Panoramica sulla sicurezza
Introduzione
Gli utenti di Evernote ci affidano miliardi di note, progetti e idee. Questa fiducia si basa sulla nostra capacità di mantenere quei dati sia privati che sicuri. Le informazioni presenti in questa pagina hanno lo scopo di offrire trasparenza su come proteggiamo tali dati. Continueremo ad ampliare e aggiornare queste informazioni man mano che aggiungeremo nuove funzionalità di sicurezza e miglioreremo la protezione dei nostri prodotti.
Programma di sicurezza
La sicurezza è gestita da un team dedicato all’interno di Evernote. La missione del nostro team di sicurezza è proteggere i dati che gli utenti archiviano nel nostro servizio.
Il team contribuisce alla progettazione di funzionalità sicure, monitora e risponde agli avvisi di sicurezza, e valuta periodicamente la nostra infrastruttura e le nostre applicazioni per individuare eventuali vulnerabilità. I nostri security engineers valutano continuamente nuovi strumenti per aumentare la copertura e la profondità di queste valutazioni e per rafforzare la protezione dei dati dei nostri utenti.
Monitoriamo i nostri sistemi e l’infrastruttura alla ricerca di segni di attività sospette o minacce potenziali. Riceviamo avvisi di sicurezza in tempo reale da varie fonti. Ogni avviso viene esaminato tempestivamente, e agiamo rapidamente per indagare, contenere e risolvere qualsiasi rischio identificato.
Evernote offre un solido programma di formazione sulla sicurezza entro 30 giorni dall’assunzione di un nuovo dipendente e con cadenza annuale per tutto il personale. Disponiamo inoltre di un insieme di politiche di Information Security, che vengono fornite a tutti i dipendenti subito dopo l’assunzione.
Tutti gli account dei dipendenti sono protetti tramite autenticazione a due fattori (2FA) obbligatoria o passkey, per garantire una protezione efficace contro accessi non autorizzati.
L’accesso è limitato secondo il principio del minimo privilegio: i membri del team hanno accesso solo alle informazioni necessarie per svolgere il proprio lavoro. Inoltre, l’accesso è concesso per un periodo limitato e solo per il numero minimo di servizi necessari. I permessi sono soggetti a valutazioni interne frequenti e costante monitoraggio per garantirne la conformità.
In Evernote prendiamo molto sul serio la sicurezza degli endpoint per garantire che tutti i dispositivi dei dipendenti che accedono a sistemi sensibili siano protetti. Ogni dispositivo utilizzato dai dipendenti Evernote è:
- Gestito tramite Mobile Device Management (MDM) – ciò ci consente di applicare le politiche di sicurezza, monitorare la conformità e gestire le configurazioni dei dispositivi da remoto.
- Protetto con Enterprise-Grade Anti-Malware – tutti i dispositivi sono dotati di software aggiornato che rileva e blocca le minacce in tempo reale.
- Aggiornato automaticamente – applichiamo aggiornamenti automatici al sistema operativo e al software per garantire che i dispositivi eseguano sempre le patch di sicurezza più recenti.
Per anticipare le minacce in evoluzione, Evernote utilizza strumenti di Open-Source Intelligence (OSINT) per monitorare proattivamente Internet alla ricerca di potenziali rischi e minacce emergenti. Queste informazioni in tempo reale ci consentono di agire rapidamente per identificare e mitigare i rischi prima che possano avere un impatto sui nostri sistemi o utenti. Combinata con avvisi automatici e analisi manuale, questa strategia basata sull’OSINT è una parte fondamentale della nostra difesa a più livelli.
Sicurezza del prodotto
Proteggere il nostro servizio web esposto a Internet è di fondamentale importanza per salvaguardare i dati dei nostri utenti. Il nostro team di sicurezza gestisce un programma di sicurezza delle applicazioni per migliorare l’igiene del codice e valuta periodicamente il nostro servizio alla ricerca di problematiche comuni di sicurezza. Queste valutazioni vengono eseguite tramite penetration test annuali condotti da fornitori esterni e attraverso un programma pubblico di bug bounty su HackerOne. Tutte le vulnerabilità riscontrate vengono tracciate per l’attuazione di azioni correttive, seguendo un approccio basato sul rischio. I report dei penetration test sono disponibili su richiesta con la stipula di un NDA appropriato.
