Sicurezza dell'istanza in esercizio

Lumina è configurata come servizio SaaS non di prossimità sull'infrastruttura Keliweb, in corso di qualificazione ACN cloud QC1. Qui trovi i controlli attivi, come verificarli e le voci non ancora acquisite.

Controlli attivi sull'istanza

Ogni riga corrisponde a codice rilasciato e verificato da test automatizzati nella suite PHPUnit della versione in esercizio.

Cosa fa Lumina oggi
Ambito	Implementazione verificata
Due fattori	MFA con codice TOTP obbligatoria per tutti gli utenti. Codici di recupero salvati in forma cifrata, rifiuto dei codici già utilizzati, limite di tentativi per utente, reset amministrativo con revoca delle sessioni attive.
Credenziali	Lunghezza minima 12 caratteri con classi obbligatorie, scadenza a 365 giorni, invalidazione delle sessioni a ogni cambio o reset di password.
Sessioni e intestazioni	Cookie `Secure`, `HttpOnly` e `SameSite`; HSTS, COOP, CORP e `no-store` sulle risposte. Proxy fidati dichiarati in lista esplicita, nessun `*`.
Registrazione delle letture	Consultazioni dei moduli sensibili registrate, conservazione di 24 mesi con pulizia periodica, esportazione CSV di modifiche, accessi e letture.
Log applicativi	Canale giornaliero con conservazione di 730 giorni e pulizia mensile programmata.
API	Versione 1 con token Bearer archiviati come hash SHA-256, permesso per risorsa, limite di 120 richieste al minuto, identificativo della richiesta nei log.
Esportazione per SIEM	Punto API dedicato con paginazione JSON o streaming CSV e filtri per tipo e intervallo di date.
Portabilità	Archivio comprimibile con JSON, CSV, indice dei contenuti, checksum e allegati; importazione con prova a vuoto; cancellazione con conferma esplicita.
Monitoraggio	Rilevazione delle metriche ogni 15 minuti, soglie configurabili, verifica degli allarmi ogni minuto, webhook opzionale verso sistemi dell'ente.
Backup	Cifratura AES-256-GCM con indice dei contenuti e hash, conservazione di 14 copie, copia fuori sede opzionale, ripristino con verifica e copia di sicurezza prima del ripristino.
Catena di rilascio	Integrazione continua con test su PHP 8.3 e 8.4, formattazione del codice, verifica delle dipendenze PHP e JavaScript, compilazione dei file statici. Rilascio atomico, con rientro documentato alla versione precedente.

Autenticazione in pratica

Accesso

Email, password, poi il codice

La password da sola non basta: senza il secondo fattore l'accesso non avviene, nemmeno per gli amministratori. Il codice viene generato da un autenticatore standard e non viene inviato via email o SMS.

Se perdi il telefono

Codici di recupero

Ogni account dispone di codici di recupero monouso, registrati in forma cifrata e tracciati nel Registro attività quando vengono usati.

Troppi tentativi

Limite per utente

Il numero di tentativi sul secondo fattore è limitato per singolo utente; un codice già accettato non è riutilizzabile e viene rifiutato.

Ruolo che cambia

Revoca immediata

Il cambio di mansione e il reset della password eseguito dall'amministratore invalidano tutte le sessioni in corso: nessuna sessione resta aperta.

Dove stanno i dati

L'istanza in esercizio è ospitata su Cloud Applications di Keliweb, fornitore italiano, e si raggiunge solo via HTTPS. Il perimetro del servizio è dichiarato SaaS non di prossimità nella scheda SA-8834.

Documenti e allegati risiedono nello spazio di archiviazione dell'istanza, fuori dalla radice pubblica, e si aprono solo dopo la verifica dei permessi. Le evidenze infrastrutturali (TLS, segmentazione, WAF, localizzazione dei data center, cancellazione sicura dei supporti) dipendono dal fornitore e sono richieste a corredo della qualificazione.

Configurazione corrente dell'istanza

Istanza di esercizio

Runtime: PHP 8.3
Framework: Laravel 12
Trasporto: HTTPS + HSTS
Log file: 730 giorni
Conservazione operazioni: 24 mesi
Backup: AES-256-GCM

Verificabile dall'esterno

Voci non ancora acquisite

Alcune voci non dipendono dal software e non si chiudono scrivendo codice.

CertificazioniISO 9001:2015, ISO/IEC 27001 e ISO 45001 sono di Culture Digitali srl e descrivono i sistemi gestiti dalla società, non questo servizio. Nel perimetro del servizio non è acquisita nessuna certificazione, comprese ISO 27017, ISO 27018 e CSA STAR livello 2; la qualificazione ACN cloud QC1 è in corso, non rilasciata.

SLA firmatoLivelli di servizio, penali, reperibilità e garanzie assicurative vanno contrattualizzati: non esistono come documento approvato.

PolicyLe policy di sicurezza e risposta agli incidenti sono bozze in revisione: non ancora approvate né applicate come processo.

Collettore SIEML'esportazione dei log è disponibile; la correlazione centralizzata e la conservazione lato SIEM restano a carico dell'infrastruttura.

Test di ripristinoIl ripristino è stato provato su database isolato; il ripristino completo dell'applicazione in produzione non è ancora stato verbalizzato.

ScansioniLe valutazioni periodiche di vulnerabilità e i penetration test indipendenti non risultano effettuati.

Adempimenti GDPRDPIA, nomine, registro dei trattamenti e valutazioni del titolare e del DPO sono in carico all'ente, in qualità di titolare del trattamento.

Perimetro delle certificazioni. ISO 9001:2015, ISO/IEC 27001 e ISO 45001 sono certificazioni di Culture Digitali srl sui propri sistemi di gestione e non si estendono a questo servizio SaaS, il cui perimetro non è certificato. Il servizio adotta i controlli elencati sopra e ha la qualificazione ACN cloud QC1 in corso, non rilasciata.

Come verificare

Tre verifiche che puoi fare oggi, senza aspettare il rilascio della qualificazione ACN.

Dall'esternoCon strumenti pubblici puoi leggere le intestazioni di sicurezza, il redirect obbligato e il comportamento dell'autenticazione sulla pagina di accesso.

Dall'internoNella demo vedi il tuo Registro attività e l'elenco delle letture, e li esporti in CSV senza chiedere nulla al fornitore.

Dal codiceDocumentazione delle API, descrizione OpenAPI e suite di test sono disponibili su richiesta, con l'indicazione della versione in esercizio.

Domande di qualificazione

Allega il questionario del tuo ente o scrivi le domande: Culture Digitali risponde voce per voce, comprese le risposte negative.

Invia il questionario Contatti e dati societari ↗