Verificare i fornitori SaaS: referenze, certificati, fonti pubbliche

Fonti pubbliche per referenze e certificati

Sono principalmente due i tipi di prove verificabili pubblicamente: le informazioni pubblicate sugli appalti pubblici e i registri degli enti di certificazione emittenti. Entrambi vengono verificati alla fonte, non sul sito di marketing del fornitore.

In Svizzera, simap.ch è la piattaforma elettronica per gli appalti pubblici, gestita dall’associazione simap (projekttools.ch). Le procedure aperte e selettive al di sopra delle soglie di valore vengono bandite su questa piattaforma e gli aggiudicazioni vengono pubblicate. Una referenza citata può quindi essere ricercata in base al fornitore e al committente e confrontata con l’aggiudicazione pubblicata.

Per singoli certificati, il luogo della controverifica è il registro dell’ente emittente. L’ente emittente deve essere riconosciuto dall’Organismo svizzero di accreditamento SAS (solira.ch). Un certificato generico non sostituisce la verifica dello specifico campo di applicazione.

Un sigillo ISO 27001, i loghi dei clienti e la dicitura «certificato» sul sito di marketing sono autodichiarazioni. Diventano verificabili solo tramite un ente indipendente dal fornitore: il registro dell’ente di certificazione emittente, una chiave pubblica per la verifica della firma o la comunicazione di aggiudicazione dell’ente committente.

Quattro categorie di prove sono accessibili pubblicamente e ciascuna attesta qualcosa di diverso. Una registrazione nel registro attesta l’esistenza, il titolare, il campo di applicazione e la durata di validità di un certificato – non che tale campo di applicazione copra la prestazione SaaS concretamente acquistata. Una firma attesta che un documento proviene inalterato dal titolare di una determinata chiave – non che il contenuto sia corretto.

La chiave pubblica si trova sotto un indirizzo fisso sul dominio del fornitore e viene mantenuta in mirror in modo permanente. Ciò rende possibile la verifica della firma anche se il fornitore dovesse cessare di esistere in futuro. Attesta chi è autorizzato all’emissione e rende la verifica indipendente dalla collaborazione del fornitore. Una comunicazione di aggiudicazione attesta chi ha ottenuto un appalto pubblico e quando – non come si è svolto il progetto.

La controverifica avviene alla fonte della rispettiva prova: per gli appalti svizzeri su simap.ch, per i certificati nel registro dell’ente emittente e per le firme sulla chiave pubblicata del fornitore.

Per gli acquisti ciò significa: definire per ogni prova cosa viene richiesto e dove si effettua la controverifica in autonomia. Esigere dal fornitore il numero del certificato e l’ente emittente invece di una copia PDF. Richiedere la posizione di archiviazione della chiave pubblica insieme all’impronta digitale invece di un report come allegato e-mail. Per i progetti di referenza, esigere l’ente aggiudicatore e la data di aggiudicazione, in modo da poter cercare autonomamente la comunicazione.

Da regolare contrattualmente è l’aggiornamento: i certificati devono essere rinnovati senza interruzioni, le nuove versioni dei report devono essere fornite firmate.

Le fonti pubbliche attestano fatti diversi: le informazioni sugli appalti documentano incarichi pubblicati, mentre il LPD, l’OPD e l’OCertPD definiscono il quadro per le certificazioni della protezione dei dati (economiesuisse.ch). L’OCertPD è entrata in vigore insieme all’OPD e al LPD rivisto il 1° settembre 2023. In caso di prova, è quindi necessario distinguere tra l’ente di certificazione competente, il suo riconoscimento e l’oggetto della certificazione.

Transpareo descrive per il Passaporto digitale di prodotto una procedura con un identificativo dell’emittente sul proprio dominio e una verifica nel browser, senza dover contattare il fornitore (transpareo.com). Per le prove SaaS, occorre esigere dal fornitore l’indirizzo concreto della chiave e la relativa impronta digitale.

Chi vuole verificare, cerca la registrazione nel registro, la firma e la comunicazione di aggiudicazione. Se manca una di queste tracce, l’indicazione rimane un’autodichiarazione.

Verificare i certificati nel registro e le accreditazioni svizzere

Un certificato ISO 27001 non viene rilasciato dall’organizzazione verificata. Un ente di certificazione accreditato svolge un audit esterno e verifica se il sistema di gestione della sicurezza delle informazioni (ISMS) soddisfa i requisiti della norma. L’emittente e il titolare del certificato sono due parti diverse; l’ente emittente gestisce un proprio registro dei certificati. La controverifica avviene lì, non sul sito del fornitore.

