Sicurezza

Gorilli Compliance legge i tuoi siti web, i repository e i documenti di policy, quindi custodisce informazioni che non vorresti esporre. Questa pagina spiega come vengono trattati questi dati.

Isolamento dei workspace

• Ogni asset, scansione, criticità e documento appartiene a un solo workspace, e ogni query è limitata a quel workspace.
• Ogni membro ha un ruolo (owner, admin, membro o lettore) che limita cosa può modificare nel workspace.

Segreti

• I token GitHub vengono cifrati prima di essere salvati e decifrati sul server solo quando servono per una scansione o una pull request di correzione.
• I segreti trovati nei contenuti scansionati vengono sostituiti con un'impronta non reversibile prima di essere salvati come evidenza.
• Le password degli account sono salvate come hash bcrypt.

Evidenze delle scansioni

• Le evidenze raccolte durante una scansione sono append-only: le nuove scansioni aggiungono record, non riscrivono quelli precedenti.
• Ogni evidenza viene salvata con un hash SHA-256, così puoi dimostrare che non è cambiata da quando è stata raccolta.

Webhook e connessioni

• I webhook di push di GitHub e quelli di fatturazione vengono verificati tramite la firma prima di essere elaborati. Le richieste senza firma o con firma non valida vengono rifiutate.
• I siti web vengono letti via HTTPS.

Segnalare una vulnerabilità

Se pensi di aver trovato un problema di sicurezza in Gorilli Compliance, scrivi a security@example.com. Includi una descrizione del problema, i passaggi per riprodurlo ed eventuale contesto utile.

Ti chiediamo di non divulgare pubblicamente il problema finché non abbiamo avuto un tempo ragionevole per analizzarlo e risolverlo.

Certificazioni

Gorilli Compliance ti aiuta a preparare le evidenze di compliance per la tua azienda. Non possiede a sua volta un report SOC 2 né una certificazione ISO 27001, e le sue criticità e i documenti generati non costituiscono consulenza legale.