Nel rispetto del nostro impegno a mantenere i più alti standard di sicurezza, ci sottoponiamo ogni anno alla valutazione Google CASA (Cloud Application Security Assessment) di livello 2. Questo è un solido framework di valutazione sviluppato da Google, basato sullo standard OWASP Application Security Verification Standard (ASVS) riconosciuto a livello industriale. Fornisce un insieme completo e coerente di requisiti per rafforzare la sicurezza di qualsiasi applicazione. La valutazione include test avanzati come il DAST (Dynamic Application Security Testing), garantendo che i nostri sistemi siano valutati proattivamente e continuamente rinforzati contro potenziali minacce.
Abbiamo configurato sistemi di allerta e controlli per prevenire operazioni critiche o per notificarci quando vengono eseguite, e abbiamo attivato i log di audit per tutte le azioni o operazioni effettuate su risorse critiche dell’infrastruttura, come i production databases.
Utilizziamo un sistema centralizzato e sicuro per gestire e controllare l’accesso ai segreti delle applicazioni. Controlli di accesso granulari e una registrazione dettagliata delle attività aiutano a garantire che tali segreti siano accessibili solo a sistemi e dipendenti autorizzati, e solo quando necessario. Tutti i segreti sono crittografati sia at-rest che in transito, e il loro accesso è regolato da politiche rigorose di autenticazione e autorizzazione.
In Evernote, la sicurezza è integrata in ogni fase del processo di sviluppo. Il nostro team di ingegneria del software rivede e testa con attenzione tutte le modifiche al codice per garantire stabilità e qualità. Le revisioni del codice sono obbligatorie per qualsiasi distribuzione in produzione. Per le funzionalità che influiscono sulla sicurezza, il nostro team di sicurezza dedicato è coinvolto sin dalle prime fasi, collaborando nelle decisioni di progettazione e conducendo revisioni di codice focalizzate sulla sicurezza. Le funzionalità sensibili sono coperte da test end-to-end per evitare l’introduzione di bug o vulnerabilità.
Per garantire la sicurezza della nostra software supply chain, Evernote utilizza strumenti affidabili di terze parti per monitorare e rilevare continuamente l’uso di versioni vulnerabili delle dipendenze. Questi strumenti analizzano la nostra codebase per individuare problemi di sicurezza noti nelle librerie e nei framework open source. Quando viene rilevata una vulnerabilità, il nostro team di ingegneria riceve un avviso immediato, consentendoci di dare priorità agli aggiornamenti o alle misure di mitigazione necessarie.
Gli ambienti di test, staging e produzione sono logicamente separati. Nessun dato utente è presente in ambienti di sviluppo o test.
Il nostro servizio web autentica tutte le applicazioni client di terze parti utilizzando OAuth. OAuth fornisce un modo semplice e sicuro per consentire agli utenti di collegare un’applicazione di terze parti al proprio account Evernote senza dover fornire le proprie credenziali. Una volta che l’utente effettua l’accesso con successo, restituiamo un token di autenticazione all’applicazione client per autenticare l’accesso da quel momento in poi. Questo elimina la necessità per l’applicazione di terze parti di memorizzare le credenziali di accesso dell’utente.
Ogni applicazione client che si connette a Evernote utilizza un’API Thrift ben definita per tutte le operazioni. Centralizzando tutte le comunicazioni attraverso questa API, possiamo applicare controlli di autorizzazione come elemento fondamentale dell’architettura dell’applicazione. Non è previsto alcun accesso diretto agli oggetti all’interno del servizio, e il token del client viene verificato a ogni accesso per assicurarsi che sia autenticato e autorizzato ad accedere a una specifica nota o notebook.
