Sicurezza & Compliance
La sicurezza non è un add-on. È la rete.
Operatore di comunicazioni elettroniche autorizzato in Italia, iscritto al ROC AGCOM con il numero 18429 dal 23/06/2009, registrato presso l'Agenzia per la Cybersicurezza Nazionale (ACN) ai sensi del D.Lgs. 138/2024 di recepimento della Direttiva NIS2. Operiamo l'AS44160 con politiche pubbliche di KYC, abuse handling e routing security.
Ultimo aggiornamento: 11 maggio 2026.
01 — KYC
Sappiamo chi sono i nostri clienti.
Prima di attivare qualunque servizio verifichiamo l'identità del cliente, la legittimazione del rappresentante, la coerenza dell'uso dichiarato. Non offriamo servizi anonimi.
Identità verificata
Documento di identità in corso di validità (persone fisiche), visura camerale aggiornata e codice fiscale del legale rappresentante (persone giuridiche). Verifica della P.IVA tramite VIES per soggetti UE.
Riscontro reale
Contatto telefonico documentato verso un recapito verificabile (centralino aziendale, non solo cellulare), indirizzo della sede operativa coerente con la copertura richiesta. Sopralluogo tecnico per fibra dedicata e housing.
Uso dichiarato e AUP
Sottoscrizione esplicita dell'Acceptable Use Policy. Per servizi housing, hosting di VM/macchine fisiche, IP transit e annunci BGP customer richiediamo coerenza fra l'uso dichiarato e l'attività documentale dell'impresa.
Routing BGP customer
Per clienti che ricevono IP transit o annunciano i propri prefissi via BGP attraverso AS44160: Letter of Authorization (LOA), route-objects coerenti in RIPE, ROA RPKI conforme. Senza queste evidenze, l'annuncio non viene accettato.
Conservazione documentale
La documentazione KYC è conservata ai sensi della normativa applicabile e resa disponibile all'Autorità giudiziaria e di pubblica sicurezza nei casi previsti dalla legge.
Idoneità del cliente e facoltà di non procedere
L'attivazione del Servizio è subordinata al positivo esito delle verifiche. L'Operatore valuta caso per caso l'idoneità del cliente in funzione della normativa applicabile, della tipologia di servizio richiesto e degli esiti del KYC; si riserva la facoltà di non procedere all'attivazione, senza obbligo di motivazione, qualora le verifiche non producano esito positivo. Le clausole sono in CGC art. 3.
02 — NIS2
Conformi alla Direttiva NIS2.
Internet ONE è registrata presso l'Agenzia per la Cybersicurezza Nazionale (ACN) ai sensi del D.Lgs. 138/2024 di recepimento della Direttiva (UE) 2022/2555 (NIS2) come soggetto del settore comunicazioni elettroniche.
Governance
La sicurezza è responsabilità del vertice aziendale, con riporto diretto. Politiche di sicurezza approvate e riviste annualmente. Programma di formazione del personale tecnico e amministrativo. Adeguamento delle misure in funzione del rischio.
Gestione del rischio
Analisi del rischio aggiornata su perimetro tecnico (rete, sistemi, accessi, supply chain) e sui processi critici (attivazione clienti, gestione incidenti, backup, continuità). Inventario asset, gestione vulnerabilità, patching, segregazione amministrativa.
Incident handling e notifica
Procedura di gestione incidenti documentata, con classificazione, escalation e notifica al CSIRT-Italia nei termini previsti dal D.Lgs. 138/2024 (allerta entro 24h, notifica entro 72h, relazione finale entro 1 mese quando applicabile). Comunicazione ai clienti impattati.
Continuità operativa
Backup ridondati, ripristino testato, procedure di crisi documentate. Misure organizzative per garantire la continuità del servizio in caso di incidente significativo.
03 — Abuse handling
Segnala. Rispondiamo.
Il nostro canale pubblico per abuse è attivo, monitorato e dichiarato presso RIPE come network-abuse del nostro AS. SLA dichiarato e procedura documentata.
Contatto
Casella monitorata. PGP key disponibile su richiesta.
