Introduzione

Le presenti linee guida forniscono indicazioni per l’integrazione sicura dei sistemi di gestione delle identità dei Clienti con la piattaforma Altamira HRM, in qualità di Service Provider (SP), nell’ambito di soluzioni di autenticazione federata (es. SAML 2.0).
Le linee guida si applicano ai Clienti di Altamira HRM, siano essi Pubbliche Amministrazioni oppure organizzazioni private.

L’obiettivo del documento è supportare una configurazione coerente con le best practice di sicurezza, riducendo la superficie di attacco e garantendo un adeguato livello di protezione dei processi di autenticazione e autorizzazione.
Le presenti linee guida hanno carattere tecnico-operativo e non sostituiscono eventuali obblighi normativi, regolamentari o di sicurezza applicabili al Cliente.

1. Protezione del canale di comunicazione tra Identity Provider e Service Provider

Indicazioni generali

La comunicazione tra il sistema di gestione delle identità del Cliente (Identity Provider – IdP) e la piattaforma Altamira HRM (Service Provider – SP) deve garantire la riservatezza e l’integrità delle informazioni scambiate durante il processo di autenticazione federata.

Requisiti

• La comunicazione tra IdP e SP deve avvenire esclusivamente tramite canali cifrati utilizzando protocolli TLS versione 1.2 o superiore.
• La piattaforma Altamira HRM non consente connessioni che non rispettino i requisiti minimi di sicurezza crittografica.
• L’Identity Provider del Cliente deve essere configurato in modo coerente, disabilitando protocolli, algoritmi e cipher suite deprecati o non sicuri.
• Gli endpoint esposti per la federazione devono utilizzare certificati digitali validi e correttamente configurati.

2. Firma della richiesta di autenticazione (AuthnRequest)

Indicazioni generali

La firma della richiesta di autenticazione consente all’Identity Provider di verificare l’autenticità del Service Provider e prevenire tentativi di spoofing o manomissione delle richieste di accesso.

Requisiti

• La piattaforma Altamira HRM richiede che la AuthnRequest sia firmata.
• La firma della AuthnRequest avviene mediante certificati dedicati al servizio di federazione.
• L’Identity Provider del Cliente deve essere configurato per verificare la firma della AuthnRequest e rifiutare richieste non firmate o con firma non valida.

3. Algoritmi crittografici per la firma dei messaggi e dei token

Indicazioni generali

L’utilizzo di algoritmi crittografici aggiornati è essenziale per garantire l’integrità e l’affidabilità dei messaggi scambiati nell’ambito della federazione delle identità.

Requisiti

• La piattaforma Altamira HRM utilizza algoritmi di firma allo stato dell’arte (es. SHA-256 o superiori).
• L’uso di algoritmi deprecati o non considerati sicuri non è consentito.
• L’Identity Provider del Cliente deve essere configurato in modo coerente, utilizzando algoritmi compatibili e non deprecati per la firma delle assertion.

4. Verifica della validità temporale dei token e delle assertion

Indicazioni generali

La verifica della validità temporale dei token e delle assertion consente di prevenire il riutilizzo o il replay dei messaggi di autenticazione.

Requisiti

• La piattaforma Altamira HRM verifica i parametri temporali delle assertion ricevute, inclusi emissione e scadenza.
• Le assertion scadute, non ancora valide o incoerenti con il contesto di autenticazione vengono rifiutate.
• L’Identity Provider del Cliente deve garantire un’adeguata sincronizzazione temporale dei propri sistemi.

5. Limitazione dell’esposizione del servizio ai soli endpoint necessari

Indicazioni generali

La riduzione della superficie esposta contribuisce a diminuire il rischio di attacchi verso i servizi di autenticazione.

Requisiti

• Devono essere esposti esclusivamente gli endpoint strettamente necessari al funzionamento della federazione.
• Gli endpoint non utilizzati o non necessari al processo di autenticazione federata devono essere disabilitati o non pubblicamente accessibili.
• Eventuali endpoint interni devono essere separati dagli endpoint esposti verso l’esterno.

