Sicurezza in Stripe

I nostri utenti si fidano di Stripe in termini di trattamento dei dati sensibili. Inoltre, si affidano a noi anche per custodire al meglio i dati dei loro clienti. In qualità di azienda che offre un’infrastruttura di pagamenti, la nostra posizione di sicurezza si evolve continuamente per soddisfare i rigorosi standard del settore finanziario globale.

Conformità a norme e regolamenti

Stripe utilizza le migliori pratiche di sicurezza per mantenere un livello di sicurezza elevato.

Con certificazione PCI

Stripe è stata verificata da un revisore certificato PCI e ha ottenuto la certificazione come fornitore di servizi PCI di livello 1, il più alto livello di certificazione nel settore dei pagamenti, e riguarda sia il Card Data Vault (CDV) di Stripe che lo sviluppo software sicuro del nostro codice di integrazione.

Offriamo ai nostri utenti funzionalità per automatizzare alcuni aspetti della conformità alle norme PCI.

• Analizziamo il metodo di integrazione dell’utente e lo informiamo dinamicamente su quale modulo di convalida PCI utilizzare.
• Se un utente utilizza Stripe Elements, Checkout, SDK Terminal o le nostre librerie mobili, forniamo l’assistenza necessaria per compilare il modulo di convalida PCI (Questionario di autovalutazione A) nella Dashboard.
• Per educare gli utenti sul tema della conformità, pubblichiamo una Guida alla conformità alle norme PCI che descrive come mantenere la conformità e in che modo Stripe può essere di aiuto.

Report SOC (System and Organization Controls)

I sistemi, i processi e i controlli di Stripe vengono regolarmente verificati nell’ambito dei nostri programmi di conformità SOC 1 e SOC 2. I report SOC 1 e SOC 2 Tipo II vengono generati annualmente e possono essere forniti su richiesta.

L’Auditing Standards Board ha sviluppato i Trust Service Criteria (TSC) dell’American Institute of Certified Public Accountants (AICPA) per i report SOC 3. Il SOC 3 di Stripe è un report pubblico sui controlli interni in materia di sicurezza, disponibilità e riservatezza. Consulta la versione più recente del nostro report SOC 3.

Standard EMVCo per i terminali delle carte

Stripe Terminal è certificato in base agli standard EMVCo Level 1 and 2 delle Specifiche EMV® per la sicurezza e l’interoperabilità di carte e terminali. Terminal è inoltre certificato in base al PCI Payment Application Data Security Standard (PA-DSS), lo standard di sicurezza globale che mira a impedire alle applicazioni di pagamento sviluppate per terze parti di archiviare dati sicuri vietati.

NIST Cybersecurity Framework

La suite di politiche per la sicurezza delle informazioni di Stripe e il loro design generale sono in linea con il NIST Cybersecurity Framework. Le nostre procedure di sicurezza soddisfano gli standard dei clienti aziendali che devono fornire prodotti sicuri come piattaforme di archiviazione e cloud computing on-demand (ad esempio Digital Ocean e Slack).

Privacy e protezione dei dati

Stripe ha ottenuto le certificazioni CBPR e PRP, a conferma della conformità delle proprie pratiche sulla privacy ai sistemi CBPR e PRP. Per visualizzare lo stato delle nostre certificazioni, fai clic qui (CBPR) e qui (PRP). Inoltre, Stripe è conforme al Data Privacy Framework degli Stati Uniti (“EU-U.S. DPF”), all’estensione britannica dell’EU-U.S e allo Swiss-U.S. Data Privacy Framework come stabilito dallo U.S. Department of Commerce. Per visualizzare le nostre certificazioni, fai clic qui.

Implementiamo continuamente processi, procedure e migliori pratiche in materia di privacy e protezione dei dati perché sono in continua evoluzione. Lo facciamo prendendo in considerazione tutti i regimi di protezione della privacy e dei dati applicabili. Per ulteriori informazioni, consulta le seguenti risorse:

• Informativa sulla privacy
• Centro privacy
• Clausola aggiuntiva per il trattamento dei dati

Protezione dei prodotti Stripe

La sicurezza è uno dei principi guida di Stripe per tutte le decisioni relative alla progettazione dei prodotti e all’infrastruttura. Offriamo una gamma di funzionalità per aiutare i nostri utenti migliorare la protezione dei loro dati Stripe.

Autenticazione delle azioni sensibili

La Dashboard Stripe supporta diverse forme di autenticazione a più fattori (MFA) tra cui: SMS, algoritmo della password monouso a tempo (TOTP), chiavi di sicurezza hardware e passkey. È inoltre disponibile Single Sign-On tramite Security Assertion Markup Language (SAML) 2.0, che consente ai clienti di rendere obbligatori i requisiti di accesso, configurare il controllo degli accessi e attivare immediatamente i membri del team tramite il provisioning dell’account Just-in-Time.

