Sicurezza e conformità

Come proteggiamo la rete AS5398

Internet ONE è un operatore di comunicazioni elettroniche autorizzato in Italia e gestisce l'Autonomous System AS5398. Qui sotto trovate le regole che applichiamo per verificare i clienti, trattare le segnalazioni di abuso e tenere pulito il routing. I testi completi sono nel registro dei documenti.

Iscrizione ROC AGCOM: n. 18429 dal 23/06/2009
NIS2 (D.Lgs. 138/2024): Registrata presso ACN
ISO/IEC 27001:2022: In adeguamento, non ancora certificata
Ultimo aggiornamento: 11 maggio 2026

Verifica dell'identità dei clienti (KYC)

Prima di attivare un servizio verifichiamo chi è il cliente, chi lo rappresenta e se l'uso che dichiara è coerente con la sua attività. Non offriamo servizi anonimi.

Identità: Per le persone fisiche, un documento d'identità in corso di validità. Per le società, visura camerale aggiornata e codice fiscale del legale rappresentante. Per i soggetti UE controlliamo la partita IVA su VIES.
Riscontro: Chiamiamo un recapito verificabile (il centralino aziendale, non solo un cellulare) e teniamo traccia della telefonata. La sede operativa deve corrispondere alla copertura richiesta; per fibra dedicata e housing facciamo un sopralluogo tecnico.
Uso dichiarato: Il cliente sottoscrive la politica di uso accettabile. Per housing, hosting di VM e macchine fisiche, IP transit e annunci BGP dei clienti chiediamo che l'uso dichiarato corrisponda all'attività documentata dell'impresa.
Annunci BGP: Chi riceve IP transit o annuncia i propri prefissi via BGP attraverso AS5398 deve fornire una lettera di autorizzazione (LOA), route object coerenti nel database RIPE e una ROA RPKI conforme. Senza questi elementi l'annuncio non viene accettato.
Conservazione: La documentazione raccolta è conservata secondo la normativa applicabile e messa a disposizione dell'autorità giudiziaria e di pubblica sicurezza nei casi previsti dalla legge.
Idoneità del cliente: L'attivazione dipende dall'esito positivo delle verifiche. Valutiamo caso per caso l'idoneità del cliente in base alla normativa applicabile, al tipo di servizio richiesto e all'esito della verifica d'identità; se le verifiche non danno esito positivo possiamo non procedere all'attivazione, senza obbligo di motivazione. Le clausole sono nelle condizioni generali, alla voce sulla qualifica e l'identificazione del cliente.

NIS2 e ISO/IEC 27001

Siamo registrati presso l'Agenzia per la Cybersicurezza Nazionale come soggetto del settore comunicazioni elettroniche, ai sensi del D.Lgs. 138/2024 che recepisce la direttiva (UE) 2022/2555. Stiamo adeguando organizzazione e misure agli obblighi che ne derivano.

Il lavoro segue un sistema di gestione della sicurezza delle informazioni conforme a ISO/IEC 27001:2022, con l'obiettivo della certificazione, che oggi non abbiamo ancora.

Politica per la sicurezza delle informazioni

Responsabilità: La sicurezza è in capo all'amministratore unico, che approva la politica di sicurezza delle informazioni e l'analisi dei rischi e segue la formazione prevista per gli organi di amministrazione. Ogni documento ha versione, approvazione e revisione annuale, e il registro è pubblico.
Gestione del rischio: L'analisi dei rischi copre il perimetro tecnico (rete, sistemi, accessi, fornitori) e i processi critici: attivazione dei clienti, gestione degli incidenti, backup, continuità. A questo si aggiungono inventario degli asset, gestione delle vulnerabilità, aggiornamenti e separazione degli accessi amministrativi.
Incidenti e notifiche: La procedura documentata prevede classificazione, escalation e notifica al CSIRT Italia nei termini del D.Lgs. 138/2024: allerta entro 24 ore, notifica entro 72 ore, relazione finale entro un mese quando applicabile. I clienti coinvolti vengono informati.
Continuità operativa: Backup ridondati, ripristino provato, procedure di crisi scritte e misure organizzative per mantenere il servizio in caso di incidente significativo.

Segnalazioni di abuso

La casella è monitorata ed è registrata nel database RIPE come contatto network-abuse di AS5398. Tempi di risposta e procedura sono pubblici.