SLA di risposta
- 4 ore lavorative per casi attivi (malware in propagazione, attacchi in corso, child safety, abuso di routing)
- 24 ore per casi non urgenti
- Sospensione cautelativa entro 24h dalla ricezione di segnalazione qualificata e verificata
Formato accettato
X-ARF, ARF (Abuse Reporting Format RFC 5965), plaintext con log e timestamp, allegati pcap o messaggio originale con header completi. Indicare IP sorgente/destinatario, timestamp con timezone, tipo di evento.
Cooperazione con threat intel
Cooperiamo con i principali feed di threat intelligence (Spamhaus DROP/EDROP, SBL, CSS, abuse.ch, Cisco Talos, Infoblox Threat Intel). Le segnalazioni verificate provenienti da operatori riconosciuti hanno corsia preferenziale.
04 — Vulnerability disclosure
Hai trovato qualcosa? Scrivi.
Adottiamo un programma di responsible disclosure. I ricercatori in buona fede sono protetti: nessuna azione legale per attività di ricerca svolte nel rispetto delle nostre regole.
Contatto sicurezza
Riconoscimento pubblico della segnalazione (se desiderato), su nostra hall of fame.
Regole
- Test solo su sistemi di Internet ONE e dei suoi domini (internet.one, internetone.it, neo.internet.one, aiuto.internetone.it)
- Nessun denial of service, nessuna esfiltrazione di dati di terzi, nessun social engineering verso il personale
- Riservatezza fino al fix (90 giorni di coordinated disclosure come baseline)
- Tempi di riscontro: triage entro 5 giorni lavorativi, fix per le vulnerabilità accettate secondo severità (CVSS)
05 — Routing security
Internet che non mente.
La nostra rete annuncia solo prefissi che le appartengono o per cui ha autorizzazione formale. I customer che annunciano via BGP attraverso AS44160 sono soggetti a filtro stretto.
BCP38 / RFC 2827
Anti-spoofing all'ingresso della rete: i clienti non possono spedire pacchetti con sorgente non propria.
RPKI ROA
Tutti i prefissi annunciati hanno Route Origin Authorization. Filtraggio strict-validation in ingresso da peering esterni.
MANRS — in adesione
Mutually Agreed Norms for Routing Security: filtraggio, anti-spoofing, coordinamento, validazione globale degli annunci.
No open services
No open DNS resolver, no open SMTP relay, no open SNMP. Filtri amplificazione UDP a edge.
DNSSEC
DNSSEC abilitato sui domini propri. Validazione raccomandata ai clienti.
TLS 1.3 + HSTS
Tutti i servizi web pubblici servono solo TLS moderno con HSTS preload.
06 — Tutela del diritto d'autore
Piracy Shield.
Come operatore di comunicazioni elettroniche partecipiamo alla piattaforma Piracy Shield istituita da AGCOM (Del. 680/23/CONS e decreti attuativi), eseguendo i blocchi di indirizzi IP e nomi a dominio oggetto di provvedimento entro i termini di legge.
Per segnalazioni o reclami relativi a un blocco, l'utente può rivolgersi direttamente ad AGCOM tramite gli sportelli ufficiali. Internet ONE esegue i provvedimenti senza valutazione di merito sui contenuti, come previsto dalla normativa.
Trasparenza & contatti
Dove scrivere, chi risponde.
Abuse
abuse@internet.one
Segnalazioni di abuso (spam, malware, scan, scam) provenienti dalla nostra rete.
Security
security@internet.one
Vulnerability disclosure, ricercatori di sicurezza, contatto CSIRT.
Privacy / GDPR
privacy@internet.one
Esercizio dei diritti dell'interessato, richieste ex artt. 15-22 GDPR.
Whistleblowing
whistleblowing@internet.one
Segnalazioni ex D.Lgs. 24/2023. Canale interno protetto.
Compliance / KYC
compliance@internet.one
Documentazione KYC, richieste autorità, due diligence.
PEC istituzionale
internetone@pec.it
Comunicazioni formali. Notifica autorità, vertenze, atti.