PASSI - Prestatore di Audit della Sicurezza dei Sistemi Informativi
PASSI è una qualifica rilasciata dall'ANSSI (Agenzia nazionale della sicurezza dei sistemi informativi) ai prestatori abilitati a realizzare audit di sicurezza per conto di amministrazioni e operatori critici francesi. La qualifica copre cinque ambiti di audit: architettura, configurazione, codice sorgente, test di intrusione e organizzativo/fisico. È referenziata dal Quadro di Requisiti PASSI pubblicato dall'ANSSI, aggiornato periodicamente.
Per un acquirente pubblico o un OIV, esigere un audit PASSI sulla soluzione scelta è una misura corrente di diligenza. L'elenco ufficiale dei prestatori qualificati è pubblicato sul sito dell'ANSSI all'indirizzo cyber.gouv.fr.
SecNumCloud - Qualifica ANSSI per fornitori di hosting sovrani
SecNumCloud è la qualifica francese di riferimento per i fornitori di cloud computing sovrani. Il quadro esige un'indipendenza rispetto al diritto extraeuropeo (in particolare CLOUD Act e FISA Sezione 702), una localizzazione fisica dei dati e delle operazioni sul territorio dell'Unione europea, e misure tecniche rafforzate in materia di cifratura, audit e continuità operativa.
Il quadro SecNumCloud 3.2 è pubblicato dall'ANSSI. La sua qualifica è obbligatoria per ospitare dati sensibili dello Stato ai sensi del Quadro Generale di Sicurezza. ARDNTECH seleziona i propri subappaltatori di hosting tra gli attori allineati a questo quadro.
HMAC-SHA-256 - Hash-based Message Authentication Code
HMAC è un meccanismo di calcolo di un codice di autenticazione di messaggio a partire da una funzione di hash crittografica e da una chiave segreta, definito dalla RFC 2104 (IETF, 1997). La sua variante HMAC-SHA-256 utilizza la funzione SHA-256 normalizzata dal NIST in FIPS 180-4 e fornisce un MAC di 256 bit. In pratica, HMAC-SHA-256 serve a garantire l'integrità e l'autenticità di un messaggio senza rivelare la chiave.
Il concatenamento di HMAC (dove l'HMAC di un evento include l'HMAC del precedente) costruisce una audit chain immutabile: qualsiasi modifica retroattiva di un evento spezza la catena e diventa rilevabile. ARDNTECH utilizza HMAC-SHA-256 concatenato per il proprio registro di audit, verificabile tramite un comando CLI pubblico.
Argon2id - Derivazione di chiave moderna
Argon2 è l'algoritmo di derivazione di chiave vincitore del Password Hashing Competition (2015), normalizzato dalla RFC 9106 (IETF, 2021). Argon2id, la sua variante ibrida, combina la resistenza agli attacchi tramite canali laterali di Argon2i e la resistenza agli attacchi tramite compromesso tempo-memoria di Argon2d. Prende tre parametri: costo di memoria, costo di tempo e parallelismo.
La RFC 9106 raccomanda per un uso interattivo un costo di memoria di almeno 64 MiB, 3 iterazioni e 1 via di parallelismo. Per gli usi server a maggiore intensità, raccomanda 256 MiB o più. ARDNTECH implementa Argon2id con 256 MiB di memoria, conforme alle raccomandazioni della RFC 9106.
Zero-knowledge - Architettura senza accesso in chiaro
Si definisce zero-knowledge un'architettura in cui il server non dispone, per costruzione crittografica, di alcun mezzo tecnico per leggere i dati dell'utente in chiaro. La cifratura e la decifratura si effettuano interamente lato client con una chiave derivata dalla passphrase dell'utente, mai trasmessa al server.
La conseguenza operativa è che un aggressore che comprometta il server (o l'editore stesso, costretto da una richiesta legale) ha accesso solo a blob cifrati inutilizzabili senza la chiave del titolare. Il rovescio della medaglia è l'impossibilità per l'editore di recuperare una password dimenticata: il meccanismo di reset distrugge necessariamente la cassaforte precedente.
