Cloud service & NIST SP 800-145
SaaS on AWS: self-service, network access, elasticity/autoscaling mapping for procurement and ACN-style checklists.
Ultimo aggiornamento: Maggio 2026
Versione: 2026.05
Scopo e destinatari
Questa pagina è pubblicata nella documentazione compliance pubblica di Flowvenue per consentire a committenze pubbliche, uffici di gara, revisioni di terze parti (inclusi incarichi di verifica in ambito cybersicurezza nazionale) di trovare, in un unico punto, la declaratoria su come il servizio erogato da Flowvenue si rapporta alle caratteristiche essenziali del cloud computing descritte in NIST Special Publication 800-145 (The NIST Definition of Cloud Computing).
Non sostituisce contratti, SLA, offerte economiche né la documentazione tecnica dettagliata riservata o fornibile su richiesta formale (vedere Verifica & Evidenze e Richieste formali di documentazione).
Perimetro: SaaS su infrastruttura AWS
Flowvenue eroga la piattaforma come Software as a Service (SaaS). L’elaborazione e la memorizzazione dei dati in produzione avvengono su infrastruttura Amazon Web Services (AWS) gestita secondo il modello di responsabilità condivisa tra AWS (fornitore di cloud) e Flowvenue (responsabile dell’uso del cloud per erogare il servizio applicativo).
Per le caratteristiche di cui al NIST SP 800-145:
- Livello infrastrutturale (IaaS/PaaS AWS): provisioning programmatico, connettività e meccanismi di elasticità sono in gran parte realizzati e documentati dal CSP (AWS).
- Livello servizio applicativo (SaaS Flowvenue): l’Amministrazione fruisce del servizio (accesso HTTPS, funzionalità, capacità erogata dietro le quinte) senza operare direttamente sulla console AWS di Flowvenue, salvo quanto diversamente previsto per iscritto in accordi dedicati (es. canali di supporto, reportistica, revisioni).
La formulazione seguente consente di rispondere in modo coerente ai questionari che citano testualmente i punti (a), (b) e (c) (self-service, accesso di rete, elasticità), distinguendo chi realizza il meccanismo tecnico e come l’Amministrazione ne beneficia.
(a) Self-service provisioning (on-demand self-service)
Cosa richiede il riferimento NIST (sintesi): capacità per il cliente di ottenere risorse computazionali (es. capacità di calcolo, storage) in modo unilaterale e automatico, senza interazione umana con il fornitore su ogni singola richiesta, entro limiti di policy e quote.
Come Flowvenue lo soddisfa:
Infrastruttura AWS (sottostante il SaaS)
Le risorse necessarie all’esecuzione del servizio (es. cluster di calcolo, storage gestito, servizi gestiti AWS coerenti con l’architettura pubblicata a livello di misure di sicurezza) sono allocate e ridimensionate tramite API, automazione e pipeline operative di Flowvenue, senza richiedere al CSP un intervento umano per ogni incremento/decremento routinario entro i limiti tecnici e contrattuali del cloud.
Riferimento di dettaglio architetturale ad alto livello: Misure di sicurezza e requisiti fornitore (dipendenze AWS).Lato Amministrazione sul SaaS
L’Amministrazione non provisiona direttamente macchine virtuali AWS; la propria “richiesta di capacità” si manifesta nel normale utilizzo del servizio applicativo e negli accordi contrattuali (piani, limiti, supporto). Il self-service NIST a livello IaaS/PaaS è realizzato da Flowvenue quale responsabile dell’account e dell’automazione AWS, a beneficio di tutti i fruitori del servizio.
Evidenza / verifica: descrizione architetturale e misure in documentazione pubblica e, ove richiesto, evidenze operative su richiesta formale (vedere Verifica & Evidenze).
(b) Accesso alla rete (broad network access)
Cosa richiede il riferimento NIST (sintesi): capacità erogata su reti standard; nelle formulazioni di gara italiane compare spesso l’esigenza di opzioni multiple di connettività, di cui almeno una su rete pubblica (es. Internet).
