Zgodność to część produktu, a nie dodatek.
NetSenX przygotowuje się do raportu SOC 2 Type I, do ISO/IEC 42001 w zakresie zarządzania AI i do ISO/IEC 27001 w zakresie bezpieczeństwa informacji. Żaden z nich nie został jeszcze przyznany; ta strona mówi, na jakim etapie jest każdy, obok regulacji, które NetSenX wspiera już dziś: NIS2, RODO, Cyber Resilience Act i AI Act.
Normy w przygotowaniu
Trzy normy, każda z własnym audytem zewnętrznym
SOC 2 opisuje, jak działają nasze kontrole, ISO/IEC 27001 — jak zarządzamy bezpieczeństwem informacji, ISO/IEC 42001 — jak nadzorujemy AI. Każdą zaudytuje niezależny podmiot; razem dają działom prawnym, bezpieczeństwa i AI po stronie kupującego dowody, które każdy z nich może przyjąć na własnych zasadach.
SOC 2
Type I
W przygotowaniu — jeszcze bez poświadczenia · bez daty audytu
Niezależne poświadczenie, że kontrole bezpieczeństwa, dostępności i poufności są zaprojektowane tak, jak opisano: raport, o który pyta większość działów zakupów SaaS.
Co to dajeISO/IEC 42001
System zarządzania AI
W przygotowaniu — jeszcze bez certyfikatu · bez daty audytu
Kontrole nadzoru, ryzyka, przejrzystości i cyklu życia dla każdego komponentu AI w NetSenX, według międzynarodowej normy systemów zarządzania AI.
Co to dajeISO/IEC 27001:2022
Zarządzanie bezpieczeństwem informacji
Planowane — jeszcze bez certyfikatu · bez daty audytu
System zarządzania bezpieczeństwem informacji obejmujący aktywa, dostęp, kryptografię, dostawców, incydenty, ciągłość działania i zgodność.
Co to dajePlan certyfikacji
Kolejność prac
Żaden z tych certyfikatów nie został jeszcze przyznany i żaden audyt nie jest zarezerwowany, dlatego pokazujemy kolejność prac, a nie daty. Data pojawi się tu dopiero wtedy, gdy audyt zostanie zarezerwowany u niezależnego audytora. Działy zakupów mogą w każdej chwili poprosić o nasz pakiet dowodów.
Krok 1 · w przygotowaniu
Audyt SOC 2 Type I
Przeprowadza niezależna firma audytorska. Trust Services Criteria: bezpieczeństwo, dostępność, poufność.
Krok 2 · w przygotowaniu
Audyt certyfikacyjny ISO/IEC 42001
Przeprowadza akredytowana jednostka certyfikująca. System zarządzania AI obejmuje każdy komponent AI.
Krok 3 · planowany
Audyt certyfikacyjny ISO/IEC 27001:2022
Przeprowadza akredytowana jednostka certyfikująca. Planowany zakres: produkt, infrastruktura i łańcuch dostaw.
Krok 4 · planowany
Raport SOC 2 o skuteczności działania kontroli
Dopiero po tym, jak kontrole przejdą okres obserwacji.
Cel
Wszystkie trzy wdrożone
SOC 2, ISO/IEC 42001 i ISO/IEC 27001:2022. Dziś żaden nie jest przyznany.
Co daje każda z norm
Trzy normy, trzy reżimy nadzoru, trzy jednostki audytujące. Każda jest przydatna sama w sobie; razem odpowiadają na większość pytań, które dział zakupów zadaje przed zatwierdzeniem wdrożenia.
SOC 2
AICPA Trust Services Criteria
W przygotowaniu — Type I · bez daty audytu
SOC 2 odpowiada na standardowe pytanie przy zakupie SaaS: czy kontrole tego dostawcy naprawdę istnieją tak, jak je opisano? Raport Type I dotyczy projektu kontroli w danym momencie. Przygotowujemy się do niego; data audytu nie jest jeszcze ustalona.
Co to daje Twojemu zespołowi
- Niezależne poświadczenie kontroli bezpieczeństwa (Trust Services Criteria: bezpieczeństwo)
- Raport niezależnej firmy audytorskiej (CPA), który po wydaniu przekażesz działowi zakupów i bezpieczeństwa
- Stały zakres, który można porównać z raportami innych dostawców
- Opis zakresu wskazujący dokładnie, których systemów dotyczy raport
ISO/IEC 42001
System zarządzania AI
W przygotowaniu — jeszcze bez certyfikatu · bez daty audytu
ISO/IEC 42001:2023 to pierwsza międzynarodowa norma dla systemów zarządzania AI. Daje CISO audytowalną odpowiedź na pytanie: „jak nadzorujecie AI w swoim produkcie bezpieczeństwa?”. Według niej budujemy system zarządzania AI w NetSenX.
