La Sua conformità all’ENS, controllo per controllo, con le evidenze davanti.
Per amministrazioni e fornitori pubblici con IT limitata: HodeiShield valuta 74 controlli propri, basati sull’Allegato II del RD 311/2022, per categoria base, media e alta, e Le indica che cosa manca prima dell’audit.
- Certificazione ENS (categoria Media), n. 34/5704/26/09103 · Hodeitek S.L., con ambito che include il servizio SaaS HodeiShield
- Dati nell’UE (OVH, Gravelines); Cloudflare (USA) lungo il percorso della richiesta
Che cosa richiede l’ENS, in breve
L’ENS fissa i principi e i requisiti minimi di sicurezza dei sistemi informativi del settore pubblico e di chi gli presta servizi.
Riepilogo informativo, non consulenza legale. Consulti il testo ufficiale e le guide del Centro Criptológico Nacional.
- Categoria in base all’impatto
- Ogni sistema è categorizzato come Base, Media o Alta in base al livello di cinque dimensioni: disponibilità, autenticità, integrità, riservatezza e tracciabilità.
- Misure dell’Allegato II
- Le misure si raggruppano in quadro organizzativo, quadro operativo e misure di protezione. Più alta è la categoria, più misure si applicano e con maggiore rigore.
- Servizi esterni e supply chain
- Il quadro operativo include i servizi esterni, con l’acquisizione, la gestione quotidiana e la protezione della supply chain. È qui che i Suoi fornitori entrano nella Sua conformità.
- Conformità dimostrabile
- I sistemi di categoria Base emettono una dichiarazione di conformità; quelli di categoria Media e Alta si sottopongono a un audit di certificazione.
Tre categorie, ciascuna più esigente della precedente
La categoria è determinata dal livello più alto tra le cinque dimensioni. HodeiShield la registra nel profilo del Suo sistema e valuta le misure che le si applicano; decidere la categoria spetta a Lei.
Base
Conformarsi e dichiarare
Il livello di ingresso. Si valuta la conformità e si emette una dichiarazione.
Media
Conformarsi e certificare
Più misure, maggiore rigore in quelle già previste e audit formale per certificare la conformità.
Alta
Massimo rigore
Le misure con il loro grado più elevato di rigore e lo stesso audit di certificazione.
HodeiShield valuta le tre categorie sull’insieme dei 74 controlli basati sull’Allegato II dell’ENS.
Da ogni obbligo dell’ENS a una capacità di HodeiShield
Che cosa fa la piattaforma per ciascun requisito e in quale fase del ciclo ricade.
Diretta: lo svolge la piattaforma. Parziale: fornisce evidenze o una parte, il resto spetta a Lei. Non coperta: resta fuori da HodeiShield.
- Obbligo:
Categorizzare il sistema e fissare il profilo
Allegato I
Che cosa fa HodeiShield:Registra la categoria e le dimensioni di sicurezza del Suo sistema; con tale profilo si decide quali misure si applicano. La decisione sulla categoria spetta a Lei.
Docs · Conformità (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Applicare le misure di sicurezza in base alla categoria
Allegato II
Che cosa fa HodeiShield:Scompone l’ENS nei 74 controlli di HodeiShield, valuta ciascuno per categoria base, media e alta e mostra l’avanzamento aggregato.
Docs · Conformità (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaDiretta - Obbligo:
Sostenere ogni misura con evidenze
Allegato II
Che cosa fa HodeiShield:Ogni evidenza ha un responsabile, una data di validità e uno stato; quella scaduta smette di contare finché non viene rinnovata. Le evidenze si caricano o si collegano manualmente.
Docs · Conformità (si apre in una nuova scheda)FaseSENSECoperturaDiretta - Obbligo:
Controllare i servizi esterni e la supply chain
Quadro operativo (op.ext)
Che cosa fa HodeiShield:Grafo delle dipendenze, questionari ai fornitori tramite token, scansione esterna periodica, sincronizzazione giornaliera dei CVE e SBOM dei fornitori. Gli accordi sul livello di servizio li negozia Lei.
