioni.<\/p>

              Monitoraggio in tempo reale di applicazioni e infrastruttura<\/strong><\/p>

              Mumble impiega una serie di strumenti di monitoraggio per garantire visibilit\u00e0 continua, risposta rapida agli incidenti e stabilit\u00e0 dei sistemi:<\/p>

              • AWS CloudWatch<\/strong>: monitoraggio in tempo reale di risorse AWS, log applicativi e metriche di prestazione, per individuare e mitigare i problemi.<\/li>
              • Sentry e Crashlytics<\/strong>: monitoraggio applicativo per tracciare errori e crash e ottimizzare le prestazioni, sia nel backend sia nel frontend.<\/li>
              • Cloudflare Analytics e Security Insights<\/strong>: visibilit\u00e0 approfondita su traffico web, minacce alla sicurezza e andamento delle prestazioni di rete.<\/li>
              • Nessus<\/strong>: valutazioni periodiche delle vulnerabilit\u00e0, interne ed esterne, per individuare i rischi di sicurezza.<\/li><\/ul>

                Insieme, questi strumenti consentono di risolvere i problemi in modo proattivo, riducendo al minimo i tempi di fermo e garantendo la resilienza dei sistemi.<\/p>

                AWS Control Tower per governance e sicurezza del cloud<\/strong><\/p>

                Mumble gestisce l’intera infrastruttura AWS tramite AWS Control Tower<\/strong>, che offre governance centralizzata, applicazione delle regole di sicurezza e gestione multi-account su tutti gli ambienti dei clienti.<\/p>

                Control Tower garantisce:<\/p>

                • Governance centralizzata<\/strong>: tutti gli account AWS sono organizzati in un’unica Organization, con guardrail standard applicati automaticamente.<\/li>
                • Baseline di sicurezza<\/strong>: controlli preventivi e di rilevamento obbligatori, applicati in modo uniforme a ogni account tramite SCP e Config Rules di AWS.<\/li>
                • Isolamento degli account<\/strong>: ogni progetto gira in un account AWS dedicato, registrato in Control Tower e soggetto alla stessa postura di sicurezza.<\/li>
                • Visibilit\u00e0 per audit e conformit\u00e0<\/strong>: AWS CloudTrail e Config sono attivi su tutta l’organizzazione, con un unico audit trail e un monitoraggio continuo della conformit\u00e0.<\/li>
                • Correzione automatica<\/strong>: scostamenti dalla configurazione e violazioni delle policy generano allerte e, dove previsto, azioni correttive automatiche.<\/li><\/ul>

                  AWS CodeGuru per qualit\u00e0 e sicurezza del codice<\/strong><\/p>

                  Per rendere pi\u00f9 sicuro ed efficiente il ciclo di vita dello sviluppo software, Mumble integra AWS CodeGuru<\/strong> nella propria pipeline CI\/CD. AWS CodeGuru supporta:<\/p>

                  • Revisioni automatiche del codice<\/strong>: individuazione di vulnerabilit\u00e0, codice inefficiente e potenziali problemi di prestazione.<\/li>
                  • Profilazione delle applicazioni in esecuzione<\/strong>: indicazioni per ottimizzare prestazioni e uso delle risorse.<\/li>
                  • Raccomandazioni basate sul machine learning<\/strong>: suggerimenti su best practice di sicurezza e correzione dei bug.<\/li><\/ul>

                    Certificazioni ed esperienza AWS<\/strong><\/p>

                    Il nostro team possiede certificazioni AWS<\/strong>, tra cui AWS Solutions Architect Professional<\/strong>, a conferma della nostra esperienza nella progettazione e gestione di infrastrutture cloud sicure, performanti e resilienti.<\/p>

                    <\/strong><\/p>

                    Sicurezza applicativa e sviluppo sicuro<\/strong><\/p>

                    Penetration test e valutazione delle vulnerabilit\u00e0<\/strong><\/p>

                    Mumble esegue periodicamente penetration test<\/strong> sulle risorse critiche dell’infrastruttura, per individuare e correggere potenziali vulnerabilit\u00e0. Le verifiche riguardano asset interni ed esterni e i rilievi vengono gestiti in base alla priorit\u00e0, cos\u00ec che le nostre misure di sicurezza restino efficaci anche contro le minacce emergenti.<\/p>

                    Cifratura e comunicazioni sicure<\/strong><\/p>

                    Tutte le trasmissioni di dati sono cifrate con TLS (HTTPS) come impostazione predefinita<\/strong>, a garanzia della riservatezza e dell’integrit\u00e0 dei dati in transito. Nessun servizio viene rilasciato senza cifratura: i protocolli sicuri sono applicati a tutti i servizi e non sono facoltativi.<\/p>

                    Formazione e consapevolezza sulla sicurezza<\/strong><\/p>

                    Mumble investe in formazione continua e iniziative di sensibilizzazione sulla sicurezza per tutto il team. I nostri programmi coprono i principi di sicurezza difensiva e offensiva<\/strong>, per una comprensione completa e un’applicazione concreta delle migliori pratiche.<\/p>

