Draft v1.0

Autori: Energent.ai Security & Engineering Team

Abstract

Energent.ai fornisce un agente desktop virtuale alimentato da AI che automatizza flussi di lavoro complessi multi-applicazione per utenti aziendali. Poiché l'agente opera su dati aziendali sensibili e può essere autorizzato a utilizzare ampi privilegi sui desktop degli utenti e sulle risorse cloud, la sicurezza e la privacy sono fondamentali per il nostro design del prodotto. Questo whitepaper documenta il modello di minaccia, l'architettura difensiva, i controlli di sicurezza e la postura di conformità della piattaforma Energent. È modellato sull'approccio strutturato e basato sui dati utilizzato nel whitepaper CambioML AnyParser e si allinea con le best practices del Security Pillar di AWS Well-Architected e con le linee guida sui controlli di sicurezza NIST SP 800-53 Rev 5.

Indice

1. Introduzione
2. Architettura della Piattaforma Energent
3. Modello di Minaccia
4. Controlli di Sicurezza
5. Conformità e Governance
6. Sicurezza Operativa
7. Opzioni di Distribuzione per i Clienti
8. Conclusione
9. Appendice A – Mappatura dei Controlli
10. Riferimenti

1 Introduzione

1.1 Scopo

Questo documento consente ai team di sicurezza, IT e conformità di valutare se Energent.ai soddisfa i requisiti di sicurezza organizzativi. Dettaglia come noi proteggiamo i dati, i sistemi e gli utenti durante l'intero ciclo di vita dell'agente, dalla fase di sviluppo alle operazioni in produzione.

1.2 Ambito

• Energent Cloud (SaaS). Servizio multi-tenant gestito da Energent.ai su AWS.
• Cloud Privato / Isolato VPC. Stack dedicato single-tenant distribuito in un account controllato dal cliente su AWS, Azure o GCP.
• On-Prem/VM. Immagine VM Linux isolata per ambienti altamente regolamentati.

1.3 Pubblico

CISOs, architetti di sicurezza, ingegneri DevOps, auditor e professionisti degli acquisti che valutano Energent.ai.

2 Architettura della Piattaforma Energent

2.1 Componenti di Alto Livello

Figura 1. Vista logica dei componenti Energent e dei confini di fiducia.

2.2 Principi Sicuri per Progettazione

1. Minimo privilegio e micro-segmentazione. I ruoli IAM e i gruppi di sicurezza limitano ogni servizio ai permessi minimi richiesti.
2. Crittografia end-to-end. TLS 1.2+ per i dati in transito; AES-256-GCM per i dati a riposo utilizzando chiavi gestite da KMS.
3. Infrastruttura immutabile. Tutti i nodi di calcolo vengono ricostruiti da AMI firmate; nessuna modifica in loco.
4. Automazione della conformità continua. Guardrail codificati in IaC e regole AWS Config per rilevare deviazioni.

3 Modello di Minaccia

3.1 Attività

• Credenziali utente e token API
• Artefatti di flusso di lavoro (screenshot, dati estratti, documenti generati)
• Logica di flusso di lavoro proprietaria

3.2 Avversari e Capacità

3.3 Confini di Fiducia

• Isolamento tra stack dei clienti.
• Separazione tra piano di controllo e piano dati.
• Sandbox in VM vs. ambiente host.

4 Controlli di Sicurezza

4.1 Identità, Autenticazione e Autorizzazione

• SSO tramite SAML 2.0 / OIDC con applicazione di MFA.
• Politiche IAM ABAC a granularità fine per tutti i microservizi.
• Accesso privilegiato just-in-time (JIT) con scadenza automatica.

4.2 Sicurezza della Rete e dell'Infrastruttura

• Gateway di uscita solo a livello di VPC; nessun bilanciatore di carico pubblico in modalità cloud privato.
• Tutto il traffico API terminato presso AWS ALB con WAF WebACL (set di regole OWASP Top 10).
• Connettività privata su base volontaria tramite AWS PrivateLink o VPN del cliente.