Docs · Motore di rischio (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaParziale - Obbligo:
Mantenere aggiornati i sistemi e monitorare le vulnerabilità
Quadro operativo
Che cosa fa HodeiShield:L’agente endpoint segnala 172 verifiche con osservazioni firmate. Le baseline aperte che include non alimentano ancora il punteggio ENS.
Docs · Agente endpoint (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Dare priorità e pianificare l’adeguamento
Miglioramento continuo
Che cosa fa HodeiShield:Roadmap prioritizzata per peso del controllo e impegno richiesto. HodeiAI può proporre una voce nel registro dei rischi; la approva una persona con ruolo di scrittura.
Docs · HodeiAI (si apre in una nuova scheda)FasePREDICTACTCoperturaDiretta - Obbligo:
Dimostrare lo stato a un cliente o a un ente appaltante
Dichiarazione / certificazione
Che cosa fa HodeiShield:Trust Center e attestazione ATTEST con la banda per framework, verificabile offline. Prova integrità e origine, non che le evidenze siano veritiere.
Docs · Verificatore ATTEST (si apre in una nuova scheda)FaseATTESTCoperturaParziale - Obbligo:
Audit di conformità e certificazione
Categorie Media e Alta
Che cosa fa HodeiShield:Lo svolge un organismo di certificazione accreditato. HodeiShield prepara le Sue evidenze; non esegue audit né certifica.
FaseFuori dal cicloCoperturaNon coperta
Ciò che HodeiShield non fa con l’ENS
Perché decida con tutte le informazioni.
Non certifica l’ENS della Sua organizzazione
Hodeitek S.L. è certificata ENS categoria Media e l’ambito include HodeiShield, ma ciò non certifica la Sua organizzazione. HodeiShield non figura nemmeno nel catalogo CPSTIC, che è un’altra cosa.
Non esegue audit né dichiara la conformità al Suo posto
Il punteggio orienta il Suo lavoro. La dichiarazione o la certificazione di conformità la emette Lei o un organismo accreditato.
Non raccoglie da sola le evidenze dal cloud
Le evidenze documentali si caricano o si collegano. I collettori cloud sono pianificati, non operativi.
Non Le dice se è pronto per l’audit
«Pronto per l’audit» dipende dalle Sue evidenze. HodeiShield mostra che cosa manca e che cosa scade, nient’altro.
Domande sull’ENS
Risposte dirette, con i loro limiti.
HodeiShield è certificato ENS?
Sì. Hodeitek S.L. è certificata ENS categoria Media (certificato n. 34/5704/26/09103, OCA Instituto de Certificación) e l’ambito della certificazione include il servizio SaaS HodeiShield. Ciò non certifica l’ENS della Sua organizzazione: HodeiShield misura la Sua postura. Il catalogo CPSTIC è un’altra cosa e non lo rivendichiamo.
Quale categoria mi corrisponde?
La determina la Sua organizzazione in base all’Allegato I: il livello più alto tra le cinque dimensioni di sicurezza. HodeiShield conserva il risultato nel profilo del Suo sistema, ma non lo decide al Suo posto.
Sono fornitore di un’amministrazione. L’ENS mi riguarda?
L’ENS si estende anche agli enti privati che prestano servizi o soluzioni al settore pubblico. Quale categoria e quali misure Le competano dipende dal sistema e dal contratto; li precisa il Suo cliente pubblico o il Suo consulente.
Sostituisce l’audit di certificazione?
No. Mette in ordine le Sue evidenze e segnala ciò che manca per arrivare all’audit con meno sorprese. La certificazione la rilascia un organismo accreditato.
La telemetria dell’endpoint conta per il punteggio ENS?
Non ancora. Le baseline aperte dell’agente vengono mostrate come evidenze dell’endpoint, ma non alimentano il punteggio di conformità.
Dove sono ospitati i dati?
Nell’UE: applicazione, database e archiviazione gestiti da OVH a Gravelines (Francia). Cloudflare, negli USA, opera come DNS, CDN e TLS lungo il percorso della richiesta.
Misuri il Suo ENS anche con una persona IT generalista
Nella demo carichiamo un profilo di sistema di esempio e percorriamo i controlli, le evidenze e la roadmap.
Senza impegno. Le diciamo anche ciò che HodeiShield non copre.