Sappia a quali fornitori è esposto, e chi cade insieme a loro.

Ogni fornitore con il suo punteggio da 0 a 100, le sue dipendenze in un grafo e le concentrazioni che nessun fornitore mostra da solo. Questionari, CVE (vulnerabilità pubblicate) e decisioni restano nello stesso registro.

Per: Responsabili dei fornitori e TPRM, e il CISO che risponde della catena di fornitura davanti alla direzione e al regolatore.

Richieda una demo Legga i concetti nella documentazione

Le dipendenze le dichiara Lei; la propagazione arriva a 3 salti
Scansioni periodiche con fonti esterne, non in tempo reale

Mappa delle dipendenzePortafoglio

Dati di esempio

Concentrazione (HHI): 3.420 / 10.000
Raggio d’impatto: 3 fornitori a 3 salti

Fornitore C

Punteggio composito71 / 100Alta

Scansione esterna2 rilevamenti aperti
QuestionarioConvalidato da un analista
CVE note1 in KEV

Dati di esempio: i fornitori, i punteggi e le cifre sono fittizi.

Dove si inserisce nel ciclo

Questa soluzione percorre tutte e quattro le fasi, con il fornitore come unità di lavoro.

SENSE · raccogliere evidenze
Scansione esterna del fornitore, questionari tramite portale e sincronizzazione giornaliera delle CVE.
PREDICT · quantificare e simulare
Punteggio da 0 a 100, esposizione FAIR/ALE in euro con la sua banda di incertezza simulata (non calibrata), simulatore di scenari e concentrazione HHI.
ACT · proporre e approvare
HodeiAI propone una voce nel registro dei rischi e una persona con ruolo di scrittura la approva. Gli avvisi vengono instradati verso i Suoi sistemi.
ATTEST · dimostrare ai terzi
Il Trust Center riassume la Sua maturità per framework; non espone mai punteggi, importi né dettagli dei fornitori.

Dalla registrazione alla decisione: la vita di un fornitore

Lo stesso percorso per il fornitore numero 5 e per il 500. Ogni passo lascia la sua traccia nel registro.

Registra il fornitore e la sua criticità
Ogni fornitore vive in un registro isolato per organizzazione. La sua criticità (critica, alta, media, bassa) moltiplica il suo punteggio e decide ogni quanto viene rianalizzato.
Dichiara da chi dipende
Le dipendenze (critica, operativa, di supporto, subincaricato, rivenditore) le dichiara Lei. HodeiShield propaga il rischio per peso, individua i punti singoli di guasto e calcola la concentrazione (HHI) e il raggio d’impatto.
Ambito. La scoperta delle parti n-esime a partire dagli SBOM esiste, ma non è pianificata: non è una mappa automatica.
Viene valutato con segnali diversi
Il punteggio composito combina la scansione esterna, il questionario e le CVE note, e viene corretto per livello di accesso, propagazione e concentrazione. Ogni rilevamento rimanda alla propria evidenza.
Ambito. I dati della scansione provengono da Shodan e Have I Been Pwned orchestrati con n8n: periodici, non in tempo reale.
Il fornitore risponde tramite un portale
Riceve un link monouso, risponde senza creare un account e carica la propria evidenza. Ci sono promemoria automatici, e un analista convalida o contesta ogni risposta.
Ambito. Finché un analista non la convalida, la risposta è un’autovalutazione del fornitore.
Compare una nuova CVE nel fornitore
La sincronizzazione delle CVE è giornaliera (NVD, CISA KEV ed EPSS, la probabilità di sfruttamento). Le CVE sfruttate attivamente pesano di più nel punteggio e generano un avviso se ha una regola di instradamento.
Ambito. L’avviso al fornitore via e-mail è a invio manuale.
Decide e resta registrato
Registrazione, rinnovo, revisione dopo un incidente, revisione periodica o cessazione: ogni decisione passa per stati definiti, con chi l’ha presa e quale evidenza la supportava.
Ambito. È un registro verificabile; non sostituisce il Suo processo di acquisto né è una firma legale.

