Passa al contenuto principale

Hosting e sicurezza

Sprout Social mira ad aiutare le aziende di ogni dimensione a diventare marketer migliori, creare relazioni più forti con i propri clienti, prendere decisioni più informate e creare i brand più amati al mondo.

Attiva dal 2010, Sprout Social conta oltre 25.000 clienti paganti che si affidano a noi per gestire ogni giorno milioni di conversazioni. La nostra tecnologia è progettata e gestita pensando ai nostri clienti e al loro pubblico di centinaia di milioni di persone. Lavoriamo quotidianamente per instaurare relazioni durature attraverso una cultura del successo e di assistenza al cliente.

Affidabilità e disponibilità

Sprout Social si impegna a ridurre al minimo l'impatto di eventuali incidenti e le interruzioni di servizio. Progettiamo i nostri sistemi per garantire la tolleranza agli errori e contiamo sui nostri team per il ripristino rapido in caso di incidenti. Evitare ad ogni costo le interruzioni del servizio, sia programmate che impreviste, è parte della nostra filosofia. Non imponiamo mai interruzioni dovute a manutenzione, se evitabili... e di solito lo sono. Integriamo nelle nostre procedure e nei nostri sistemi elementi a garanzia della continuità operativa e del ripristino emergenziale. Questi aspetti non vengono considerati un fattore secondario, né un compito relegato a un singolo team.

Un percorso positivo dimostrato

Mantenere un livello di operatività pari al 99,99% rappresenta un KPI per il nostro gruppo tecnico. Nel momento in cui scriviamo, abbiamo rilevato un'operatività superiore al 99,99% nel corso dei 6 e 12 mesi precedenti.

Trasparenza verso i clienti

La fiducia inizia da una comunicazione aperta. Condividiamo pubblicamente e in tempo reale lo stato del sistema e le metriche sui nostri siti web dedicati, https://status.sproutsocial.com per Sprout Social e https://status.getbambu.com per Bambu. Qui comunichiamo gli incidenti e la manutenzione programmata, incluso l'impatto sul cliente e mostriamo le metriche relative allo stato di salute del sistema fornite da operatori terzi. I clienti possono iscriversi per ricevere notifiche immediate via SMS o e-mail relative a eventuali futuri incidenti.

Feed dei social media

Il nostro livello di inserimento dei dati combina molteplici connessioni alle API dei social network. In qualità di partner certificati, vari social network come Facebook, Twitter, Instagram e Linkedin ci forniscono un livello superiore di ridondanza e accesso ai loro team di assistenza.

Backup

I backup vengono eseguiti frequentemente, con sia i dati statici che quelli in transito crittografati e testati regolarmente. I backup sono archiviati "fuori sede" su Amazon S3, che immagazzina i file su molteplici dispositivi fisici localizzati in più strutture, offrendo così una percentuale di durata pari al 99,999999999% e una disponibilità del 99,99%.

Trasparenza verso i nostri team

Internamente ci esercitiamo a compiere analisi post-mortem multidisciplinari e irreprensibili e cerchiamo di sviluppare le persone, le procedure e i sistemi a partire da un fallimento. La paura è nemica del progresso.

Isolamento

La nostra piattaforma di backend altamente distribuita utilizza schemi di progettazione isolati per ridurre i rischi di diffusione di incidenti a più componenti. Il guasto di un componente raramente si ripercuote su altri componenti.

Recovery point objectives (RPO)

Le strategie di ripristino sono progettate per fornire RPO aggiornati con Recovery Time Objectives (RTO) ridotti, con dati recuperati meno recenti rispetto a RTO più lunghi. Questo è coerente con le aspettative del cliente rispetto ai social media e gli consente di soddisfare le esigenze immediate dei suoi clienti.

Migliori pratiche DevOps

Il nostro team di progettazione impiega l'infrastruttura come codice, fornendo correttezza, coerenza, verificabilità e velocità nel ripristino. Ogni membro del team in servizio 24 ore su 24 e 7 giorni su 7, 365 giorni all'anno, è autorizzato e in grado di ricostruire sistemi e topologie con piena coerenza. In caso di perdite di sistema, il nostro team tecnico ricrea rapidamente i sistemi eseguendo il codice di infrastruttura.

