Cerbeyra Cyber Security Platform

  • Tipologia: SaaS
  • ID Scheda: SA-1798
  • Stato corrente: QUALIFICATA
  • Categoria: Servizi demografici, Comunicazioni a cittadini e imprese, Servizi per l'information technology
  • Azienda fornitrice: VOLA S.P.A.
  • Referente commerciale: Umberto Di Benedetto
  • Data di qualificazione: 29-06-2021 11:41

Descrizione generale del servizio

Cerbeyra è la soluzione di Cyber Security pensata per analizzare e prevenire potenziali minacce alla sicurezza delle informazioni all’interno ed all’esterno di un’organizzazione sia essa pubblica o privata. La piattaforma Cerbeyra offre un servizio cloud “as a service” che permette di disporre di una piattaforma di Cyber Threat Intelligence in grado di controllare ed analizzare il livello di sicurezza di infrastrutture ICT, dati, processi informativi, identificare minacce da data breach, cyber reputation, social engineering, phishing e criticità in ambienti fisici.

Caratteristiche funzionali del servizio

  • Web Application Scanning: è un’operazione che consente di controllare se una applicazione web è affetta da vulnerabilità note che potrebbero essere sfruttate dagli hacker al fine di interrompere servizi e carpire informazioni. La piattaforma offre un tool di Web Application Scanning (conforme al modello OWASP e alle normative vigenti) affidabile, veloce e sicuro e che identifica le vulnerabilità dei siti e delle applicazioni web, tra cui: SQL Injection, Cross-Site Scripting e molte altre.
  • Continuous Assessmen: CONTINUOUS ASSESSMENT H24, 365 GIORNI L'ANNO Cerbeyra permette di effettuare un continuous assessment h24x365gg delle reti e degli host interni alla tua organizzazione su reti locali intranet e geografiche extranet e Wan.
  • Cyber Reputation: Cerbeyra controlla costantemente il World Wide Web alla ricerca di informazioni sulla tua organizzazione e sui suoi specifici assets. Combinando diverse tecnologie di analisi, la piattaforma Cerbeyra è in grado di valutare la Cyber Reputation, cioè controllare che lo spazio internet e il nome a dominio della tua organizzazione (ad es. il sito web, la posta elettronica, il DNS, etc.) non siano utilizzati per attività malevoli (come ad es. azioni di spam o phishing effettuate con il tuo dominio ma generate da host non appartenenti alla tua Azienda e geograficamente distanti) in grado di comprometterne la reputazione e quindi di creare importanti criticità come il blocco dell’invio delle email o l’identificazione delle stesse come Spam.
  • Cyber Feed: Attraverso il Cyber Feed la piattaforma Cerbeyra effettua una costante attività di crawling, archiviazione, catalogazione e classificazione delle informazioni in ambito OSINT (Open Source INTelligence, cioè l’attività di raccolta d’informazioni mediante la consultazione di fonti di pubblico accesso) su Web e sul Deep Web, verificando l’eventuale presenza di minacce (come ad esempio databreach o altro tipo di informazioni riservate presenti in rete) che possono avere un impatto sul business e sull’immagine della tua organizzazione e che possono minare il funzionamento dei processi organizzativi o addirittura bloccarli.
  • Cyber Threat Intelligence: Cerbeyra effettua ricerche estensive su eventuali informazioni sensibili o critiche per l’organizzazione pubblicate in rete, sia nell’ambito web dell’Open Source Intelligence (OSINT) sia nei bui e remoti spazi della Darknet. Grazie alla correlazione tra queste risultanze e quelle delle altre funzionalità (ad es. Vulnerability Assessment, Cyber feed, etc..), Cerbeyra è in grado di effettuare valutazioni sul livello di rischio cibernetico complessivo a cui l’organizzazione è esposta, in maniera veloce e semplice. Per questo nella piattaforma Cerbeyra è stato sviluppato il Cerbeyra Index, un avanzato algoritmo di analisi predittiva per il calcolo e la rappresentazione dell’esposizione al rischio in termini di probabilità e impatto.
  • Cyber Survey: Il Cyber Survey permette di effettuare una valutazione in self-assessment del livello di maturità di un’organizzazione nella gestione della sicurezza delle informazioni e della compliance normativa (Regolamento Generale sulla Protezione dei Dati n. 2016/679 – GDPR). L’analisi investigativa è sviluppata in coerenza con le caratteristiche dell’organizzazione (ad esempio tipo azienda, numero dipendenti, etc.) ed ai principali indicatori di riferimento. Il risultato viene correlato con le altre funzionalità di analisi (ad esempio vulnerability assessment) e permette di effettuare una previsione di esposizione economica al danno.
  • Security Analysis Report: Attraverso la piattaforma Cerbeyra è possibile generare report tecnici e dettagliati relativi a tutte le vulnerabilità riscontrate (Security Analysis Report) e report strategici (Executive Report). I Security Analysis Report rappresentano il documento tecnico di dettaglio, redatto in particolare per il personale tecnico e gli sviluppatori, dove si riportano singolarmente tutte le anomalie rinvenute ognuna con una propria scheda identificativa attraverso la quale vengono descritte particolarità, livello di criticità, minaccia e risoluzione/contenimento dell’anomalia stessa. Gli Executive Respot sono destinati alla direzione aziendale e al management, sono concepiti per rendere consapevole il Management del livello di rischio effettivo dell’organizzazione e per fornire le informazioni necessarie a prendere delle decisioni relative a possibili scenari di impatto operativi, economici e di immagine.

