Sicurezza

Fa fede il testo in italiano. Le versioni in altre lingue sono traduzioni di cortesia, fatte con strumenti di intelligenza artificiale.

La sicurezza dei dati che ci affidi è il fondamento di siati.ai. Questa pagina descrive le misure tecniche e organizzative che usiamo davvero, quelle che non ci sono ancora e come segnalarci una vulnerabilità.

Architettura

Le richieste ai modelli, la base dati, i file e i registri stanno in Svizzera, su macchine del cloud GigaKube di Daiko Lab SA, in Ticino. Nessun prompt o risposta dei modelli lascia il territorio svizzero. I servizi accessori (email, pagamenti, store delle app, DNS) sono affidati a fornitori esterni: l'elenco è nella pagina Privacy, al §6.

Misure di sicurezza tecniche

Cifratura in transito — HTTPS obbligatorio su ogni indirizzo pubblico, solo TLS 1.2 e 1.3 (TLS 1.0 e 1.1 rifiutati), HSTS con max-age=1y; includeSubDomains attivo. Certificati Let's Encrypt rinnovati automaticamente.

Password — non le conserviamo: ne teniamo solo un'impronta non reversibile (hash Argon2id con 64 MiB di memoria, più del minimo raccomandato da OWASP), con un sale casuale per ogni impronta. Nessuno può risalire alla password, nemmeno noi.

Autenticazione — sul sito la sessione è in un cookie HttpOnly, Secure e SameSite=Lax. L'app usa token firmati (JWT, HS256) che scadono e si rinnovano, e ogni accesso si può revocare. Delle chiavi API teniamo solo un'impronta (HMAC-SHA256 con un segreto dedicato): non possiamo rileggerle.

Limiti contro gli abusi — limiti ai tentativi di accesso, sul sito e nell'app; nell'app anche alla registrazione, al recupero della password e alla cancellazione dell'account. Ogni chiave API ha un numero massimo di richieste al minuto, secondo il livello.

Rete — ogni macchina accetta connessioni solo sulle porte che le servono. La base dati, l'archivio dei file, Redis e le macchine dei modelli non sono raggiungibili da Internet: accettano connessioni solo dalla rete interna del servizio. Alle macchine si accede solo con chiavi SSH personali, mai con una password.

Header di sicurezza — Content-Security-Policy (niente script, fogli di stile e caratteri da altri domini), X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy.

Cifratura dei contenuti — i messaggi delle conversazioni, e i testi che il registro delle richieste conserva per le chiavi che lo chiedono, sono cifrati dall'applicazione prima di arrivare nella base dati.

Backup — una copia compressa della base dati ogni notte (pg_dump): le ultime 7 sulla macchina che la fa, le ultime 30 su un archivio di file separato, entrambi in Svizzera.

Registri — i registri tecnici (indirizzo IP, indirizzo chiesto, browser, errori) si cancellano dopo 14 giorni. Le azioni degli amministratori finiscono in un registro che la base dati non lascia modificare né cancellare.

Misure organizzative

• Principio del minimo privilegio: il pannello di amministrazione è solo per gli amministratori, con ruoli separati.
• Collaudi prima di ogni rilascio: gira l'intera serie di test, e un test che fallisce ferma il rilascio.
• Accesso ai sistemi di produzione limitato a personale identificato, con chiavi SSH personali.

Quello che non c'è ancora

• L'autenticazione a due fattori per gli amministratori è pronta ma non ancora obbligatoria.
• Il traffico fra le macchine passa sulla rete privata della sala, senza un tunnel cifrato.
• La procedura scritta per gli incidenti è in preparazione.
• Non abbiamo certificazioni (vedi sotto).

Notifica delle violazioni

Se rileviamo o veniamo informati di una violazione di dati personali che possa comportare un rischio per i nostri utenti, la notifichiamo come chiede la legge:

1. All'IFPDT (Incaricato federale della protezione dei dati e della trasparenza) il prima possibile, nei termini dell'art. 24 nLPD
2. Alle autorità UE competenti entro 72 ore (art. 33 GDPR)
3. Agli interessati, direttamente e senza ingiustificato ritardo, se il rischio è elevato (art. 34 GDPR / art. 24 nLPD)

Divulgazione responsabile (responsible disclosure)

Se hai scoperto una vulnerabilità di sicurezza, ti chiediamo di notificarcela in modo riservato prima di renderla pubblica.

Contatto: security@siati.ai L'indirizzo è anche in .well-known/security.txt (RFC 9116).

Cosa promettiamo:

• Confermare la ricezione entro 48 ore
• Aggiornarti settimanalmente sullo stato dell'indagine
• Risolvere la vulnerabilità senza richiamare il tuo ruolo nella scoperta, salvo tuo esplicito desiderio di ringraziamento pubblico
• Non avviare azioni legali contro di te, purché la tua ricerca rispetti le seguenti regole

Cosa ti chiediamo:

• Non accedere a dati di altri utenti
• Non degradare o interrompere il servizio
• Non divulgare la vulnerabilità prima della patch (coordineremo una data realistica)
• Operare in buona fede, senza ricatto o richiesta di compenso non concordato

Programma di bug bounty: non ne abbiamo uno. Se lo desideri, ti ringraziamo pubblicamente su questa pagina.

Certificazioni

Oggi non abbiamo certificazioni: né ISO/IEC 27001 né un rapporto SOC 2. ISO/IEC 27001 è un obiettivo; quando ci saranno un ente e una data di audit, li scriveremo qui.

NIS2 (direttiva UE 2022/2555) vincola le entità dell'Unione, non un fornitore svizzero: ne applichiamo le misure, sul modello dell'art. 21, senza dichiarare una conformità che nessuno certifica. Cosa c'è e cosa manca, misura per misura: NIS2.

Contatti

Domande generali sulla sicurezza: security@siati.ai Privacy / dati personali: privacy@siati.ai