Sicurezza dei dati
Sicurezza dei dati in mTrip
La sicurezza dei dati in mTrip riguarda l’hosting su Amazon Web Services, gli accessi controllati, la crittografia, i backup, i pagamenti con carta e la cancellazione dei dati. Una società indipendente testa la piattaforma e le app mobile almeno una volta all’anno, e mTrip rivede le proprie policy di sicurezza almeno una volta all’anno.
Certificazione Cyber Essentials
Valida fino al 30 ottobre 2027. Vedi il certificato
Trust Center
Clienti: trova i nostri documenti di sicurezza nel Trust Center
Il Trust Center di mTrip è lo spazio dedicato ai clienti di mTrip. Contiene le policy e i documenti di sicurezza di mTrip: parti da qui se stai completando una valutazione dei fornitori.
Certificazione
Certificazione Cyber Essentials
mTrip Inc possiede il certificato Cyber Essentials, uno schema promosso dal governo del Regno Unito per la protezione dagli attacchi informatici più comuni. L’IASME Consortium ha certificato mTrip il 30 ottobre 2026 e il certificato è valido fino al 30 ottobre 2027. Copre l’intera organizzazione. Questo livello di Cyber Essentials è basato su autovalutazione.
L’essenziale
La sicurezza dei dati in quattro punti
Hosting su AWS, senza accesso del personale ai server
I clienti europei sono ospitati a Francoforte, con i file caricati a Londra. Gli altri clienti sono ospitati in Virginia del Nord. Il personale di mTrip non ha accesso fisico all’infrastruttura.
Dati crittografati in transito e a riposo
Il traffico usa TLS 1.2 o superiore. Database, archiviazione dei file e backup sono crittografati con AES-256, e l’applicazione crittografa anche i campi più sensibili dei viaggiatori.
Backup giornalieri, ripristino testato ogni anno
I database di produzione vengono salvati ogni giorno, con ripristino point-in-time fino a 7 giorni. I backup sono copiati in una seconda regione AWS e protetti dalla cancellazione.
Test annuale di una società indipendente
Una società indipendente testa la piattaforma e le app mobile almeno una volta all’anno, e mTrip rivede le proprie policy di sicurezza almeno una volta all’anno.
Difesa a più livelli
Livelli di protezione, dal perimetro al backup
Infrastruttura
Sicurezza dei dati: hosting e backup
Hosting
Ospitato su Amazon Web Services
AWS · Francoforte · Londra · Virginia del Nord
- La piattaforma mTrip funziona su Amazon Web Services (AWS).
- I clienti europei sono ospitati a Francoforte, in Germania, e i file che caricano sono archiviati a Londra, nel Regno Unito.
- Gli altri clienti sono ospitati in Virginia del Nord, negli Stati Uniti.
- AWS possiede le certificazioni SOC 1, SOC 2, SOC 3, ISO 27001 e PCI DSS (vedi conformità di AWS).
- Queste certificazioni appartengono ad AWS. Il personale di mTrip non ha accesso fisico all’infrastruttura.
Backup
Backup crittografati ogni giorno, testati ogni anno
Giornaliero · Ripristino a 7 giorni · Seconda regione AWS
- mTrip esegue ogni giorno il backup dei database di produzione, con ripristino point-in-time degli ultimi 7 giorni.
- I backup sono crittografati, copiati in una seconda regione AWS e protetti dalla cancellazione.
- Il ripristino viene testato almeno una volta all’anno.
Accesso
Accesso, login e crittografia
Accesso
Accesso controllato e monitoraggio
SSO · MFA · Web application firewall
- L’accesso all’ambiente di produzione passa dal single sign-on con autenticazione a più fattori, e mTrip registra ogni azione amministrativa.
- Il traffico pubblico passa da un web application firewall con limitazione della frequenza delle richieste e regole contro gli attacchi più comuni.
- Il rilevamento delle minacce è attivo in modo continuo sull’account di produzione.
Login
Login degli amministratori e password
bcrypt · Limitazione dei tentativi · Blocco dopo 5 tentativi
- Gli account amministratore sulla piattaforma web di mTrip accedono con un codice monouso inviato via email, oppure tramite il single sign-on del cliente. mTrip protegge le password con hash bcrypt, limita la frequenza dei tentativi di accesso e blocca un account dopo 5 tentativi falliti.