Che cosa fa, con la sua prova e il suo ambito

Ogni affermazione porta a margine dove verificarla e fin dove arriva. Le fasi sono quelle del ciclo; qui, viste dal fornitore.

Fonte della prova

Documentazione pubblica
Codice open source
Nella demo

Ambito: ciò che l’affermazione non copre

SENSE · raccogliere evidenze

Segnali sul fornitore da tre origini: ciò che si vede dall’esterno, ciò che risponde lui stesso e le vulnerabilità che lo riguardano.

Scansione esterna di ogni fornitore su porte esposte, CVE e violazioni note, con dati di Shodan e Have I Been Pwned.1
Docs · Motore di rischio (si apre in una nuova scheda)
Ambito. Nuova scansione periodica in base alla criticità del fornitore. Non è uno scanner proprio né monitoraggio continuo.
Portale di questionari tramite link monouso: il fornitore risponde senza account, carica evidenza e un analista convalida ogni risposta.2
Docs · Guida del fornitore (si apre in una nuova scheda)
Ambito. Un questionario non convalidato è un’autovalutazione del fornitore.
Sincronizzazione giornaliera delle CVE (NVD, CISA KEV ed EPSS, la probabilità di sfruttamento) rispetto agli asset dichiarati di ciascun fornitore.3
Nella demo · scheda del fornitore
Ambito. Segnala le CVE sfruttate attivamente; non avvisa via e-mail il fornitore se non lo avvia Lei.

Si applica inCatena di fornitura e SBOM Sicurezza degli endpoint

PREDICT · quantificare e simulare

Trasforma i segnali in rischio confrontabile tra fornitori, in punti e in euro, sul Suo grafo delle dipendenze.

Punteggio composito da 0 a 100 per fornitore, con la sua banda di gravità e i rilevamenti che lo spiegano, ciascuno collegato alla propria evidenza.4
Docs · Concetti di base (si apre in una nuova scheda)
Esposizione FAIR/ALE in euro per fornitore e per il portafoglio: stima puntuale parametrica con una banda di incertezza simulata (non calibrata).5
Docs · Motore di rischio (si apre in una nuova scheda)
Ambito. Usa parametri settoriali del modello, non i Suoi dati di perdita. Il portafoglio somma valori attesi; non esistono percentili di portafoglio.
Simulatore deterministico con 7 tipi di scenario: propaga l’impatto lungo il grafo e restituisce fornitori coinvolti, variazioni di punteggio e percorsi.6
Docs · Simulatore (si apre in una nuova scheda)
Ambito. Restituisce variazioni di punteggio, non euro. Non usa l’IA: lo scenario in linguaggio naturale è un confronto di parole chiave.
Concentrazione HHI e raggio d’impatto a 3 salti sulle dipendenze che dichiara, con individuazione dei punti singoli di guasto.7
Nella demo · vista della concentrazione
Ambito. Vede solo le dipendenze dichiarate; non scopre da sola la Sua catena completa.

Si applica inConformità multi-framework DORA: concentrazione e fornitori ICT

ACT · proporre e approvare

Trasforma la decisione in un fatto registrato, con una persona responsabile di ogni passo.

HodeiAI propone una voce nel registro dei rischi; solo una persona con ruolo di scrittura la crea, con un’approvazione monouso, di 15 minuti e legata all’hash della proposta.8
Nella demo · proposta e approvazione
Ambito. È l’unica azione eseguibile oggi. Non isola dispositivi, non contatta i fornitori né apre ticket.
Gli avvisi vengono instradati verso ServiceNow, Jira, Slack, Teams, e-mail, webhook firmato, SIEM, PagerDuty e Opsgenie secondo le Sue regole.9
Docs · Connettori (si apre in una nuova scheda)
Ambito. Notifica o crea il ticket nel Suo sistema; non rimedia.
Registro delle decisioni sui fornitori con tipi (registrazione, rinnovo, revisione, cessazione), stati definiti e l’evidenza che le ha supportate.10
Docs · Registro delle decisioni (si apre in una nuova scheda)
Ambito. Non sostituisce il Suo processo di acquisto né è una firma legale.

