Sicurezza e protezione dei dati in Scanara

I dati dei clienti sono conservati in AWS eu-west-1 (Dublino, Irlanda): risultati delle scansioni con brevi estratti di codice, valutazioni, dossier e registrazioni di audit. Scanara non conserva una copia completa del tuo repository. Durante una scansione, i file vengono letti da GitHub (USA) in una memoria temporanea in eu-west-1. Francoforte (eu-central-1) è la regione di failover prevista; un failover completo non è ancora stato testato. L'analisi web si carica solo dopo il tuo consenso ai cookie e invia dati di utilizzo a Google e Microsoft negli USA, sulla base del EU-US Data Privacy Framework e delle clausole contrattuali tipo dell'UE.

I dati archiviati sono crittografati con AES-256. I dati in transito usano TLS 1.2 o superiore. L'archivio di audit e i log usano chiavi KMS dedicate che Scanara gestisce nel proprio account AWS.

L'accesso usa AWS Cognito con sicurezza avanzata (autenticazione adattiva, rilevamento di credenziali compromesse). L'autenticazione a più fattori con un'app di autenticazione è disponibile ma facoltativa; Scanara non la impone. I clienti Enterprise possono usare il single sign-on tramite OIDC; SAML è pianificato.

Le azioni in Scanara vengono scritte come eventi in un registro non modificabile (S3 Object Lock in modalità compliance), ciascuno con un hash di integrità SHA-256. Scanara conserva queste registrazioni per almeno 10 anni in tutti i piani. I fornitori di sistemi di IA ad alto rischio devono conservare la documentazione per 10 anni dopo l'immissione sul mercato o la messa in servizio del sistema (articolo 18, paragrafo 1, del Regolamento sull'IA).

Scanara documenta le proprie misure GDPR: un registro delle attività di trattamento, una valutazione d'impatto sulla protezione dei dati per la scansione del codice sorgente, valutazioni d'impatto dei trasferimenti per i fornitori statunitensi e un accordo sul trattamento dei dati ai sensi dell'articolo 28. I dati dell'account e dell'organizzazione vengono eliminati o anonimizzati entro 30 giorni dalla chiusura. Scanara non addestra modelli di IA sul codice dei clienti.

I ruoli limitano ciò che ogni utente può fare in un'organizzazione: amministratore dell'organizzazione, responsabile della conformità, ingegnere IA, revisore e lettore. I dati sono separati per organizzazione tramite query limitate all'organizzazione e sicurezza a livello di riga. Il personale di Scanara accede ad AWS tramite IAM Identity Center, senza credenziali di lunga durata.

Oggi Scanara non ha alcuna certificazione di sicurezza. ISO 27001 è in preparazione; SOC 2 e ISO/IEC 42001 sono pianificate, senza date pubblicate. È previsto un penetration test esterno; non è pubblicata alcuna data. Le certificazioni di AWS coprono solo l'infrastruttura AWS.

Acquisti

Il pack di valutazione fornitore è per i team acquisti

Contiene un questionario di sicurezza precompilato, un modello di accordo sul trattamento dei dati, l'elenco dei sub-responsabili, una panoramica dell'architettura e una dichiarazione sulla posizione dei dati. I documenti sono in inglese.