Sicurezza in Cal.com
Certificati per ISO 27001, SOC 2 Type II, HIPAA, GDPR e CCPA, con i documenti a dimostrarlo.
Conformità
Accedi a documenti di conformità, certificazioni e accordi sulla protezione dei dati
Come la manteniamo così
Come azienda che ha ottenuto le certificazioni ISO 27001, SOC 2 Type II, CCPA, GDPR e HIPAA, comprendiamo l'importanza critica della sicurezza delle informazioni nel panorama digitale di oggi. La frequenza e la sofisticazione crescenti degli attacchi informatici evidenziano la necessità per le aziende di dare priorità alla sicurezza per proteggere i propri dati e garantire la fiducia dei clienti. Implementando misure di sicurezza e best practice standard del settore, dimostriamo il nostro impegno costante nella protezione delle informazioni sensibili e nella salvaguardia dell'integrità delle nostre operazioni. Siamo orgogliosi dei rigorosi protocolli di sicurezza che abbiamo adottato e ci impegniamo a mantenere i più alti standard di eccellenza nella sicurezza.
Come ci siamo riusciti?
Come organizzazione, comprendiamo l'importanza di mantenere la conformità a pratiche e standard di sicurezza. Per questo utilizziamo piattaforme di automazione per sicurezza e conformità, così da garantire una conformità continua e l'aderenza ai protocolli di sicurezza pertinenti.
Abbiamo una piattaforma centralizzata che automatizza la valutazione e il monitoraggio di vari controlli e procedure di sicurezza. Integrandosi con i nostri sistemi e strumenti esistenti, le nostre piattaforme ci offrono una visione completa della nostra postura di sicurezza, identificando eventuali problemi potenziali e assicurando che siamo sempre aggiornati con gli ultimi protocolli di sicurezza e standard del settore. Questo ci dà la certezza di seguire le best practice del settore e di offrire un ambiente sicuro ai nostri clienti e stakeholder.
Cosa succede se qualcosa non è più conforme?
Se qualcosa dovesse risultare non conforme, la nostra piattaforma di automazione della conformità rileverebbe il problema e ci avviserebbe immediatamente. Questo ci permetterebbe di intervenire rapidamente per risolvere il problema e tornare presto alla conformità. Utilizzando una piattaforma di automazione della conformità come questa, possiamo restare al passo con i nostri obblighi di conformità e adottare misure proattive per garantire di rimanere conformi alle pratiche e agli standard di sicurezza pertinenti. Questo ci dà la certezza di offrire un ambiente sicuro ai nostri clienti e stakeholder e ci aiuta a mantenere la nostra reputazione di organizzazione affidabile e degna di fiducia.
Procedure e controlli
Policy e procedure sicure
Policy e procedure scritte per la sicurezza delle informazioni garantiscono che l'azienda abbia controlli documentati e testati per proteggere i dati dei clienti e rispondere in modo efficace agli incidenti di sicurezza.
Test di vulnerabilità e penetration test
Test di vulnerabilità e penetration test regolari aiutano a identificare e correggere potenziali debolezze di sicurezza prima che possano essere sfruttate dagli attaccanti. Cal.com si sottopone ogni anno a un penetration test esterno della nostra applicazione web da parte di terzi per identificare eventuali vulnerabilità di sicurezza; questo ci permette poi di segnalare internamente questi problemi e risolverli immediatamente. Viene creato un report ufficiale per Cal.com che dichiara che i problemi riscontrati sono stati risolti. Conduciamo anche penetration test interni regolari. Inoltre impieghiamo scansioni automatizzate delle vulnerabilità all'interno del nostro codice e delle sue dipendenze.
Crittografia dei dati
La crittografia dei dati sensibili aiuta a garantire che i dati non possano essere accessibili o letti da parti non autorizzate. Avere il nostro database crittografato permette ai clienti di sentirsi al sicuro quando usano il nostro prodotto, perché protegge i dati sia in transito sia a riposo.
Autenticazione a più fattori
L'autenticazione a più fattori aiuta a prevenire accessi non autorizzati ai sistemi aziendali, contribuendo a proteggere i dati dei clienti da furti o manomissioni.
Ciclo di vita dello sviluppo sicuro
L'autenticazione a più fattori aiuta a prevenire accessi non autorizzati ai sistemi aziendali, contribuendo a proteggere i dati dei clienti da furti o manomissioni. Tutte le modifiche alla nostra codebase sono protette con branch protection, il che significa che, per poter inviare una nuova modifica di codice in produzione, la modifica deve essere stata approvata da un altro ingegnere e deve superare una serie di test automatizzati che verificano problemi di sicurezza introdotti dal codice o dalle sue dipendenze, oltre a test end-to-end e altro ancora. In questo modo, nessun attore malevolo interno o esterno a Cal.com può inserire codice dannoso grazie al nostro processo di revisione sicuro.
Monitoraggio
Il monitoraggio continuo dei log di accesso ai sistemi e del traffico di rete aiuta a rilevare e gestire potenziali incidenti di sicurezza, riducendo la probabilità che i dati dei clienti vengano compromessi.