Per maggiori informazioni, consulta la nostra documentazione per sviluppatori.
Sicurezza della rete
Il servizio Evernote è interamente ospitato sulla Google Cloud Platform (GCP). Evernote definisce i propri confini di rete attraverso una combinazione di load balancers, firewall e VPN. Usiamo questi strumenti per controllare quali servizi esporre su Internet e per segmentare la rete di produzione dal resto dell’infrastruttura informatica. Limitiamo l’accesso all’infrastruttura di produzione in base alle esigenze aziendali e richiediamo un’autenticazione forte per ogni accesso.
Tutte le risorse infrastrutturali, comprese quelle relative alla rete, sono monitorate e definite tramite Terraform, il nostro strumento scelto per implementare l’Infrastructure as Code (IaC).
Evernote adotta diverse strategie di protezione contro attacchi DDoS, utilizzando strumenti stratificati per mitigare queste minacce. Usiamo il CDN avanzato di Fastly con protezione DDoS integrata, insieme agli strumenti nativi di GCP e tecniche di mitigazione specifiche per le applicazioni. Monitoriamo e blocchiamo i tipi di attacco più comuni ai margini della rete, con l’obiettivo di impedire che traffico dannoso raggiunga i nostri server.
Sicurezza dell'account
Evernote non memorizza mai le password degli utenti in chiaro. Invece, memorizziamo in modo sicuro un hash crittografico, così che le password reali restino protette anche nell’eventualità (improbabile) di una violazione dei dati.
Per contribuire alla sicurezza degli account Evernote, impediamo l’uso di password facilmente indovinabili, comprese quelle contenenti parole comuni o presenti in note violazioni di dati, come indicato dal database Have I Been Pwned. Se una password viene riconosciuta come debole o compromessa, l’utente viene invitato a reimpostarla per la propria sicurezza. Inoltre, i nostri endpoint di accesso sono protetti con tecnologia CAPTCHA, aggiungendo un ulteriore livello di difesa contro attacchi automatici e tentativi di brute force.
Evernote offre la verifica in due passaggi (2SV), nota anche come autenticazione a due fattori o multi-fattore, per tutti gli account. Il nostro sistema 2SV si basa su un algoritmo TOTP (Time-Based One-Time Password). Tutti gli utenti possono generare localmente i codici utilizzando un’applicazione installata sul proprio dispositivo mobile.
Sicurezza delle email
Evernote consente agli utenti di creare note nel proprio account inviando email a un indirizzo email univoco di Evernote. Per proteggerci da contenuti dannosi, scansioniamo tutte le email ricevute utilizzando un motore antivirus commerciale.
Quando gli utenti ricevono un’email da Evernote, vogliamo che abbiano la certezza che provenga realmente da noi. Per aumentare la fiducia nella legittimità delle email inviate da Evernote, applichiamo una policy DMARC restrittiva. Ogni email inviata dai seguenti domini sarà firmata crittograficamente tramite DKIM e inviata da un indirizzo IP incluso nel nostro record SPF:
- @evernote.com
- @account.evernote.com
- @accounts.evernote.com
- @comms.evernote.com
- @mail.privacy.bendingspoons.com
- @mail.evernote.com
- @mail-svc.evernote.com
- @messages.evernote.com
- @notifications.evernote.com
- @nsvc.evernote.com
Separazione dei clienti
Il servizio di Evernote è multi-tenant, ovvero non segmenta fisicamente i dati di un utente da quelli di altri utenti. Tuttavia, consideriamo tutti i dati degli utenti strettamente privati e non consentiamo l’accesso da parte di altri utenti, a meno che il proprietario dei dati non li condivida esplicitamente.
Smaltimento e distruzione dei supporti digitali
Utilizziamo una varietà di opzioni di archiviazione all’interno della Google Cloud Platform, inclusi dischi locali, dischi persistenti e bucket di Google Cloud Storage. Sfruttiamo i processi di cancellazione crittografica di Google per garantire che il riutilizzo dello spazio di archiviazione non comporti mai l’esposizione accidentale dei dati privati degli utenti.
