La conformità fa parte del prodotto, non è un extra.
NetSenX si sta preparando a un report SOC 2 Type I, alla ISO/IEC 42001 per la gestione dell'IA e alla ISO/IEC 27001 per la sicurezza delle informazioni. Nessuno è stato ancora rilasciato; questa pagina indica a che punto è ciascuno, accanto alle normative che NetSenX supporta già oggi: NIS2, GDPR, Cyber Resilience Act e AI Act.
Norme in preparazione
Tre norme, ognuna con il proprio audit esterno
SOC 2 riferisce su come gestiamo i controlli, la ISO/IEC 27001 su come gestiamo la sicurezza delle informazioni, la ISO/IEC 42001 su come governiamo l'IA. Ciascuna sarà verificata da un ente indipendente; insieme offrono ai team legale, sicurezza e IA dell'acquirente prove che ognuno può accettare secondo i propri criteri.
SOC 2
Type I
In preparazione — non ancora attestato · nessuna data di audit
Un'attestazione indipendente che i controlli di sicurezza, disponibilità e riservatezza sono progettati come descritto: il report che chiede la maggior parte dei team acquisti SaaS.
Che cosa Le offreISO/IEC 42001
Sistema di gestione dell'IA
In preparazione — nessun certificato ancora · nessuna data di audit
Controlli di governance, rischio, trasparenza e ciclo di vita per ogni componente di IA di NetSenX, secondo la norma internazionale sui sistemi di gestione dell'IA.
Che cosa Le offreISO/IEC 27001:2022
Gestione della sicurezza delle informazioni
Pianificato — nessun certificato ancora · nessuna data di audit
Un sistema di gestione della sicurezza delle informazioni che copre asset, accessi, crittografia, fornitori, incidenti, continuità operativa e conformità.
Che cosa Le offrePercorso di certificazione
L'ordine del lavoro
Nessuna di queste certificazioni è stata rilasciata e nessun audit è prenotato, quindi mostriamo l'ordine del lavoro, non le date. Una data comparirà qui solo quando un audit sarà prenotato con un auditor indipendente. I team acquisti possono richiedere il nostro pacchetto di prove in qualsiasi momento.
Passo 1 · in preparazione
Audit SOC 2 Type I
Da parte di una società di revisione indipendente. Trust Services Criteria: sicurezza, disponibilità, riservatezza.
Passo 2 · in preparazione
Audit di certificazione ISO/IEC 42001
Da parte di un organismo di certificazione accreditato. Il sistema di gestione dell'IA copre ogni componente di IA.
Passo 3 · pianificato
Audit di certificazione ISO/IEC 27001:2022
Da parte di un organismo di certificazione accreditato. Ambito previsto: prodotto, infrastruttura e catena di fornitura.
Passo 4 · pianificato
Report SOC 2 sull'efficacia operativa
Solo dopo che i controlli hanno superato un periodo di osservazione.
Obiettivo
Tutti e tre in essere
SOC 2, ISO/IEC 42001 e ISO/IEC 27001:2022. Oggi nessuno è rilasciato.
Che cosa Le offre ciascuna norma
Tre norme, tre regimi di governance, tre enti di audit. Ciascuna è utile da sola; insieme rispondono alla maggior parte delle domande che un team acquisti pone prima di approvare un'adozione.
SOC 2
AICPA Trust Services Criteria
In preparazione — Type I · nessuna data di audit
SOC 2 risponde alla domanda tipica negli acquisti SaaS: i controlli di questo fornitore esistono davvero come descritti? Un report Type I riguarda la progettazione dei controlli in un dato momento. Ci stiamo preparando; una data di audit non è ancora fissata.
Che cosa offre al Suo team
- Attestazione indipendente dei controlli di sicurezza (Trust Services Criteria: sicurezza)
- Un report di una società CPA indipendente da consegnare ad acquisti e sicurezza, una volta emesso
- Un ambito fisso, confrontabile con i report di altri fornitori
- Una descrizione dell'ambito che indica esattamente quali sistemi copre il report
ISO/IEC 42001
Sistema di gestione dell'IA
In preparazione — nessun certificato ancora · nessuna data di audit
La ISO/IEC 42001:2023 è la prima norma internazionale per i sistemi di gestione dell'IA. Dà al CISO una risposta verificabile alla domanda «come governate l'IA nel vostro prodotto di sicurezza?». Su di essa stiamo costruendo il sistema di gestione dell'IA di NetSenX.