                    Formazione sulla cybersicurezza e sicurezza offensiva<\/strong><\/p>

                    • Sessioni di formazione periodiche sulla cybersicurezza, tra cui sviluppo sicuro, sicurezza di rete e gestione delle vulnerabilit\u00e0.<\/li>
                    • Corsi avanzati sulle tecniche di sicurezza offensiva<\/strong>, che danno al team tecnico una comprensione pi\u00f9 profonda dei possibili vettori di attacco e delle strategie di prevenzione.<\/li>
                    • Esercitazioni interne e attivit\u00e0 pratiche per rafforzare la preparazione a scenari reali.<\/li><\/ul>

                      Consapevolezza sul phishing e test di sicurezza<\/strong><\/p>

                      • Campagne continue di sensibilizzazione per insegnare a riconoscere e gestire i tentativi di phishing.<\/li>
                      • Attacchi di phishing simulati per valutare la reazione del team e migliorarne la consapevolezza.<\/li>
                      • Aggiornamenti frequenti sulla sicurezza e promemoria sulle best practice tramite Slack e i canali di comunicazione interni.<\/li><\/ul>

                        Sicurezza e gestione dei dispositivi<\/strong><\/p>

                        • Tutti i Mac aziendali sono gestiti tramite Mosyle MDM<\/strong>, con policy di protezione degli endpoint e controlli di conformit\u00e0 automatici.<\/li>
                        • I dispositivi Windows sono protetti da software di sicurezza e monitorati per verificarne la conformit\u00e0 alle policy interne.<\/li><\/ul>

                          Ciclo di vita dello sviluppo sicuro (Secure SDLC)<\/strong><\/p>

                          Mumble segue un Secure Software Development Lifecycle (SDLC)<\/strong> che integra la sicurezza in ogni fase dello sviluppo:<\/p>

                          • Threat modeling e valutazione del rischio<\/strong>: individuazione delle potenziali minacce fin dalle prime fasi, prima di scrivere il codice.<\/li>
                          • Test di sicurezza automatici<\/strong>: analisi statiche e dinamiche integrate nello sviluppo, per individuare le vulnerabilit\u00e0 prima del rilascio.<\/li>
                          • Code review e audit tra pari<\/strong>: revisioni di sicurezza manuali e automatiche per garantire il rispetto delle best practice.<\/li>
                          • Sicurezza di Continuous Integration e Deployment (CI\/CD)<\/strong>: scansioni di sicurezza e controlli di conformit\u00e0 all’interno della pipeline di rilascio.<\/li>
                          • Formazione sulla sicurezza<\/strong>: aggiornamento continuo del team con corsi strutturati e programmi di sensibilizzazione sul phishing.<\/li>
                          • Prontezza nella risposta agli incidenti<\/strong>: rilevamento e mitigazione rapidi degli incidenti di sicurezza grazie a protocolli di risposta ben definiti.<\/li><\/ul>

                            Con queste pratiche Mumble mantiene un approccio solido e proattivo alla sicurezza del software<\/strong>, e le applicazioni restano resilienti di fronte a minacce in continua evoluzione.<\/p>

                            <\/strong><\/p>

                            Domande frequenti (FAQ)<\/strong><\/p>

                            Come garantisce Mumble la conformit\u00e0 al GDPR?<\/strong><\/p>

                            Mumble rispetta rigorosamente il GDPR<\/strong>: le politiche di conservazione, accesso e cancellazione dei dati sono allineate ai requisiti del cliente. I clienti possono richiedere l’accesso ai propri dati o la loro cancellazione tramite meccanismi automatici oppure scrivendo direttamente a info@mumble.it.<\/p>

                            Quali misure di sicurezza proteggono le applicazioni ospitate?<\/strong><\/p>

                            Tutte le applicazioni ospitate beneficiano della protezione di Cloudflare<\/strong>, di regole firewall rigorose, della cifratura TLS (HTTPS) attiva per impostazione predefinita<\/strong> e di un monitoraggio continuo della sicurezza.<\/p>

                            Come gestisce Mumble la risposta agli incidenti?<\/strong><\/p>

                            Utilizziamo strumenti di monitoraggio in tempo reale<\/strong> che, in caso di incidenti di sicurezza, avvisano il team tramite Slack, SMS, telefonate ed email<\/strong>. Il nostro team DevOps, guidato dal CTO<\/strong>, garantisce una risposta e una mitigazione tempestive, nel rispetto del nostro impegno di SLA al 99,99%<\/strong>.<\/p>

                            Chi \u00e8 responsabile della sicurezza in Mumble?<\/strong><\/p>

                            La sicurezza di Mumble \u00e8 gestita dal team DevOps<\/strong>, sotto la supervisione e la guida del CTO<\/strong>.<\/p>

                            Come posso richiedere supporto sulla sicurezza o segnalare un problema?<\/strong><\/p>

                            Per richieste legate alla sicurezza o per segnalare un problema, scrivete a info@mumble.it o chiamate il +39 059 472 4967<\/strong>.<\/p>