6. Verifica della provenienza delle richieste (limitazione IP / VPN)

Indicazioni generali

Il controllo della provenienza delle richieste verso i sistemi di autenticazione contribuisce a ridurre accessi non autorizzati.

Requisiti

• L’Identity Provider del Cliente deve valutare la configurazione di limitazioni sugli indirizzi IP o sui range autorizzati.
• Ove applicabile, possono essere adottati canali dedicati (es. VPN) per ridurre l’esposizione dei servizi IdP.
• Devono essere monitorate eventuali richieste provenienti da origini non previste.

7. Logging e monitoraggio degli accessi

Indicazioni generali

Il monitoraggio degli accessi è fondamentale per individuare tempestivamente anomalie o tentativi di abuso dei meccanismi di autenticazione.
La piattaforma Altamira HRM abilita di default la registrazione degli eventi di autenticazione, inclusi quelli effettuati tramite meccanismi di Single Sign-On.

Requisiti

• La piattaforma Altamira HRM registra di default gli eventi di autenticazione, inclusi tentativi di accesso riusciti e non riusciti.
• L’Identity Provider del Cliente deve essere configurato per registrare gli eventi di autenticazione e le eventuali anomalie rilevate lato IdP.
• I log devono includere le informazioni essenziali per l’analisi degli accessi e il rilevamento di comportamenti anomali.
• I log devono essere disponibili per attività di verifica, analisi a posteriori e supporto alle attività di sicurezza.

8. Limitazione degli attributi (claim) scambiati per lo specifico servizio

Indicazioni generali

Il principio di minimizzazione dei dati prevede che vengano scambiati esclusivamente gli attributi necessari all’erogazione del servizio.

Requisiti

• Gli attributi SAML scambiati tra IdP e SP devono essere esplicitamente definiti.
• La piattaforma Altamira HRM accetta ed elabora esclusivamente gli attributi previsti dalla configurazione di integrazione.
• L’Identity Provider del Cliente deve evitare l’invio di attributi superflui o non pertinenti allo specifico servizio.

9. Gestione dei certificati di firma e protezione delle chiavi private

Indicazioni generali

La sicurezza della federazione dipende dalla corretta gestione dei certificati e delle chiavi crittografiche.

Requisiti

• I certificati utilizzati per la firma devono essere dedicati al servizio di federazione.
• Le chiavi private devono essere protette da accessi non autorizzati.
• Deve essere gestito il ciclo di vita dei certificati, inclusa rotazione e revoca.

10. Gestione delle vulnerabilità e aggiornamenti di sicurezza

Indicazioni generali

Il mantenimento nel tempo di un adeguato livello di sicurezza richiede attività periodiche di aggiornamento e verifica.

Requisiti

• I componenti coinvolti nella federazione devono essere mantenuti aggiornati.
• Le patch di sicurezza rilevanti devono essere applicate tempestivamente.
• Le configurazioni di sicurezza dell’IdP devono essere riviste periodicamente.

11. Assenza o limitazione consapevole di deleghe e relazioni di trust aggiuntive

Indicazioni generali

Un perimetro di trust limitato riduce il rischio di propagazione della fiducia verso sistemi non necessari.

Requisiti

• La relazione di trust deve essere limitata al rapporto tra Identity Provider e Service Provider.
• Devono essere evitate deleghe applicative o trust verso ulteriori servizi interni non necessari alla federazione.
• Eventuali eccezioni devono essere consapevoli, documentate e limitate allo stretto necessario.

Conclusione

Le presenti linee guida costituiscono un riferimento per la configurazione sicura delle integrazioni di autenticazione federata con la piattaforma Altamira HRM.
Le linee guida sono parte integrante del processo di sicurezza del servizio, sono rese disponibili su richiesta del Cliente e vengono aggiornate in funzione dell’evoluzione degli standard di sicurezza e delle best practice di settore.