Cloud e sicurezza

Portiamo in cloud le soluzioni di Customer Communication Management e di Customer Experience: niente hardware da acquistare, niente manutenzione, costi legati a quello che serve davvero, e il pieno controllo del servizio.

Lavoriamo con banche e assicurazioni dal 2004. In oltre vent'anni abbiamo visto che in questo settore il cloud si giudica da tre domande: dove stanno i dati, quanto serve per ripartire e chi lo può dimostrare. Questa pagina risponde a tutte e tre.

SaaS: l'applicazione gestita da noi

Con il Software as a Service forniamo un'intera applicazione di mercato già installata, aggiornata e gestita da Dataexpert. Non dovrete più occuparvi degli aggiornamenti della vostra piattaforma di business communication.

IaaS: la vostra licenza, la nostra infrastruttura

Con l'Infrastructure as a Service restate proprietari della licenza del software scelto, mentre installazione, infrastruttura e manutenzione sono a carico nostro. Eroghiamo servizi gestiti di NOC e SOC per garantire la continuità operativa.

Dove gira il servizio

Non esiste una collocazione giusta per tutto. La scegliamo servizio per servizio, in base a dati trattati, volumi e requisiti del cliente. Gli stessi ambienti ospitano Pflow.

Collocazioni possibili di un ambiente gestito

Collocazione	Quando conviene	Cosa offre
Microsoft Azure e Google Cloud	Servizi che beneficiano di scalabilità e di integrazione con altri servizi cloud	Ambienti dedicati per le esigenze di riservatezza e sicurezza del settore finanziario
Data center in Italia	Dati che devono restare su infrastruttura nazionale	4 data center distribuiti sul territorio, certificati Tier 3+ e Tier 4, sotto giurisdizione europea
On-premise	Servizi strettamente legati ai sistemi centrali del cliente	Controllo diretto, con la nostra gestione applicativa
Ibrido	Catene con esigenze diverse per ogni fase	Applicazioni e dati distribuiti tra cloud, data center privati e on-premise, con gestione unica

Continuità: ripartire nei tempi concordati

Un guasto non deve diventare un estratto conto in ritardo. La continuità si costruisce su più livelli:

• Alta affidabilità. Cluster che continuano a lavorare anche se si rompono dischi o interi server, con spostamento automatico dei carichi sui nodi attivi.
• Distribuzione geografica. Servizi su più data center, per reggere anche il fermo di un intero sito.
• Backup automatizzati H24. Copie regolari di dati e sistemi critici, con replica geografica.
• Disaster recovery as a service. Ripartenza su un altro sito, con procedure definite.
• RTO e RPO a contratto. Tempo massimo di ripartenza e perdita massima di dati fissati per ogni servizio e verificati con prove di ripristino.
• Infrastruttura come codice. Ambienti descritti e ricostruibili in modo ripetibile, non configurati a mano.

Sicurezza: sorveglianza H24

I nostri ambienti sono sotto il controllo di un Security Operations Center sempre operativo, H24 e 7 giorni su 7. Il lavoro segue un ciclo continuo: rilevare, analizzare, rispondere, migliorare.

• Rilevazione e risposta gestite (MDR). Dati da endpoint, reti, servizi cloud e applicazioni, raccolti e correlati in un'unica vista.
• Threat intelligence. Informazioni su attori, campagne e credenziali compromesse, con preavviso sugli attacchi rivolti al settore.
• Risposta agli incidenti. Dal contenimento all'analisi forense, per limitare l'impatto e ripristinare l'operatività.
• Emulazione avversaria. Simulazioni di attacco di un red team per verificare difese e reazioni. Vedi l'audit di sicurezza.
• Controllo della postura cloud. Verifica continua delle configurazioni degli ambienti.
• Formazione. Percorsi e simulazioni di phishing per le persone che lavorano sui sistemi.

Audit di sicurezza

Uniamo oltre vent'anni di esperienza sui sistemi del settore finanziario alla specializzazione sul cloud, e lavoriamo con un centro operativo specializzato in sicurezza. Valutiamo un sistema informativo dal punto di vista della sicurezza e indichiamo cosa correggere, in che ordine.

Il risultato è un piano di rientro con priorità. L'audit comprende:

• Analisi delle vulnerabilità dei sistemi.
• Verifica della conformità alle normative di sicurezza, compresi i requisiti DORA sui fornitori ICT.
• Valutazione dei rischi delle infrastrutture IT.
• Raccomandazioni pratiche e piano di rientro con priorità.

Vulnerability Assessment

Analisi tecnica che individua le vulnerabilità nascoste nei sistemi di rete e mappa le aree più esposte ad attacchi. Consegniamo un report delle vulnerabilità rilevate con le azioni per ridurre il rischio.

Penetration Testing

Simulazione controllata di un attacco reale per misurare la resistenza delle difese. Individua le vulnerabilità critiche, stima l'impatto di un'intrusione e indica come migliorare la sicurezza prima che qualcuno ne approfitti.

Managed Detection and Response (MDR)

Monitoraggio continuo per individuare rapidamente attività anomale ed eventi di sicurezza. Un Security Operations Center sempre operativo, H24 7/7, raccoglie i dati di endpoint, reti, servizi cloud e applicazioni, analizza gli eventi e attiva le contromisure per bloccare l'attacco o ridurne gli effetti. Il ciclo è continuo: rilevare, analizzare, rispondere, migliorare. Ogni segnalazione diventa un ticket tracciato, e il report mensile documenta il lavoro svolto.