Monitoraggio e assistenza reperibile

Offriamo un monitoraggio globale ininterrotto, visualizzando, inviando avvisi e creando report in tempo reale su tutti i nostri ambiti tecnici. L'assistenza ai clienti nasce dalla collaborazione tra il nostro team di supporto a contatto con i clienti e il nostro team tecnico. Disponiamo di tecnici specializzati, in servizio 24 ore su 24 e 7 giorni su 7, 365 giorni all'anno.

Quando si verificano problemi, i nostri team vengono prontamente avvisati, forniti automaticamente del contesto e dotati degli strumenti necessari per collaborare in modo efficiente con i colleghi. Utilizziamo un sistema di cercapersone per garantire che gli avvisi raggiungano i tecnici in modo veloce e affidabile.

Centri dati

I prodotti Sprout Social sono ospitati su Amazon Web Services (AWS). AWS fornisce strutture di hosting globali sicure, sempre disponibili e ridondanti, in conformità con Cloud Security Alliance Star Level 2, ISO 9001, 27001, 27017, 27018, PCI DSS Level 1 e SOC 1, 2 e 3. Per maggiori informazioni sulle certificazioni e i programmi di conformità AWS, visita il sitohttps://aws.amazon.com/compliance/programs.

Sede dei dati

I dati dei clienti sono conservati negli Stati Uniti, nelle regioni us-east-1 e us-west-2 di AWS. Sprout Social ha ottenuto la certificazione Privacy Shield per il trasferimento dei dati personali dall'Unione Europea e dalla Svizzera ed è conforme ai regolamenti GDPR.

Strutture

I centri dati AWS sono dotati di funzionalità di hosting fisico di altissimo livello. Gli edifici dispongono di un sistema di monitoraggio e gestione della temperatura e dell'umidità, rilevamento e rimozione automatica dell'acqua e rilevamento e soppressione automatica degli incendi. La combinazione di molteplici fonti di alimentazione, sistemi di gruppi di continuità (UPS) e generatori elettrici presenti sul posto fornisce ulteriori livelli di backup dell'alimentazione. Ridondanza dei sistemi di telecomunicazione e delle connessioni internet. Gli uffici aziendali e le altre strutture gestite da Sprout Social non sono dipendenti da singoli prodotti.

Sicurezza informatica

Sale e sistemi informatici prevedono ulteriori livelli di sicurezza, tra cui allarmi in caso di apertura forzata delle porte, sistemi di rilevamento di intrusioni elettroniche e nei thread, autenticazione a più fattori e distruzione dei supporti per
NIST 800-88.

Sicurezza fisica

Gli edifici che ospitano i centri dati sono sottoposti a rigorosi controlli e verifiche degli accessi fisici. Tutti gli accessi fisici sono monitorati da personale in servizio 24 ore su 24 e 7 giorni su 7. Tutti i visitatori sono sottoposti a un'autenticazione a due fattori. Il monitoraggio costante contro gli accessi non autorizzati avviene attraverso sistemi di videosorveglianza, rilevamento delle intrusioni e monitoraggio dei registri di accesso.

Sicurezza dell'infrastruttura e del network

Sprout Social include un team dedicato alla sicurezza. Tutti i sistemi sono controllati e sotto vigilanza, 24 ore su 24 e 7 giorni su 7, 365 giorni all'anno per eventi operativi e di sicurezza. Il rilevamento delle intrusioni basato su host viene implementato su tutti i sistemi di produzione.

Controlli del network

Il nostro network privato è segmentato in diverse zone di sicurezza, sottoposte a livelli di controllo più stringenti in prossimità dei dati dei clienti.

Gestione degli incidenti e risposta

Il piano e le procedure di risposta agli incidenti di Sprout Social si basano sugli standard NIST. Tutti i report degli incidenti vengono prontamente indagati, segnalati e, se necessario, vi viene posto rimedio. Il piano e le procedure di risposta definiscono tutte le fasi necessarie per garantire un processo coerente.

