In Salesupply ci impegniamo a proteggere i tuoi dati con solide misure di sicurezza e privacy. Questa politica descrive il nostro approccio completo alla protezione delle informazioni che ci vengono affidate. Ultimo aggiornamento: 9 novembre 2026.
Questo testo è disponibile in più lingue. In caso di differenze tra le versioni, prevale la versione inglese.
Questa sezione descrive le politiche, la governance e le certificazioni fondamentali su cui si basa il nostro sistema di gestione della sicurezza delle informazioni (ISMS).
Disponiamo di una Politica per la sicurezza delle informazioni chiaramente documentata, approvata per la prima volta dal nostro Consiglio di amministrazione l’8 gennaio 2021. Questa politica viene distribuita tramite un sistema online, è obbligatoria per tutto il personale di Salesupply e viene riesaminata ogni anno. I nostri accordi sul trattamento dei dati (Data Processing Agreement, DPA) con clienti e sub-responsabili del trattamento definiscono ulteriormente i nostri impegni in materia di protezione dei dati e privacy.
La nostra Politica per la sicurezza delle informazioni stabilisce che i rischi identificati sono sottoposti a una valutazione del rischio e che la valutazione e il piano di trattamento dei rischi sono elaborati sulla base delle linee guida ISO 27005.
Il Consiglio di amministrazione è responsabile della Politica per la sicurezza delle informazioni. L’Information Security Manager (CTO) è responsabile del mantenimento e del coordinamento del sistema di gestione della sicurezza delle informazioni (ISMS).
I nostri server sono ospitati in data center certificati ISO 27001, con sicurezza fisica e ambientale certificata.
Le nostre persone e i nostri processi sono fondamentali per la nostra sicurezza. Di seguito descriviamo i controlli organizzativi che adottiamo per proteggere i tuoi dati durante l’intero ciclo di vita.
Sui nuovi dipendenti vengono effettuati controlli preliminari all’assunzione, inclusa la raccolta di referenze professionali. Tutti i dipendenti firmano contratti di lavoro che includono clausole di riservatezza e una presa d’atto della Politica per la sicurezza delle informazioni. Tutto il personale è responsabile della protezione delle informazioni e della segnalazione degli incidenti di sicurezza. Con i nostri partner utilizziamo accordi di riservatezza (NDA).
I nostri accordi sul trattamento dei dati prevedono per il Titolare del trattamento (il nostro cliente) il diritto di effettuare audit per verificare la conformità, con ragionevole preavviso e senza costi aggiuntivi, come stabilito nell’accordo.
Tutti gli asset informativi sono registrati e hanno un proprietario assegnato. Lo smaltimento sicuro dei supporti avviene secondo procedure documentate, per evitare fughe di dati dagli asset dismessi.
La nostra Politica per la sicurezza delle informazioni disciplina in dettaglio la gestione degli incidenti, inclusi i canali di segnalazione, le indagini e la comunicazione alle parti coinvolte. I nostri accordi sul trattamento dei dati obbligano Salesupply a informare il Titolare del trattamento senza ingiustificato ritardo dopo essere venuta a conoscenza di una violazione dei dati personali.
I nostri accordi sul trattamento dei dati sottolineano l’obbligo per Salesupply di garantire che i sub-responsabili del trattamento rispettino la normativa sulla protezione dei dati e di informare il Titolare del trattamento delle modifiche previste riguardanti i sub-responsabili. La Politica per la sicurezza delle informazioni stabilisce che “i fornitori che trattano asset informativi di Salesupply o dei suoi clienti devono rispettare i requisiti della presente politica”.
È in vigore un piano di continuità operativa (Business Continuity Plan, BCP) per ridurre al minimo l’interruzione dei servizi in caso di eventi imprevisti, garantendo la resilienza e la disponibilità dei nostri servizi.
Adottiamo un approccio tecnico multilivello per proteggere i nostri sistemi e i tuoi dati dalle minacce. Di seguito i principali controlli tecnici che abbiamo implementato.
Su tutti i laptop è implementata la crittografia completa del disco (BitLocker), con un minimo di AES-256. Tutti i supporti rimovibili sono disabilitati. Non è consentito l’uso di dispositivi mobili privati per scopi aziendali. Gli utenti ordinari non dispongono di diritti di amministratore locale.
Gli uffici Salesupply dispongono di sistemi di sicurezza, sistemi di allarme, videosorveglianza e controllo degli accessi tramite badge. I nostri data center certificati ISO 27001 sono dotati di controlli dell’accesso fisico, sorveglianza e allarmi.
I firewall controllano il traffico di rete e bloccano gli accessi non autorizzati. Separazione degli ambienti di sviluppo, test e produzione. Reti wireless protette tramite WPA2-Enterprise e Network Access Control (NAC).
Su tutti i server e gli endpoint è installata una protezione avanzata dal malware (antivirus, anti-spyware), mantenuta costantemente aggiornata.
