Evidenza tecnica per NIS2 e GDPR, non promesse di conformità
Un motore di scansione che ripercorre da capo tutta la superficie di attacco esterna di un dominio — sottodomini dimenticati, porte aperte, TLS, posta, credenziali finite nel codice pubblico — e produce un documento datato: cosa è stato verificato, cosa no e perché, cosa è cambiato dall'ultima volta. È fatto per reggere quando qualcuno lo controlla.
Ti rispondiamo con il documento che ne esce, sul tuo dominio. Nessun impegno.
In quale caso ti trovi?
Il documento è lo stesso; cambia perché ti serve, e a chi lo consegni. Ognuna di queste pagine risponde a una situazione sola.
MSP, software house, agenzie: il motore lo diamo a te, la consulenza la vendi tu. Non vendiamo adeguamento, quindi non diventiamo il concorrente del nostro canale.
Leggi →Il questionario arriva perche’ il tuo cliente e’ soggetto NIS2 e la norma lo obbliga a valutare i fornitori. Non devi certificarti: devi portare evidenza.
Leggi →Le misure di sicurezza di base dell’ACN, la scadenza che vale per la tua coorte, e quale parte di quelle misure una verifica esterna dimostra davvero.
Leggi →L’art. 32 del GDPR chiede di testare e valutare regolarmente l’efficacia delle misure. Nessuna soglia, nessun settore, nessun elenco in cui bisogna essere.
Leggi →Cosa troviamo su un dominio reale
Esempi reali da scansioni vere. Quasi sempre sono cose che l'azienda non sapeva di avere esposte.
Un MySQL che risponde sulla porta 3306 e dichiara la propria versione a chiunque chieda. Trovato su un sito aziendale in produzione.
Un server di posta che nessuno stava piu' controllando, mai comparso in nessun inventario. Da li' sono usciti sei problemi, quattro gravi.
Il certificato che manda il browser a schermo pieno con l'avviso rosso. Il cliente spesso lo scopre dai suoi utenti.
Token e chiavi private finiti per errore nel JavaScript pubblico o nelle mappe del codice sorgente.
Pannelli di amministrazione accessibili, installer mai rimossi, software con CVE pubbliche ancora aperte.
SPF e DMARC assenti o permissivi, server che accetta posta senza cifratura. E' cosi' che partono le finte fatture a nome tuo.
A cosa serve un'analisi della superficie esterna
Lo stesso report risponde a domande diverse, a seconda di chi te le fa.
Il primo risultato utile e' l'inventario: quanti sottodomini, quali porte, quali certificati, su quali fornitori. Quasi nessuno ce l'ha aggiornato, e non si protegge cio' che non si sa di avere.
Per i soggetti iscritti nell'elenco ACN dal 2025 le misure di sicurezza di base vanno adottate entro il 31 ottobre 2026; per chi vi entra nel 2026 il termine e' il 31 luglio 2027. Il report copre la parte tecnica esterna dell'art. 21(2) e produce l'evidenza per il GDPR art. 32.
Se un tuo cliente e' soggetto NIS2, la direttiva lo obbliga a valutare i fornitori (art. 21(2)(d)). Invece di rispondere a mano a un questionario, gli mandi il report.
Sempre piu' capitolati e questionari assicurativi chiedono prova di verifiche periodiche. Un PDF datato e ripetibile vale piu' di una dichiarazione.
Sito rifatto, migrazione, nuovo fornitore, un collaboratore che se ne va. Sono i momenti in cui restano accesi servizi che nessuno presidia piu'.
Ogni scansione e' confrontata con la precedente: problemi nuovi, risolti, ancora aperti. E' la differenza fra dire di aver fatto qualcosa e dimostrarlo.
Cosa copre l'art. 21(2), e cosa resta a te
Delle dieci misure dell'art. 21(2) ne verifichiamo sei, e solo dall'esterno. Il report lo dichiara voce per voce: e' quello che un auditor si aspetta di leggere.
Come funziona la verifica esterna
Per te sono tre passaggi. Sotto ce n'e' di piu', ed e' la parte che conviene guardare se stai confrontando due fornitori.
