Panoramica sulla sicurezza di Bluebeam Studio

Si applica a:

  • Revu 21

Questo documento tratta le domande che riceviamo dagli utenti di Bluebeam Studio in merito alla sicurezza dei documenti e del sistema, al controllo degli accessi e al ripristino dopo un evento catastrofico.

Accesso a Studio

Per partecipare a Sessioni Studio e Progetti, è necessario inserire il proprio Bluebeam ID (BBID) e la password. Per scoprire come creare un BBID, visita questo articolo.

Se utilizzi Revu 20 in Modalità di visualizzazione, devi prima essere invitato a una sessione Studio o a un Progetto da un utente Revu autorizzato per accedere a Studio.
Se utilizzi Revu 21 senza un piano Bluebeam, puoi comunque collaborare in Studio come utente di sola lettura, ma avrai accesso limitato agli strumenti di annotazione e alle proprietà. Inoltre, gli account Basics e di sola lettura non possono creare nuove sessioni o progetti. Per ulteriori informazioni, visita Come lavorare in Revu 21 senza abbonamento.

Le connessioni al server Studio vengono avviate dai client Revu, ma il sistema non invia richieste di connessione in ingresso al client. La comunicazione principale e la trasmissione di file, marcature e altri dati avanzati utilizzano il protocollo HTTPS, mentre la crittografia e l'autenticazione utilizzano il protocollo Transport Layer Sicurezza (TLS).

Diagramma del client Revu e del server Studio.

Requisiti del firewall

Consulta Aggiungi alla whitelist le soluzioni Bluebeam per domini o indirizzi IP per i domini e le porte utilizzati da Revu, Studio e Bluebeam su web e dispositivi mobili. Se si accede solo a un'area specifica, consenti solo i domini necessari per quell'area e i servizi globali richiesti.

Bluebeam utilizza i seguenti domini per comunicare con gli utenti per l'assistenza, le licenze e le informazioni relative a Studio. L'inserimento dei seguenti domini nella whitelist potrebbe essere necessario per garantire la riuscita della trasmissione delle e-mail:

Ambiente statunitense

@bluebeam.com

@bluebeamops.com

@bluebeam-support.com

Ambiente CA

@bluebeam.ca

Ambiente del Regno Unito

@bluebeamstudio.co.uk

Ambiente AUS

@bluebeamstudio.com.au

Ambiente DE

@bluebeamstudio.de

Ambiente SE

@bluebeamstudio.se

Questi messaggi di posta elettronica vengono inviati per nostro conto da amazonses.com. Se non li ricevete, chiedete agli amministratori del server di posta elettronica di verificare il record Sender Policy Framework (SPF) e di assicurarsi che "amazonses.com" sia incluso tra i domini attendibili.

Autenticazione utente e controllo degli accessi

I protocolli descritti in questa sezione sono implementati per l'autenticazione sicura dell'utente e il controllo degli accessi.

Requisiti del certificato

Le connessioni agli ambienti Studio, come studio.bluebeam.it, vengono crittografate utilizzando un certificato SSL basato su PKI (Public Key Infrastructure), rilasciato dalla Certificate Authority di Amazon Web Services (AWS CA).

È possibile visualizzare il certificato andando su https://studio.bluebeam.com e facendo clic sull'icona a sinistra dell'URL nella barra degli indirizzi del browser web.

Requisiti e memorizzazione delle password

Tutte le password devono avere una lunghezza compresa tra 8 e 32 caratteri e contenere quanto segue:

  • Almeno una lettera maiuscola

  • Almeno una lettera minuscola

  • Almeno un numero

  • Almeno un carattere speciale, come !@#$%^&*.

Le password vengono sottoposte a hashing prima dell'archiviazione utilizzando un algoritmo di hashing forte unidirezionale con salt.

Inoltre, un algoritmo blocca gli account per un periodo di 5 minuti dopo cinque tentativi consecutivi di accesso con una password errata. Gli errori di accesso vengono registrati e il nostro team operativo riceve un avviso se il numero supera un livello preimpostato.

Il sistema non memorizza informazioni di identificazione personale (PII) diverse dagli indirizzi e-mail degli utenti a fini di autenticazione.

Sicurezza dei dati e di sistema

Le Misura descritte di seguito sono state implementate per affrontare i problemi di sicurezza dei dati e del sistema.

Infrastrutture e archiviazione dati

Diagramma dell'infrastruttura e dell'archiviazione dei dati che illustra come i dati vengono trasferiti tra il computer client Revu o il dispositivo mobile e l'archiviazione dati Amazon S3.

Studio è ospitato su Amazon Elastic Compute Nuvola (EC2) gestito da Amazon Web Services (AWS).

L'infrastruttura Studio è costituita da server di applicazioni che offrono supporto ai client Revu su Windows, iOS e Android, oltre a un sistema di elaborazione di back-end e a un livello dati.

I dati e i file di Studio sono archiviati in Amazon Simple Storage Service (Amazon S3) e in database relazionali. I documenti effettivi del Progetto e della Sessione risiedono sui server di Amazon Simple Storage Service (Amazon S3).

Studio dispone di più ambienti isolati per la residenza dei dati, situati nelle seguenti aree:

  • Stati Uniti

  • Canada

  • Regno Unito

  • Germania

  • Australia

  • Svezia

L'infrastruttura del database e i bucket Amazon S3 contenenti i dati dei clienti non sono condivisi tra gli ambienti. È possibile accedere a tutti gli ambienti Studio da qualsiasi parte del mondo.