Benefici offerti dal servizio

  • Possibilità ridurre il rischio derivante da attacchi informatici in maniera rapida e tempestiva, prima che le vulnerabilità possano essere sfruttate dagli attaccanti.
  • Conoscere le proprie vulnerabilità e criticità per intervenire rapidamente, mettendo in sicurezza i propri asset. Verificare il livello di minaccia nel tempo e controllarlo.
  • Controllo continuo sugli asset aziendali per verificare la loro “salute” in termini di reputazione, attacchi di phishing, malware, botnet e social engineering.
  • La piattaforma Cerbeyra rappresenta lo strumento ideale per soddisfare le richieste normative quali ad es. l’art. 32 del Regolamento Europeo 2016/679 (GDPR) punto 1.d) , dove si richiede l’utilizzo di “una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento dei dati personali.”

Piattaforma Cloud attraverso la quale è erogato il servizio

Cloud Aruba

Cloud Deployment Model

Public Cloud

Specificare altra rete pubblica

  • Altra rete pubblica (specificare) (NA)

Infrastruttura Cloud su cui è basato il servizio

  • Infrastruttura di un fornitore terzo qualificato come CSP
    • Aruba S.p.A.

Sono richiesti prerequisiti?

I prerequisiti riguardano altri servizi Cloud?

No

Eventuali altri prerequisiti

  • connettività internet e browser aggiornati alla versione specificata a seguire

Esistono dipendenze?

No

Eventuali standard e certificazioni

Non presenti. L'azienda ha compilato il CSA STAR Self-Assessment2

Canali disponibili per il supporto tecnico

  • E-mail: Non Disponibile
  • Telefono: Non Disponibile
  • Sistema di on-line ticketing: Disponibile
  • Ore supporto: dal lunedì al venerdì dalle 9 alle 13 e dalle 14 alle 18
  • Web chat: Non Disponibile
  • Assistenza on-site: Non Disponibile
  • Assistenza remota: Non Disponibile
  • Eventuale altro canale (specificare): Non disponibile

Tempi di attivazione e disattivazione del servizio

  • Tempo di attivazione: 10 giorni
  • Tempo di disattivazione: 3 giorni

Modalità e processo di attivazione

A seguito della firma del contratto e ricezione dell'ordine di acquisto, il fornitore Saas provvede all'attivazione della piattaforma. In caso di difficoltà nell'accesso il cliente potrà avvalersi dell'assistenza del fornitore Saas o di un partner da lui designato.

Modalità e processo di disattivazione

Allo scadere della licenza attivata o alla disdetta l'accesso di tutte le utenze collegate al contratto viene disabilitato.

Estrazione dei dati a seguito di disattivazione

Alla disattivazione delle utenze i dati non saranno più esportabili e/o consultabili in piattaforma. Il cliente potrà inviare un messaggio e- mail al fornitore o aprire un ticket per richiedere l'estrazione delle informazioni di cui necessita. Il fornitore prende in carico la richiesta ed invia i dati estratti in formato csv o pdf.