Per un certificato ISO 27001, esigete l’ente emittente e la prova del suo accreditamento prima di accettare la registrazione nel registro come prova. Il certificato viene rilasciato da un ente di certificazione indipendente come SQS o Safety Center, riconosciuto dall’Organismo svizzero di accreditamento SAS (solira.ch).

La ricerca nel registro va effettuata utilizzando la denominazione giuridica dell’azienda certificata, non il nome del prodotto o del marchio. Se un fornitore non indica né il numero del certificato né l’ente emittente, manca il punto di partenza per la controverifica.

Chiarite la denominazione giuridica dell’azienda certificata prima della controverifica. Utilizzate questa denominazione per la ricerca del certificato.

Dal certificato vanno riportate sei indicazioni: la denominazione giuridica dell’azienda certificata invece della denominazione del prodotto o del marchio, il numero del certificato, la norma con l’anno di edizione (ad esempio ISO/IEC 27001:2022), l’ente di certificazione emittente, la durata di validità e il campo di applicazione riportato letteralmente. Il campo di applicazione determina l’utilità: esso elenca le sedi, le unità operative e le attività che sono state sottoposte ad audit.

La registrazione nel registro indica il titolare, la norma, il campo di applicazione e la durata di validità. Non indica la prestazione da voi acquistata, non la vostra sede e non i subappaltatori utilizzati. Questa lacuna sussiste anche in caso di registrazione completa. I certificati di gruppo raramente coprono ogni società figlia e ogni servizio. Un certificato per lo sviluppo e l’esercizio non significa automaticamente che il data center rilevante per voi o i subappaltatori utilizzati siano inclusi.

Oltre al campo di applicazione, va verificato il ciclo di audit. I certificati hanno una durata di validità e durante questo periodo sono accompagnati da audit di sorveglianza ricorrenti; prima della scadenza è previsto un audit di rinnovo. Chiedete la data e il tipo dell’ultimo audit e confrontateli con la durata di validità. Se un certificato scade tra pochi mesi e manca la prova del rinnovo, l’affermazione «certificato» è affidabile quanto la carta su cui è stampata.

Le indicazioni temporali sulla certificazione sono un elemento di plausibilità, ma non sostituiscono la registrazione nel registro. Chiedete dell’ultimo audit e confrontate la sua data con la durata di validità del certificato. Così si può riconoscere se l’indicazione «certificato» è supportata da una prova attuale.

Chi cerca l’ente e trova solo «certificato» non ha un indirizzo per la verifica. Esigete il numero del certificato, l’ente emittente e la prova di accreditamento dell’Organismo svizzero di accreditamento SAS; solo così la registrazione nel registro diventa reperibile. Se manca l’accreditamento, la registrazione rimane un’affermazione con un numero.

Chi vuole controverificare un certificato, cerca la voce nel registro dell’ente emittente. Se manca la voce o l’accreditamento, manca la prova.

Classificare le certificazioni della protezione dei dati secondo il diritto svizzero

L’Ordinanza sulle certificazioni della protezione dei dati (OCertPD) è entrata in vigore il 1° settembre 2023 e integra il diritto svizzero sulla protezione dei dati con disposizioni sulle certificazioni della protezione dei dati (economiesuisse.ch). Le certificazioni straniere della protezione dei dati che soddisfano i requisiti della legislazione svizzera sono riconosciute dopo consultazione con l’Organismo svizzero di accreditamento SAS (edoeb.admin.ch). Per la verifica di una prova SaaS sono decisivi l’ente emittente, il suo riconoscimento, l’oggetto della certificazione e la durata di validità.

Il LPD rivisto protegge la personalità e i diritti fondamentali delle persone fisiche che si trovano in Svizzera, i cui dati sono trattati da privati o dallo Stato; i dati delle persone giuridiche non sono più protetti. Per l’acquisto di SaaS ciò significa: una certificazione della protezione dei dati riguarda i dati personali di persone fisiche – i dati aziendali, che lo stesso servizio elabora anch’esso, non rientrano in questa categoria.

I dati personali sono tutte le indicazioni che si riferiscono a una persona fisica determinata o determinabile (art. 5 lett. a LPD). Il trattamento è qualsiasi operazione con dati personali, indipendentemente dai mezzi e dalle procedure applicate (art. 5 lett. b LPD). Il LPD presenta una grande vicinanza contenutuale al Regolamento generale sulla protezione dei dati (RGPD).