OpenPGP - Standard di cifratura asimmetrica
OpenPGP è lo standard aperto di cifratura e di firma dei messaggi, derivato dallo strumento Pretty Good Privacy. La sua specifica attuale è la RFC 9580 (IETF, luglio 2024), che sostituisce la RFC 4880. OpenPGP combina cifratura simmetrica per il contenuto (AES-256-GCM, ChaCha20-Poly1305) e asimmetrica per lo scambio di chiavi (RSA, X25519, Ed25519).
In una cassaforte B2B, OpenPGP permette di cifrare un segreto per più destinatari senza ricodifica centrale: ogni utente dispone della propria coppia di chiavi, e la condivisione consiste nel ricodificare la chiave simmetrica di sessione per la chiave pubblica del nuovo destinatario. ARDNTECH utilizza OpenPGP RFC 9580 lato client per la condivisione di segreti tra utenti di una stessa organizzazione.
X25519 / Ed25519 - Curve ellittiche moderne
X25519 è un algoritmo di scambio di chiavi Diffie-Hellman sulla curva Curve25519, definito dalla RFC 7748 (IETF, 2016). Ed25519 è l'algoritmo di firma associato, definito dalla RFC 8032. Progettati da Daniel J. Bernstein e dal suo team, questi algoritmi offrono un livello di sicurezza equivalente a una chiave RSA di 3072 bit con un'impronta di memoria e CPU nettamente inferiore.
La loro adozione è ormai ampia: TLS 1.3, SSH, Signal, WireGuard e OpenPGP dalla RFC 9580. Le curve Edwards evitano le insidie di implementazione comuni delle curve NIST storiche (P-256, P-384) rendendo più difficili da montare gli attacchi tramite canali laterali.
AES-256-GCM - Cifratura simmetrica autenticata
AES-256-GCM è la combinazione dell'Advanced Encryption Standard in modalità Galois/Counter Mode, con una chiave di 256 bit. La modalità GCM è normalizzata dal NIST in NIST SP 800-38D e fornisce sia la riservatezza (tramite cifratura in modalità contatore) sia l'autenticazione (tramite un MAC derivante da una moltiplicazione in GF(2¹²⁸)).
La sua ampia diffusione si spiega con le sue prestazioni hardware (istruzioni AES-NI e CLMUL dei processori x86_64 e ARMv8) e la sua resistenza comprovata. Resta sensibile al riutilizzo dell'IV, che deve essere casuale o strettamente sequenziale. AES-256-GCM è la primitiva simmetrica predefinita di OpenPGP RFC 9580 e di TLS 1.3.
CLOUD Act - Extraterritorialità statunitense 2018
Il Clarifying Lawful Overseas Use of Data Act è una legge federale statunitense promulgata il 23 marzo 2018. Autorizza le autorità statunitensi a richiedere a un operatore soggetto al diritto statunitense la comunicazione di dati dell'utente, indipendentemente dalla loro localizzazione fisica di archiviazione. Il testo integrale è pubblicato su congress.gov.
Una società statunitense, o la filiale europea di una società statunitense, resta soggetta al CLOUD Act anche se i suoi server sono fisicamente collocati nell'Unione. È questo criterio strutturale a distinguere un editore realmente sovrano da un editore la cui casa madre dipende dal diritto statunitense.
FISA Sezione 702 - Sorveglianza degli stranieri
Il Foreign Intelligence Surveillance Act, nella sua Sezione 702 aggiunta nel 2008, autorizza la raccolta di intelligence elettronica da parte delle agenzie statunitensi (NSA, FBI) su persone non statunitensi situate al di fuori del territorio degli Stati Uniti, con la cooperazione obbligatoria degli operatori di comunicazioni elettroniche statunitensi.