Emulazione avversaria

Un red team riproduce tattiche e tecniche di attaccanti reali per verificare se difese e persone reggono davvero. È il passo successivo al penetration test: non cerca solo la vulnerabilità, misura la capacità di accorgersi dell'attacco e di reagire.

Threat Intelligence

Informazioni su attori, campagne e vulnerabilità, raccolte anche da sensori propri e dal monitoraggio del dark web, per conoscere in anticipo credenziali compromesse e attacchi rivolti al settore.

Risposta agli incidenti

Gestione strutturata dell'incidente, dal contenimento all'analisi forense, per limitare l'impatto e ripristinare l'operatività. Per una banca o un suo fornitore è anche la fonte dei dati richiesti dalla notifica degli incidenti DORA.

Formazione e simulazioni di phishing

Molti attacchi passano dalle persone. Formazione e simulazioni misurano il comportamento reale e indicano dove intervenire.

Per banche e assicurazioni questi servizi alimentano anche il controllo del rischio ICT richiesto da DORA. Richiedi una consulenza.

Dati e archivi protetti

• Perimetro definito. Accessi autorizzati e tracciabilità end-to-end del trattamento: si sa chi ha fatto cosa, e quando.
• Storage a oggetti. Archivi scalabili per dati, documenti e backup, con conformità GDPR.
• Immutabilità (WORM) e conservazione configurabile. Una copia che non si può modificare né cancellare resta disponibile anche dopo un attacco di tipo ransomware.

Questi strumenti proteggono gli archivi, ma non sostituiscono la conservazione a norma, che ha regole proprie.

Prove e governo del rischio

In banca conta ciò che si può mostrare, e Dataexpert è un fornitore DORA compliant: queste pratiche sono parte di come ne applica i principi. Ogni segnalazione diventa un ticket tracciato, il report è mensile e può diventare settimanale o giornaliero. Rischi e controlli sono seguiti con indicatori aggiornati e metodi basati su standard come ISO 27005 e su DORA, e producono report utili agli audit.

Dataexpert è certificata ISO/IEC 27001. Il fornitore dell'infrastruttura italiana e del monitoraggio è certificato ISO/IEC 27001:2022, ISO/IEC 27017 per la sicurezza del cloud e ISO/IEC 27018 per la protezione dei dati personali nel cloud.

Chi fa cosa

Dataexpert risponde del servizio verso il cliente e ne gestisce la parte applicativa. L'infrastruttura italiana, il Security Operations Center e i servizi di protezione dei dati sono affidati a un fornitore specializzato. Non è una scatola chiusa: per banche e assicurazioni il fornitore compare, con ruolo e sedi, nell'elenco dei sub-fornitori previsto da DORA.

Cosa cambia in ogni area

Come continuità e sicurezza si applicano alle aree di servizio

Area	Dove pesa di più
CCM	Lotti periodici con scadenze fisse: alta affidabilità e disaster recovery proteggono l'invio
Business Communication	Invii massivi e prove di invio: perimetro, archivi immutabili e difesa dal phishing
Accessibilità	Preferenze di formato e archivi da rimediare: dati delicati e documenti da tenere sempre disponibili
DORA	Sono le pratiche con cui rispettiamo DORA come fornitore: sedi, sub-fornitori, test e prove per la banca
Process AI Innovation	Automazioni e integrazioni: account tecnici, registri protetti e monitoraggio

Contenuto informativo aggiornato a novembre 2026: non sostituisce una consulenza legale.

Domande frequenti

I dati possono restare in Italia?

Sì. Per i servizi che lo richiedono usiamo data center italiani, con dati su infrastruttura nazionale. Le sedi di trattamento sono comunque scritte nel contratto.

Che differenza c'è tra backup e disaster recovery?

Il backup è una copia dei dati da cui ripristinare. Il disaster recovery fa ripartire l'intero servizio su un altro sito. Servono entrambi: il primo protegge i dati, il secondo il tempo.

Quanto tempo serve per ripartire dopo un guasto?

Dipende dal servizio. RTO e RPO si fissano nel contratto e si verificano con prove di ripristino, di cui il cliente riceve gli esiti.

Chi sorveglia il servizio di notte e nei festivi?

Un Security Operations Center operativo H24 7/7. Ogni segnalazione diventa un ticket tracciato e il cliente riceve un report periodico.

Un archivio immutabile è conservazione a norma?

No. L'immutabilità protegge i file, ma la conservazione a norma richiede anche manuale, responsabile, pacchetti e formati idonei secondo le Linee guida AgID.

Fonti

• Regolamento (UE) 2022/2554 (DORA), artt. 9-13, 24-26 e 28-30 (si apre in una nuova scheda)
• Regolamento delegato (UE) 2024/1774 (gestione del rischio ICT)
• Regolamento (UE) 2016/679 (GDPR), art. 32
• ISO/IEC 27001, 27017 e 27018

A cura di Dataexpert. Aggiornato il 5 novembre 2026.

Parla con un nostro specialista.