owasp/trisuella-aidlca-frameworkFramework LLMSecOps governato da policy che fornisce SAST basato su AST, scansione dei secret, controlli supply-chain e CSPM multi-cloud, generazione di AI-BoM e gate di sicurezza CI/CD.
Un unico livello continuo e unificato di fiducia, rischio, sicurezza e conformità per sistemi convenzionali, IA generativa e carichi di lavoro autonomi multi-agente
Versione software: 3.4.0 | Versione framework: 3.4.0 | Stato: Istituzionalizzato (pronto per la produzione, pronto per DevSecOps e verificato tramite CI)
Invarianti consolidati: 338 controlli | Regole: 237 | Famiglie di domini: 33
-success.svg){kind=icon}
-blue.svg){kind=icon}
Il Framework TriSuElla-AIDLCA è il Livello unificato di controllo e validazione per sistemi convenzionali, applicazioni GenAI ed ecosistemi autonomi multi-agente. Anziché trattare conformità e sicurezza come checklist disgiunte, TriSuElla fornisce un'architettura unificata che collega SOC 2, ISO/IEC 27001, NIST AI RMF (con GenAI Profile NIST.IR.8596), EU AI Act, DPDPA e la suite OWASP (OWASP Top 10 for LLM Applications 2025, Agentic AI, API, Web, Mobile).
$$\text{Fidati del componente} \longrightarrow \text{Verifica il componente} \longrightarrow \text{Controlla la sua autorità} \longrightarrow \text{Osserva il suo comportamento} \longrightarrow \text{Valida continuamente il risultato}$$
Ogni standard rappresenta una lente di valutazione che risponde a una specifica domanda di fiducia:
1. GOVERN --> Policies • Ownership • Accountability • Legal Obligations
2. DISCOVER/MAP --> Assets • Applications • Models • Agents • Data • Vendors
3. ASSESS --> SOC 2 • ISO 27001 • NIST AI RMF • EU AI Act • DPDPA
4. ATTACK/TEST --> Red Teaming • Prompt Injection • Excessive Agency • AppSec
5. CONTROL --> Least Privilege • Semantic Guardrails • Tool ACLs • Dual-Key HITL
6. OBSERVE --> Runtime Telemetry • Output Anomalies • Model Drift • Audit Logs
7. EVIDENCE --> Cryptographic Ledger • AI-BoM • SARIF • Compliance Dashboard
8. VALIDATE --> Independent Verification • Re-test • Continuous Assurance
Radicato nel simbolico Tridente (Trishula) dei principi nordici e sanscriti:
Il framework ha raggiunto un'Implementazione Istituzionalizzata al 100% su tutti i pilastri di governance, tooling automatizzato, standard di postura multi-cloud e crosswalk di fiducia unificati:
| Pilastro di Governance / Componente | Ambito e Standard | Progresso | Stato |
|---|---|---|---|
| Master Rulebook e Invarianti | 338 Controlli su 33 Famiglie di Dominio e 237 Regole | 100% | Istituzionalizzato |
| Architettura di Fiducia Continua Unificata | 9 Livelli di Soluzione e Matrice Crosswalk TRI-SU-ELLA (trisu matrix) | 100% | Pronto per la Produzione |
| Estensioni Core GRC e ISMS | SOC 2 Type II (TRISU-SOC2-01..04), ISO 27001 ISMS (TRISU-ISMS-01..04) | 100% | Pronto per la Produzione |
| Gestione del Rischio AI (NIST AI RMF) | TRISU-AIRMF-01..06 (Govern, Map, Measure, Manage, GenAI NIST.IR.8596) | 100% | Pronto per la Produzione |
| Suite AppSec a Spettro Completo | TRISU-API-01..05, TRISU-MOB-01..03, TRISU-WEB-01..03 (ASVS, OWASP API/Mobile/Web) | 100% | Pronto per la Produzione |
| Data Literacy e Integrità | TRISU-DLIT-01..08 (Provenienza dei dataset, ACL vettoriale, difesa air-gap) | 100% | Pronto per la Produzione |
| Shadow AI e Scoperta dei Modelli | TRISU-SHADOW-01..06 (Scansione AST, sincronizzazione modelli AI-BOM, gate di bypass del gateway) | 100% | Pronto per la Produzione |
| Zero Trust Code (ZTC) | TRISU-ZTC-01..08 (Controlli sui confini AST, rimozione dei secret ambientali) | 100% | Pronto per la Produzione |
| Sicurezza Open Source (OSS) | TRISU-OSS-01..06 (Pinning crittografico dei lockfile e scansione delle licenze) | 100% | Pronto per la Produzione |
| CLI Turnkey e Packaging | trisu.cmd, eseguibile trisu, packaging pip (pyproject.toml) | 100% | Pronto per la Produzione |
| Framework CSPM Multi-Cloud | 14 Standard di Audit su AWS, Azure, GCP, Alibaba, OCI | 100% | Pronto per la Produzione |
| Generatore CycloneDX AI-BoM | Generatore di Bill of Materials CycloneDX AI v1.6 (trisu bom) | 100% | Pronto per la Produzione |
| Gate di Policy per Pull Request CI/CD | GitHub Actions verificato in produzione (Run 34675720411: SARIF duale + BoM) | 100% | Verificato Superato |
| Sistema Multi-Agente (AIDLCAa) | Pipeline a 8 Agenti, Envelope TRISU-ZTP e Gate HITL Dual-Key | 100% | Pronto per la Produzione |
| Dashboard Visuale di Governance | Web UI Sisu Nexus (tools/sisu-ui) e Dataset di Compliance | 100% | Pronto per la Produzione |