Gli SLA per Amazon EC2 e Amazon S3 sono reperibili nei seguenti percorsi:

Protezione dei dati

Oltre alla crittografia di tutti i backup del server e dei dischi rigidi degli sviluppatori, tutti i documenti vengono crittografati automaticamente quando vengono caricati in una sessione Studio o in un progetto Studio utilizzando Revu, come descritto di seguito.

La crittografia utilizza un ID chiave di AWS Key Management Service (KMS).

Tutti i dati sono crittografati quando sono inattivi (crittografia AES-256) e durante il trasferimento. Il trasferimento dei dati è crittografato durante il transito tramite TLS1.2 tra il client Revu e Amazon S3. Nell'ambiente server, i file sono crittografati nel servizio Amazon S3. I backup del database sono archiviati su volumi crittografati.

Sicurezza del sistema

Ci siamo assicurati che tutti gli ambienti funzionino allo stesso modo e siano soggetti alle stesse politiche e restrizioni di rete creandoli con un "template" validato e testato. Una volta implementati, i passaggi e le norme elencati in questa sezione servono a fornire ulteriore sicurezza e coerenza in tutta l'infrastruttura.

Accesso amministrativo controllato

Solo un gruppo seleziona di ingegneri dispone di diritti amministrativi all'interno dell'infrastruttura Studio e l'accesso alla console di gestione è controllato tramite autenticazione a più fattori (MFA).

Controllo modifiche

Tutte le modifiche e i miglioramenti del sistema sono documentati e devono essere sottoposti a test e approvazione da parte dei nostri team DevOps e di sicurezza prima dell'implementazione nell'ambiente di produzione.

Registrazione

I registri di sicurezza delle applicazioni e dei sistemi vengono conservati per un massimo di 30 giorni.

Valutazione e correzione delle vulnerabilità

Abbiamo implementato un processo completo di valutazione delle vulnerabilità e di correzione per affrontare qualsiasi problema di sicurezza che potrebbe presentarsi. Queste misure includono la protezione antivirus su tutti i server, una politica proattiva di patching del sistema e il monitoraggio dell'integrità dei file (che rileva modifiche non autorizzate ai sistemi).

Le applicazioni con un componente Web vengono scansionate prima e dopo la distribuzione nell'ambiente di produzione.

Tutti i sistemi di produzione vengono sottoposti a scansione periodica per individuare eventuali vulnerabilità dell'infrastruttura e vengono aggiornati di conseguenza.

Inventario delle risorse autorizzate

L'aggiunta e la modifica di asset di produzione sono limitate al team DevOps e seguono le procedure di controllo delle modifiche. Il team DevOps sfrutta gli strumenti AWS per mantenere l'inventario degli asset.

Monitoraggio dell'infrastruttura e dei sistemi

Per garantire uno stato di funzionamento stabile, è in atto un sistema completo di monitoraggio e allerta per quanto segue:

  • Infrastruttura del server: CPU, memoria, spazio su disco e disponibilità
  • Applicazioni: errori, calo delle prestazioni e tempi di attività
  • Prestazioni della rete: utilizzo e larghezza di banda, tempo di risposta del server, throughput e richieste Web

Manutenzione del sistema

Le normali attività di manutenzione e la manutenzione di emergenza vengono eseguite in conformità al nostro processo consolidato di gestione delle modifiche.

Disaster recovery (DR)

La strategia DR di Studio utilizza più zone di disponibilità AWS (AZs). Questa strategia si concentra su un sistema altamente disponibile e distribuito per ridurre al minimo il rischio associato a interruzioni e disastri.

Questa sezione descrive i piani di contingenza che abbiamo predisposto per gestire i guasti dell'infrastruttura.

Ridondanza dell'infrastruttura

È prevista la piena ridondanza per tutti i server di applicazioni Studio. In caso di guasto del server primario, tutto il traffico viene reindirizzato automaticamente su un server secondario.

I server delle applicazioni vengono eseguiti in un cluster dietro un bilanciatore del carico. Il database di Studio utilizza "AlwaysOn" per garantire un'elevata disponibilità (HA). Amazon Route53 fornisce la ridondanza DNS.

Inoltre, l'infrastruttura di Studio è implementata in più AZ all'interno di un'architettura multi-AZ nell'Area AWS.

Protocollo di backup

Ogni giorno vengono eseguiti backup completi dei database. I file di backup vengono archiviati lontano dai server di produzione e la loro integrità viene regolarmente verificata.

I file PDF vengono archiviati in AWS S3, che garantisce un'archiviazione altamente durevole e il controllo delle versioni dei file.

Bluebeam non conserva un numero infinito di backup con tutti gli stati precedenti del database rappresentati. In generale, il backup contiene solo le ultime 24 ore.

Conformità System and Organization Controls (SOC) 2

Il Bluebeam SOC Report è un rapporto di esame indipendente di terze parti che dimostra come Bluebeam raggiunga i principali controlli e obiettivi di conformità. Bluebeam viene sottoposta ogni anno a un audit SOC 2 effettuato da un valutatore esterno e indipendente di terze parti per verificare l'implementazione e l'efficacia dei nostri controlli di sicurezza. Il nostro rapporto analizza i criteri SOC 2 Trust Services relativi a sicurezza e disponibilità.

Per visualizzare una copia del report, consultare il Trust Center di tutte le società del Nemetschek Group.