Il campo di applicazione materiale comprende i trattamenti automatizzati di dati nonché i trattamenti manuali di dati in sistemi di file. Gli atti normativi rilevanti sono il LPD del 25 settembre 2020, l’OPD e l’OCertPD.

L’OCertPD costituisce il quadro per le certificazioni della protezione dei dati. Esigete il certificato e la denominazione dell’ente certificatore. Verificate quali trattamenti e quali parti dell’organizzazione sono compresi e per quanto tempo vale la prova. Anche per gli enti di certificazione stranieri e le certificazioni della protezione dei dati vale: verificate se l’ente e il concreto oggetto della certificazione sono coperti dalla prova. Una registrazione o un certificato non attestano automaticamente ogni prestazione del fornitore SaaS.

La revisione rafforza la sorveglianza della protezione dei dati ed estende le disposizioni penali. Le imprese incontrano nuovi obblighi, in particolare in caso di raccolta, perdita o abuso di dati personali.

Una certificazione del fornitore non sostituisce la verifica della propria responsabilità. Chi, in qualità di responsabile, affida dati personali a un fornitore SaaS, rimane responsabile del trattamento nei confronti delle persone interessate; certificati sono i processi del fornitore, non l’utilizzo del servizio da parte vostra.

Ciò che una certificazione della protezione dei dati secondo l’OCertPD non attesta: non la liceità del vostro proprio trattamento, non la protezione dei dati aziendali e non il luogo del trattamento. Questi punti restano nella vostra responsabilità.

Agli acquisti appartengono quindi anche chiarimenti propri: quali dati personali entrano nel servizio e in quale misura, quale trattamento su mandato viene concordato, dove i dati vengono trattati e archiviati. Da chiarire è anche come i dati vengono recuperati e cancellati alla fine del contratto.

Per la controverifica di una prova OCertPD è decisivo l’ente emittente. Il PFPDT riconosce gli enti di certificazione stranieri e le loro certificazioni della protezione dei dati dopo consultazione con l’Organismo svizzero di accreditamento SAS (edoeb.admin.ch). Esigete la prova concreta e verificate il suo oggetto e la sua durata di validità.

Verificare report firmati e chiavi pubbliche

I report di sicurezza e i documenti di audit dovrebbero essere richiesti come file firmati, in modo da poterne verificare l’inalterabilità. Con una firma valida, il file proviene dal titolare della corrispondente chiave privata. Per la controprova avete bisogno della corrispondente chiave pubblica e della sua impronta digitale.

Transpareo descrive per il Passaporto digitale di prodotto che i produttori pubblicano il loro identificativo oppure la loro chiave pubblica sotto un indirizzo fisso sul proprio dominio (transpareo.com). La verifica avviene nel browser, senza contattare il server del fornitore. Come esempio per una prova SaaS vale lo stesso principio di verifica solo se il fornitore pubblica l’indirizzo e l’impronta digitale della sua chiave.

L’indirizzo fisso segue lo standard W3C DID:web: il produttore pubblica il suo identificativo sul proprio dominio (transpareo.com).

Per le prove archiviate conta che il file e la chiave necessaria per la verifica siano ancora reperibili in seguito. Archivate quindi report, firma, indirizzo della chiave e impronta digitale insieme nel vostro archivio. Regolate contrattualmente come vengono aggiornati i report firmati.

La catena di verifica è breve. Prima si cerca l’indirizzo fisso della chiave sul dominio del fornitore, poi si confronta l’impronta digitale pubblicata, poi si calcola la firma sul file fornito. In questo processo non viene contattato alcun server del fornitore.

L’indirizzo dell’archivio delle chiavi va chiesto al fornitore e richiamato autonomamente. Chi legge solo «firmato PGP», senza indirizzo e impronta digitale, non ha un punto di ritrovamento e quindi nessuna prova. Un fornitore cita «report firmati PGP» (qsearch.ch); allora vanno richiesti l’indirizzo della chiave e l’impronta digitale.

Per gli acquisti ciò significa: esigete l’indirizzo dell’archivio delle chiavi e verificate autonomamente un file fornito.

Consapevolmente nessuna classica catena di certificati: le catene di certificati scadono nel corso di decenni, mentre un indirizzo sul proprio dominio rimane robusto. Chi conserva prove che devono essere verificabili anche dopo molto tempo, punta su indirizzi di chiave permanentemente raggiungibili. Se la firma copre ogni singola indicazione invece di essere un blocco sull’intero documento, i campi aggiunti successivamente rimangono dimostrabili senza dover firmare nuovamente.

