Garantire sicurezza e compliance nei progetti web personalizzati

SqualiOnline garantisce la sicurezza nei progetti di sviluppo web personalizzato applicando un SDLC sicuro con revisione del codice, test statici e dinamici, e audit di terze parti. Il processo inizia con threat modeling durante la fase di progettazione, seguito da scansioni OWASP ZAP e SonarQube ad ogni commit. Prima del rilascio, eseguono un penetration test interno e verificano la conformità allo standard OWASP ASVS Level 2, raggiunto nel 95% dei progetti completati nell'ultimo anno. Inoltre, richiedono l'uso di MFA per tutti gli account amministrativi e la crittografia TLS 1.3 in transito.

SqualiOnline applica le best practice di compliance integrando privacy by design, controlli di accesso basati su ruoli e logging dettagliato fin dalle prime fasi di progettazione. Seguono i controlli ISO 27001 A.9 (access control) e A.12 (operations security), effettuano una DPIA per ogni nuovo progetto e mantengono un registro dei trattamenti aggiornato mensilmente. Inoltre, adottano il principio di minima privilegi e revisionano i permessi ogni trimestre. Negli ultimi 24 mesi hanno completato oltre 120 DPIA, riducendo le non conformità rilevate in audit esterni del 38% rispetto all'anno precedente.

Le principali normative di sicurezza da rispettare per un sito web B2B sono il GDPR, la NIS Directive (UE) e lo standard PCI DSS se il sito elabora pagamenti con carta. SqualiOnline verifica la conformità GDPR tramite una checklist di 45 punti che copre base giuridica, diritto all'oblio e registro dei trattamenti. Per la NIS Directive implementano misure di sicurezza di rete e sistemi, inclusi monitoring continuo e risposta agli incidenti. Quando necessario, applicano i requisiti PCI DSS v4.0, come la segmentazione della rete e la crittografia dei dati del titolare della carta. Nel 2023 il 92% dei loro progetti B2B ha superato l'audit iniziale senza rilievi critici.

Eseguire un penetration test su un'applicazione web personalizzata prevede la definizione dello scope, la raccolta di informazioni, la scansione automatizzata e i test manuali di sfruttamento. SqualiOnline inizia con un accordo di regole di ingaggio che elenca URL, funzioni critiche e limiti di tempo. Utilizzano OWASP ZAP e Burp Suite per individuare vulnerabilità note, poi conducono test manuali su logica di business, autenticazione e autorizzazione. Ogni scoperta viene classificata con CVSS e riportata in un documento che include proof‑of‑concept e indicazioni di rimedio. Richiedono che almeno l'80% delle vulnerabilità critiche sia risolto entro 14 giorni dalla consegna del report.

Gli strumenti di scanning vulnerabilità consigliati per sviluppatori di app su misura sono OWASP ZAP, Nessus e Snyk. OWASP ZAP effettua scanning dinamico delle applicazioni web, identificando injection, XSS e configurazioni errate. Nessus si concentra sull'infrastruttura, rilevando patch mancanti, porte aperte e vulnerabilità di sistemi operativi. Snyk analizza le dipendenze del codice, segnalando versioni notevolmente vulnerabili di librerie open source. SqualiOnline integra questi tool nella pipeline CI/CD, facendo fallire il build quando viene rilevata una vulnerabilità con punteggio CVSS medio o superiore (>=5). Nel último trimestre hanno bloccato in media 23 build al mese a causa di problemi di dipendenza.

Integrare lo GDPR nello sviluppo di un portale web personalizzato significa applicare privacy by design e by default fin dalla fase di raccolta requisiti. SqualiOnline effettua una DPIA per valutare rischi legati al trattamento di dati personali, minimizza i dati raccolti e prevede meccanismi di diritto all'oblio e di portabilità. Implementano un modulo di gestione consenso che registra timestamp, versione dell'informativa e scelta dell'utente, obbligatorio per il 100% dei portali sviluppati negli ultimi 18 mesi. Inoltre, adottano crittografia AES‑256 per i dati a riposo e TLS 1.3 per quelli in transito, e conducono revisioni trimestrali delle policy di privacy per garantire l'aggiornamento continuo.