Regole di Business - Cybersecurity Web

Questo documento elenca le regole di business fondamentali del dominio Cybersecurity Web, identificate con codice univoco BR-NNN. Ogni regola è technology-independent e descrive un vincolo invariante sul comportamento del sistema di sicurezza applicativa.

---

BR-001 - Validazione dell'input a ogni confine di fiducia

Codice: BR-001 Nome: Ogni input proveniente da una sorgente non fidata deve essere validato prima dell'uso Descrizione: Dati provenienti da client, API esterne, file caricati o messaggi di broker devono essere validati contro uno schema esplicito (tipo, lunghezza, formato, range) prima di essere elaborati, persistiti o riflessi in output. La validazione lato server è obbligatoria anche quando il frontend valida già. Motivazione: Prevenire Injection, XSS e corruzione dello stato applicativo; nessun input esterno è fidato (difesa in profondità). Priorità: CRITICA Attori: Security Analyst, Sistema IDS/SIEM Violazione: richiesta rifiutata con 400 Bad Request; evento ControlloFallito se la validazione bypassata genera un IncidenteRilevato. Tracciabilità: OWASP Top 10 A03:2021 Injection; glossary "Query parametrizzata", "Output encoding".

---

BR-002 - Output encoding contestuale obbligatorio

Codice: BR-002 Nome: Ogni dato dinamico riflesso in una risposta deve essere codificato per il contesto di destinazione Descrizione: I dati interpolati in HTML, attributi, JavaScript, URL o CSS devono passare per un encoder specifico del contesto. Nessun dato non fidato può essere concatenato direttamente nel DOM o in template senza escaping. Motivazione: Neutralizzare XSS riflesso, memorizzato e DOM-based. Priorità: CRITICA Attori: Security Analyst, Penetration Tester Tracciabilità: OWASP A03:2021; glossary "Cross-Site Scripting (XSS)", "XSS DOM-based", "Content Security Policy (CSP)".

---

BR-003 - Privilegio minimo su ogni risorsa

Codice: BR-003 Nome: Ogni Controllo di accesso concede il minimo privilegio necessario all'operazione Descrizione: Un soggetto autenticato ottiene solo i permessi strettamente necessari per il compito corrente. L'autorizzazione è verificata a livello di oggetto (object-level) per impedire IDOR/BOLA: il fatto che un identificatore sia noto non implica il diritto di accedervi. Motivazione: Limitare il raggio d'azione di una credenziale compromessa; prevenire Broken Access Control. Priorità: CRITICA Attori: CISO, Security Analyst Violazione: HTTP 403 Forbidden; evento AlertGenerato su tentativi ripetuti. Tracciabilità: OWASP A01:2021 Broken Access Control; glossary "Privilegio minimo", "Broken Object Level Authorization (BOLA)", "IDOR".

---

BR-004 - Cifratura in transito e a riposo dei dati sensibili

Codice: BR-004 Nome: I dati sensibili viaggiano solo su TLS 1.2+ e sono cifrati a riposo Descrizione: Nessuna comunicazione contenente credenziali, token o dati personali può avvenire in chiaro. TLS 1.2 è il minimo, TLS 1.3 preferibile; HSTS è obbligatorio. I dati sensibili persistiti sono cifrati a riposo con chiavi gestite separatamente. Motivazione: Proteggere riservatezza e integrità dei dati; prevenire intercettazione e furto di token. Priorità: CRITICA Attori: CISO, Security Analyst Tracciabilità: OWASP A02:2021 Cryptographic Failures; glossary "TLS", "HTTP Strict Transport Security (HSTS)", "Cifratura a riposo".

---

BR-005 - Rate limiting su endpoint sensibili

Codice: BR-005 Nome: Login, reset password e API pubbliche devono applicare rate limiting Descrizione: Gli endpoint esposti ad abuso (autenticazione, ricerca, API pubbliche) applicano un limite di frequenza per (client, endpoint). Il superamento genera 429 Too Many Requests e un evento di alerting. Motivazione: Mitigare attacchi a forza bruta, credential stuffing e Denial-of-Service. Priorità: ALTA Attori: Sistema IDS/SIEM, Security Analyst Violazione: 429 Too Many Requests + header Retry-After; evento AlertGenerato. Tracciabilità: OWASP A07:2021 Identification and Authentication Failures; glossary "Rate limiting", "Attacco a forza bruta".

---

BR-006 - Gestione sicura delle sessioni e dei token

Codice: BR-006 Nome: I token di sessione devono essere protetti, rotati e revocabili Descrizione: I cookie di sessione usano gli attributi Secure, HttpOnly, SameSite. I token hanno vita breve, sono rigenerati al cambio di privilegio (anti session-fixation) e revocabili. La conservazione client segue le pratiche sicure per il tipo di token. Motivazione: Prevenire session hijacking, fixation e furto di token via XSS. Priorità: ALTA Attori: Security Analyst, CISO Tracciabilità: OWASP A07:2021; glossary "Gestione delle sessioni", "Session fixation", "Cookie SameSite", "Attributi cookie sicuri", "Conservazione dei token".

---

BR-007 - Triage e remediation tempestiva delle vulnerabilità

Codice: BR-007 Nome: Ogni Vulnerabilità rilevata deve essere classificata e mitigata entro una finestra SLA basata sulla severità Descrizione: Una vulnerabilità rilevata riceve un punteggio CVSSScore e un SeverityRating. La finestra di remediation dipende dalla severità: CRITICA entro 24-72 ore, ALTA entro 7 giorni, MEDIA entro 30 giorni. La mitigazione è verificata prima della chiusura. Motivazione: Ridurre la finestra di esposizione (mean-time-to-remediate); prioritizzare in base al rischio reale. Priorità: ALTA Attori: Security Analyst, CISO, Penetration Tester Tracciabilità: CVSS v3.1; glossary "Threat modeling"; state-machines/vulnerabilita-lifecycle.md.

---

BR-008 - Notifica e contenimento degli incidenti confermati

Codice: BR-008 Nome: Un breach confermato attiva contenimento immediato e notifica entro i termini normativi Descrizione: Quando un IncidenteRilevato è confermato come breach, il Controllo di contenimento è attivato senza ritardo e la notifica agli interessati/autorità avviene entro la finestra normativa applicabile (es. 72 ore GDPR). L'evidenza è preservata per l'analisi forense. Motivazione: Limitare l'impatto del breach e rispettare gli obblighi di notifica. Priorità: CRITICA Attori: CISO, Security Analyst, Sistema IDS/SIEM Tracciabilità: GDPR Art. 33 (notifica entro 72 ore); glossary "Attacco alla supply chain"; events/domain-events.md evento BreachConfermato.