🛡️ Sicurezza & Trasparenza

Software Bill of Materials (SBOM)

Un SBOM è l'elenco completo delle dipendenze e librerie di terzi presenti nel nostro software, in formato standard internazionale CycloneDX 1.5 (OASIS). Lo pubblichiamo pubblicamente per consentire:

• Audit di sicurezza da parte di clienti enterprise (catene di ristoranti, gruppi alberghieri)
• Analisi automatica vulnerabilità via Snyk, Trivy, Dependency-Track
• Compliance proattiva con il Cyber Resilience Act UE 2024/2847 (art. 13.18, scadenza 2027)
• Trasparenza per certificazioni cliente (ISO 27001, SOC 2, audit IT interni)

Gli SBOM si visualizzano facilmente su cyclonedx-bom-viewer.com (gratuito, browser-based). Rigenerati automaticamente il 1° di ogni mese.

Misure di sicurezza in vigore

• Crittografia at-rest: database MariaDB con Transparent Data Encryption AES-256 sui tablespace
• Crittografia in-transit: HTTPS TLS 1.3 ovunque (server, tablet, app)
• Storage tablet: SQLite cifrato con SQLCipher (passphrase in Android Keystore hardware-backed)
• Multi-tenancy stretto: ogni cliente vede solo i propri dati (filtro tenant_id su ogni query, audit-loggato)
• Backup off-site: cifrati con restic su Hetzner Storage Box (retention 14 giorni / 8 settimane / 12 mesi)
• 2FA SuperAdmin: TOTP + WebAuthn obbligatori per l'accesso al pannello di amministrazione
• App sul dispositivo del cliente (BYOD): distribuzione tramite pagina di download dedicata; ogni versione è firmata con certificato proprietario e verificata (hash SHA-256) prima dell'installazione, così solo build autentiche Kore possono girare
• Assistenza in sola lettura: il supporto remoto può vedere lo schermo del tablet (condivisione su consenso) ma non comandarlo — nessuna azione viene eseguita a distanza
• Audit log immutabile: ogni azione operativa (registrazione temperatura, pulizia, NC) tracciata con timestamp, operatore, sede

Segnalazione vulnerabilità

Se ritieni di aver trovato una vulnerabilità di sicurezza nel nostro software, ti invitiamo a segnalarla in privato a:

📧 security@korehaccp.it

Ci impegniamo a rispondere entro 72 ore lavorative e a coordinare la disclosure responsabile.