Formazione e consapevolezza dei dipendenti
Programmi regolari di formazione e sensibilizzazione per i dipendenti aiutano a garantire che siano preparati a gestire i dati dei clienti in modo sicuro, riducendo la probabilità di errori umani o violazioni intenzionali dei dati. Facciamo in modo che vengano completati subito da tutti i nuovi dipendenti e ogni anno da tutti i dipendenti esistenti.
Controlli di accesso e controlli dei precedenti
Controlli di accesso e controlli dei precedenti per dipendenti, fornitori terzi e provider di servizi aiutano a garantire che siano affidabili e possano gestire i dati dei clienti in modo sicuro. I controlli dei precedenti vengono eseguiti su tutte le nuove assunzioni che l'azienda può effettuare, come modo per Cal.com di stabilire fiducia nel dipendente che scegliamo di assumere. Inoltre, concedere l'accesso alle applicazioni solo per applicazioni specifiche è importante per restare conformi. Ogni trimestre rivediamo l'accesso alle applicazioni e i livelli di accesso di tutti i dipendenti per assicurarci che abbiano accesso solo alle applicazioni necessarie per svolgere il loro ruolo.
Audit e valutazioni di terze parti
Audit e valutazioni regolari di terze parti forniscono una validazione indipendente dell'efficacia dei controlli e delle procedure di sicurezza delle informazioni dell'azienda, dando ai clienti la certezza che i loro dati vengano gestiti in modo sicuro.
Rilevamento delle intrusioni
Cal.com utilizza sistemi di rilevamento delle intrusioni per monitorare continuamente i nostri sistemi alla ricerca di potenziali minacce che possono verificarsi in qualsiasi momento. Sapere già nelle fasi iniziali che una minaccia potrebbe essere critica ci permette di agire rapidamente ed efficacemente per impedire che provochi problemi a breve o lungo termine.
Segnalazione delle vulnerabilità
In Cal.com consideriamo la sicurezza dei nostri sistemi una priorità assoluta. Ma, per quanto impegno mettiamo nella sicurezza dei sistemi, possono comunque essere presenti vulnerabilità.
Se scopri una vulnerabilità, vorremmo saperlo per poter intervenire e risolverla il più rapidamente possibile. Ti chiediamo di aiutarci a proteggere meglio i nostri clienti e i nostri sistemi.
Vulnerabilità fuori ambito:
- Clickjacking.
- Cross-Site Request Forgery (CSRF)
- Attacchi che richiedono MITM o accesso fisico al dispositivo di un utente.
- Qualsiasi attività che possa causare l'interruzione del nostro servizio (DoS).
- Problemi di content spoofing e text injection senza mostrare un vettore di attacco/senza poter modificare HTML/CSS.
- SPF Email spoofing
- Header DNSSEC, CAA, CSP mancanti
- Mancanza del flag Secure o HTTP only su cookie non sensibili
- Link non funzionanti
- Qualsiasi cosa relativa alla sicurezza DNS o email
- Rate limiting
- XSS (Cross-Site Scripting)
Nota: Cal.com si riserva il diritto di classificare qualsiasi vulnerabilità segnalata come fuori ambito.
Cosa fare e cosa non fare
- Non eseguire scanner automatizzati sulla nostra infrastruttura o dashboard. Se vuoi farlo, contattaci e configureremo una sandbox per te.
- Non sfruttare la vulnerabilità o il problema che hai scoperto, ad esempio scaricando più dati del necessario per dimostrare la vulnerabilità o eliminando o modificando i dati di altre persone,
- Non rivelare il problema ad altri finché non è stato risolto,
- Non usare attacchi alla sicurezza fisica, social engineering, distributed denial of service, spam o applicazioni di terze parti, e
Come segnalare una vulnerabilità
Puoi segnalare le vulnerabilità qui: https://bugcrowd.com/4f0b96d4-2749-415e-b2d8-6aebde98f211/external/report
In ambito: Cal.com Ambiente QA
Solo i target elencati di seguito sono autorizzati per i test di sicurezza: (modificato)
| Target | URL | Tipo |
|---|---|---|
| Cal.com QA | https://app.cal.qa/ | Test del sito web |
| Cal.com QA API | https://api.cal.qa/ | Test API |
Puoi creare e usare più account di test all'interno dell'ambiente QA quando necessario, purché utilizzi solo account e dati di test che controlli.
Una volta ricevuta la tua segnalazione, potrebbe esserci un ritardo nella risposta mentre il nostro team esamina e classifica il problema.
Fornisci informazioni sufficienti per riprodurre il problema, così potremo risolverlo il più rapidamente possibile. Di solito sono sufficienti l'indirizzo IP o l'URL del sistema interessato e una descrizione della vulnerabilità, ma vulnerabilità complesse possono richiedere ulteriori spiegazioni.
- Se hai seguito le istruzioni sopra, non intraprenderemo alcuna azione legale nei tuoi confronti in relazione alla segnalazione
- Tratteremo la tua segnalazione con la massima riservatezza e non trasmetteremo i tuoi dati personali a terzi senza il tuo permesso
- Ti terremo informato sui progressi verso la risoluzione del problema
- Nelle informazioni pubbliche relative al problema segnalato, indicheremo il tuo nome come scopritore del problema (salvo tua diversa richiesta)
- Ci impegniamo a risolvere tutti i problemi il più rapidamente possibile e vorremmo avere un ruolo attivo nella pubblicazione finale sul problema dopo la sua risoluzione.