Co to daje Twojemu zespołowi
- Udokumentowany nadzór nad każdym komponentem AI w NetSenX
- Rejestr ryzyk AI z wyznaczonymi właścicielami, przeglądany według stałego harmonogramu
- Kontrole cyklu życia: wprowadzenie, monitorowanie, wycofanie
- Bezpośredni łańcuch dowodów do obowiązków przejrzystości z art. 50 AI Act
ISO/IEC 27001:2022
System zarządzania bezpieczeństwem informacji
Planowane — jeszcze bez certyfikatu · bez daty audytu
ISO/IEC 27001 to częste wymaganie w zakupach w UE. Rewizja z 2022 roku uporządkowała zabezpieczenia z załącznika A w cztery grupy: organizacyjne, osobowe, fizyczne i technologiczne. Planowany zakres obejmuje produkt, infrastrukturę i łańcuch dostaw.
Co to daje Twojemu zespołowi
- Deklaracja stosowania obejmująca zabezpieczenia z załącznika A
- Zabezpieczenia aktywów, dostępu, kryptografii, dostawców, incydentów, ciągłości działania i zgodności
- Dowody audytu wewnętrznego, przeglądu zarządzania i ciągłego doskonalenia
- Punkt odniesienia, o który pyta wiele procesów zakupowych w UE
Regulacje UE
Zbudowany pod unijne regulacje, przez ludzi, którzy je czytają.
Cyber Resilience Act, NIS2, RODO i AI Act w dużej mierze decydują o tym, co kupujący w UE musi sprawdzić przed wdrożeniem produktu bezpieczeństwa. Każdą z tych regulacji traktujemy jako część produktu, z dowodami na poparcie.
Cyber Resilience Act (CRA)
Art. 13: obowiązki producenta · art. 14: zgłaszanie
- Proces wydawniczy generuje zestawienie komponentów oprogramowania (SBOM) w formacie CycloneDX dla każdego opublikowanego wydania.
- Opublikowana jest polityka skoordynowanego ujawniania podatności z 90-dniowym oknem skoordynowanego ujawnienia.
- Wydania i SBOM-y są podpisywane narzędziem Sigstore cosign; podpisy trafiają do publicznego rejestru przejrzystości Rekor i każdy może je niezależnie zweryfikować.
- Proces zgłaszania podatności i incydentów jest zaprojektowany pod obowiązki zgłoszeniowe z art. 14 rozporządzenia (UE) 2024/2847.
Dyrektywa NIS2
Art. 21: środki zarządzania ryzykiem · art. 23: zgłaszanie
- Dowody są uporządkowane według grup środków z art. 21: analiza ryzyka, obsługa incydentów, ciągłość działania, łańcuch dostaw, bezpieczny rozwój, kryptografia, uwierzytelnianie wieloskładnikowe, szkolenia i inne.
- Napisany z myślą o podmiotach kluczowych i ważnych: obowiązek regulacyjny zostaje po Twojej stronie, NetSenX dostarcza detekcję i ślad dokumentacyjny.
- Obieg incydentu śledzi terminy z art. 23 — wczesne ostrzeżenie w 24 godziny, zgłoszenie w 72 godziny, raport końcowy w miesiąc — i przygotowuje każde zgłoszenie do złożenia przez Ciebie.
- Audytorzy widzą te same zapisy co zarząd; nie ma osobnej wersji tylko na audyt.
RODO w samym projekcie
Minimalizacja danych, rezydencja w UE, osiągalny IOD
- Wrażliwe pola, takie jak dane uwierzytelniające integracji, są szyfrowane AES-256-GCM w warstwie aplikacji, zanim trafią do bazy.
- Domyślnie zbieramy minimum: detekcja opiera się głównie na metadanych przepływów i kilku polach protokołów odczytywanych na monitorowanym hoście, a połączenia szyfrowane nigdy nie są odszyfrowywane.
- Dane klientów są przechowywane w UE: baza danych w Irlandii (AWS eu-west-1), API we Frankfurcie i Paryżu. Kilku wskazanych z nazwy podmiotów przetwarzających (płatności, e-mail transakcyjny) działa w USA na podstawie standardowych klauzul umownych UE.