Dati esportabili

  • Formato dei dati esportabili: pdf e/o csv
  • Dati derivati (configurazioni, template, log, ecc.): Solo dati relativi alle scansioni effettuate sui network e domini

Formati in cui è possibile estrarre i dati

pdf e/o csv

Estrazione e formati di altri asset (in seguito a disattivazione)

Non applicabile

Indicare quali delle seguenti modalità di fruizione del servizio sono supportate

  • Web Browser

Specificare i browser supportati

  • Firefox (91.0.2 o superiore )
  • Chrome (89.0.4389.114 (Build ufficiale) o superiore)
  • Microsoft Edge 93.0.961.38 o superiore

Documentazione tecnica

All'interno della piattaforma è disponibile la guida on line liberamente consultabile previa autenticazione dell'utente abilitato. Si tratta di guida interattiva con hyperlink. La documentazione tecnica del servizio risulta disponibile solo per utenti autenticati all’interno della dashboard principale della piattaforma. All’interno della sezione “supporto” nella dashboard principale sono presenti anche dei video esplicativi sull’utilizzo della piattaforma.

Formati in cui è disponibile la documentazione tecnica (Selezionare una o più voci dall'elenco)

  • Disponibile e navigabile su Web (https://helppa.cerbeyra.com )

Elenco delle lingue in cui è disponibile la documentazione

  • Italiano
  • Inglese

API di tipo REST/SOAP disponibili per il servizio

  • E' disponibile l'endpoint REST (https://areaclientipa.cerbeyra.com/api/login)

Funzionalità invocabili tramite API e funzionalità che non sono accessibili via API

Cerbeyra espone alcune APIs di tipo REST che permettono agli utenti, attraverso il loro account, di conoscere informazioni relative alla sicurezza dell'azienda derivata dalla piattaforma. Dettagli API: 1.Autenticazione: Il sistema di autenticazione usa il meccanismo JWT, attraverso il quale si richiede un Bearer Token trasmettendo le proprie credenziali, username e password, utilizzate per accedere all'area clienti Cerbeyra. 2.API Cerbeyra Index: se l'autenticazione va a buon fine, in risposta si ottiene un JSON contenente le informazioni relative al Cerbeyra Index mostrato nella Dashboard della piattaforma.

Specificare le piattaforme abilitanti supportate dal servizio

  • Altro (specificare) (Non applicabile per la tipologia di servizio offerto - Si precisa che il servizio Saas oggetto di domanda per la sua natura tecnica e di funzionamento non necessità di API. Cerbeyra è la soluzione di Cyber Security pensata per analizzare e prevenire potenziali minacce alla sicurezza delle informazioni all’interno ed all’esterno di un’organizzazione sia essa pubblica o privata. La piattaforma Cerbeyra offre un servizio cloud “as a service” che permette di disporre di una piattaforma di Cyber Threat Intelligence in grado di controllare ed analizzare il livello di sicurezza di infrastrutture ICT, dati, processi informativi, identificare minacce da data breach, cyber reputation, social engineering, phishing e criticità in ambienti fisici. La piattaforma sarà destinata all’utilizzo esclusivo degli utenti della pa abilitati all’analisi e scansione delle infrastrutture di proprietà della pa stessa e fornisce al suo interno tutte le funzionalità necessarie all’utente e non necessita di altre interfacce con altri applicativi per la sua completa operatività e funzionamento. L'API fornita è fruibile mediante credenziali di accesso alla piattaforma.)

Elenco di procedure per garantire la reversibilità del servizio SaaS.

  • Il cliente potrà inviare un messaggio e-mail dedicato o aprire un ticket per richiedere l'estrazione delle informazioni di cui necessita. Il fornitore prende in carico la richiesta ed invia i dati estratti in csv o pdf. All'avvenuta conferma da parte del cliente della ricezione dei dati estratti il fornitore cancella i dati. In assenza di richieste esplicite o indicazioni del cliente i dati saranno cancellati trascorsi 150 gg dalla disattivazione del contratto. Resta ferma la conservazione dei dati necessari ai fini dell’adempimento di eventuali obblighi di legge.

Scalabilità del servizio

No

Strumenti di monitoraggio delle risorse a consumo associate al servizio, dei costi e della qualità del servizio

E' presente all'interno dell'area cliente area in cui viene visualizzato il costo del servizio e relativa licenza. I costi sono a forfait e non sono sottoposti a monitoraggio del consumo,è diposnibile il dato relativo agli IP e Domain Name utlizzati. Per quanto afferisce agli indicatori della qualità del servizio sono disponibili in area dedicata gli indicatori di monitoraggio.