Scansione

I sistemi e le applicazioni vengono scansionati regolarmente alla ricerca di vulnerabilità comuni.

Crittografia dei dati statici e in transito

Tutte le comunicazioni su reti pubbliche con le applicazioni e le API di Sprout Social sono effettuate su TLS/HTTPS. Tutti i dati statici vengono archiviati e crittografati, inclusi i backup.

Amministrazione del sistema

Vengono utilizzate procedure consigliate, quali privilegio minimo, gestione della configurazione centralizzata e politiche rigorose di firewall per network e host. I server sono collegati automaticamente secondo una pianificazione periodica, con patch ad alta priorità applicate manualmente fuori dal ciclo previsto.

Sicurezza dell'applicazione

Gli sviluppatori di Sprout Social ricevono una formazione annuale sulla codifica sicura. Tutti i codici dell'applicazione sono creati dai dipendenti di Sprout e ogni modifica è sottoposta a una revisione tra pari. Le vulnerabilità della sicurezza vengono prontamente valutate e corrette.

Test di penetrazione di terze parti

Sprout Social appalta a molteplici fornitori di prove di penetrazione informatica la conduzione di vari test annuali. I report sono disponibili su richiesta dei clienti sotto NDA.

Prevenzione degli attacchi DDoS

La prevenzione degli attacchi DDoS (Distributed Denial of Service) viene fornita tramite la nostra piattaforma di hosting.

Politica di divulgazione responsabile

I ricercatori deputati alla sicurezza possono segnalare le vulnerabilità tramite Bug Crowd. (link: https://bugcrowd.com/sproutsocial). Maggiori informazioni sulla nostra politica su https://sproutsocial.com/responsible-disclosure-policy.

Dipendenti e formazione informatica interna

Oltre agli sviluppatori che ricevono una formazione sulla codifica sicura, tutti i dipendenti partecipano a corsi annuali sulla sicurezza generale e sulla privacy dei dati. Le esercitazioni di phishing vengono eseguite periodicamente e raffrontate ai parametri di riferimento del settore.

Standard e politiche sulla sicurezza dei dati

Sprout Social dispone di una serie completa di politiche e standard,
che coprono ogni aspetto della sicurezza e della privacy. Tutti i dipendenti devono assumersi le proprie responsabilità riguardo alla protezione dei dati dei clienti come parte essenziale dei loro doveri lavorativi.

Protocolli di supporto sicuri

Quando conduce operazioni a rischio sugli account dei clienti, il nostro team di supporto di livello mondiale applica protocolli anti-phishing e di opposizione alle minacce progettati dal nostro team dedicato alla sicurezza.

Uffici

L'accesso agli uffici di Sprout Social è protetto con tessera magnetica. I network degli uffici sono segmentati, monitorati centralmente e protetti da firewall e dispositivi di prevenzione delle intrusioni. I nostri prodotti non dipendono dagli uffici di altre aziende, né da altre strutture di nostra gestione.

Dispositivi

Tutti i dispositivi di Sprout Social sono catalogati con tag delle risorse e gestiti con una soluzione MDM centralizzata.

Parametri

Le postazioni di lavoro dei dipendenti sono protette con crittografia del disco rigido, antivirus e rilevamento dei malware avanzato con gestione e controllo centralizzati.

Controllo dei precedenti

Tutti i nuovi assunti con accesso ai dati dei clienti vengono sottoposti al controllo della fedina penale e dei precedenti giudiziari.

Continuità aziendale

Come per l'hosting dei nostri prodotti, per quanto Sprout Social mantenga sedi fisiche in tutto il mondo, il proseguimento delle attività della nostra azienda non è dipendente da queste sedi. I nostri prodotti, il servizio di assistenza ai clienti e le attività aziendali complessive sono in grado di proseguire senza interruzione in caso di incidenti fisici o problemi presso le nostre sedi. Il nostro team è dotato di strumenti basati sul cloud, nonché soluzioni di accesso e collaborazione in remoto il cui utilizzo è prassi quotidiana.