Prima di ricevere una risposta da parte dell’assistenza, le richieste degli parte degli utenti devono essere autenticate inviando la richiesta dalla Dashboard (dopo l’accesso) o verificando l’accesso all’account. Richiedendo l’autenticazione, riduciamo al minimo il rischio di fornire informazioni a persone non autorizzate.

Restrizione dell’accesso e controllo

Dalla Dashboard gli utenti possono assegnare diversi ruoli dettagliati per consentire l’accesso con privilegi minimi ai propri dipendenti e creare chiavi di accesso limitato per ridurre il rischio di sicurezza e affidabilità legati all’esposizione alle chiavi API.

Gli utenti possono visualizzare anche i log di controllo delle modifiche e delle attività importanti dell’account nella loro cronologia di sicurezza. Questi log di controllo contengono le registrazioni delle attività sensibili dell’account, come l’accesso o la modifica dei dati del conto bancario. Monitoriamo gli accessi e prendiamo nota di quanto segue:

• Se provengono dagli stessi dispositivi o dai dispositivi usati più di frequente
• Se provengono da indirizzi IP coerenti
• Tentativi non riusciti

Gli utenti possono esportare i dati storici dai log. Per le attività urgenti, come gli accessi da IP e dispositivi sconosciuti, inviamo notifiche automatiche in modo che i log non debbano essere rivisti manualmente.

HTTPS e HSTS per connessioni sicure

Imponiamo l’uso del protocollo HTTPS per tutti i servizi che utilizzano TLS (SSL), inclusi il nostro sito web pubblico e la Dashboard. Verifichiamo regolarmente i dettagli della nostra implementazione, inclusi i certificati gestiti, le autorità di certificazione usate e i cifrari supportati. Usiamo HSTS per avere la certezza che i browser interagiscano con Stripe solo su HTTPS. Stripe è presente anche nelle liste precaricate HSTS di tutti i principali browser moderni.

Tutte le comunicazioni da server a server sono crittografate utilizzando il metodo di autenticazione Mutual Transport Layer Security (mTLS) e Stripe ha chiavi PGP dedicate affinché gli utenti possano crittografare le comunicazioni con Stripe o verificare i messaggi firmati che ricevono da Stripe. I sistemi di Stripe bloccano automaticamente le richieste effettuate utilizzando versioni precedenti e meno sicure di TLS, che richiedono l’uso di almeno TLS 1.2.

Il dominio stripe.com, inclusi i sottodomini della Dashboard dell’API, sono nell’elenco dei principali domini di Chrome, il che fornisce una protezione aggiuntiva contro gli attacchi omoglifi. In questo modo è più difficile creare pagine false che assomiglino a stripe.com in Chrome (ad esempio strípe.com), che viene visualizzato come punycode (xn–strpe-1sa.com), rendendo a sua volta più difficile il phishing delle credenziali Stripe.

Monitoraggio proattivo di Internet

Scansioniamo proattivamente Internet per la verifica delle chiavi API dei nostri esercenti. Se troviamo una chiave compromessa, interveniamo con misure appropriate, informando l’utente che deve revocare la propria chiave API. Utilizziamo GitHub Token Scanner per avvisarci quando le chiavi API di un utente sono divulgate su GitHub. Se troviamo pagine di phishing esterne che potrebbero catturare i nostri utenti, lavoriamo in modo proattivo con i nostri fornitori per rimuoverle e segnalarle a Google Navigazione sicura.

Salvaguardie dell’infrastruttura

I nostri team di sicurezza testano regolarmente la nostra infrastruttura alla ricerca di eventuali vulnerabilità, conducono test di penetrazione ed esercitazioni dei red team Red. Incarichiamo società di sicurezza leader del settore di eseguire scansioni di terze parti dei nostri sistemi e affrontiamo immediatamente le problematiche da loro riscontrate. I nostri server vengono sostituiti frequentemente e automaticamente per mantenerne l’integrità del server e dismettere connessioni o risorse obsolete. I sistemi operativi dei server vengono aggiornati con largo anticipo rispetto alla data di fine del ciclo di vita (EOL) per la sicurezza.

Tecnologia delle carte dedicata

Stripe crittografa i dati sensibili sia in transito che inattivi. L’infrastruttura Stripe per memorizzare, decodificare e trasmettere i PAN (Primary Account Number), come i numeri di carta di credito, viene eseguita su una piattaforma di hosting separata e non condivide le credenziali con il resto dei nostri servizi. Un team dedicato gestisce il nostro CDV in un ambiente Amazon Web Services (AWS) isolato dal resto dell’infrastruttura Stripe. L’accesso a questo ambiente separato è limitato a numero ristretto di ingegneri appositamente formati e viene rivisto trimestralmente.

