Chi siamo · Certificazioni

Le certificazioni di PROPONTI: sicurezza, qualità e conformità

Quando un ente affida a un fornitore i dati dei suoi ponti, affida un patrimonio informativo che si costruisce in anni e non si rifà. Queste sono le certificazioni che stanno dietro alla piattaforma e ai processi di PROPONTI, che cosa attesta ciascuna e che cosa conviene chiedere prima di firmare.

Le sei

Le certificazioni, una per una

ISO 9001Qualità

UNI EN ISO 9001:2015

Standard internazionale per i sistemi di gestione della qualità. Certifica che progettazione, sviluppo, commercializzazione e assistenza post-vendita di PROPONTI seguono processi controllati, misurabili e orientati al miglioramento continuo.

Per l'ente significa un fornitore con procedure tracciabili e responsabilità definite lungo tutto il ciclo di vita della piattaforma, non solo al momento della vendita.

Rilasciata a PROPONTI, per l'intero ciclo di vita del prodotto. La detiene anche il fornitore dell'infrastruttura cloud.

ISO/IEC 27001Sicurezza

ISO/IEC 27001:2024

Norma di riferimento mondiale per la sicurezza delle informazioni (ISMS): analisi del rischio, controlli di accesso, gestione degli incidenti e continuità operativa.

È la certificazione che tutela il patrimonio informativo dell'ente — anagrafiche, ispezioni, classi di attenzione — e che sostiene la conformità al GDPR sul trattamento dei dati.

Rilasciata a PROPONTI per il proprio sistema di gestione, nell'edizione 2024. L'infrastruttura cloud è certificata sotto l'edizione 2017.

27017 · 27018Cloud

ISO/IEC 27017 e 27018

Estensioni della ISO/IEC 27001 dedicate al cloud: la 27017 definisce i controlli di sicurezza dei servizi cloud, la 27018 la protezione dei dati personali trattati in cloud.

Servono a stabilire dove finisce la responsabilità del fornitore e dove comincia quella dell'ente: in un servizio in cloud è la domanda che in gara si fa sempre.

Certificate in capo al fornitore dell'infrastruttura cloud; PROPONTI ne applica i controlli sui propri servizi.

CSA STARCloud

CSA STAR Self-Assessment

Registro pubblico della Cloud Security Alliance. PROPONTI applica i controlli previsti dal questionario CAIQ e pubblica l'esito nel registro: è un livello di autovalutazione dichiarata, non un audit di terza parte.

Vale per quello che è: trasparenza verificabile da chiunque, perché la dichiarazione è pubblica e confrontabile. Le garanzie verificate da un ente terzo sono le ISO qui accanto.

Dichiarata da PROPONTI e pubblicata nel registro CSA.

ACNCyber

Qualificazione ACN

Iscrizione all'elenco dei fornitori dell'Agenzia per la Cybersicurezza Nazionale, che stabilisce i requisiti dei servizi cloud destinati agli enti pubblici italiani.

Per la Pubblica Amministrazione non è un fregio ma un requisito: senza qualificazione un servizio cloud non può essere acquisito dall'ente.

PROPONTI è iscritta all'elenco dei fornitori qualificati. Lo è anche il fornitore dell'infrastruttura cloud.

DM 204/2022Ponti

Conformità alle Linee Guida 2022

Aderenza alle Linee Guida per la classificazione e gestione del rischio dei ponti adottate con il DM 204/2022 e alle Istruzioni Operative ANSFISA 11/2025: analisi multilivello, censimento di Livello 0, ispezioni di Livello 1, Classe di Attenzione al Livello 2.

Metodologia e terminologia del software rispecchiano la norma, così quello che l'ente produce è documentazione valida per i controlli e non un formato da riconvertire.

Nessun rilascio: è conformità metodologica del software, non un certificato di terza parte.

Tre livelli

Che cosa è certificato, e da chi

«Certificato» da solo non vuol dire niente finché non si dice che cosa e chi lo ha verificato. Qui i livelli sono tre, e vanno tenuti distinti.

L’infrastruttura. La piattaforma è offerta in modalità SaaS e gira su un’infrastruttura cloud certificata: sono le certificazioni che riguardano dove i dati risiedono, come sono protetti e con quali garanzie di continuità. Sul funzionamento della piattaforma e su che cosa comporta il SaaS per un ente c’è la pagina della piattaforma software PROPONTI.

I processi. Riguardano il modo in cui PROPONTI progetta, sviluppa e assiste: procedure scritte, responsabilità assegnate, tracciabilità delle modifiche.

Le persone. Chi sale sull’opera ha una qualifica sua, che non è una certificazione aziendale: gli Ispettori di Terzo Livello che coordinano i rilievi sono qualificati secondo la norma UNI CEI EN ISO/IEC 17024, ed è un requisito del servizio di ispezione dei ponti, non del software.

Una precisazione che vale la pena fare per intero: la conformità alle Linee Guida 2022 non è una certificazione rilasciata da un organismo terzo. È aderenza metodologica alla norma — schede, livelli, calcolo della Classe di Attenzione — ed è verificabile guardando quello che il software produce e confrontandolo con il testo delle Linee Guida Ponti 2022. Chi la presenta come un certificato dice una cosa che non sta in piedi.

