- Single sign-on SAML 2.0
- Accesso con Google e Microsoft
- Hash bcrypt, policy password rigorosa
- Blocco per account e per IP
- Esci da tutti i dispositivi
Centro sicurezza Mentornity
I dati del tuo programma, protetti a ogni livello.
Mentornity gestisce programmi di mentoring e coaching per aziende, università, acceleratori e community. Ecco come proteggiamo le persone che ne fanno parte: dove si trovano i dati, chi può accedervi, come vengono cifrati, monitorati e ripristinati, e quale policy sta dietro a ogni controllo.
- 3zone di disponibilità per il database
- 24/7monitoraggio esterno del servizio
- 30 giornidi conservazione centrale dei log
- 7 giornidi storico degli snapshot cifrati
- AES-256cifratura di dischi, snapshot e backup
- 15policy di sicurezza pubblicate
Architettura
Una regione, una rete privata, a strati dal bordo verso l’interno.
Ogni richiesta raggiunge Mentornity attraverso Cloudflare e un livello edge rinforzato che termina il TLS. L’applicazione e il database stanno dietro, in una rete privata a Francoforte, e il database è replicato su tre zone di disponibilità.
Difesa in profondità
Quattro livelli, ciascuno solido da solo.
- ReteCloudflare davanti, un livello edge rinforzato, una VPC privata con security group a negazione predefinita. Il database non è mai raggiungibile da internet.
- IdentitàSSO SAML, accesso con Google e Microsoft, password bcrypt con una policy rigorosa, blocco dopo tentativi falliti ripetuti e revoca di tutte le sessioni su richiesta.
- ApplicazioneAutorizzazione sul server a ogni richiesta, isolamento a livello di programma, visibilità per campo delle risposte dei membri, testo formattato ripulito e una Content Security Policy basata su nonce.
- DatiDischi, snapshot e backup cifrati, segreti in un archivio di parametri cifrato, replica su tre zone e log che non contengono mai password né token.
Resilienza
Una giornata di protezione, ogni giorno.
I dati vengono replicati di continuo, scritti ogni notte in un backup fuori dal server e salvati in uno snapshot ogni mattina, mentre una sonda esterna controlla il servizio a ogni ora.
0dati persi se cade un singolo nodo del database: la replica subentra automaticamente
≤ 24 hpunto di ripristino per un ripristino completo dal backup notturno
7 giornidi snapshot cifrati per ogni server e disco dati
Controlli
Cosa è attivo oggi.
Una sintesi dei controlli tecnici in produzione. Ogni scheda rimanda alla policy che lo descrive per intero.
- Controlli lato server su ogni rotta
- Isolamento dei dati per programma
- Visibilità delle risposte per campo
- Accesso amministrativo per ruoli
- Chiavi API limitate e con rate limit
- Solo TLS 1.2 e 1.3, HSTS
- Dischi cifrati (AES-256)
- Snapshot e backup cifrati
- Segreti in una cassaforte cifrata
- SPF e DKIM sulla posta in uscita
- VPC AWS dedicata a Francoforte
- Security group a negazione predefinita
- Accesso ai metadati delle istanze rinforzato
- Infrastructure as code
- Controllo automatico di esposizione a ogni modifica
- Log e allarmi CloudWatch
- Audit trail con AWS CloudTrail
- Sonda esterna dead man’s switch
- Controllo di scadenza dei certificati
- Segnalazione dei riavvii dei container
- Aggiornamenti di sicurezza quotidiani del sistema
- Finestra di manutenzione mensile
- govulncheck e audit dei pacchetti
- Runtime supportati
- Rilievi seguiti fino alla chiusura con test
Policy
Le nostre policy di sicurezza.
15 policy descrivono come funziona Mentornity, dal controllo degli accessi e dalla cifratura fino alla risposta agli incidenti e al ripristino. Condividile con la tua revisione di sicurezza; un accordo sul trattamento dei dati (DPA) è disponibile per ogni cliente.
Governance e privacy
Policy di sicurezza delle informazioni
Il programma complessivo: ambito, principi, ruoli e come si collegano tutte le altre policy di questo sito.
Leggi la policy →Policy di protezione dei dati e privacy
Dove si trovano i dati, chi li controlla, cosa viene raccolto e come vengono restituiti o cancellati.
Leggi la policy →Policy di gestione del rischio fornitori e della supply chain
Come vengono scelti e rivisti i fornitori, e l’elenco completo dei sub-responsabili.
Leggi la policy →Policy su IA e uso dei dati
Come Mentornity AI e il connettore MCP usano i dati dei programmi, e cosa non ne fanno mai.
Leggi la policy →Policy di divulgazione responsabile
Come segnalare una vulnerabilità, cosa ci impegniamo a fare in cambio e le regole da seguire.
Leggi la policy →Protezione dei dati
Policy di controllo degli accessi
Come vengono autenticati utenti, amministratori, ingegneri e macchine, e a cosa può accedere ciascuno.
Leggi la policy →Policy di cifratura e gestione delle chiavi
TLS ovunque, dischi, snapshot e backup cifrati, e segreti custoditi in una cassaforte gestita.
