Security Whitepaper

Versione: 1.0 (bozza) Ultimo aggiornamento: 2026-04-12 Stato: Bozza — in revisione legale

Questo documento e in bozza. Da non pubblicare senza revisione di un avvocato abilitato in materia di diritto IT / privacy EU.

Il presente documento descrive le misure tecniche e organizzative adottate da Castaldo Solutions per garantire la sicurezza del servizio WorkSiteCRM e la protezione dei dati dei Clienti. Il documento e destinato a responsabili IT, DPO e security officer dei Clienti che desiderino valutare la postura di sicurezza del Fornitore ai fini di audit, DPIA e compliance interna.

1. Infrastruttura

1.1 Hosting applicazione

WorkSiteCRM e erogato come servizio cloud, ospitato presso Vercel Inc., provider certificato ISO 27001 e SOC 2. L'infrastruttura utilizza edge network con CDN globale per ridurre la latenza e mitigare gli attacchi volumetrici.

1.2 Database

Il database PostgreSQL e gestito presso [Neon / Supabase / on-prem], con high availability, replica sincrona e backup automatici.

1.3 Isolamento multi-tenant

WorkSiteCRM adotta un modello di row-level tenancy: ogni entita dati e associata a un tenantId e tutte le query applicative filtrano rigorosamente per tenant. L'autenticazione via NextAuth valida il tenantId in ogni sessione JWT; le API route utilizzano il pattern withAuth(permission, handler) che impone il controllo automatico di tenant e permessi.

2. Crittografia

2.1 In transit

TLS 1.2 o superiore su tutte le connessioni tra client e server;
HTTPS everywhere: tutti gli endpoint, incluse le API interne, sono serviti esclusivamente via HTTPS;
HSTS (HTTP Strict Transport Security) abilitato a livello di dominio;
Certificati gestiti automaticamente con rinnovo ACME.

2.2 At rest

Database crittografato con encryption standard del provider (AES-256);
Backup automatici criptati;
Segreti applicativi e variabili di ambiente gestiti tramite secret manager del provider hosting.

3. Autenticazione

Password hashing: bcrypt con cost factor >= 12;
2FA TOTP opzionale per tutti gli utenti, con QR code per enrollment e codici di backup;
Session management: JWT NextAuth con scadenza configurabile, rotazione e revoca;
Password policy: lunghezza minima, complessita, blocco temporaneo dopo tentativi falliti;
Reset password via email con token a scadenza breve.

4. Autorizzazione

RBAC gerarchico: ruoli admin, tecnico, operatore, sales, con capability granulari definite in src/lib/permissions.ts;
Override custom a livello di singolo utente;
Filtro finanziario: i ruoli tecnico e operatore non accedono a dati economici (budget, costi, fatture, pipeline);
Row-level tenancy: isolamento per tenantId su ogni query;
Audit log: registrazione di ogni operazione CRUD mutativa con utente, entita, timestamp, IP, user agent;
Field-level permissions per alcune entita sensibili.

5. Gestione segreti

Credenziali, API key e segreti applicativi gestiti esclusivamente come variabili d'ambiente;
Mai committati in repository Git;
In produzione gestiti tramite secret manager del provider hosting;
Rotazione periodica dei segreti critici;
Principio del least privilege nell'assegnazione dei permessi API.

6. Backup e disaster recovery

Backup giornalieri automatici del database;
Retention: 30 giorni;
Encryption: backup criptati at rest;
Test di restore mensile per verificare l'integrita dei backup;
RPO (Recovery Point Objective): 24 ore;
RTO (Recovery Time Objective): 8 ore;
Procedura di disaster recovery documentata internamente e testata periodicamente.

7. Logging e monitoring

Audit log persistente di ogni operazione mutativa, conservato per 12 mesi;
Error tracking tramite [Sentry] per identificazione tempestiva di bug e anomalie;
Application monitoring: metriche di performance, latenza, errori 5xx;
Alerting automatico su anomalie, picchi di errore, downtime;
Log di sicurezza: tentativi di login falliti, accessi sospetti, escalation di privilegi.

8. Vulnerability management

Dependency scanning continuo delle librerie di terze parti;
Patching tempestivo delle vulnerabilita critiche;
Code review obbligatorio per ogni modifica in produzione;
Static analysis e linting automatico in CI;
Penetration test annuale da parte di terzo indipendente [in corso di programmazione];
Responsible disclosure: ricezione di segnalazioni da parte di ricercatori di sicurezza all'indirizzo security@worksitecrm.it.

9. Incident response

Runbook interno per la gestione di incidenti di sicurezza, inclusa classificazione, contenimento, eradicazione, recovery e lessons learned;
Notifica data breach ai Titolari entro 48 ore dalla scoperta, come previsto dal DPA;
Comunicazione tempestiva ai Clienti impattati con dettagli dell'incidente, misure adottate e raccomandazioni;
Collaborazione con autorita di controllo e forze dell'ordine se necessario.

10. Access control interno

Principle of least privilege: ciascun collaboratore riceve solo gli accessi necessari al proprio ruolo;
Review trimestrale degli accessi ai sistemi di produzione;
2FA obbligatorio per tutti gli accessi amministrativi;
NDA e formazione privacy/security per tutto il personale;
Offboarding immediato con revoca di accessi al termine del rapporto;
Logging degli accessi amministrativi a sistemi di produzione.

11. Compliance

GDPR: piena conformita al Regolamento (UE) 2016/679, con DPA a disposizione dei Clienti;
CCPA: architettura compatibile con diritti di accesso e cancellazione stile CCPA (non attivato commercialmente);
SOC 2: roadmap di certificazione [target 2027];
Normativa fiscale IT: conservazione fatture per 10 anni ex art. 2220 c.c.

12. Certificazioni e attestazioni

ISO 27001: obiettivo futuro [target 2027-2028];
SOC 2 Type II: obiettivo futuro [target 2027];
I provider di infrastruttura (hosting, DB, email) sono selezionati tra fornitori già certificati ISO 27001 e/o SOC 2.

13. Contatto sicurezza

Per segnalare vulnerabilita, incidenti sospetti o richieste di assessment di sicurezza: security@worksitecrm.it.

Questa bozza e stata redatta come template operativo e richiede revisione di un avvocato prima della pubblicazione.