Che cosa offre al Suo team
- Governance documentata per ogni componente di IA di NetSenX
- Un registro dei rischi dell'IA con responsabili designati, rivisto secondo un calendario fisso
- Controlli del ciclo di vita: introduzione, monitoraggio, dismissione
- Una catena di prove diretta verso gli obblighi di trasparenza dell'articolo 50 dell'AI Act
ISO/IEC 27001:2022
Sistema di gestione della sicurezza delle informazioni
Pianificato — nessun certificato ancora · nessuna data di audit
La ISO/IEC 27001 è un requisito frequente negli acquisti nell'UE. La revisione del 2022 ha riorganizzato i controlli dell'allegato A in quattro temi: organizzativi, relativi alle persone, fisici e tecnologici. L'ambito previsto copre prodotto, infrastruttura e catena di fornitura.
Che cosa offre al Suo team
- Una dichiarazione di applicabilità che copre i controlli dell'allegato A
- Controlli su asset, accessi, crittografia, fornitori, incidenti, continuità e conformità
- Prove di audit interno, riesame della direzione e miglioramento continuo
- Una base richiesta da molti processi di acquisto nell'UE
Normative UE
Costruito per le normative europee, da persone che le leggono.
Il Cyber Resilience Act, la NIS2, il GDPR e l'AI Act determinano buona parte di ciò che un acquirente europeo deve verificare prima di adottare un prodotto di sicurezza. Trattiamo ciascuno come parte del prodotto, con le prove a supporto.
Cyber Resilience Act (CRA)
Articolo 13: obblighi del fabbricante · articolo 14: notifiche
- La pipeline di rilascio genera una distinta base del software (SBOM) in formato CycloneDX per ogni versione pubblicata.
- È pubblicata una politica di divulgazione coordinata delle vulnerabilità, con una finestra di divulgazione coordinata di 90 giorni.
- Versioni e SBOM sono firmati con Sigstore cosign; le firme si trovano nel registro di trasparenza pubblico Rekor e possono essere verificate in modo indipendente.
- Il processo di notifica di vulnerabilità e incidenti è progettato attorno agli obblighi di notifica dell'articolo 14 del regolamento (UE) 2024/2847.
Direttiva NIS2
Articolo 21: misure di gestione del rischio · articolo 23: notifiche
- Le prove sono organizzate secondo le famiglie di misure dell'articolo 21: analisi dei rischi, gestione degli incidenti, continuità operativa, catena di fornitura, sviluppo sicuro, crittografia, autenticazione a più fattori, formazione e altro.
- Pensato per soggetti essenziali e importanti: l'obbligo normativo resta Suo, NetSenX fornisce il rilevamento e la traccia documentale.
- Il flusso degli incidenti segue le scadenze dell'articolo 23 — preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese — e prepara ogni notifica perché sia Lei a inviarla.
- Gli auditor vedono gli stessi registri del Suo consiglio di amministrazione; non esiste una versione riservata all'audit.
GDPR fin dalla progettazione
Minimizzazione dei dati, residenza nell'UE, un DPO raggiungibile
- I campi sensibili, come le credenziali delle integrazioni, sono cifrati con AES-256-GCM a livello applicativo prima di essere memorizzati.
- La raccolta è minima per impostazione predefinita: il rilevamento si basa soprattutto sui metadati di flusso e su pochi campi di protocollo letti sull'host monitorato, e le connessioni cifrate non vengono mai decifrate.
- I dati dei clienti sono conservati nell'UE: il database in Irlanda (AWS eu-west-1), l'API a Francoforte e Parigi. Alcuni responsabili del trattamento indicati per nome (pagamenti, e-mail transazionali) operano negli Stati Uniti sulla base delle clausole contrattuali tipo dell'UE.