Da regolare contrattualmente sono il luogo di pubblicazione della chiave pubblica e dell’impronta digitale nonché l’obbligo di fornire ogni report firmato. Da regolare è anche la conservazione della chiave e del report nel proprio archivio, perché una firma rimane verificabile solo finché la chiave è reperibile.

L’app open source di visualizzazione per questo modello di verifica si chiama Transpareo Time Machine. Carica il passaporto, ricalcola la sua impronta digitale e verifica entrambe le firme, senza contattare un server del fornitore. Chi è diffidente può leggere il codice.

La verifica con Transpareo Time Machine avviene in tre passaggi: l’app carica il passaporto, ricalcola l’impronta digitale e la confronta con il valore pubblicato. Poi verifica la firma del produttore e la controfirma. Non viene contattato alcun server del fornitore.

Chi vuole verificare una firma, cerca l’indirizzo fisso della chiave sul dominio del fornitore e l’impronta digitale. Se manca l’indirizzo, il report rimane non verificato.

Verificare le referenze nei dati pubblici sugli appalti

Le referenze svizzere possono essere verificate su simap.ch, la piattaforma elettronica per gli appalti pubblici (projekttools.ch). Cercate il nome del fornitore e confrontate il committente, l’oggetto dell’incarico e la data con l’elenco delle referenze del fornitore SaaS.

Una ricerca solo per termini generali come «IT» o «software» può fornire molti appalti sostanzialmente diversi. Cominciate quindi con il nome del fornitore e verificate i risultati in base al committente e all’oggetto dell’incarico. Per una ricerca oltre la Svizzera possono essere prese in considerazione ulteriori informazioni pubbliche sugli appalti.

Va distinta la differenza tra appalti svizzeri e incarichi con riferimento UE; il luogo di ritrovamento rilevante dipende dal committente. Per gli appalti svizzeri, simap.ch è la piattaforma centrale: le procedure aperte e selettive al di sopra delle soglie di valore vengono bandite lì e le aggiudicazioni pubblicate (projekttools.ch). Le informazioni pubbliche sugli appalti non sostituiscono la conferma del fornitore che un incarico pubblicato riguardi effettivamente la sua prestazione SaaS.

Registrate per ogni risultato il committente, l’oggetto e la data, invece di dedurre la qualità della referenza da un solo risultato di ricerca. Per una referenza, verificate la comunicazione di aggiudicazione pubblicata e annotate quale committente ha assegnato l’incarico, di cosa si trattava nell’incarico e quando è apparsa la comunicazione.

Una comunicazione di aggiudicazione attesta un’aggiudicazione pubblicata, ma non lo svolgimento del progetto o la qualità attuale del servizio. Integrate quindi la controverifica pubblica con domande sulla prestazione SaaS concretamente fornita. Non trattate una comunicazione non reperibile come una referenza pubblica confermata.

Più aggiudicazioni allo stesso fornitore possono indicare una collaborazione ricorrente. Verificate la sequenza delle comunicazioni di aggiudicazione e chiedete l’entità delle prestazioni finora fornite. Da ciò si può classificare meglio una referenza, senza dedurre dipendenze o successo del progetto dalla sola sequenza di aggiudicazioni.

Una ricerca per parole chiave può nascondere appalti rilevanti tra risultati estranei al settore. Cercate quindi nelle informazioni pubbliche sugli appalti il nome del fornitore e del committente e verificate l’oggetto dell’incarico.

Cercate la comunicazione di aggiudicazione nelle informazioni pubbliche sugli appalti e confrontate fornitore, committente e oggetto dell’incarico. Se manca una comunicazione corrispondente, la referenza pubblica sull’appalto rimane non confermata.

Verificare le prove di collegamento a eIAM dai fogli informativi pubblici

Anche le dichiarazioni di collegamento alla Confederazione possono essere verificate pubblicamente. Il foglio informativo «Collegamento di applicazioni a eIAM» menziona un obbligo di riferimento a eIAM per le applicazioni web e le app mobile native.

eIAM è il sistema centrale di accesso e autorizzazione della Confederazione. AGOV è una componente intrinseca di eIAM e occupa una posizione speciale; CH-LOGIN si trova nella fase di dismissione. Pubblico e visibile è il foglio informativo per gli acquisti «Collegamento di applicazioni a eIAM» (versione 1.7 del 9 ottobre 2024). Serve come base per le questioni di collegamento e va letto nella versione attuale al momento dell’acquisto.