Crittografia
Crittografia dei dati in transito e a riposo
TLS 1.2+ · AES-256 · A livello di campo
- Il traffico verso la piattaforma web di mTrip e verso le sue API usa TLS 1.2 o superiore. mTrip crittografa con AES-256 database, archiviazione dei file e backup a riposo.
- L’applicazione crittografa inoltre i campi più sensibili dei viaggiatori, come indirizzo email, numero di telefono, data di nascita e riferimenti di prenotazione.
Persone
Persone, dispositivi e revisioni degli accessi
Persone
Consapevolezza e riservatezza del personale
Policy firmata
- I dipendenti firmano la policy di cyber security di mTrip.
- La policy riguarda dati riservati, dati dei clienti, dispositivi personali, sicurezza della posta elettronica, password e trasferimenti di dati.
- La rispetta chiunque abbia accesso ai sistemi di mTrip, compresi fornitori e partner, e le violazioni comportano provvedimenti disciplinari.
Dispositivi
Sicurezza dei dispositivi
Firewall macOS · Protezione antimalware · Blocco dopo 15 minuti
- Il personale di mTrip lavora su laptop Mac.
- Il firewall di macOS è attivo, la protezione antimalware integrata di Apple (XProtect e Gatekeeper) è attiva e ogni dispositivo si blocca con una password dopo al massimo 15 minuti di inattività.
Controllo degli accessi
Accessi basati sui ruoli e revisioni degli accessi
Privilegio minimo · Revisioni ogni 6 mesi · Revisione degli amministratori due volte l’anno
- mTrip concede gli accessi secondo il principio del privilegio minimo.
- Ogni richiesta di accesso è approvata sia dall’IT sia dal responsabile di chi la presenta, e ogni account è individuale, con credenziali proprie.
- L’accesso viene revocato quando una persona lascia l’azienda e mTrip lo rivede almeno ogni sei mesi.
- Gli account amministratore vengono rivisti due volte l’anno e gli amministratori usano un account separato per le attività amministrative.
- L’autenticazione a più fattori è obbligatoria per tutti gli utenti dei servizi cloud di mTrip (Google Workspace, AWS, Asana e Pipedrive).
Verifiche
Test, rilasci e gestione degli incidenti
Verifiche
Test indipendenti e revisione delle policy
Società indipendente · Almeno una volta l’anno
- Una società indipendente testa la piattaforma e le app mobile almeno una volta l’anno. mTrip rivede le proprie policy di sicurezza almeno una volta l’anno.
Sicurezza dei rilasci
Analisi delle vulnerabilità prima del rilascio
OWASP Testing Guide · OWASP Top Ten
- La policy di sicurezza delle applicazioni web di mTrip richiede una valutazione della sicurezza, basata sulla OWASP Testing Guide, prima della messa online di un rilascio nuovo o importante.
- I rilasci minori prevedono almeno una scansione automatica dei rischi OWASP Top Ten. mTrip risolve subito le criticità ad alto rischio, oppure ne limita l’esposizione prima del rilascio, e pianifica quelle a rischio medio.
Gestione delle modifiche
Sviluppo sicuro e gestione delle modifiche
Controllo delle modifiche · Terraform · CI/CD
- Le modifiche seguono un processo di controllo documentato e sono gestite con il controllo di versione. mTrip definisce l’infrastruttura come codice con Terraform e l’applicazione gira in container che mTrip ricostruisce e ridistribuisce a ogni rilascio tramite una pipeline CI/CD.
Gestione degli incidenti
Gestione degli incidenti e come segnalarne uno
Team di risposta · Procedura scritta
- mTrip dispone di una procedura scritta per la gestione e la risposta agli incidenti, con un team dedicato.
- La procedura copre segnalazione, contenimento, raccolta delle prove, ripristino e una revisione finale.
- Per segnalare un sospetto incidente di sicurezza, scrivi a [email protected].
- Il messaggio avvisa il team di supporto e diventa la prima registrazione dell’incidente.
- Quando un incidente coinvolge i clienti, mTrip li informa.
Dati
Continuità operativa, eliminazione dei dati e pagamenti con carta
Continuità operativa
Business continuity e disaster recovery
Piano di continuità operativa · Piano di ripristino
- mTrip mantiene un piano di business continuity e un piano di disaster recovery.
- Tutti i dipendenti lavorano da remoto, quindi non serve alcun trasferimento di sede, e i sistemi critici di mTrip funzionano nel cloud.
