Informazioni

Contatti, sicurezza e conformita' normativa

Riferimenti normativi citati: OWASP Top 10 2021 (rischi applicativi), OWASP ASVS v4.0 (Application Security Verification Standard), NIST SP 800-171 Rev. 3 (protezione informazioni non classificate controllate — CUI), NIS2 (direttiva UE 2022/2555, art. 21 — misure di gestione del rischio cyber).

Sviluppatore e contatti

Per segnalazioni relative alla sicurezza o supporto tecnico.

Angelo Bianchi

angelo.bianchi@gmail.com

Sicurezza dell'applicazione

Misure tecniche adottate per proteggere account e dati, allineate a OWASP Top 10 (2021), OWASP ASVS v4.0, NIST SP 800-171 Rev. 3 e alla direttiva NIS2 (UE 2022/2555, art. 21).

Cifratura delle comunicazioni

Tutte le comunicazioni tra browser e server transitano su canale cifrato HTTPS/TLS. I dati in transito non sono intercettabili ne' alterabili da terzi.

ASVS V9.1 NIS2 art. 21(2)(h)
Protezione delle credenziali

Le password sono sottoposte a hashing con algoritmo bcrypt a costo computazionale elevato prima della memorizzazione. Non vengono mai archiviate o trasmesse in chiaro. Sono applicate politiche di complessita' minima (lunghezza, varieta' di caratteri) validate lato server. Lo storico password impedisce il riutilizzo delle credenziali precedenti.

OWASP A02:2021 ASVS V2.4 NIST 800-171 3.5.8
Scadenza e cambio password forzato

Le password sono soggette a scadenza configurabile. Al primo accesso e dopo un reset da parte dell'amministratore, il cambio password e' obbligatorio prima di poter utilizzare qualsiasi funzione. Il cambio volontario e' disponibile in qualunque momento dalla pagina Profilo con verifica dell'identita'.

OWASP A07:2021 ASVS V2.1 NIST 800-171 3.5.10
Reset password self-service

In caso di smarrimento credenziali, e' disponibile una procedura di reset sicura via email. Il sistema invia un collegamento monouso con scadenza breve, conservato nel database come hash crittografico. Non viene mai rivelato se un account associato all'indirizzo indicato esiste o meno, per impedire l'enumerazione degli account. Ogni utente puo' richiedere al massimo un numero limitato di reset in un'ora.

OWASP A07:2021 ASVS V2.1.1 NIST 800-171 3.5.10
Autenticazione a due fattori — codici temporanei (TOTP)

Gli account con privilegi operativi e amministrativi (admin, security manager, commander, team leader) devono obbligatoriamente configurare l'autenticazione a due fattori prima del primo accesso. Il metodo TOTP genera codici temporanei a 6 cifre (validita' 30 secondi, RFC 6238), compatibili con le principali app di autenticazione. Il segreto TOTP e' cifrato a riposo con AES-256-GCM. Vengono generati 8 codici di recupero monouso da conservare in luogo sicuro, memorizzati come hash crittografici.

OWASP A07:2021 ASVS V2.8 NIST 800-171 3.5.3 NIS2 art. 21(2)(j)
Autenticazione a due fattori — chiave di sicurezza hardware (WebAuthn / FIDO2)

In alternativa o in aggiunta al TOTP, e' supportata l'autenticazione tramite passkey e chiavi di sicurezza hardware conformi allo standard FIDO2/WebAuthn. Le credenziali sono generate localmente sul dispositivo e non vengono mai trasmesse al server. Il sistema supporta piu' dispositivi per account.

OWASP A07:2021 ASVS V2.9 NIST 800-171 3.5.3 NIS2 art. 21(2)(j)
Reset MFA self-service

L'utente puo' reimpostare il secondo fattore di autenticazione (TOTP o chiave hardware) direttamente dalla pagina Profilo, previa verifica della password corrente. Al termine dell'operazione, tutte le sessioni attive dell'utente vengono terminate immediatamente dal server. Al login successivo, il setup MFA e' nuovamente obbligatorio per i ruoli che lo richiedono.

OWASP A07:2021 ASVS V2.2 ASVS V3.3 NIST 800-171 3.5.10
Gestione sessioni sicura

L'identificativo di sessione viene rigenerato dopo ogni autenticazione. I cookie di sessione sono configurati con attributi HttpOnly, SameSite=Strict e nome non standard. Le sessioni scadono per inattivita' e per timeout assoluto. Ogni sessione e' vincolata a indirizzo IP e User-Agent di origine; variazioni anomale causano invalidazione immediata. Il numero di sessioni concorrenti per utente e' limitato.