In caso di indicazione eIAM, verificate le informazioni pubblicate sul sito web eIAM e confrontatele con l’affermazione concreta del fornitore. Un risultato generico o un video introduttivo non attestano ancora che la soluzione SaaS offerta utilizzi la variante di collegamento affermata.

eIAM incluso AGOV autentica persone fisiche, non giuridiche. Questa distinzione va considerata nella verifica di referenze e certificati, perché le prove sulla protezione dei dati si riferiscono a persone fisiche.

Secondo questo foglio informativo, per le applicazioni web e le app mobile native vale un obbligo di riferimento a eIAM. Il collegamento può avvenire direttamente o indirettamente; esistono diverse varianti di collegamento indiretto.

Il foglio informativo distingue i casi in cui vanno utilizzati i servizi del DFGP da quelli in cui viene impiegato il servizio eIAM. Prima di accettare una dichiarazione di interoperabilità, fatevi indicare per iscritto la variante di collegamento scelta e la via prevista. Verificate l’obbligo di riferimento rispetto al foglio informativo.

Il percorso di verifica segue il foglio informativo. Si apre il sito web eIAM della Confederazione, si richiama il foglio informativo «Collegamento di applicazioni a eIAM» nella versione 1.7 del 9 ottobre 2024 e si confronta l’obbligo di riferimento con le varianti di collegamento rispetto all’indicazione del fornitore.

La verificabilità avviene senza la collaborazione del fornitore: il foglio informativo è disponibile pubblicamente, così come le indicazioni su eIAM, AGOV e gli identity provider, da cui eIAM ottiene le identità elettroniche. Le domande al fornitore si rivolgono quindi a elementi dimostrabili – quale variante di collegamento, basata su quale versione del foglio informativo, concordata con quale ente. Assicurazioni generali di interoperabilità non bastano.

Nel sistema core eIAM incl. AGOV attualmente non viene impiegata alcuna IA. Questa indicazione di trasparenza è pubblicamente visibile.

Il foglio informativo è pubblicato pubblicamente sul sito web eIAM della Confederazione. Gli identity provider sono la fonte delle identità elettroniche per eIAM. Il passaggio da CH-LOGIN porta ad AGOV e FED-LOGIN. Anche la federazione di Entra con eIAM è documentata pubblicamente.

Chi vuole verificare una prova di collegamento, cerca la variante di collegamento scelta e la versione del foglio informativo. Se manca l’indicazione, la dichiarazione di interoperabilità rimane generica.

Segnali di allarme e i limiti della verifica pubblica

I segnali di allarme risultano direttamente dalle fonti pubbliche: un sigillo senza registrazione nel registro reperibile; un certificato il cui campo di applicazione non comprende la prestazione esercitata, la sede o i subappaltatori. Altri segnali di allarme sono un certificato scaduto senza prova del rinnovo; clienti di referenza citati senza comunicazione di aggiudicazione e senza data; un report di sicurezza come PDF senza firma.

Ciò che il lettore cerca e non trova può essere nominato. Una registrazione nel registro senza accreditamento, una firma senza indirizzo della chiave reperibile, una referenza senza comunicazione di aggiudicazione – in tutti e tre i casi manca la prova e la domanda ritorna al fornitore.

Le domande che ne conseguono vanno direttamente al fornitore: numero del certificato, ente emittente, campo di applicazione riportato letteralmente, durata di validità, data e tipo dell’ultimo audit. Da chiedere sono anche l’indirizzo e l’impronta digitale della chiave pubblica nonché l’impegno a fornire ogni report firmato. Per ogni referenza citata vanno indicati l’ente aggiudicatore, l’oggetto dell’incarico e la data; per il collegamento la variante di collegamento eIAM scelta con la versione del foglio informativo. Chi non riceve nessuna di queste indicazioni, ha già una risposta.

I limiti della verifica pubblica sono altrettanto chiari: ricostruibile è solo ciò che un terzo ente pubblica. Riscontri interni di audit, l’elenco dei subappaltatori, la storia degli incidenti e lo stato attuale di un’istanza produttiva non possono essere verificati in questo modo; per questo servono informazioni e diritti di verifica assicurati contrattualmente. Un certificato attesta un sistema di gestione funzionante, non la sicurezza di una determinata configurazione in esercizio.

Ciò che non è reperibile pubblicamente, manca come prova. Registrazione nel registro, firma e comunicazione di aggiudicazione sono le tracce affidabili.