Eliminazione dei dati
Eliminazione dei dati alla fine del contratto
Procedura di offboarding
- Alla fine del contratto, mTrip elimina i dati del cliente secondo la propria procedura di offboarding dei clienti.
Pagamenti con carta
I pagamenti con carta restano presso un provider PCI DSS
PCI Booking · Conferma · Solo token
- I numeri di carta vengono inseriti direttamente nel modulo sicuro di PCI Booking, un provider con certificazione PCI DSS. mTrip conserva solo un token e il numero della carta mascherato (prime sei e ultime quattro cifre).
- mTrip non memorizza mai i numeri completi delle carte né i codici di sicurezza.
- Le carte virtuali emesse tramite Conferma possono essere mostrate ai viaggiatori nell’app.
- Conferma fornisce le immagini delle carte, mentre mTrip non memorizza i dati delle carte.
Le domande dei team di sicurezza
Domande frequenti
Hosting e certificazioni
Cosa fa mTrip per la sicurezza dei dati?
mTrip ospita la piattaforma su Amazon Web Services, crittografa il traffico e i dati archiviati, controlla e registra gli accessi amministrativi, esegue ogni giorno il backup dei database di produzione e affida i numeri di carta a un provider certificato PCI DSS. Una società indipendente testa la piattaforma e le app mobile almeno una volta all’anno.
Dove mTrip ospita i dati dei clienti?
Su Amazon Web Services. I clienti europei sono ospitati a Francoforte, in Germania, mentre i file caricati sono archiviati a Londra, nel Regno Unito. Gli altri clienti sono ospitati in Virginia del Nord, negli Stati Uniti.
Quali certificazioni sono previste?
mTrip Inc possiede il certificato Cyber Essentials, rilasciato dall’IASME Consortium il 30 ottobre 2026 e valido fino al 30 ottobre 2027, che copre l’intera organizzazione (autovalutazione). AWS possiede le certificazioni SOC 1, SOC 2, SOC 3, ISO 27001 e PCI DSS per l’infrastruttura su cui funziona mTrip. PCI Booking, provider certificato PCI DSS, gestisce i numeri di carta. Nel Trust Center i clienti mTrip trovano le policy e i documenti di sicurezza di mTrip.
Protezione dei dati
I dati sono crittografati?
Sì. Il traffico verso la piattaforma e le sue API usa TLS 1.2 o superiore. mTrip crittografa con AES-256 database, archiviazione dei file e backup a riposo. Inoltre l’applicazione crittografa indirizzo email, numero di telefono, data di nascita e riferimenti di prenotazione.
mTrip archivia i numeri di carta di credito?
No. I numeri di carta vengono inseriti direttamente nel modulo sicuro di PCI Booking, provider certificato PCI DSS. mTrip conserva solo un token e il numero di carta mascherato, e non archivia mai i numeri completi né i codici di sicurezza.
Ogni quanto vengono eseguiti i backup e i ripristini vengono testati?
mTrip esegue ogni giorno il backup dei database di produzione, con ripristino point-in-time degli ultimi 7 giorni. I backup sono crittografati, copiati in una seconda regione AWS e protetti dalla cancellazione. mTrip testa un ripristino almeno una volta all’anno.
Cosa succede ai nostri dati quando il contratto termina?
mTrip elimina i dati del cliente secondo la propria procedura di offboarding dei clienti.
Accessi, test e risposta agli incidenti
Come accedono gli amministratori alla piattaforma web di mTrip?
Con un codice monouso inviato via email, oppure tramite il single sign-on del cliente. mTrip blocca un account dopo 5 tentativi di accesso non riusciti.
mTrip è testata da una società indipendente?
Sì. Una società indipendente testa la piattaforma e le app mobile almeno una volta all’anno, e mTrip rivede le proprie policy di sicurezza almeno una volta all’anno.
Come segnalo un incidente di sicurezza a mTrip?
Scrivi a [email protected]. Il messaggio avvisa il team di supporto e diventa la prima registrazione dell’incidente.
mTrip ha un piano di risposta agli incidenti e un piano di disaster recovery?
Sì. mTrip dispone di una procedura scritta di gestione e risposta agli incidenti, con un team dedicato alla risposta, oltre a un piano di continuità operativa e a un piano di disaster recovery.
Consulta i dettagli, poi parla con il team
Il Trust Center è riservato ai clienti mTrip e contiene le policy e i documenti di sicurezza di mTrip. Per qualsiasi altra domanda, chiedi durante una demo. Consulta anche l’informativa sulla privacy.