OWASP A07:2021 ASVS V3 NIST 800-171 3.1.10 NIST 800-171 3.1.11
Protezione anti-CSRF

Ogni richiesta che modifica dati include un token crittografico univoco verificato lato server, a protezione da attacchi Cross-Site Request Forgery. Il token e' generato con entropia crittografica e associato alla sessione corrente.

OWASP A01:2021 ASVS V4.2
Prevenzione SQL injection

Tutte le interazioni con il database avvengono tramite query parametrizzate (prepared statements). L'input utente non viene mai concatenato nelle istruzioni SQL.

OWASP A03:2021 ASVS V5.3
Validazione input e codifica output

Tutti i dati in ingresso sono validati per tipo, formato e intervallo lato server. L'output verso il browser e' sottoposto a codifica contestuale per prevenire attacchi Cross-Site Scripting (XSS).

OWASP A03:2021 ASVS V5
Controllo accessi gerarchico

Ogni richiesta viene verificata lato server per sessione attiva, ruolo e permessi specifici. Il controllo accessi opera sul principio del minimo privilegio con scope basato sulla catena di comando: ciascun ruolo ha accesso esclusivamente alle risorse del proprio ente e, ove autorizzato, degli enti subordinati. La separazione delle competenze garantisce che chi amministra il sistema non possa accedere ai log di audit e viceversa.

OWASP A01:2021 ASVS V4 NIST 800-171 3.1.2 NIST 800-171 3.1.4 NIS2 art. 21(2)(i)
Intestazioni di sicurezza HTTP

Ogni risposta HTTP include intestazioni di sicurezza: Content-Security-Policy, X-Frame-Options, X-Content-Type-Options e Referrer-Policy.

OWASP A05:2021 ASVS V14.4
Protezione anti brute-force

Dopo un numero limitato di tentativi di accesso falliti, l'account viene temporaneamente bloccato. I tentativi falliti sono registrati con timestamp e indirizzo IP. Al login successivo l'utente viene informato dei tentativi falliti intercorsi.

OWASP A07:2021 ASVS V2.2 NIST 800-171 3.1.8
Audit logging e tracciabilita'

Tutte le autenticazioni (riuscite e fallite), le operazioni di modifica su dati e gli eventi di sicurezza vengono registrati in log strutturati con timestamp, identificativo utente e indirizzo IP. I log sono append-only e non modificabili dall'utente applicativo. L'accesso ai log di audit e' riservato esclusivamente al ruolo Security Manager, separato da ogni ruolo operativo.

OWASP A09:2021 ASVS V7 NIST 800-171 3.3.1–3.3.4 NIS2 art. 21(2)(b)
Cifratura dei dati sensibili a riposo

I dati a piu' alto rischio vengono cifrati a livello applicativo con AES-256-GCM prima della memorizzazione nel database: le coordinate GPS degli operatori e i segreti di autenticazione a due fattori sono archiviati esclusivamente in forma cifrata. Le chiavi di cifratura risiedono in variabili d'ambiente segregate, mai nel database.

NIST 800-171 3.13.10 NIST 800-171 3.13.16 NIS2 art. 21(2)(h)
Funzionamento offline sicuro (PWA)

L'applicazione supporta una modalita' offline limitata tramite Service Worker. I dati classificati non vengono mai conservati nella cache del browser: solo le risorse statiche dell'interfaccia (stili, script, icone) sono memorizzate localmente. Le operazioni effettuate offline vengono sincronizzate al ripristino della connessione. Il Service Worker applica policy restrittive per impedire l'accesso ai dati CUI in assenza di sessione autenticata.

NIST 800-171 3.13.8 ASVS V9.2
Integrita' della supply chain software

L'applicazione non carica risorse da CDN o servizi esterni a runtime. Tutte le librerie di terze parti sono incluse localmente con hash di integrita' verificato. L'applicazione non effettua chiamate HTTP verso servizi esterni durante il normale funzionamento.

OWASP A06:2021 ASVS V14.2 NIST 800-171 3.17.2 NIS2 art. 21(2)(d)
Mascheramento errori in produzione

In ambiente di produzione gli errori applicativi sono registrati internamente ma non esposti all'utente. I messaggi mostrati sono generici e non rivelano dettagli implementativi.

