Rilevamento della Sicurezza Interna (tramite Safebase)

I portali SafeBase esposti servono due tipi di pubblico contemporaneamente: i potenziali clienti che necessitano di prove della tua postura di sicurezza e i ricercatori di sicurezza (blue team e red team). Ogni spunta verde rivela un controllo che (presumibilmente) esiste oggi; ogni spunta mancante è un indizio altrettanto evidente di ciò che non esiste.

Perché raccogliere questi dati?

I framework di conformità come ISO 27001, SOC 2, PCI-DSS e le crescenti normative sulla privacy in diverse regioni richiedono "prove" che i controlli di sicurezza siano in atto e funzionanti. Safebase offre un modo comodo per fornirle senza interminabili scambi di email per prove o documenti.

Eseguire lo scraping del proprio trust center pubblico può sembrare inutile, visto che lo hai creato tu, ma ci sono altri buoni motivi per farlo:

1. Garanzia continua – I revisori preferiscono sempre più prove continuative.
2. Rilevamento delle modifiche – I titoli delle policy, i raggruppamenti e persino i nomi dei controlli possono cambiare dopo un aggiornamento o un'acquisizione della piattaforma. Lo scraping automatizzato può rilevare queste modifiche prima che i clienti se ne accorgano.
3. Mappature con terze parti – Convertire l'elenco in JSON consente di incrociare i dati con librerie di controlli (ad es. NIST 800-53) e dimostrare automaticamente la copertura.
4. Valutazioni di sicurezza – Per i blue team, garantisce che le dichiarazioni pubbliche rimangano accurate; per i red team, fornisce un rapido confronto con la propria libreria di controlli per identificare i "punti deboli".

Come eseguo questo script?

1. Scarica Nuclei da qui
2. Copia il template sul tuo sistema locale
3. Esegui il seguente comando: nuclei -u https://yourHost.com -headless -t template.yaml

L'output dovrebbe apparire così:

Una guida approfondita è disponibile qui: Internal Security Detection

Trovare siti SafeBase

Usa questo Google dork per scoprire i trust center SafeBase:

inurl:(security|trust|compliance) "Powered by SafeBase"

Controlli di Sicurezza Rilevati (163 Controlli Verificati)

Tutti i controlli elencati di seguito sono stati verificati su trust center SafeBase reali.

Accesso e Autenticazione

• Access Control
• Access Control Policy
• Access Log Management
• Access Monitoring
• Access Monitoring Policy
• Authentication
• Collected Data Access
• Credential Management
• Data Access
• Data Roles: Controller and Processor
• Multi-Factor Authentication
• Password Security
• SSO Support
• Sub-processors
• Subprocessors
• Voluntary Product Accessibility Template® (VPAT®)

IA e Machine Learning

• AI Governance
• AI Risk Statement
• AI Security
• AI Training Data
• AI Training Data and Bias
• Alignment with EU AI Act Principles
• Decision-Making and Human Oversight
• EU AI Act
• Model Evaluations, Fairness & Bias
• Ongoing Third-Party Bias Audits
• TRUSTe Responsible AI Certification

Sicurezza delle Applicazioni

• Application Penetration Testing
• Bug Bounty Program
• Code Analysis
• Responsible Disclosure
• Responsible Disclosure & Bug Bounty
• Secure Development Training
• Secure Software Development Lifecycle
• Software Development Lifecycle

Asset e Infrastruttura

• Asset Management
• Asset Management Policy
• Asset Management Practices
• Audit Logging
• Capacity Management
• Data Exfiltration Monitoring
• Infrastructure Logging
• Logging
• Status Monitoring
• Status Monitoring of SLA

Continuità Operativa

• BC/DR
• Business Continuity and Disaster Recovery
• Business Continuity/Disaster Recovery (BC/DR) Policy
• Data Backups
• Disaster Recovery & Backups
• Operational Resilience and Redundancy Policy
• Overarching Operational Resilience and Redundancy Plan

Conformità e Certificazioni

• CCPA
• CSA STAR
• CSA STAR Certification
• CSA STAR Level 1
• CSA STAR Level 2
• CSA STAR Level 2 Certification
• CSA STAR for AI
• CSA Trusted Cloud Provider
• Cyber Essentials Plus
• DORA
• DoD IL4
• EU-US DPF
• FIPS 140-2
• FedRAMP High
• FedRAMP Moderate
• GDPR
• GDPR Compliance and AI
• GovRAMP
• HECVAT
• HECVAT Full
• HECVAT Lite
• HIPAA
• IRAP
• IRAP Protected Documentation
• ISO 27001 / 27017 / 27018
• ISO/IEC 20243:2024
• ISO/IEC 27001
• ISO/IEC 27001 SoA
• ISO/IEC 27001:2022
• ISO/IEC 27017
• ISO/IEC 27018
• ISO/IEC 27701
• ISO/IEC 27701:2019
• ISO/IEC 42001:2023
• NIST
• NIST 800-53 Rev. 5
• OPTIV ISO27001
• PCI DSS
• PCI DSS v4.0.0
• Privacy Mark
• SOC 1
• SOC 2
• SOC 2 Type 2
• SOC 3
• Swiss-US DPF
• TISAX
• TX-RAMP
• UK Extension to EU-US DPF
• US Employment Law Compliance
• VPAT

Protezione dei Dati e Privacy

• Cookies
• Data Breach Notifications
• Data De-Identification
• Data Deletion / Data Retention
• Data Erasure
• Data Flow Diagram
• Data Loss Prevention
• Data Privacy Officer
• Data Processing Agreement
• Data Residency
• Data Retention
• Data Retention & Disposal
• Data Security
• Disk Encryption
• Employee Privacy Training
• Encryption-at-rest
• Health Data Hosting (HDS) France
• Network / Data Flow Diagrams
• Privacy Officer
• Privacy Policy

Endpoint e Dispositivi

• Bring Your Own Device (BYOD)
• Endpoint Detection & Response
• Mobile Device Management

Risposta agli Incidenti

• Incident Response
• Incident Response Plan

Sicurezza di Rete

• Allow List Restrictions
• Anti-DDoS
• DNS Filtering
• Firewall
• IDS/IPS
• Network Diagram

Personale e Formazione

• Acceptable Use Policy
• Anti-Bribery and Corruption
• Anti-Modern Slavery
• Code of Conduct
• Employee Training
• HR Security
• Model Pretraining
• Modern Slavery
• Phishing Training
• Role-Based Training
• Supplier Code of Conduct

Rischio e Vulnerabilità

• Risk Assessments
• Supply Chain Risk Management
• Vulnerability & Patch Management

Terze Parti e Fornitori

• Customer Audit Rights
• Third Party Dependence
• Vendor Management

Altro

• Alternate Work Sites
• Approach to AI
• Certificate of Insurance
• Change Enablement Policy
• Continual Improvement Policy
• Critical Dependence
• Cyber Insurance
• Email Protection
• Employers Liability Insurance
• Environment Social and Governance
• Security Information and Event Management
• Security Operations Center (SOC)
• Technical and Organisational Measures

Siti Testati

Questo template è stato testato e verificato su:

• security.projectdiscovery.io
• security.okta.com
• trust.openai.com
• secureandtrusted.gbgplc.com
• trust.treasuredata.com
• trust.hipeople.io

Riferimenti

• https://safebase.io
• https://blog.rxerium.com/internal-security-detection

Contatti

Non esitare a contattarmi su Signal.