Audit di sicurezza di Yeco-PII: cosa abbiamo corretto e cosa stiamo migliorando

Una precisazione prima di tutto: alcune delle falle più gravi emerse nell'audit, tra cui quella per cui dopo i 512 token il rilevamento smetteva di censurare, non erano un difetto del modello. Erano un bug della console che ospita il modello, che non suddivideva correttamente il testo in blocchi (chunking). Il modello on-premise fornito alle banche e ai clienti business includeva già questo meccanismo e non era interessato dal problema.

Vogliamo ringraziare l'Ing. Ezio Amodio, CISSP, con oltre 20 anni di esperienza in cybersecurity. Ha condotto per noi un audit di sicurezza indipendente e gratuito sul servizio di rilevamento dei dati personali di Yeco-PII.

L'audit ha individuato alcune vulnerabilità. Le abbiamo analizzate una per una e corrette. Tutte le criticità di gravità alta e critica sono risolte.

Stato delle correzioni

• Risolto: testi lunghi. Ogni parte del documento viene ora analizzata.
• Risolto: dati nascosti da spazi o caratteri invisibili, ora rilevati.
• Risolto: gli IBAN sono riconosciuti indipendentemente da come sono scritti.
• Risolto: identificativi nascosti da etichette o cornici, come partite IVA, codici fiscali e numeri di carta, ora verificati con le regole di validazione ufficiali.
• Risolto: codici fiscali e date di nascita scritti per esteso, anche con l'anno in lettere.
• In miglioramento: nomi all'interno di alcuni formati strutturati, come HTML, JSON e tabelle.
• In miglioramento: gestione dei parametri e delle risposte del servizio.

Cosa succede ora

Stiamo lavorando sui due punti ancora in miglioramento. Aggiorneremo questa pagina quando saranno completati.

Grazie

Le verifiche di sicurezza esterne sono una parte fondamentale di come proteggiamo i dati dei nostri clienti. Grazie ancora all'Ing. Amodio. Per domande o segnalazioni di sicurezza, scrivete a [email protected].