Validare la sua supply chain di internet, o quella di un altro soggetto, richiede tempo e ripetizione. Man mano che le attività cambiano e le integrazioni di terze parti vanno e vengono, serve un'azione rigorosa per verificare che le applicazioni che gestisce funzionino ancora come previsto.
La valutazione è il filo conduttore. Il lavoro di rischio, testing, compliance, legale, finanziario e di due diligence riguarda sempre applicazioni digitali, come un prodotto web, e lo stesso giudizio: è ancora in linea con le sue aspettative e si comporta come è stata progettata?
La tecnologia è un'impronta digitale dell'immagine di un'azienda. I servizi che un'applicazione carica, le aziende che vi stanno dietro e le persone a esse associate non sono facilmente osservabili, ma quando emergono possono incidere in modo significativo sulla reputazione di un'attività o di un prodotto.
Ogni prodotto web funziona su infrastruttura, codice e servizi di qualcun altro. La prima domanda è chi si trova davvero in quella catena.
I team tecnici moderni implementano spesso librerie di componenti di terze parti per far avanzare rapidamente il proprio stack tecnologico, creando una rete intrecciata di servizi, dipendenze e requisiti di compatibilità all'interno di un'unica piattaforma. SCVue la aiuta a vedere oltre il rumore, validando ogni risorsa mentre si carica, così il codice noto viene identificato per fornitore e versione e il codice sconosciuto risalta.
Supervisionare molti siti per conto del pubblico richiede un livello aggiuntivo di responsabilità e di dovere di diligenza. Il volume e la complessità delle reti di portali sono supportati dalla reportistica di riepilogo di SCVue, dal consolidamento per reparto, dal filtro per unità di business e dalla pianificazione delle riacquisizioni con i relativi avvisi. In questo modo la valutazione resta attuale e utilizzabile.
Un'informativa sulla privacy, una pagina di condizioni, una distinta base e una dichiarazione di conformità descrivono tutte un'intenzione. Un'acquisizione descrive il comportamento. La valutazione mette insieme le due cose, e ciò che non corrisponde è il riscontro.
Le clausole di flow-down, il GDPR e le giurisdizioni attraversate dai suoi dati sono obblighi che deve dimostrare con prove anziché affermare. SCVue traccia le catene di sub-responsabili, individua dove i dati sono archiviati e quale regime giuridico li governa, e collega ogni riscontro alla chiamata registrata che vi sta dietro.
I suoi clienti la sottopongono ad audit e chiedono sempre più spesso una distinta base, ma un manifest di build descrive ciò che ha compilato anziché ciò che un browser assembla in fase di esecuzione. SCVue ne costruisce una a partire da ciò che si osserva caricare e la riconcilia con un file CycloneDX o SPDX dichiarato, così le dipendenze occulte emergono.
I liberi professionisti e le imprese di ogni dimensione costruiscono su componenti di terze parti senza sapere molto di chi vi sta dietro: un'azienda giovane senza una storia alle spalle, un supporto gestito da un altro paese o un'API che quasi nessuno ha messo in produzione. Ricostruirlo a mano è arduo e costoso, e saltare questo passaggio lascia una debolezza nella sua stessa supply chain. SCVue nomina l'azienda dietro ogni servizio integrato, il suo paese di origine e il software e le versioni che porta con sé.
L'affidabilità non si basa sul tempo di attività. Riguarda il fatto che un'applicazione faccia ciò per cui è stata progettata, e ciò che accade quando un servizio da cui dipende cambia o viene meno.
La reputazione, l'interruzione del servizio verso i suoi clienti, il dovere di diligenza verso i dipendenti e l'esposizione all'interno di un investimento poggiano tutti su tecnologia gestita da qualcun altro. La reportistica di SCVue su cloud e reti di distribuzione mostra quanta parte del suo traffico trasporta ciascun provider, il confronto con le vulnerabilità identifica i componenti con debolezze pubblicate e il riepilogo di portafoglio applica entrambi a tutte le applicazioni che tiene sotto controllo. La concentrazione è un riscontro di resilienza tanto quanto di sicurezza, ed è qui che emerge.
La specifica tecnica di un cliente non è la prova di ciò che è stato eseguito e non sempre si spiega con chiarezza in una valutazione di test. Ai tester si richiede di mostrare la prova, non il sospetto, delle vulnerabilità presenti in uno stack tecnologico. Devono essere prove documentate e riproducibili. SCVue traccia gli script eseguiti e gli script caricati da altri script, segnala il codice generato o recuperato in fase di esecuzione e collega ogni risultato alla chiamata registrata, così che sia verificabile a partire da ogni acquisizione.
I partner di integrazione di un prodotto dicono qualcosa dell'azienda, che l'azienda lo voglia o no.
Verifica, screening, audit e revisione valgono quanto il metodo che li sostiene, e un cliente le chiederà di eseguirlo di nuovo. SCVue rende un'acquisizione riproducibile tramite i piani di acquisizione e i profili dispositivo, e conserva le prove in un workspace che sceglie per ogni incarico.
Quando un'azienda viene considerata per una partnership o un'acquisizione, oppure sta attraversando un processo di valutazione, l'elenco delle sue dipendenze da fornitori è un elemento importante dell'esercizio, e uno che ogni azienda dovrebbe essere in grado di validare. SCVue fa emergere quell'elenco di fornitori di integrazione, spesso partendo da una semplice importazione di un'acquisizione, prima del primo incontro.
Vedere i partner di integrazione di un prodotto concorrente offre indicazioni preziose sui rischi della supply chain di quel concorrente, e un vantaggio nei materiali di marketing e promozionali. La ricerca approfondita non riguarda in esclusiva il confronto tra funzionalità e la value proposition, e viene solo rafforzata dalla profilazione del rischio. SCVue risolve i domini e gli hostname osservati in fornitori identificati, così può vedere come un'applicazione regge il confronto con un concorrente.
Reti attendibili, dichiarazioni, affidabilità e reputazione non sono quattro valutazioni. Sono quattro interpretazioni degli stessi dati a partire da un'unica acquisizione.
Registri una sessione nel browser, la importi e legga ciò che ottiene. Un account Community gratuito è disponibile subito.