Come Flowvenue lo soddisfa:
- Il servizio applicativo è normalmente fruito dagli utenti finali tramite HTTPS su Internet (rete pubblica), con protocolli standard.
- Ulteriori modalità (es. integrazioni verso sistemi dell’Amministrazione, VPN, interconnessioni dedicate) dipendono da progetto e contratto; la presenza della connettività Internet come canale standard di accesso al SaaS soddisfa il requisito minimo di accesso via rete pubblica laddove richiesto dai capitolati.
Evidenza / verifica: policy di accesso e canali di contatto sono descritti nelle pagine di compliance e nelle informative contrattuali; dettagli di rete non sensibili sono richiamati in Misure di sicurezza e requisiti fornitore.
(c) Elasticità (rapid elasticity)
Cosa richiede il riferimento NIST (sintesi): capacità di scalare automaticamente verso l’esterno e verso l’interno, in modo rapido ed elastico; le limitazioni tecniche documentate e gli strumenti messi a disposizione del cliente/Amministrazione per governare o verificare il comportamento del servizio.
Come Flowvenue lo soddisfa:
- In produzione, la capacità di calcolo del servizio è gestita con meccanismi di autoscaling su AWS (scale-out e scale-in in base a metriche e policy), così da adattare le risorse al carico senza intervento manuale su ogni variazione routinaria.
- Limitazioni tecniche (es. massimi di istanze, quote di servizio AWS, tempi di avvio, vincoli legati a componenti meno elastiche come basi dati relazionali gestite, rate limit applicativi) sono reali e possono essere sintetizzate in documentazione contrattuale o in allegati tecnici su richiesta, ove necessario.
- Strumenti per l’Amministrazione: monitoraggio del servizio applicativo (disponibilità, supporto, comunicazioni in incidente di servizio) secondo quanto previsto da contratto; il dettaglio delle policy di scaling e delle dashboard infrastrutturali AWS resta di competenza operativa di Flowvenue, salvo diversi accordi scritti.
Riferimento di processo per disservizi e degradazioni: Procedura — Incident di servizio (cloud / SaaS).
Sintesi per checklist (mapping rapido)
| Voce checklist (tipica) | Risposta sintetica difendibile |
|---|---|
| (a) Self-service | Sì: AWS consente provisioning automatizzato; Flowvenue lo opera per erogare il SaaS; l’Amministrazione consuma il servizio applicativo secondo contratto. |
| (b) Rete | Sì: accesso standard HTTPS su Internet; altre opzioni se progettate contrattualmente. |
| (c) Elasticità | Sì: autoscaling su AWS con scale-in/scale-out automatici entro limiti; limitazioni e strumenti di governo descritti sopra e in documentazione correlata / su richiesta formale. |
Documentazione correlata
- Misure di sicurezza e requisiti fornitore — dipendenze e controlli su AWS (VPC, ECS, RDS, ecc., ad alto livello).
- Sicurezza delle informazioni — ISMS e continuità.
- Verifica & Evidenze — cosa è pubblico vs su richiesta formale.
- Service management & ITIL 4 — gestione del servizio e procedure pubbliche.
Nota su riferimenti normativi
Il presente testo non attribuisce valore ufficiale di interpretazione a enti terzi; cita NIST SP 800-145 come quadro tecnico internazionale di comune uso nei questionari su cloud. Per adempimenti specifici (es. Cloud della PA, qualificazione CSP, requisiti ACN / normativa nazionale applicabile al singolo contratto), prevalgono leggi, regolamenti e clausole contrattuali vigenti per l’appalto.
Contatti: intake operativo (incident/supporto) info@flowvenue.com e WhatsApp +39 350 998 6359 — DPO / sicurezza / CSIRT aziendale: mricci@flowvenue.com — PEC: flowvenue@pecimprese.it (vedere Overview compliance).