La piattaforma integrata del CISO di un’azienda regolamentata: i Suoi dispositivi, la Sua esposizione, i Suoi incidenti, la Sua conformità su 17 framework e i Suoi terzi, in un unico ciclo. Ogni affermazione porta con sé la propria prova e il proprio limite.
FascicoloAzienda di esempio
Dati di esempioDispositivi con evidenza firmata e CVE sui Suoi asset
Ambito · Periodico, non in tempo reale
Esposizione FAIR/ALE e roadmap del CISO virtuale
Banda di incertezza simulata (non calibrata)
Roadmap: 12 azioni, 3 ad alta priorità
Ambito · Banda simulata, non calibrata
Incidente classificato rispetto a tre framework contemporaneamente
Pre-allarme NIS2: mancano 18 h
Ambito · Bozze scaricabili; le presenta Lei
Attestazione del Trust Center e pacchetto per il Consiglio
Ambito · Prova integrità e origine, non veridicità
Torna a SENSE con la prossima evidenza
Sicurezza, conformità e terzi vivono spesso in fogli di calcolo e strumenti separati che si disallineano tra un audit e l’altro. NIS2, DORA ed ENS richiedono evidenze aggiornate sull’intera organizzazione e sulla sua catena di fornitura.
Il ciclo SENSE → PREDICT → ACT → ATTEST è l’architettura del prodotto e l’indice di questo fascicolo. A margine di ogni affermazione si trova dove verificarla e fin dove arriva.
Fonte della prova
Ambito: ciò che l’affermazione non copre
SENSE
raccogliere evidenze
Un agente per Windows, macOS e Linux esegue 172 controlli e invia osservazioni firmate digitalmente; la console rifiuta quelle che non superano la verifica.1
Ambito. È firmata la telemetria, non l’installer. 143 controlli sono baseline aperte di livello L1 che non alimentano ancora il punteggio di conformità.
Veda prove e ambitoPREDICT
quantificare e simulare
Esposizione FAIR/ALE in euro per fornitore e per il portafoglio: una stima puntuale parametrica con la sua banda di incertezza simulata (non calibrata), riproducibile.2
Ambito. Usa parametri settoriali del modello, non dati di perdita della Sua organizzazione.
Veda prove e ambitoACT
proporre con approvazione umana
HodeiAI propone. Eseguire richiede l’approvazione esplicita di un utente con ruolo di scrittura: monouso, valida 15 minuti e legata all’hash della proposta esatta.3
Ambito. Oggi l’unica azione eseguibile è creare una voce nel registro dei rischi.
Veda prove e ambitoATTEST
dimostrarlo ai terzi
Ogni Trust Center pubblicato emette attestazioni firmate con ML-DSA-65 (FIPS 204), con la firma separata dal documento attestato. Attestano la banda di maturità di ciascun framework e la più debole: mai punteggi, euro né dettaglio dei fornitori.4
Ambito. È un’autovalutazione firmata da HodeiShield: prova integrità, origine e momento, non la veridicità di ciò che è attestato. Non sostituisce un audit.
Veda prove e ambitoSENSE alimenta PREDICT; PREDICT dà priorità a ciò che ACT propone; ATTEST lo dimostra ai terzi.
Lo stesso ciclo ordina le soluzioni. Qui ciascuna compare nella fase in cui guida; quasi tutte partecipano anche alle altre.
SENSE
raccogliere evidenze
Agente con 172 controlli firmati.
CVE dei Suoi asset, quelle sfruttate (KEV) per prime.
SBOM dei fornitori contro le CVE.
Scansioni, questionari e dipendenze.
PREDICT
quantificare e simulare
Postura per framework e roadmap ordinata da regole.
17 framework, evidenza che scade e crosswalk.
ACT
proporre con approvazione umana
Propone; una persona approva.
Classificazione DORA, NIS2 e GDPR, scadenze e bozze.