- Il DPO è raggiungibile all'indirizzo dpo@netsenx.com, ed è pubblicato un accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR per gli acquisti.
AI Act (Regolamento sull'IA)
Articolo 50: trasparenza · sistema di gestione dell'IA ISO/IEC 42001 in preparazione
- Un'informativa pubblica sulla trasparenza ai sensi dell'articolo 50 elenca ogni componente di IA e i relativi controlli di governance.
- La classificazione del rischio è documentata: valutiamo NetSenX come un sistema a rischio limitato e applichiamo volontariamente diverse pratiche previste per i sistemi ad alto rischio.
- Un sistema di gestione dell'IA è in costruzione secondo la ISO/IEC 42001; nessun certificato è stato rilasciato e non è fissata una data di audit.
- Una spiegazione per ogni avviso e un registro di audit di chi ha fatto che cosa fanno parte del prodotto, non di una richiesta al supporto.
Controlli di sicurezza
Le cose concrete, non gli slogan.
La fiducia nasce dai controlli che reggono alle domande di un auditor. Ecco i nostri.
- Cifratura dei campi con AES-256-GCM
- I campi sensibili sono cifrati a livello applicativo prima di essere memorizzati.
- Rilasci firmati
- Gli artefatti di rilascio e i loro SBOM sono firmati con Sigstore cosign (senza chiavi, legati a un'identità), e ogni firma è registrata nel registro di trasparenza pubblico Rekor, dove chiunque può verificarla.
- Registro di audit a sola aggiunta
- Le azioni amministrative, gli avvisi influenzati dall'IA e gli accessi ai dati sono scritti in un registro di audit a sola aggiunta, disponibile in tutti i piani, Free compreso.
- Residenza dei dati nell'UE
- I dati dei clienti sono conservati nell'UE: il database in Irlanda (AWS eu-west-1), l'API a Francoforte e Parigi. Ogni responsabile del trattamento, con la sua sede e la garanzia di trasferimento, è elencato nell'accordo sul trattamento dei dati.
- Divulgazione coordinata delle vulnerabilità
- I ricercatori segnalano a security@netsenx.com. Confermiamo la ricezione entro 2 giorni lavorativi, decidiamo la classificazione entro 5 e coordiniamo la divulgazione pubblica entro 90 giorni.
- security.txt pubblicato
- Un security.txt conforme allo standard in /.well-known/security.txt, con i campi di contatto, politica, lingua preferita e scadenza.
FIPS 197 / NIST SP 800-38D
Sigstore · Rekor
Manomissioni rilevabili, concatenato con hash
Database: AWS eu-west-1
Politica di divulgazione pubblicata
RFC 9116
Chi sviluppa NetSenX
TriStiX S.L.
L'azienda spagnola di Alicante che sviluppa e gestisce NetSenX.
- Lead implementer ISO/IEC 42001 nel nostro teamUna qualifica personale per implementare un sistema di gestione dell'IA. TriStiX S.L. non possiede alcun certificato ISO/IEC 42001; il suo sistema di gestione dell'IA è in preparazione.
- Ricerca aziendale su arXivPreprint di ricerca di TriStiX S.L. arXiv:2603.28558v1 — logica a più valori per applicazioni di conformità
- Sviluppato internamenteIl motore di rilevamento, l'agente, la dashboard e questo sito sono scritti e revisionati da TriStiX S.L.; nessun motore di terzi con il nostro marchio
- Azienda dell'UETriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016
Partner di progettazione
Programma beta aperto
Non mostriamo loghi di clienti che non abbiamo il diritto di mostrare. Quando i partner di progettazione accetteranno di essere citati, compariranno qui, con il loro consenso esplicito.
Le serve un pacchetto di prove per il Suo auditor?
Prima che si concluda qualsiasi certificazione, manteniamo un pacchetto di prove allineato ai controlli di SOC 2, ISO/IEC 42001, ISO/IEC 27001, CRA, NIS2, GDPR e AI Act. Lo richieda con un NDA e Glielo invieremo direttamente.
Le richieste arrivano a dpo@netsenx.com, l'indirizzo del nostro responsabile della protezione dei dati.