Subnet privati: Tutti i servizi operano in subnet privati senza indirizzi IP pubblici. Nessun servizio è accessibile direttamente da Internet.

Regole di rete a minimo privilegio: Ogni servizio può comunicare solo con i servizi necessari per la sua funzione. Tutte le altre connessioni sono bloccate.

Separazione completa degli ambienti: Tra gli ambienti (UE, US, CH, DEV) non esistono connessioni di rete — nessun peering VPC, nessuna rotta cross-account. Ogni ambiente è completamente isolato.

Traffico interno: Gli accessi ai servizi di storage e database passano tramite endpoint privati all’interno della rete AWS e non la lasciano.

Uscita controllata: Il traffico Internet in uscita è instradato centralmente tramite un NAT Gateway e filtrato da regole firewall DNS.