Come viene protetto l’object storage da accessi non autorizzati?
Sì. Tutti i bucket S3 in amaise sono completamente protetti — sia a livello infrastrutturale che applicativo:
Livello infrastrutturale (basato su KMS):
Crittografia: I dati dei clienti sono crittografati con chiavi KMS specifiche per ogni tenant (SSE-KMS). Ogni tenant riceve una propria Customer Managed Key (CMK). I dati infrastrutturali utilizzano SSE-S3.
Nessun accesso pubblico: L’accesso pubblico in lettura e scrittura è vietato su tutti i bucket, applicato tramite regole di configurazione NIST.
Solo SSL: Le policy dei bucket impongono esclusivamente connessioni crittografate (HTTPS).
Controllo accessi: Non è possibile l’accesso diretto pubblico a S3 — l’accesso avviene solo tramite CloudFront (HTTPS) e endpoint gateway VPC.
Livello applicativo (isolamento workspace/tenant):
Separazione tenant: A livello applicativo l’accesso è rigorosamente isolato per workspace o tenant. Ogni accesso è validato contro l’ID tenant autenticato.
Assegnazione chiavi: La CMK specifica per tenant viene assegnata già al primo ingresso nel sistema (Entry Proxy) e usata per tutte le operazioni successive.
Monitoraggio e audit:
I log di accesso S3 sono inviati a un bucket di logging centrale e conservati per 90 giorni. CloudTrail registra tutti gli eventi dati S3.
Le configurazioni dei bucket sono verificate durante audit di sicurezza trimestrali e scansioni continue di sicurezza IaC.