- IOD jest dostępny pod adresem dpo@netsenx.com, a umowa powierzenia przetwarzania z art. 28 RODO jest opublikowana na potrzeby zakupów.
AI Act
Art. 50: przejrzystość · system zarządzania AI według ISO/IEC 42001 w przygotowaniu
- Publiczna informacja o przejrzystości z art. 50 wymienia każdy komponent AI i jego mechanizmy nadzoru.
- Klasyfikacja ryzyka jest udokumentowana: oceniamy NetSenX jako system ograniczonego ryzyka i dobrowolnie stosujemy kilka praktyk przewidzianych dla systemów wysokiego ryzyka.
- System zarządzania AI jest budowany według ISO/IEC 42001; certyfikat nie został przyznany, a data audytu nie jest ustalona.
- Wyjaśnienie każdego alertu i dziennik audytu „kto co zrobił” są częścią produktu, a nie zgłoszeniem do wsparcia.
Zabezpieczenia
Konkrety, nie hasła.
O wiarygodności decydują zabezpieczenia, które wytrzymują pytania audytora. Oto nasze.
- Szyfrowanie pól AES-256-GCM
- Wrażliwe pola są szyfrowane w warstwie aplikacji, zanim trafią do bazy.
- Podpisane wydania
- Artefakty wydań i ich SBOM-y są podpisywane narzędziem Sigstore cosign (bez kluczy, z powiązaniem z tożsamością), a każdy podpis jest zapisywany w publicznym rejestrze przejrzystości Rekor, gdzie każdy może go zweryfikować.
- Dziennik audytu tylko do dopisywania
- Działania administracyjne, alerty z udziałem AI i dostęp do danych trafiają do dziennika audytu tylko do dopisywania, dostępnego w każdym planie, również Free.
- Rezydencja danych w UE
- Dane klientów są przechowywane w UE: baza danych w Irlandii (AWS eu-west-1), API we Frankfurcie i Paryżu. Każdy podmiot przetwarzający, z lokalizacją i zabezpieczeniem transferu, jest wymieniony w umowie powierzenia.
- Skoordynowane ujawnianie podatności
- Badacze zgłaszają podatności na adres security@netsenx.com. Potwierdzamy w ciągu 2 dni roboczych, decyzję o klasyfikacji podejmujemy w ciągu 5, a publiczne ujawnienie koordynujemy w ciągu 90 dni.
- Opublikowany security.txt
- Zgodny ze standardem plik security.txt pod /.well-known/security.txt z polami kontaktu, polityki, preferowanego języka i daty ważności.
FIPS 197 / NIST SP 800-38D
Sigstore · Rekor
Wykrywanie manipulacji, łańcuch skrótów
Baza danych: AWS eu-west-1
Opublikowana polityka ujawniania
RFC 9116
Kto tworzy NetSenX
TriStiX S.L.
Hiszpańska firma z Alicante, która tworzy i obsługuje NetSenX.
- Lead implementer ISO/IEC 42001 w naszym zespoleOsobiste uprawnienie do wdrażania systemu zarządzania AI. Sama TriStiX S.L. nie ma certyfikatu ISO/IEC 42001; jej system zarządzania AI jest w przygotowaniu.
- Badania firmy na arXivPreprint badawczy TriStiX S.L. arXiv:2603.28558v1 — logika wielowartościowa w zastosowaniach compliance
- Zbudowany we własnym zakresieSilnik detekcji, agent, panel i ta strona są pisane i przeglądane przez TriStiX S.L.; nie ma tu cudzego silnika pod naszą marką
- Firma z UETriStiX S.L. — Av. Maisonnave 41, 3º, 03003 Alicante, España · NIF B-26925016
Partnerzy projektowi
Program beta jest otwarty
Nie pokazujemy logotypów klientów, do których pokazywania nie mamy prawa. Gdy partnerzy projektowi zgodzą się na podanie nazwy, pojawią się tutaj, za ich wyraźną zgodą.
Potrzebujesz pakietu dowodów dla audytora?
Zanim zakończy się jakakolwiek certyfikacja, utrzymujemy pakiet dowodów zmapowany na kontrole SOC 2, ISO/IEC 42001, ISO/IEC 27001, CRA, NIS2, RODO i AI Act. Poproś o niego w ramach NDA, a prześlemy go bezpośrednio do Ciebie.
Prośby trafiają na adres dpo@netsenx.com, czyli do naszego inspektora ochrony danych.