Sicurezza e tracciabilità
Chi può fare che cosa — e come si dimostra dopo.
Due domande diverse. La prima si risolve con i permessi, e i permessi stanno nel motore, non nelle pagine. La seconda si risolve con un registro che non si può ritoccare senza che si veda.
Gli accessi
- I permessi stanno nel motore. Completare, prendere, rilasciare e riassegnare un'attività verificano da soli deleghe, prese in carico e ruoli. Una rotta dell'API non può aggirarli: passa dagli stessi controlli dell'interfaccia.
- Le tabelle del motore sono chiuse. Esecuzioni, passi e credenziali non sono leggibili dal client: ci scrive solo il server, con le sue chiavi. Le viste di chi lavora filtrano sui suoi dati per costruzione.
- Sessione firmata e a scadenza. Non falsificabile lato client, con durata dichiarata.
- Accesso aziendale. Autenticazione con il provider di identità dell'organizzazione (OIDC), con i domini email ammessi e il ruolo assegnato al primo ingresso — che poi non viene più toccato in automatico.
- Restrizione per rete. L'installazione può essere limitata a un elenco di indirizzi o reti: fuori da lì non risponde.
- Collegamenti a tempo. Il download di un file generato da un flusso passa da un link firmato che scade: non è un indirizzo indovinabile e non resta valido per sempre.
I segreti
- Credenziali cifrate. Le credenziali sono cifrate con AES-256-GCM, con una chiave che vive nell'ambiente dell'installazione e non nel database.
- Non si rileggono. Una chiave inserita non torna più indietro, nemmeno all'amministratore. Per sapere se è ancora buona c'è un tasto che interroga il fornitore e riporta la risposta.
- Fuori dagli export. Nessuna credenziale viaggia in un export di workflow; il rapporto di importazione elenca quelle da riconfigurare.
- Fuori dal registro. Token, chiavi e password non finiscono mai nei dettagli delle voci di registro.
La contropartita, detta chiaramente. Se la chiave di cifratura dell'installazione va persa, le credenziali salvate non sono recuperabili: vanno reinserite. È il prezzo di non tenerle in chiaro da nessuna parte.
Il registro
Le azioni amministrative finiscono in un registro in cui l'impronta di ogni voce include quella della precedente. Alterare o togliere una voce rompe tutte le successive.
- Scrivere nel registro non può far fallire l'azione che lo origina: la tracciabilità non diventa un punto di rottura.
- Il registro non si pota. È l'unica categoria esclusa dalla cancellazione automatica: tagliarlo significherebbe rompere l'evidenza. Si esporta, non si svuota.
Le evidenze
Un pacchetto da consegnare a chi verifica — un auditor interno, un cliente, un ufficio conformità — con dentro solo ciò che il sistema sa davvero: il registro con la sua catena, l'uso dell'AI a conteggi reali, l'inventario dei workflow, lo stato della licenza.
Integrità su due livelli. Il pacchetto porta sempre l'impronta SHA-256 del suo contenuto, che chi lo riceve può ricalcolare con gli strumenti di sistema. La firma crittografica c'è solo dove esiste una chiave privata, cioè dall'editore: dalle installazioni dei clienti il pacchetto esce con la sola impronta — dichiarata, non simulata.
Una matrice di copertura accompagna il pacchetto: per ogni obbligo dice se è implementato, documentabile, parziale, non implementato o fuori ambito, e quali sezioni del pacchetto lo sostengono.
| Quadro | Righe | Esiti |
|---|---|---|
| AI Act | 8 | 4 implementate 3 documentabili 1 fuori ambito |
| GDPR | 4 | 1 implementata 2 parziali · 1 documentabile |
| ISO/IEC 42001 | 3 | 3 implementate |
| ISO/IEC 27001 | 5 | 3 implementate 1 parziale 1 fuori ambito |
| NIS2 / DORA | 2 | 1 implementata 1 parziale |
| SOC 2 | 3 | 3 implementate |
Che cosa questa matrice non è. È una mappatura di riferimento predisposta dal fornitore della piattaforma. Non costituisce attestazione, certificazione né audit indipendente rispetto a quegli standard. Gli stati riflettono ciò che il software fa oggi: le righe scomode restano scomode.
Conservazione e licenze
Si conserva quanto decidi tu
La cancellazione automatica si configura per categoria — esecuzioni concluse, conteggi d'uso dell'AI e così via. Il valore predefinito è «per sempre»: cancellare è una scelta del titolare del trattamento, non nostra. Restano fuori il registro e le esecuzioni ancora vive. Ogni giro che cancella qualcosa finisce a sua volta nel registro.
Licenze che non prendono in ostaggio
Le installazioni in casa si autorizzano con un token firmato, verificato offline con la sola chiave pubblica: nessuna telefonata a casa. Alla scadenza il blocco è morbido — niente nuove esecuzioni né attivazioni, ma lettura ed esportazione sempre possibili. I dati restano tuoi anche quando il contratto finisce.
Quello che non diciamo
Una pagina sulla sicurezza che elenca solo punti di forza è una pagina di marketing. Quindi: xFlowy non ha certificazioni ISO, SOC 2 o equivalenti, e non ha superato audit indipendenti. È in beta. La matrice di copertura è una mappatura del fornitore, non un attestato. Le installazioni in cloud dipendono dai fornitori di infrastruttura scelti, con i loro termini.
Se stai valutando xFlowy per un contesto regolamentato, la conversazione giusta parte da qui, non dalle promesse.
Vuoi vederla su un processo tuo?
Il modo più rapido è raccontare un flusso reale — quello che oggi vive fra una casella di posta condivisa, un foglio di calcolo e tre solleciti. Rispondiamo dicendo che cosa xFlowy fa già, che cosa richiederebbe lavoro e che cosa non è il caso di fargli fare.