La CGUE ha giudicato nel 2020 (sentenza Schrems II) che questo regime, privo di un meccanismo di ricorso effettivo per le persone prese di mira nell'UE, è incompatibile con le garanzie fondamentali del diritto europeo. È uno dei motivi ricorrenti per cui i CISO europei scartano gli operatori soggetti al diritto statunitense.
Schrems II - Sentenza CGUE C-311/18 (2020)
La sentenza Data Protection Commissioner contro Facebook Ireland e Maximilian Schrems, pronunciata il 16 luglio 2020 dalla Corte di giustizia dell'Unione europea, ha invalidato la decisione di adeguatezza Privacy Shield che regolava i trasferimenti di dati personali tra l'UE e gli Stati Uniti.
Dalla Schrems II, qualsiasi trasferimento verso un paese terzo basato sulle Clausole Contrattuali Tipo deve essere preceduto da un'analisi d'impatto del trasferimento (Transfer Impact Assessment) che documenti l'assenza di rischio di sorveglianza straniera. Per i DPO, scegliere un editore strettamente europeo evita questa procedura e il rischio regolamentare associato.
GDPR Art. 28 - Subappalto dei dati
L'articolo 28 del regolamento (UE) 2016/679 disciplina il rapporto tra il titolare del trattamento e il responsabile del trattamento. Impone la conclusione di un contratto scritto che fissi l'oggetto e la durata del trattamento, la sua natura e la sua finalità, il tipo di dati e le categorie di persone interessate, nonché gli obblighi e i diritti del titolare.
In pratica, ogni editore SaaS è responsabile del trattamento ai sensi dell'Art. 28 dal momento in cui tratta dati personali per conto dei propri clienti. ARDNTECH fornisce un DPA (Data Processing Agreement) standardizzato incluso nel piano Business e negoziabile in Enterprise.
GDPR Art. 32 - Sicurezza del trattamento
L'articolo 32 del regolamento (UE) 2016/679 impone al titolare del trattamento e al responsabile del trattamento di attuare misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio. Le misure citate esplicitamente includono la cifratura dei dati, la capacità di assicurare la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi.
La valutazione dell'adeguatezza delle misure deve tenere conto dello stato dell'arte, dei costi di attuazione e della natura, della portata e delle finalità del trattamento. Per una cassaforte di segreti B2B, una cifratura E2EE con algoritmi recenti (AES-256-GCM, Argon2id RFC 9106) soddisfa tipicamente questo requisito.
DPA - Data Processing Agreement
Un DPA (Data Processing Agreement), o accordo sul trattamento dei dati, è il contratto imposto dall'articolo 28 del GDPR tra un titolare del trattamento e il suo responsabile del trattamento. Precisa le finalità del trattamento, le categorie di dati interessate, la durata di conservazione, le misure di sicurezza applicate e le condizioni di subappalto ulteriore.
Per un acquirente B2B soggetto al GDPR, esigere un DPA firmato prima di qualsiasi distribuzione di uno strumento SaaS che tratti dati personali è un obbligo legale, non un'opzione. ARDNTECH fornisce un DPA standardizzato incluso nel piano Business, e un DPA negoziato in Enterprise.
DPO - Responsabile della Protezione dei Dati
Il Responsabile della Protezione dei Dati (DPO) è la funzione creata dall'articolo 37 del GDPR. La sua designazione è obbligatoria per le autorità e gli organismi pubblici, gli organismi la cui attività principale richiede un monitoraggio regolare e sistematico di persone su larga scala, e gli organismi che trattano su larga scala categorie particolari di dati (salute, dati biometrici, ecc.).
Il DPO fornisce consulenza sulla conformità al GDPR, supervisiona le valutazioni d'impatto (DPIA), coopera con la CNIL e funge da punto di contatto per le persone interessate. Nell'ambito della valutazione di una cassaforte di segreti, il DPO convalida in particolare il DPA e l'analisi di trasferimento al di fuori dell'UE se applicabile.