Aggiungi il dominio
Solo il nome del dominio. Niente agenti da installare, niente accessi ai tuoi sistemi
Scansione automatica ricorrente
La superficie esterna viene rianalizzata a ogni ciclo, senza che tu debba ricordartene
Report con le azioni da fare
Un PDF con i problemi in ordine di gravita', cosa e' cambiato dall'ultima volta e la checklist art. 21(2)
Cosa gira sotto quei tre passi
Diciassette verifiche distinte in una pipeline sola — non tutte incluse in ogni piano, e il report dice sempre quali sono state eseguite.
Ogni verifica scrive nel report il proprio esito: eseguita, eseguita in ambito ridotto, non eseguita — e in quest'ultimo caso perche'. Un report che elenca zero problemi senza dire cosa ha guardato puo' voler dire due cose opposte.
Se un'analisi non parte, le lettere dell'art. 21(2) che dipendevano da quell'analisi scendono da «verificata» a «non verificata», con il motivo scritto accanto. Il documento non puo' dichiarare la crittografia verificata se il controllo TLS non e' stato eseguito.
Problemi nuovi, risolti e ancora aperti con i nomi, calcolati quando la verifica gira e scritti nel file dei dati — non ricalcolati a video ogni volta che apri la pagina. E' l'evidenza per la lettera (f), quella sulla valutazione dell'efficacia delle misure.
Ogni report porta in copertina l'impronta SHA-256 del file di dati da cui e' costruito. Due copie dello stesso documento hanno lo stesso codice; una copia modificata no. E' cio' che distingue un'evidenza da uno screenshot.
Accanto a ogni lettera della direttiva c'e' il codice della misura di base ACN corrispondente, dall'Appendice A della «Guida alla lettura» dell'ACN. Un soggetto italiano non viene verificato sull'articolo della direttiva: viene verificato su quei codici.
La superficie esterna viene ripercorsa per intero a ogni ciclo, non solo la parte che gia' conoscevi: i sottodomini si scoprono ogni volta da capo. Nessun agente da installare, nessuna credenziale, nessuna intrusione.
Tutto questo si vede meglio guardandolo: un report di esempio, per intero.
Misuriamo prima di adottare, e scartiamo
Ogni strumento che aggiungiamo allunga la verifica e tocca i dati dei clienti. Quindi si misura, e se non aggiunge niente non entra — anche quando farebbe scena elencarlo.
Senza chiavi non trova niente: ogni fonte dati vuole credenziali. Non adottato.
Le fonti che aggiunge sono lente e povere proprio sui domini piccoli, cioè i clienti. Non adottata.
Non aggiungeva niente che non avessimo, e sarebbe stato un destinatario in più dei dati dei clienti. Scartato.
È lo stesso criterio con cui il report dichiara la propria copertura: quello che non è stato verificato non viene contato come verificato.
Gestisci i sistemi di altri?
Il motore lo diamo a te, la consulenza la vendi tu.
Se sei un MSP, una software house o un'agenzia, i tuoi clienti nei prossimi diciotto mesi dovranno dimostrare qualcosa a qualcuno — e chiameranno te. Privateer fa la parte tecnica ricorrente e produce il documento; noi non vendiamo consulenza né adeguamento, quindi non diventiamo il concorrente del nostro stesso canale sul margine che è tuo.
Verifica esterna ricorrente, report PDF con la checklist dell’art. 21(2) e i codici ACN, confronto fra una verifica e la precedente.
Misure organizzative, categorizzazione, priorità e intervento: la parte che il cliente paga di più, e che noi non vendiamo.
Il listino qui sotto è per l’azienda singola. Le condizioni per chi rivende dipendono da quanti domini e con che frequenza.
Prezzi, senza sorprese
Un piano solo, tutto compreso. Nessun costo nascosto.
- Scansione esterna ricorrente
- Report PDF con checklist art. 21(2) e GDPR Art. 32
- Confronto con la scansione precedente: nuovi, risolti, ancora aperti
- Controllo di TLS, cifrari e scadenza dei certificati
- Infrastruttura e dati nell'Unione Europea
- Disdetta in qualsiasi momento
Ti serve un volume da più domini? Scrivici