Indirizzo

abuse@internetone.it

Chiave PGP disponibile su richiesta.

Tempi di risposta: 4 ore lavorative per i casi in corso: malware in propagazione, attacchi, tutela dei minori, abuso di routing.

24 ore per i casi non urgenti.

Sospensione cautelativa entro 24 ore dalla ricezione di una segnalazione qualificata e verificata.
Formato: X-ARF, ARF (RFC 5965), testo semplice con log e timestamp, allegati pcap o il messaggio originale con gli header completi. Indicate IP sorgente e destinatario, timestamp con fuso orario e tipo di evento.
Threat intelligence: Collaboriamo con i principali feed: Spamhaus DROP/EDROP, SBL, CSS, abuse.ch, Cisco Talos, Infoblox Threat Intel. Le segnalazioni verificate di operatori riconosciuti hanno la precedenza.

Procedura completa

Segnalare una vulnerabilità

Abbiamo un programma di divulgazione responsabile. Chi fa ricerca in buona fede e rispetta le regole qui a fianco non subisce azioni legali da parte nostra.

Indirizzo

security@internetone.it

Se il segnalatore lo desidera, lo ringraziamo pubblicamente nel nostro elenco dei riconoscimenti.

Regole

Test solo sui sistemi di Internet ONE e sui suoi domini: internet.one, internetone.it, neo.internet.one, aiuto.internetone.it.
Esclusi denial of service, esfiltrazione di dati di terzi e ingegneria sociale verso il personale.
Riservatezza fino alla correzione, con 90 giorni di divulgazione coordinata come riferimento.
Prima valutazione (triage) entro 5 giorni lavorativi; le vulnerabilità accettate si correggono in ordine di gravità (CVSS).

Sicurezza del routing

AS5398 annuncia solo prefissi suoi o per cui ha un'autorizzazione formale. Chi annuncia via BGP attraverso la nostra rete passa da un filtro stretto.

BCP38 (RFC 2827): Anti-spoofing all'ingresso della rete: un cliente non può inviare pacchetti con un indirizzo sorgente che non è suo.
RPKI: Ogni prefisso annunciato ha la sua ROA. In ingresso dai peering esterni filtriamo con validazione rigorosa.
MANRS: Adesione in corso alle Mutually Agreed Norms for Routing Security: filtraggio, anti-spoofing, coordinamento, validazione globale degli annunci.
Servizi esposti: Nessun resolver DNS aperto, nessun relay SMTP aperto, nessun SNMP aperto. Ai bordi della rete filtriamo l'amplificazione UDP.
DNSSEC: Attivo sui nostri domini. Ai clienti raccomandiamo di abilitare la validazione.
TLS 1.3 e HSTS: I servizi web pubblici accettano solo TLS moderno, con HSTS preload.

Diritto d'autore e Piracy Shield

Come operatore di comunicazioni elettroniche partecipiamo alla piattaforma Piracy Shield istituita da AGCOM (Regolamento all. A Del. 680/13/CONS, come modificato dalla Del. 189/23/CONS, e L. 93/2023). Eseguiamo i blocchi di indirizzi IP e nomi a dominio oggetto di provvedimento entro i termini di legge.

I provvedimenti si eseguono senza valutazione di merito sui contenuti, come prevede la normativa. Per segnalazioni o reclami su un blocco ci si rivolge direttamente ad AGCOM, attraverso i suoi sportelli ufficiali.

Indirizzi per sicurezza e conformità

Segnalazioni di abuso: abuse@internetone.it; Spam, malware, scansioni e truffe che partono dalla nostra rete.
Sicurezza: security@internetone.it; Segnalazione di vulnerabilità, ricercatori, contatti con il CSIRT.
Privacy e GDPR: privacy@internetone.it; Esercizio dei diritti dell'interessato, richieste ex artt. 15-22 GDPR.
Whistleblowing: whistleblowing@internetone.it; Segnalazioni ex D.Lgs. 24/2023, su canale interno protetto.
Conformità e KYC: compliance@internetone.it; Documentazione KYC, richieste delle autorità, due diligence.
PEC istituzionale: internetone@pec.it; Comunicazioni formali: notifiche delle autorità, vertenze, atti.