Traxion guarda fuori
La vostra esposizione su Internet e il rischio dei vostri fornitori. Risponde all'art. 21 lett. d della NIS2 — sicurezza della catena di approvvigionamento — e alle richieste di sicurezza che ricevete dai clienti.
FRUX Traxion · Rischio della filiera
Il rischio della vostra filiera, misurato. Non stimato.
FRUX Traxion analizza la superficie d'attacco esterna della vostra organizzazione e di ogni fornitore, assegna un punteggio di governance da 0 a 100 e gestisce la remediation con SLA tracciati. Senza email e senza Excel.
38+Controlli tecnici automatici da un dominio o un IP
90sPer un profilo di esposizione completo, senza installare nulla
0-100Governance Score per fornitore, con rescan programmato
70/70Controlli OWASP ZAP superati dalla piattaforma stessa
Il vostro perimetro finisce dove finisce quello dei vostri fornitori
L'art. 21 della direttiva NIS2 impone di gestire i rischi derivanti dalla catena di approvvigionamento. Tradotto in pratica: dovete sapere quanto è sicura la software house che vi mantiene il gestionale, il fornitore cloud che ospita i vostri dati e il provider che vi gestisce la rete. E dovete poterlo dimostrare.
Il modo in cui questo viene fatto oggi, nella maggior parte delle organizzazioni italiane, è un questionario Excel inviato una volta l'anno. Chi lo riceve lo compila come può. Chi lo riceve indietro lo archivia. Nessuno lo rilegge.
Nel frattempo il fornitore espone una porta di gestione su Internet, ha un certificato scaduto, e le credenziali di due suoi dipendenti circolano da mesi in un data breach.
Cosa si vede della vostra azienda da fuori
Partendo da un dominio o da un indirizzo IP, Traxion esegue oltre 38 controlli tecnici automatizzati, senza installare nulla e senza accesso ai sistemi:
- Enumerazione dei sottodomini e dei servizi esposti
- Porte e servizi raggiungibili da Internet
- Vulnerabilità note con priorità reale: punteggio CVSS combinato con EPSS (probabilità di sfruttamento) e con il catalogo CISA KEV delle vulnerabilità già sfruttate attivamente
- Configurazione di sicurezza HTTP e sicurezza della posta (SPF, DKIM, DMARC)
- Errori di configurazione su servizi cloud
- Segreti e chiavi esposti in repository pubblici
L'ordine di priorità non è quello di uno scanner generico.
Una vulnerabilità con CVSS 9.8 mai sfruttata in natura conta meno di una CVSS 7.5 presente nel catalogo KEV.
Cyber Mirror — la scansione pubblica
La stessa analisi è disponibile in versione gratuita: si inserisce un dominio e in 60-90 secondi si ottiene un profilo di esposizione. È il modo più rapido per capire se questo strumento vi serve.
Un punteggio per ogni fornitore, aggiornato da solo
Ogni fornitore riceve un Governance Score da 0 a 100, con quattro fasce di rischio:
Critico · 0-24
Alto · 25-49
Medio · 50-79
Basso · 80-100
Il Governance Score misura i risultati tecnici della scansione esterna. Le risposte all'assessment confluiscono in uno score composito, configurabile, che pesa insieme evidenza tecnica e dichiarazioni del fornitore. Le scansioni si ripetono automaticamente ogni 15, 30 o 60 giorni secondo la criticità del fornitore: il punteggio non è una fotografia dell'anno scorso.
L'anagrafica accetta import da CSV, tag su cinque categorie, benchmark tra fornitori, andamento nel tempo e mappa del rischio. Gli alert segnalano i peggioramenti.
Quattro livelli di questionario, uno per tipo di fornitore
Non ha senso sottoporre allo stesso questionario da 28 domande il fornitore di data center e il tipografo. Traxion propone quattro template progressivi:
- Essenziale — 4 domande
- Base — 10 domande
- Esteso — 18 domande
- Completo — 28 domande
Il punteggio è pesato. Le domande che richiedono una certificazione si chiudono automaticamente quando il fornitore carica il certificato corrispondente, e ogni domanda ha una spiegazione in linguaggio semplice per il fornitore che non ha un team di sicurezza.