Funzionalità per la sicurezza del prodotto

Verifica in due passaggi (2FA)

I proprietari e gli amministratori degli account possono richiedere che gli utenti utilizzino questo livello di sicurezza aggiuntivo. Sprout Social supporta app quali Google Authenticator e altre che applicano l'algoritmo Time-based One-time Password (TOTP) o quello HMAC-based One-time Password (HOTP) per la generazione di codici di accesso.

Archiviazione sicura delle credenziali

Le password degli account vengono crittografate e cifrate utilizzando gli algoritmi e le strategie più aggiornate, sottoposti a controlli periodici. Nessuna persona, incluso il nostro staff, potrà mai visualizzarle. In caso di perdita della password, non sarà possibile recuperarla e dovrà essere reimpostata.

Protezione contro gli attacchi a forza bruta

Oltre a un hashing computazionalmente complesso, il nostri servizi di autenticazione implementano ulteriori protezioni con limitazioni della banda e ReCAPTCHA.

Flussi di approvazione

I proprietari e gli amministratori degli account possono limitare determinate attività, previa approvazione dei flussi di lavoro. Così facendo, i compiti saranno suddivisi fra i membri del team, con la tranquillità da parte dei responsabili decisionali centrali di poter rivedere e controllare le azioni rivolte al pubblico.

Restrizioni di IP

Sprout Social può essere configurato per limitare l'accesso alle applicazioni e alle API da parte di specifici intervalli IP.

Single sign-on (SSO)

Sprout Social offre il servizio Single Sign-On (SSO) SAML 2.0 alle organizzazioni che sfruttano questo servizio di autenticazione per fornire ai dipendenti una serie di credenziali di accesso a più applicazioni. Il nostro team di progettazione collabora con i clienti per implementare integrazioni SSO personalizzate sia sul web che sui dispositivi mobili.

E-mail con firma digitale

Sprout Social implementa i metodi di autenticazione Sender Policy
Framework (SPF) e DomainKeys Identified Mail (DKIM) per garantire che le e-mail che inviamo siano autenticate come provenienti da Sprout Social, contribuendo così ad assicurarne l'autenticità e a prevenire lo spoofing.

Permessi di accesso

I proprietari e gli amministratori degli account possono limitare l'accesso a profili, funzionalità, azioni (incluso scrivere e leggere) e ulteriori dati applicando controlli granulari agli utenti del proprio account.

Sospensione della pubblicazione globale

In tempi di crisi, il tuo team ha accesso a un pulsante che disabilita temporaneamente l'invio da parte di Sprout Social di messaggi automatizzati, programmati e in coda. Questa funzione è accessibile dalle nostre applicazioni web e per dispositivi mobili.

Conformità e certificazioni

SOC 2 Type II

Sprout Social ha ricevuto la certificazione indipendente della conformità SOC 2 Type II nel dicembre 2019.

Privacy shield EU-USA e Svizzera-USA

Sprout Social è certificato in conformità con gli accordi di Privacy Shield stabiliti dal Dipartimento del Commercio degli Stati Uniti in materia di trasferimento dei dati personali dallo Spazio Economico Europeo (EEA) e/o dalla Svizzera verso gli Stati Uniti.

CSA STAR livello 1

Sprout Social è membro della Cloud Security Alliance (CSA), la principale organizzazione mondiale indipendente che si occupa di definire le procedure consigliate per i fornitori di servizi cloud. Nel nome della trasparenza, Sprout fornisce risposte alle domande che i clienti pongono più spesso riguardo al loro fornitore di servizi cloud.

GDPR

Sprout Social si conforma al GDPR in quanto titolare del trattamento e responsabile del trattamento dei dati personali ai sensi del Regolamento generale sulla protezione dei dati (GDPR).

Conformità PCI

Sprout Social è conforme a PCI SAQ-A. Le transazioni di pagamento vengono esternalizzate a elaboratori di terzi conformi al
livello PCI-DSS 1.

Partnership con i social media ufficiali

Sprout Social è riconosciuto come partner ufficiale di Twitter, Facebook, Instagram, LinkedIn e Pinterest.