920 su 1.000 punti: 2B Advice ottiene una valutazione CyberVadis con menzione d’onore (Gold Enterprise Level & Mature)

Nella scelta della certificazione di sicurezza, molte aziende si trovano di fronte a un vero e proprio dilemma. I due standard più noti coprono ciascuno solo una parte dei requisiti, lasciando un vuoto che sta diventando sempre più problematico per le aziende europee e i loro clienti.

Cosa offre la norma ISO 27001

La norma ISO 27001 è lo standard di riferimento a livello internazionale per i sistemi di gestione della sicurezza delle informazioni e costituisce una base riconosciuta e preziosa. Anche 2B Advice si attiene ai requisiti della norma ISO 27001 ed è certificata di conseguenza. La norma ISO 27001 attesta che un’azienda adotta un approccio strutturato alla sicurezza. Tuttavia, non conferma con prove concrete che ogni singola misura di protezione sia effettivamente efficace nella pratica. È proprio qui che si crea il divario tra la struttura formale e l’attuazione operativa comprovata.

Cosa offre SOC 2

Lo standard SOC 2 colma questa lacuna dal punto di vista tecnico, richiedendo una verifica basata su prove concrete dell'effettiva efficacia dei controlli in un arco di tempo definito. Lo standard SOC 2 è stato tuttavia sviluppato per il mercato statunitense. GDPR, NIS-2 e DORA non hanno alcuna rilevanza in questo contesto. Per le imprese europee rimane quindi un secondo GAP: la mancanza di un riferimento al quadro giuridico europeo.

Per voi, in qualità di clienti europei, si crea quindi un doppio GAP nel panorama standard:

• LACUNA 1 – Struttura vs. efficacia: la norma ISO 27001 certifica la governance e i processi, ma non prevede una verifica basata su dati concreti dell’efficacia dei controlli operativi.
• GAP 2 – Quadro normativo statunitense vs. diritto dell’UE: SOC 2 fornisce questa verifica dell’efficacia basata su dati concreti, ma senza alcun riferimento a GDPR, NIS-2 o DORA. Inoltre, lo standard SOC 2 non è ancora ampiamente riconosciuto come prova di conformità nelle catene di fornitura europee.

Come CyberVadis colma entrambe le lacune

CyberVadis è stato sviluppato proprio per questo scenario. Combina i punti di forza di entrambi gli standard senza ne ereditare i punti deboli. Sulla base di prove concrete quali documenti, configurazioni, log e documentazione relativa ai processi, valuta, attraverso oltre 170 controlli, se le misure di sicurezza siano effettivamente implementate e funzionino nell’attività operativa quotidiana. Tali prove vengono verificate da analisti. Ciò che conta non è l’esistenza di un processo, bensì la sua efficacia.

Questo risultato viene convalidato esternamente da analisti indipendenti di CyberVadis e classificato in un punteggio comparabile su una scala da 0 a 1000. Per voi, in qualità di clienti, ciò significa:

• Efficacia operativa comprovata: come nel caso dello standard SOC 2 Tipo II, non si verifica solo l’esistenza dei controlli, ma anche la loro effettiva efficacia. E ciò sulla base di prove concrete, non solo della documentazione relativa ai processi.
• GDPR-Conformità valutato in modo esplicito: CyberVadis esamina la protezione dei dati ai sensi della normativa europea come dimensione di valutazione a sé stante. Nessuno degli altri due standard lo fa in modo così diretto.
• Classificazione comparativa: il punteggio da 0 a 1000 non solo indica se un fornitore di servizi è sicuro, ma anche quanto lo è e dove si colloca rispetto a migliaia di altre aziende in tutto il mondo.
• Conformità alle normative UE: NIS-2, DORA, EU AI Act – CyberVadis è orientato al panorama normativo UE attuale e futuro e non ai quadri di riferimento statunitensi.

CyberVadis non fornisce una certificazione formale come SOC 2, ma offre una conferma da parte di terzi, immediatamente utilizzabile e attendibile, dell’efficacia operativa. Tale conferma anticipa, dal punto di vista dei contenuti, i requisiti essenziali di un’implementazione SOC 2. Il tutto è inoltre integrato nel quadro normativo europeo.