I fornitori rispondono da un portale self-service. Le attività di remediation diventano task assegnati al fornitore, con scadenza calcolata sulla gravità del rilievo e stato tracciato fino alla chiusura. Tutto verificabile a distanza di mesi, senza ricostruire uno scambio di email.
Il questionario che vi manda il cliente, compilato in automatico
Il rapporto si rovescia quando siete voi il fornitore. Un cliente enterprise vi manda un Excel con ottanta domande di sicurezza e vuole risposta in due settimane.
Il Questionnaire Killer importa quel file, risponde attingendo al vostro repository documentale e al vostro self-assessment interno (sette aree, 85 domande), e riesporta nel formato originale del cliente. Il modulo include un Cyber Passport pubblico: una pagina che attesta la vostra postura di sicurezza e che potete allegare a una gara.
Quello che circola già fuori
Modulo opzionale di monitoraggio dark web: violazioni storiche, credenziali aziendali esposte su oltre 20 miliardi di record, comparse su paste site e forum, tracker dei gruppi ransomware con le loro rivendicazioni.
Serve a rispondere a una domanda semplice: quante delle nostre caselle aziendali compaiono in una violazione nota, e da quanto tempo.
Report per il consiglio, dati per il SIEM
Il generatore di report produce documenti in sette sezioni con grafici, in italiano e inglese, in PDF o HTML: leggibili da un consiglio di amministrazione senza traduzione da parte del reparto IT.
Sul piano dell'integrazione: SSO via OIDC e SAML 2.0 (Entra ID, Google Workspace, Okta, Keycloak, ADFS, Shibboleth), webhook verso SIEM in JSON o CEF firmati HMAC-SHA256 (Splunk, Microsoft Sentinel, QRadar, Elastic), multi-tenant per gruppi con controllate.
Sulla sicurezza del prodotto stesso: cifratura su tre livelli (disco LUKS, oggetti AES-256, campi con AES-256-GCM), indici ciechi HMAC-SHA256, analisi statica su ogni commit con SonarQube — grado A, zero vulnerabilità, zero bug — e scansione dinamica OWASP ZAP superata su 70 controlli su 70.
Qual è la piattaforma giusta
Le due si occupano entrambe di NIS2, da due lati diversi.
BeeAIve guarda dentro
Rischi, incidenti, policy, formazione, audit e la gestione documentale dei cinque framework normativi. Risponde all'obbligo NIS2 nel suo complesso e a GDPR, ISO 27001, DORA e AI Act.
Vai a BeeAIveMolte organizzazioni le usano insieme; la scelta dipende da quale delle due pressioni è arrivata prima.
Domande frequenti
Serve installare un agent sui sistemi?
No per la parte di cyber exposure: l'analisi è esterna e non richiede accesso ai sistemi né installazioni. Il pentest on-demand richiede invece la verifica della proprietà del dominio.
Cosa chiede esattamente la NIS2 sui fornitori?
L'art. 21 richiede misure di gestione del rischio che comprendano la sicurezza della catena di approvvigionamento, inclusi gli aspetti di sicurezza dei rapporti con i fornitori diretti. In pratica: valutazione documentata, criteri, rivalutazione periodica e capacità di dimostrarlo.
Come vengono prioritizzate le vulnerabilità?
Combinando CVSS (gravità tecnica), EPSS (probabilità di sfruttamento nei prossimi 30 giorni) e presenza nel catalogo CISA KEV delle vulnerabilità sfruttate attivamente.
È utilizzabile da un gruppo con più società?
Sì. L'architettura è multi-tenant con isolamento completo dei dati tra le società del gruppo. La configurazione delle viste consolidate si definisce in fase di attivazione.
Iniziamo dal vostro dominio
Il modo più rapido è la scansione pubblica: inserite il dominio e in un minuto e mezzo vedete cosa vede un attaccante. Poi ne parliamo.