Si applica inHodeiAI

ATTEST · dimostrare ai terzi

Ciò che può mostrare all’esterno senza mostrare il Suo portafoglio di fornitori.

Il Trust Center emette su richiesta un’attestazione firmata con ML-DSA-65 della Sua maturità per framework, che chiunque verifica offline.11
Open source · Verificatore ATTEST (si apre in una nuova scheda)
Ambito. Solo bande per framework: mai punteggi, importi in euro né dettagli dei fornitori. Prova integrità, origine e momento, non veridicità, e non sostituisce un audit.

Si applica inTrust Center e ATTEST

SENSE alimenta PREDICT; PREDICT dà priorità a ciò che ACT propone; ATTEST lo dimostra ai terzi.

Ciò che non fa

Perché decida con l’ambito esatto davanti.

Non è uno scanner proprio né monitora in tempo reale: i dati dei fornitori arrivano da fonti esterne con nuova scansione periodica.
Non disegna da solo la Sua catena completa: le dipendenze sono quelle che dichiara, e la scoperta tramite SBOM non è pianificata.
La banda di incertezza FAIR è simulata e non calibrata; non è una probabilità di violazione.
Non sostituisce il questionario: lo esegue e lo collega al punteggio e al registro delle decisioni.
Non contatta i Suoi fornitori da solo né esegue rimedi.

Come si collega alle altre soluzioni

Il fornitore è il punto di incrocio: da qui partono e qui arrivano le altre soluzioni.

Domande di chi gestisce i fornitori

Le obiezioni più comuni, con la risposta così com’è.

Sostituisce il mio questionario per i fornitori?

No. Lo esegue (invio tramite link, promemoria, evidenza e convalida da parte di un analista) e lo collega al punteggio del fornitore e al registro delle decisioni. Può continuare a usare le Sue domande.

Analizza i miei fornitori in tempo reale?

No. La scansione esterna usa fonti come Shodan e Have I Been Pwned orchestrate con n8n, con nuova scansione periodica in base alla criticità del fornitore. La sincronizzazione delle CVE è giornaliera. HodeiShield non ha uno scanner proprio.

Scopre da sola i fornitori dei miei fornitori?

Non in modo automatico. La concentrazione e il raggio d’impatto si calcolano sulle dipendenze che dichiara. La scoperta delle parti n-esime a partire dagli SBOM esiste, ma non è ancora pianificata, perciò non la presentiamo come una mappa completa.

Come si calcola l’esposizione in euro?

Con FAIR/ALE: una stima puntuale parametrica in euro della perdita annua attesa, più una banda di incertezza simulata (non calibrata) e riproducibile. Usa parametri settoriali del modello, non i Suoi dati di perdita. La banda serve a confrontare i fornitori e a dare priorità, non a prevedere una violazione.

Che cosa può fare HodeiAI con un fornitore?

Proporre una voce nel registro dei rischi. Una persona con ruolo di scrittura la approva (approvazione monouso, di 15 minuti e legata all’hash della proposta) e solo allora viene creata. Oggi non compie nessun’altra azione.

Questo mi aiuta con DORA e NIS2?

Sì, per la parte dei terzi: registro dei fornitori, concentrazione, evidenza e decisioni. Essere pronti a un audit dipende dalla Sua evidenza, non dallo strumento. Consulti il caso d’uso di ciascuna norma per il dettaglio.

Veda i Suoi fornitori sulla mappa

Nella demo percorriamo il grafo, il punteggio e il registro delle decisioni su un fornitore del Suo portafoglio.

I concetti, il motore di rischio e il simulatore sono nella documentazione pubblica.

Richieda una demo Legga la documentazione