Registro dei sistemi di IA.
ATTEST
dimostrarlo ai terzi
Attestazione firmata, verificabile offline.
Cruscotto per il Consiglio e 18 modelli di report.
Nessuna soluzione è un modulo isolato: ciascuna consegna il proprio lavoro alla fase successiva.Veda la mappa completa delle undici soluzioni
HodeiShield collega la Sua evidenza ai controlli canonici di 17 framework. La copertura è espressa su quei controlli, mai come un nulla osta, e il crosswalk riutilizza l’evidenza tra i framework.
Il motore delle evidenze assegna responsabile, validità e stato, e dà priorità a ciò che manca. Essere pronti a un audit dipende dalla Sua evidenza, non dallo strumento.
ENS: 74 controlli di HodeiShield basati sull’Allegato II dell’ENS (RD 311/2022), per livello di base, medio e alto
Due porte pubbliche. Nessuna richiede un account o un modulo per entrare.
verify-attestation.sh controlla la firma ML-DSA-65, la scadenza e che la banda globale sia la più debole tra quelle attestate. Richiede solo bash 4, OpenSSL 3.5 e python3 (oppure Docker o Podman): nulla di HodeiShield.
curl -s https://app.hodeishield.com/api/public/attest/keys -o keys.json./verify-attestation.sh --attestation attestation.json --jwks keys.json --expect-slug SLUG --expect-issuer https://app.hodeishield.comhodeishield è la CLI ufficiale: sola lettura sull’API pubblica /v1, versione 0.3.1 (ancora 0.x), firmata con Sigstore e con provenienza SLSA.
cargo install --locked --git https://github.com/Hodeitek/hodeishield-cli --tag v0.3.1 hodeishield-cliLe domande che ci pongono i responsabili della sicurezza prima di richiedere una demo, con le risposte basate su ciò che il prodotto fa oggi.
No. Il punteggio composito da 0 a 100, che combina scansione esterna, questionario e CVE note, è l’input. Il valore sta nel ciclo completo e tracciabile: evidenza firmata, esposizione in euro, azioni che approva una persona e attestazioni che chiunque può verificare.
Nell’UE: applicazione, database e archiviazione gestiti da OVH a Gravelines (Francia). Cloudflare, azienda statunitense, agisce come DNS, CDN e TLS lungo il percorso della richiesta.
Perché non deve fidarsi di noi: si verifica offline con un verificatore open source (Apache-2.0) e la chiave pubblica. La firma è ML-DSA-65 (FIPS 204). Prova integrità, origine e momento; non la veridicità di ciò che è attestato, e non sostituisce un audit.
No. La gestione del rischio di terze parti è una delle undici soluzioni. Lo stesso ciclo misura la postura dei Suoi dispositivi con un agente, incrocia le CVE dei Suoi asset, registra e classifica gli incidenti rispetto a DORA, NIS2 e GDPR, misura 17 framework e prepara il cruscotto per il Consiglio e i report.
No. L’agente riferisce per ciclo, le scansioni dei fornitori sono periodiche in base alla loro criticità e la sincronizzazione delle CVE è giornaliera. L’evidenza che smette di arrivare scade e smette di contare.
No. HodeiAI propone e una persona con ruolo di scrittura approva ogni esecuzione, con un’approvazione monouso, valida 15 minuti e legata all’hash della proposta. Oggi l’unica azione eseguibile è creare una voce nel registro dei rischi. L’esecuzione autonoma è bloccata e il kill switch fallisce in modo chiuso.
Proviamo HodeiShield con partner MSSP e organizzazioni prima di ampliare l’accesso. Posti limitati, richieste fino al 31 dicembre 2026 e senza SLA.
Nella demo percorriamo il ciclo con la Sua combinazione di framework, i Suoi dispositivi e i Suoi terzi, fino all’attestazione.
Preferisce iniziare per conto Suo? La documentazione e il verificatore sono pubblici.