Leggi la policy →Policy di sicurezza dell’infrastruttura e della rete
Una rete AWS dedicata a Francoforte, un unico punto di ingresso rinforzato e un database che nessuno raggiunge da internet.
Leggi la policy →Operatività e resilienza
Policy di gestione dei log e monitoraggio
Quali log esistono, cosa contengono, per quanto tempo sono conservati e chi li sorveglia.
Leggi la policy →Policy di gestione delle vulnerabilità e delle patch
Aggiornamenti di sicurezza quotidiani del sistema operativo, una finestra di manutenzione mensile e scansione delle dipendenze fino a zero problemi noti.
Leggi la policy →Policy di risposta agli incidenti
Dal rilevamento alla notifica e all’analisi post incidente: fasi, ruoli e tempi.
Leggi la policy →Policy di backup e ripristino
Replica su tre zone di disponibilità, snapshot giornalieri, backup notturni fuori dal server e ripristini documentati.
Leggi la policy →Policy di continuità operativa
Tenere in funzione il servizio e il team di fronte a interruzioni di fornitori, infrastruttura o persone.
Leggi la policy →Sviluppo sicuro
Policy di sviluppo sicuro e gestione delle modifiche
Ogni modifica è una pull request revisionata che supera controlli automatici prima di un deploy automatico e reversibile.
Leggi la policy →Controlli OWASP Top 10
Come la piattaforma affronta ciascuno dei dieci rischi di sicurezza più critici per le applicazioni web.
Leggi la policy →Sub-responsabili
Chi altro tratta i dati.
I fornitori che trattano i dati dei programmi, per cosa e dove. Le integrazioni facoltative le attiva l’organizzazione o il partecipante. Policy di gestione del rischio fornitori
| Fornitore | Finalità | Localizzazione dei dati |
|---|---|---|
| Amazon Web Services | Hosting, database, archiviazione file, backup, log, email transazionali (SES) | UE (Francoforte) |
| Cloudflare | DNS, CDN, protezione DDoS, controlli anti bot sui moduli pubblici, instradamento della posta in arrivo | Rete edge globale |
| Stripe | Fatturazione degli abbonamenti e pagamenti con carta (solo contatti di fatturazione) | UE e USA |
| Facoltativo: accesso con Google, sincronizzazione con Google Calendar | In base all’account Google del partecipante | |
| Microsoft | Facoltativo: accesso con Microsoft, sincronizzazione con il calendario Outlook | In base all’account Microsoft del partecipante |
| Zoom | Facoltativo: link alle riunioni Zoom | In base all’account Zoom dell’organizzazione |
| Anthropic | Facoltativo: assistente IA di Mentornity, con la chiave API dell’organizzazione | USA |
Domande sulla sicurezza, con risposta
Dove sono archiviati i dati di Mentornity?
Tutti i dati di produzione sono archiviati e trattati nell’Unione europea, nella regione AWS eu-central-1 a Francoforte, in Germania, su tre zone di disponibilità. Backup e log restano nella stessa regione.
I dati sono cifrati?
Sì. Ogni connessione è solo HTTPS con TLS 1.2 o 1.3 e HSTS. Dischi dei server, volumi del database, snapshot e backup sono cifrati a riposo con AES-256, e le password sono conservate solo come hash bcrypt.
Mentornity supporta il single sign-on?
Sì. Le organizzazioni possono usare il single sign-on SAML 2.0 con il proprio identity provider, e i partecipanti possono anche accedere con Google o Microsoft.
Mentornity è conforme al GDPR?
Mentornity tratta i dati dei programmi come responsabile del trattamento secondo le istruzioni dell’organizzazione cliente, li ospita nell’UE e offre a ogni cliente un accordo sul trattamento dei dati ai sensi dell’articolo 28 del GDPR.
Come vengono salvati i dati?
Il database è replicato di continuo su tre zone di disponibilità, salvato ogni notte in uno storage cifrato separato, e ogni server e volume dati riceve uno snapshot giornaliero con sette giorni di storico.
Quali sub-responsabili usa Mentornity?
Amazon Web Services per hosting, archiviazione ed email, Cloudflare per DNS, CDN e protezione DDoS, e Stripe per la fatturazione. Google, Microsoft, Zoom e Anthropic vengono usati solo quando un’organizzazione o un partecipante attiva quell’integrazione.
Mentornity AI si addestra sui nostri dati?
No. L’assistente IA si attiva per programma, funziona con i modelli Claude di Anthropic tramite la chiave API dell’organizzazione, e Anthropic non addestra i suoi modelli con i dati inviati tramite la sua API commerciale.
Come segnalo un problema di sicurezza o chiedo un questionario di sicurezza?
Scrivi a privacy@mentornity.com. Confermiamo la ricezione delle segnalazioni di vulnerabilità entro tre giorni lavorativi; questionari di sicurezza e richieste di DPA vanno allo stesso indirizzo.
Hai trovato una vulnerabilità? Il tuo questionario di sicurezza aspetta risposte?
Accogliamo volentieri le segnalazioni dei ricercatori e le revisioni del tuo team di sicurezza. Confermiamo la ricezione di ogni segnalazione entro tre giorni lavorativi. Leggi la policy di divulgazione responsabile.
privacy@mentornity.com Segnalazioni di sicurezza, questionari e richieste di DPA