Sicurezza integrata in ogni livello
Residenza dati UE, TLS 1.2+ in transito, crittografia a livello di campo per i token sensibili, una disclosure policy RFC 9116 e un incident response messo per iscritto. Ecco esattamente cosa facciamo, con chi condividiamo i dati e come segnalare un problema.
Impegni concreti, non frasi fatte
I quattro numeri che contano per un workspace admin che ci valuta su una checklist enterprise.
Come segnalare una vulnerabilità
Disclosure coordinata, testo semplice, nessun NDA da firmare prima di segnalare. I ricercatori che agiscono in buona fede sono al riparo da azioni legali.
Conferma ricezione
Risposta umana da [email protected] che conferma la ricezione & assegna un tracking ID.
Triage
Severità valutata (allineata a CVSS), riproduzione confermata, ticket interno aperto con deadline di disclosure.
Remediation
Target vincolanti per severità: Critical <30gg, High <60gg, Medium <90gg. Ricercatore costantemente aggiornato.
Conferma ricezione
Riconoscimento scritto della vulnerabilità e, con il consenso del ricercatore, un ringraziamento pubblico nelle release note.
In scope Da segnalare
- ks-agents.com e tutti i sottodomini (production, staging, marketing).
- Le API REST & GraphQL di KS-Agents.
- La Slack app di KS-Agents — slash command, Events API, OAuth flow, interactivity.
- Il bot Microsoft Teams di KS-Agents.
- Tutte le dashboard rivolte ai clienti, incluse le viste embedded.
Fuori scope Da non segnalare
- Social engineering, phishing, attacchi fisici.
- DoS / DDoS volumetrici o fuzzing dei rate-limit.
- Header best-practice mancanti senza un impatto dimostrabile.
- Vulnerabilità nei servizi di terze parti che utilizziamo (segnalare upstream).
- Output di scanner non validato senza un PoC costruito a mano.
Difesa in profondità, livello per livello
Ciò che facciamo davvero — non quello che promette una pagina di marketing. Ogni riga qui sotto corrisponde a codice, configurazione o contratto specifici.
Identità & accesso
Opzioni di autenticazione conformi ai requisiti di procurement enterprise.
- Entra ID SSO (OIDC) per il login a livello di tenant
- Fallback Google OAuth & LinkedIn OAuth
- Provisioning utenti SCIM 2.0
- MFA obbligatoria sugli account dello staff
- Concessione di capability per singolo utente nel layer Slack
Protezione dei dati
TLS in transito, crittografia a livello di campo per i token sensibili, storage con residenza UE.
- TLS 1.2+ per tutto il traffico, HSTS preload
- Fernet (AES-128-CBC + HMAC-SHA256) per i bot token & le righe del modulo audit
- Master key per ambiente, ruotata per ogni ambiente
- Snapshot giornalieri del database, conservati i 7 più recenti
- Cloudflare R2 jurisdiction UE per i media dei clienti
Hardening delle integrazioni
Nello specifico per le integrazioni Slack e Teams.
- Verifica HMAC-SHA256 su ogni webhook Slack
- Tolleranza timestamp di 5 minuti (prevenzione replay)
- Deduplicazione degli Event-ID via Redis (TTL 1 ora)
- Isolamento cross-tenant applicato a livello di DB
- Token di magic-login: TTL 2 min, monouso, consumo atomico
Chi tratta i dati, e dove
Il set minimo necessario a far funzionare la piattaforma. Standard Contractual Clauses firmate con ogni vendor extra-UE. Elenco completo e DPA su /legal/subprocessors/.
| Fornitore | Scopo | Regione |
|---|---|---|
| Hetzner | Hosting applicazione + database | UE · Finlandia |
| Cloudflare R2 | Object storage (media, export) | Jurisdiction UE |
| OpenAI | Inferenza LLM (testo, embedding) | Endpoint UE dove disponibile |
| Google Cloud (Vertex AI) | Inferenza LLM (voce, testo) | europe-west4 (Paesi Bassi) |
| Microsoft Azure OpenAI | Inferenza LLM (fallback UE) | Sweden Central |
| Requesty | Layer di routing LLM (ZDR) | Proxy stateless |
| Stripe | Fatturazione & abbonamenti | Globale, SCC firmate |
| Postmark / Resend | Email transazionali | USA, SCC firmate |
| Iubenda | Privacy policy & gestione del consenso | UE |
Onesti su ciò che abbiamo e ciò che non abbiamo
Trasparenza su quali framework sono attivamente implementati e quali sono in roadmap. Nessun claim di marketing non dimostrabile.
Attivamente seguiti In essere
- GDPR — DPA disponibile su /legal/dpa/, cancellazione ex Art.17 entro 30 giorni.
- RFC 9116 — security.txt pubblicato & aggiornato.
- EU Data Privacy Framework — conforme a Schrems II, SCC firmate dove i dati lasciano l'UE.
- AI pentesting continuo interno (tool Shannon).
In roadmap Non ancora
- Penetration test esterno formale.
- Encryption-at-rest per il volume Postgres (LUKS) e gli snapshot del database.
Hai trovato qualcosa? Segnalacelo per primi.
Le segnalazioni in buona fede e nel rispetto di questa policy sono al riparo da azioni legali. Riconoscimento scritto al ricercatore per ogni vulnerabilità accettata.
[email protected]