Registrazione delle attività
Il servizio Evernote esegue la registrazione lato server delle interazioni dei client con i nostri servizi. Questo include la registrazione degli accessi ai server web, nonché il logging delle attività relative alle azioni eseguite tramite le nostre APIs. Raccogliamo inoltre dati sugli eventi provenienti dalle nostre applicazioni client. Nella sezione Access History degli Account Settings, gli utenti possono visualizzare gli orari di accesso recenti e gli indirizzi IP relativi a ciascuna applicazione connessa al proprio account.
Crittografia del Traffico (in transito)
Evernote utilizza crittografia conforme agli standard del settore per proteggere i dati degli utenti durante la trasmissione. Forziamo l’uso di HTTPS con TLS per tutti i nostri servizi. La crittografia è gestita da Fastly attraverso la nostra CDN e, in alcuni casi, anche da Google Cloud Platform.
Supportiamo STARTTLS sia per le email in entrata che in uscita. Se il provider di posta elettronica dell’utente supporta TLS, le email saranno crittografate durante il transito, sia in invio che in ricezione dal servizio Evernote.
Crittografia dei Dati at Rest
Evernote utilizza l’infrastruttura di Google Cloud per l’hosting dei propri data center. I dati degli utenti che memorizziamo su Google Cloud Platform sono protetti tramite le funzionalità integrate di crittografia dei dati at rest offerte da Google. Più tecnicamente, utilizziamo la crittografia lato server di Google con chiavi di crittografia gestite da Google, per crittografare automaticamente e in modo trasparente tutti i dati at rest utilizzando AES-256.
È possibile trovare ulteriori informazioni su come la crittografia dei dati at rest protegge i dati consultando la documentazione ufficiale di Google Cloud.
Resilienza/Disponibilità
Evernote è distribuito su un’infrastruttura cloud pubblica. I servizi sono distribuiti in più zone per garantire l’alta disponibilità e sono configurati per scalare dinamicamente in base al carico misurato e previsto. Operiamo con un’architettura tollerante ai guasti per garantire che Evernote sia sempre disponibile quando gli utenti ne hanno bisogno.
In caso di interruzione grave in una regione, Evernote è in grado di effettuare il deploy in una nuova regione di hosting. Disponiamo di un sistema di monitoraggio dedicato per rilevare prontamente eventuali tempi di inattività e reagire tempestivamente a qualsiasi tipo di incidente.
Il nostro fornitore di infrastruttura cloud offre servizi per strutture tolleranti ai guasti, tra cui alimentazione elettrica, HVAC (riscaldamento, ventilazione e condizionamento) e sistemi antincendio.
Forniamo aggiornamenti in tempo reale e storici sullo stato di disponibilità del servizio tramite la nostra pagina di stato.
Eseguiamo backup regolari di tutti i contenuti degli utenti. Non utilizziamo supporti portatili o rimovibili per i backup.
Sicurezza fisica
Gestiamo il servizio Evernote utilizzando Google Cloud Platform. Google ha ottenuto numerose certificazioni che dimostrano la sua capacità di proteggere fisicamente i dati di Evernote. Maggiori informazioni sulla sicurezza della Google Cloud Platform sono disponibili nella loro pagina di panoramica sulla sicurezza informatica.
Sicurezza dei Fornitori Terzi
Evernote è consapevole dei rischi associati a una gestione inadeguata dei fornitori. Eseguiamo valutazioni e verifiche approfondite su tutti i fornitori prima di qualsiasi collaborazione, per garantire che i loro standard di sicurezza siano adeguati. Se un fornitore non soddisfa i nostri requisiti, non procediamo con la collaborazione.
Privacy e conformità
Tutti i dati di Evernote risiedono negli Stati Uniti. Per ulteriori informazioni, consulta il nostro Centro Privacy.