Metriche e statistiche disponibili

Le statistiche disponibili sono relative a: Availability, Support hours, Maximum First Support Response Time

Report disponibili

Sono liberamente consultabili e disponibili su area cliente

Livelli di servizio garantiti da dichiarare obbligatoriamente

  • Availability (in percentuale): 99
  • Maximum First Support Response Time (in minuti): 120 minuti

Monitoraggio dello stato del servizio e notifiche

  • E' disponibile il monitoraggio in tempo reale dello stato del servizio?:
  • Sono disponibili delle notifiche via SMS/email per gli eventi di indisponibilità del servizio?:

Controllo dell'Acquirente sulla gestione dei dati

  • L'Acquirente ha la possibilità di scegliere la localizzazione dei siti in cui verranno memorizzati e processati i dati?: No
  • L'Acquirente ha a disposizione procedure per la cancellazione permanente dei dati?:

Meccanismi di autenticazione degli utenti supportati

Autenticazione con username e password

Possibilità di configurazione/customizzazione dei meccanismi di autenticazione

No

Disponibilità di autenticazione a 2 fattori

No

Politiche di accesso alle informazioni in audit

  • In tempo reale: No
  • Differenziata tra utilizzatori e fornitore: No
  • Tempo minimo di conservazione delle informazioni di audit: 7 giorni
  • Tempo massimo di conservazione delle informazioni di audit: 180 giorni
  • Tempo minimo di conservazione dei log di servizio: 7 giorni
  • Tempo massimo di conservazione dei log di servizio: 180 giorni

Elementi che concorrono alla determinazione del prezzo (parametri)

Nome parametro Unità di misura Quantità minima
Parametro 1 IP pubblici da sottoporre a monitoraggio numero 2
Parametro 2 IP privati da sottoporre a monitoraggio numero 256
Parametro 3 Domain Name da sottoporre a monitoraggio numero 1

Prezzo base del servizio

  • Prezzo base in euro (in euro): 3600
  • Eventuale costo di attivazione (in euro): compreso nel canone annuale pacchetto

Altre condizioni

L'offerta è strutturata in licenze della durata di 12 mesi comprendenti un pacchetto di servizi/prodotti. Tutti i pacchetti/licenze contengono i seguenti servizi/prodotti: - N. 1 PTBOX - Compliance (GDPR) Self Assessment - Report Tecnico - Executive Report - Analisi on-demand o continua - Accesso Dashboard Cerbeyra Cliente In funzione del numero di Ip pubblici e privati e Domain Sever richiesti le licenze ulteriori offerte, fermi restando i servizi comuni sopra indicati, sono le seguenti: CRBYR-MSSP-A-02 - 6.900,00 € (N.4 IP Pubblici / FQDN, N. 512 IP privati, N.2 Domain Name – DNS) CRBYR-MSSP-A-03 - 10.400,00 € (N.8 IP Pubblici / FQDN, N. 1024 IP privati, N.2 Domain Name – DNS) CRBYR-MSSP-A-04 - 17.300,00 € (N.16 IP Pubblici / FQDN, N. 2048 IP privati, N.4 Domain Name – DNS) CRBYR-MSSP-A-05 - 23.000,00 € (N.16 IP Pubblici / FQDN, N. 4096 IP privati, N.4 Domain Name – DNS)

Esecuzione dei test OWASP

  • Le componenti che costituiscono il servizio SaaS sono state sottoposte ai test OWASP prima della loro immissione in produzione e successivamente su base periodica?:
  • Relativamente all'ultima esecuzione dei testi di cui alla "OWASP Testing Guide v.4" le componenti del servizio SaaS sono risultate esenti da vulnerabilità:

Tempistiche per la presa in carico e gestione delle segnalazioni

Per le richieste di assistenza tramite online ticketing, il tempo di presa in carico è di 120 minuti lavorativi. Alle segnalazioni verrà assegnata un priorità sulla base della tipologia di richiesta: malfunzionamento priorità ALTA - richiesta di supporto priorità MEDIA - richiesta di assistenza all'uso priorità BASSA. Le tempistiche di gestione delle segnalazioni dipenderanno dall'accordo stipulato tra le parti e dalla complessità delle richieste avanzate.

Localizzazione dei data center

Localizzazione (anche parziale) all'interno del territorio italiano

Terms & Conditions

  • Dichiaro che non è occorso altro evento che abbia modificato il rispetto dei requisiti di cui all'allegato "A" alla presente circolare.