OWASP A05:2021 ASVS V14.3
Classificazione e marking dei dati

Ogni pagina dell'applicazione riporta un banner permanente di classificazione che identifica la natura riservata dei dati trattati. Il banner e' presente sia in testa che in fondo a ogni pagina e non puo' essere nascosto o rimosso dall'utente.

NIST 800-171 3.8.4
Blocco schermo per inattivita'

Dopo un periodo di inattivita' l'interfaccia attiva un avviso e successivamente effettua il logout automatico, a protezione da accessi non autorizzati. Il timeout opera sia lato client che lato server.

NIST 800-171 3.1.10

Sicurezza dell'infrastruttura

L'infrastruttura server e' configurata secondo le pratiche di hardening richieste da NIST SP 800-171 Rev. 3, NIS2 e CIS Benchmark.

Accesso amministrativo controllato

L'accesso al server e' riservato al personale tecnico autorizzato tramite autenticazione a chiave crittografica. L'accesso con sola password e' disabilitato. L'accesso root e' proibito. SSH utilizza esclusivamente algoritmi crittografici moderni e rifiuta protocolli obsoleti. Ogni sessione amministrativa e' registrata.

NIST 800-171 3.1.1 NIST 800-171 3.5.1 NIS2 art. 21(2)(i)
Gestione vulnerabilita' e aggiornamenti

Sistema operativo, web server, runtime e database sono soggetti a ciclo di aggiornamento regolare. Le patch di sicurezza vengono applicate automaticamente. Le versioni sono monitorate rispetto ai bollettini CVE.

NIST 800-171 3.14.1 NIST 800-171 3.17.2 NIS2 art. 21(2)(d)
Firewall e segmentazione dei servizi

Le regole firewall seguono il principio deny-by-default. Sono esposti solo i servizi necessari (HTTPS). Il database non e' raggiungibile dall'esterno. Le porte di amministrazione sono filtrate per indirizzo IP.

NIST 800-171 3.13.5 NIST 800-171 3.13.6 NIS2 art. 21(2)(i)
Hardening del web server

Directory listing disabilitato, versioni software nascoste, accesso diretto a file di configurazione e log impedito. File sensibili protetti a livello di configurazione server.

NIST 800-171 3.4.6 OWASP A05:2021
Isolamento del database

Il database e' accessibile solo dall'applicazione tramite connessione locale. Ogni schema dati utilizza credenziali dedicate con permessi minimi (principio del minimo privilegio). Le credenziali sono conservate al di fuori della directory pubblica del web server.

NIST 800-171 3.13.5 OWASP A05:2021
Certificato TLS e cifratura in transito

Certificato TLS emesso da autorita' riconosciuta con rinnovo automatico. Il server accetta solo protocolli e cipher suite conformi alle raccomandazioni correnti. Connessioni con protocolli obsoleti sono rifiutate. HSTS forza connessioni cifrate.

NIST 800-171 3.13.8 NIS2 art. 21(2)(h)
Backup cifrati e continuita' operativa

I dati sono soggetti a backup automatico giornaliero in locale e settimanale su cloud. I backup sono cifrati con AES-256 prima del trasferimento e archiviati in posizione geograficamente separata. Procedure di ripristino documentate.

NIST 800-171 3.8.9 NIS2 art. 21(2)(c)
Monitoraggio e rilevamento anomalie

Sistemi di monitoraggio per disponibilita' servizi e rilevazione accessi anomali. Log di sistema e applicativi conservati separatamente e protetti da modifiche. Report giornaliero automatico per individuazione attivita' sospette.

NIST 800-171 3.3.1 NIST 800-171 3.14.6 NIS2 art. 21(2)(b)
Hardening del sistema operativo

Configurazione secondo CIS Benchmark con script automatizzato e verificabile. Protezione memoria (ASLR), anti-spoofing, SYN cookies, restrizione accesso log kernel, limitazione debug tra processi. Verifiche periodiche con controllo automatizzato.

NIST 800-171 3.4.6 NIST 800-171 3.13.2
Prevenzione delle intrusioni

Sistema di prevenzione automatica che blocca a livello firewall gli indirizzi IP che superano la soglia di tentativi falliti configurata. Policy di ban differenziate per gravita'.

NIST 800-171 3.14.6 NIST 800-171 3.1.1
Audit di sistema a livello kernel

Daemon di audit dedicato registra modifiche a file critici del sistema, esecuzione comandi privilegiati e modifiche configurazione rete. Record di audit separati dai log applicativi.

NIST 800-171 3.3.1 NIST 800-171 3.3.2