4.3 Protezione dei Dati

• Crittografia lato server (SSE-KMS) per S3; SDK di crittografia lato client disponibile.
• Crittografia a livello di campo per PII/PHI utilizzando AES-256 + chiavi di busta.
• Rotazione automatica delle chiavi e CMK per ogni tenant.

4.4 Sicurezza delle Applicazioni

• Standard di codifica sicura (OWASP ASVS L2).
• Pipeline automatizzate SCA, SAST e DAST integrate in CI/CD.
• Lock delle dipendenze con firme verificate PyPI/npm.

4.5 Gestione di Segreti e Chiavi

• Segreti memorizzati in AWS Secrets Manager con rotazione automatica.
• Gli agenti estraggono token di sessione temporizzati tramite STS AssumeRole, mai chiavi a lungo termine.

4.6 Ciclo di Vita dello Sviluppo Sicuro

• Modellazione delle minacce per ogni epic (metodologia STRIDE).
• Le revisioni del codice richiedono approvazione da due persone e superamento dei gate di sicurezza.
• Build riproducibili con provenienza Sigstore.

5 Conformità e Governance

5.1 Modello di Responsabilità Condivisa

Energent adotta l'approccio di responsabilità condivisa di AWS, dove AWS protegge il cloud sottostante "del cloud," e Energent protegge tutto "nel cloud."

5.2 Certificazioni di Audit (In Corso 2025)

5.3 Mappatura dei Controlli

L'Appendice A fornisce una mappatura dettagliata dei controlli di Energent alle famiglie NIST SP 800-53 Rev 5 (AC, AU, SC, SI, ecc.).

6 Sicurezza Operativa

6.1 Monitoraggio, Rilevamento e Risposta

• Aggregazione centralizzata dei log in Amazon OpenSearch con backup S3 immutabili.
• GuardDuty, Inspector e Security Hub abilitano il rilevamento continuo delle minacce.
• Team di Risposta agli Incidenti di Sicurezza (SIRT) disponibile 24×7 con runbook documentati.

6.2 Gestione delle Vulnerabilità e Pen-Test

• Scansioni settimanali delle immagini dei container; CVE critici corretti entro 24 ore.
• Test di penetrazione annuali di terze parti e test commissionati dai clienti consentiti.

6.3 Continuità Aziendale e Recupero da Disastri

• Tutti i dati persistenti memorizzati in S3 multi-AZ, versionati con Replica tra Regioni.
• RPO ≤ 15 minuti, RTO ≤ 1 ora per servizi critici.

7 Opzioni di Distribuzione per i Clienti

7.1 Energent Cloud (SaaS)

• Opzione predefinita; onboarding più veloce; eredita la sicurezza dell'infrastruttura globale di AWS.

7.2 Cloud Privato / Isolato VPC

• Stack Energent distribuito da Terraform nell'account AWS del cliente, con controllo sulla residenza dei dati.

7.3 On-Prem / Solo VM

• Immagine VM capace di funzionare offline; attestazione di root-of-trust hardware supportata tramite TPM/SGX.

8 Conclusione

Energent.ai combina ingegneria a difesa profonda, processi operativi rigorosi e conformità trasparente per proteggere i dati dei clienti a ogni livello. Adottando framework leader del settore come AWS Well-Architected e NIST SP 800-53, offriamo una piattaforma che consente automazione sicura e scalabile senza compromettere la fiducia degli utenti.

Appendice A – Mappatura dei Controlli (Estratto)

Matrice completa disponibile su richiesta.

Riferimenti

1. AWS Well-Architected Framework – Security Pillar, 6 Nov 2024
2. NIST SP 800-53 Rev 5, “Controlli di Sicurezza e Privacy per Sistemi Informativi e Organizzazioni,” Set 202
3. CambioML & Epsilla, “Raggiungere 2× Accuratezza nel Recupero di Conoscenza da Grafici e Tabelle,” 2 Ago 2024