NIS2 - Direttiva europea sulla cybersicurezza
La direttiva (UE) 2022/2555, denominata NIS2 (Network and Information Security), sostituisce la direttiva NIS del 2016 ed estende significativamente il perimetro degli operatori soggetti a obblighi di cybersicurezza. Copre ora le entità essenziali e importanti in settori ampliati (energia, trasporti, sanità, infrastruttura digitale, servizi gestiti, ecc.).
NIS2 impone misure di gestione dei rischi, una notifica degli incidenti entro 24 ore (allerta iniziale) e 72 ore (report completo), e obblighi di sicurezza della catena di approvvigionamento. Il suo recepimento nel diritto francese è in corso. Per gli OIV e OSE, NIS2 rafforza i requisiti che esistevano sotto la LPM e NIS1.
OIV - Operatore di Importanza Vitale
Un Operatore di Importanza Vitale (OIV) è un'organizzazione pubblica o privata la cui attività è ritenuta indispensabile al buon funzionamento della Nazione francese, designata in via riservata con decreto del Primo ministro. Gli OIV sono soggetti alle disposizioni della legge di Programmazione Militare (LPM) in materia di cybersicurezza.
Gli obblighi degli OIV includono la dichiarazione dei sistemi informativi critici (SIC) all'ANSSI, il rispetto di regole di sicurezza definite con decreto settoriale, e la notifica degli incidenti di sicurezza. Per un editore SaaS, essere referenziabile da un OIV implica soddisfare requisiti di qualifica (SecNumCloud) e rispondere ad audit PASSI.
TOTP - Time-based One-Time Password
TOTP (Time-based One-Time Password) è un algoritmo di generazione di password monouso basato sull'ora corrente, definito dalla RFC 6238 (IETF, 2011). Combina un segreto condiviso (TOTP seed) e un contatore di tempo (intervalli di 30 secondi per impostazione predefinita) tramite la funzione HMAC-SHA-1 per produrre un codice numerico di 6 cifre.
TOTP è il meccanismo di secondo fattore più diffuso nelle applicazioni aziendali. È supportato da tutte le applicazioni di autenticazione standard (Google Authenticator, Aegis, ecc.) e da ARDNTECH. La RFC 6238 è leggibile pubblicamente su tools.ietf.org.
WebAuthn / Passkey - Autenticazione senza password
WebAuthn (Web Authentication API) è uno standard W3C che permette alle applicazioni web di autenticare un utente tramite un autenticatore FIDO2 (chiave hardware, impronta digitale, riconoscimento facciale). La specifica è pubblicata su w3.org/TR/webauthn-3/ . Le Passkey sono un'implementazione di largo consumo di WebAuthn in cui la coppia di chiavi è sincronizzata tra dispositivi tramite un gestore di chiavi (iCloud Keychain, Google Password Manager).
Dal punto di vista della sicurezza, WebAuthn resiste in modo nativo al phishing (la chiave è legata all'origine del dominio) e agli attacchi tramite replay. Per una cassaforte di segreti B2B, l'attivazione di WebAuthn per lo sblocco elimina il vettore di compromissione più frequente in azienda: il furto della password principale tramite phishing. ARDNTECH supporta WebAuthn / Passkey su tutti i piani.
AGPL-3.0 - Licenza open source copyleft di rete
La GNU Affero General Public License versione 3 (AGPL-3.0) è una licenza di software libero pubblicata dalla Free Software Foundation. Esige che qualsiasi distribuzione in rete di un software coperto da questa licenza renda disponibile il codice sorgente corrispondente agli utenti che vi accedono, anche tramite un servizio web.
Per ARDNTECH, pubblicare sotto AGPL-3.0 significa che qualsiasi organizzazione che distribuisca un'istanza di ARDNTECH modificata deve pubblicare le proprie modifiche. È una garanzia strutturale per i clienti: se ARDNTECH cessasse di esistere, il codice resterebbe accessibile e manutenibile dalla comunità. L'audit del codice crittografico è possibile per qualsiasi CISO o auditor PASSI senza accesso speciale.