Accesso remoto sicuro (VPN) con autenticazione a più fattori (MFA). Accesso limitato e monitorato alle interfacce amministrative. Metodi di trasferimento dei dati crittografati (VPN, SSL/TLS, SFTP) per tutti gli scambi di dati.
Sono implementati sistemi di rilevamento e prevenzione delle intrusioni (IDS/IPS) per monitorare il traffico di rete alla ricerca di attività dannose e violazioni delle policy.
I sistemi sono configurati secondo le best practice di settore e le baseline di sicurezza (ad es. CIS Benchmarks, NIST) per ridurne la superficie di attacco.
Per i sistemi critici vengono conservati log di sistema e audit trail. La registrazione di dati personali nei log è ridotta al minimo. I log vengono esaminati regolarmente per rilevare incidenti di sicurezza e attività anomale.
Vengono eseguiti backup regolari dei dati critici e ne viene verificata l’integrità. Per i sistemi critici è implementata la ridondanza, per garantire un’elevata disponibilità.
Hai trovato una vulnerabilità in uno dei nostri sistemi o hai una domanda sulla sicurezza dei tuoi dati? Scrivi a security@salesupply.com. I clienti possono anche rivolgersi al proprio account manager Salesupply, ad esempio per ricevere un questionario di sicurezza compilato.
Pubblicato il 26 ottobre 2026 · Stato: risolto
Il 21 ottobre 2026 sono state rese pubbliche due vulnerabilità di sicurezza critiche in PHP (CVE-2026-109618 e CVE-2026-109619) e le agenzie di sicurezza europee e internazionali hanno esortato le organizzazioni ad applicare subito le patch. Ecco come le ha gestite Salesupply.
In breve: siamo intervenuti la mattina stessa, prima che fosse disponibile la correzione ufficiale. Tutti i nostri sistemi PHP sono stati aggiornati con le patch nel giro di pochi giorni, la maggior parte entro poche ore dal rilascio della correzione. I flussi di ordini, giacenze e spedizioni hanno continuato a funzionare per tutto il tempo. Non abbiamo rilevato segni di accesso non autorizzato e nessun dato dei clienti è andato perso o è stato esposto.
PHP è il linguaggio di programmazione alla base di gran parte dei siti web e delle applicazioni web del mondo, tra cui diversi sistemi Salesupply. Le due falle, entrambe classificate come critiche (CVSS 9.2), potevano consentire a un aggressore di prendere il controllo di un server da remoto senza effettuare l’accesso. Poiché la debolezza risiedeva in PHP stesso e non nel software di una singola azienda, ha colpito organizzazioni in tutto il mondo.
La mattina del 21 ottobre, prima della pubblicazione della correzione ufficiale, il nostro team Business Technology ha mappato tutti i sistemi su cui gira PHP e ne ha valutato l’esposizione. Su tutti abbiamo disattivato la funzionalità PHP che gli attacchi avrebbero presumibilmente preso di mira, seguendo la mitigazione raccomandata dal fornitore. Come ulteriore precauzione abbiamo sospeso temporaneamente il caricamento di file sui nostri sistemi PHP e abbiamo messo offline i sistemi laddove questa era la scelta più sicura.
La correzione ufficiale di PHP è stata rilasciata alle 16:00 CEST di quel pomeriggio. Entro la sera stessa i nostri sistemi rivolti ai clienti funzionavano con versioni di PHP aggiornate. L’ultimo sistema rimanente è rimasto protetto dalla mitigazione ed è stato aggiornato completamente il 23 ottobre, durante una breve finestra di manutenzione.
Importazione degli ordini, sincronizzazione delle giacenze, aggiornamenti di spedizione e tracking, accessi, dashboard e reportistica hanno continuato a funzionare normalmente. Le patch hanno richiesto solo un breve riavvio. L’unica limitazione temporanea ha riguardato il caricamento di file, come le importazioni massive tramite la dashboard, che abbiamo sospeso fino alla conferma delle correzioni. Da allora il caricamento è stato completamente ripristinato.
Sì. Dopo l’applicazione delle patch abbiamo controllato tutti i sistemi PHP alla ricerca di segni di uso improprio, come file, processi o connessioni imprevisti, e abbiamo continuato a monitorarli nei giorni successivi. Non abbiamo trovato alcuna indicazione che un aggressore abbia avuto accesso a uno dei sistemi e nessun dato dei clienti è andato perso, è stato alterato o esposto. Non è richiesta alcuna azione da parte tua.
Stiamo accelerando lavori già pianificati, affinché ogni sistema che gestiamo utilizzi una versione supportata che riceve le correzioni di sicurezza direttamente dal fornitore. Continuiamo a monitorare attentamente gli avvisi di sicurezza per poter reagire in giornata, come abbiamo fatto in questo caso.