Tutti i numeri delle carte sono crittografati quando inattivi con l’algoritmo di cifratura AES-256. Le chiavi di decrittazione sono memorizzate su macchine separate. Tokenizziamo internamente i PAN, isolando i numeri grezzi dal resto della nostra infrastruttura. I server e i daemon interni di Stripe non possono ottenere numeri di carta non crittografati, ma possono richiedere l’invio di carte a un fornitore di servizi in un elenco statico di carte consentite. L’infrastruttura di Stripe dedicata alla memorizzazione, decodifica e trasmissione dei numeri di carta viene eseguita in un ambiente di hosting separato e non condivide le credenziali con nessuno dei principali servizi di Stripe, tra cui la nostra API e il sito web. Non sono solo i PAN a essere tokenizzati in questo modo. Trattiamo altri dati sensibili, come i dati del conto bancario, in modo simile.

Tecnologia aziendale

Stripe adotta un approccio Zero Trust alla gestione degli accessi dei dipendenti. I dipendenti vengono autenticati sfruttando SSO, autenticazione a due fattori (2FA) con token basato su hardware e mTLS tramite certificato crittografico su macchine emesse da Stripe. Una volta connessi alla rete, i sistemi interni sensibili e quelli al di fuori dell’ambito del lavoro standard del dipendente richiedono autorizzazioni di accesso aggiuntive.

Monitoriamo i log di controllo per rilevare anomalie, intrusioni e attività sospette, oltre a monitorare le modifiche a file sensibili nella nostra base di codice. Tutto il codice di Stripe viene sottoposto a revisione di più parti e test automatizzati. Le modifiche al codice sono registrate in un log non modificabile a prova di manomissione. Raccogliamo costantemente informazioni sui laptop emessi da Stripe per monitorare processi dannosi, connessioni a domini fraudolenti e attività di intrusione. Disponiamo di un processo completo per elencare i software non consentiti sui laptop dei dipendenti, impedendo l’installazione delle applicazioni non approvate.

Mantenimento della posizione di sicurezza

I nostri sviluppatori lavorano con esperti di sicurezza all’inizio del ciclo di vita di un progetto. Nell’ambito della nostra procedura di verifica per la sicurezza, gli esperti di sicurezza sviluppano modelli di minacce e limiti di fiducia che agevolano l’implementazione del progetto. Gli sviluppatori utilizzano questa stessa procedura per apportare modifiche a parti di codice sensibili.

Esperti dedicati sempre reperibili

Disponiamo di numerosi team di sicurezza dedicati specializzati in aree diverse della sicurezza, tra cui infrastruttura, operazioni, privacy, utenti e applicazioni. Gli esperti di sicurezza sono disponibili 24 ore su 24 tutti i giorni in turni a ciclo continuo. Il nostro obiettivo è migliorare costantemente il livello delle migliori pratiche per ridurre al minimo i rischi per la sicurezza informatica.

La sicurezza è una priorità per ogni dipendente Stripe

Chiediamo a ogni dipendente Stripe di completare dei corsi di formazione sulla sicurezza ogni anno e forniamo formazione sullo sviluppo software sicuro agli ingegneri Stripe. Eseguiamo campagne di phishing interne per avere la certezza che tutto il personale di Stripe riconosca i tentativi di phishing e li segnali al team di sicurezza appropriato.

Gestione del controllo degli accessi

Abbiamo una procedura formale per concedere l’accesso ai sistemi e alle informazioni. Esaminiamo regolarmente e rimuoviamo automaticamente l’accesso inattivo. Le azioni nelle aree più sensibili dell’infrastruttura richiedono una revisione umana. Per abilitare le migliori prassi per il controllo degli accessi, i nostri esperti di sicurezza creano procedure di base per assistere i team Stripe nell’attuazione del principio del privilegio minimo. Per limitare al minimo la nostra esposizione, abbiamo una politica di conservazione dei dati che riduce al minimo i dati che conserviamo nel rispetto dei requisiti normativi e aziendali.

Segnalazione di vulnerabilità e programma a premi

Garantiamo un programma di divulgazione delle vulnerabilità e di ricompensa (“bug bounty”) a favore dei ricercatori indipendenti specializzati in materia di sicurezza che ci aiutano a mantenere i nostri utenti al sicuro. Segnalando un bug di sicurezza o una vulnerabilità a Stripe tramite HackerOne, dichiari di aver letto e accettato i termini e condizioni del programma. Fai riferimento alla nostra politica su HackerOne per ulteriori informazioni su come partecipare al programma bug bounty.