Perché la distinzione non resti teorica, ogni card qui sopra chiude dicendo a chi è rilasciata quella specifica attestazione: alcune sono di PROPONTI, altre del fornitore dell’infrastruttura cloud, una è un’autodichiarazione e una non è un certificato. È l’informazione che serve a chi deve scrivere una motivazione in un atto, e di solito è quella che manca.

Perché conta

Perché contano quando il cliente è un ente pubblico

In un affidamento privato le certificazioni sono un elemento di preferenza. Con un ente pubblico cambiano di natura: alcune diventano condizione di ammissibilità.

La qualificazione presso l’Agenzia per la Cybersicurezza Nazionale è la più stringente, perché stabilisce i requisiti dei servizi cloud che una Pubblica Amministrazione può acquisire: senza, il problema non è la qualità dell’offerta, è che l’acquisto non si può fare.

Poi c’è il GDPR, e qui la posizione dell’ente è precisa: l’ente resta titolare del trattamento, il fornitore è responsabile del trattamento, e la responsabilità della scelta del fornitore è del titolare. Le certificazioni sulla sicurezza delle informazioni sono lo strumento con cui quella scelta si motiva in un atto.

Infine la continuità. Un archivio di censimento e ispezioni si costruisce in anni di lavoro e non si rifà: il rischio da coprire non è solo l’accesso indebito, è l’indisponibilità e la perdita.

In affidamento

Che cosa chiedere a un fornitore prima di firmare

Sono sei domande che stanno bene in un capitolato o in una richiesta di chiarimenti, e a cui un fornitore serio risponde per iscritto senza esitare.

Che cosa chiederePerché conta
Chi è certificato: voi o il vostro fornitore cloud?Sono due soggetti diversi. Una certificazione dell’infrastruttura non dice niente sui processi di chi vi vende il software.
Numero del certificato e organismo che lo ha rilasciatoUn certificato senza numero e senza ente certificatore non è verificabile, e quindi non è un certificato.
Data di scadenza e ultimo audit di sorveglianzaLe certificazioni ISO hanno un ciclo e vanno mantenute. La domanda distingue chi la tiene viva da chi l’ha presa una volta.
Siete qualificati ACN? Con quale servizio?La qualificazione riguarda un servizio specifico, non l’azienda in generale.
Dove risiedono fisicamente i datiServe al titolare del trattamento per motivare la scelta e per le clausole sul trasferimento.
Come si esportano i dati alla fine del contrattoÈ la domanda che quasi nessuno fa all’inizio e tutti si trovano a fare alla fine. Deve stare nel contratto, non nella buona volontà.

Le risposte di PROPONTI a queste sei domande sono le sei certificazioni qui sopra, più il fatto che l’esportazione dei dati in formati aperti è una funzione ordinaria della piattaforma.

Verifica

Dove si verificano, senza chiederle a noi

Nessuna di queste attestazioni va creduta sulla parola, e non serve: si controllano dai registri di chi le rilascia.

La qualificazione ACN si verifica nel catalogo dei servizi cloud qualificati tenuto dall’Agenzia, dove ogni servizio compare con il suo fornitore e il livello di qualificazione. Il registro CSA STAR della Cloud Security Alliance è pubblico e consultabile per nome del fornitore, e mostra anche a quale livello è la voce: l’autovalutazione e l’audit di terza parte sono due cose distinte e il registro le distingue. Le certificazioni ISO si verificano presso l’organismo che le ha emesse, a partire dal numero riportato sul certificato: è il motivo per cui il numero va chiesto e non basta il logo.

Per le certificazioni riferite all’infrastruttura, il soggetto da cercare nei registri è il fornitore cloud, non PROPONTI. È l’unica ricerca che a prima vista sorprende, ed è anche la ragione per cui la distinzione fra i tre livelli è la prima cosa scritta in questa pagina.

FAQ

Domande frequenti sulle certificazioni

ISO 9001 per la qualità, ISO/IEC 27001 per la sicurezza delle informazioni, ISO/IEC 27017 e 27018 per il cloud, il CSA STAR Self-Assessment e la qualificazione presso l’Agenzia per la Cybersicurezza Nazionale, oltre alla conformità alle Linee Guida Ponti 2022.

No, ed è giusto distinguerlo: il livello dichiarato è l’autovalutazione, pubblicata nel registro della Cloud Security Alliance. Le garanzie verificate da un organismo terzo sono le certificazioni ISO.

Dipende dalla certificazione: alcune riguardano l’infrastruttura su cui la piattaforma è ospitata, altre i processi di PROPONTI. Sono due soggetti distinti ed è corretto chiederlo a qualunque fornitore, compreso noi.

No, ed è giusto dirlo: è aderenza metodologica alla norma adottata con il DM 204/2022, non un certificato rilasciato da un organismo terzo. Si verifica confrontando quello che il software produce con il testo delle Linee Guida.

Perché stabilisce i requisiti dei servizi cloud che una Pubblica Amministrazione può acquisire. Non è un elemento di preferenza: senza qualificazione l’acquisto non si può fare.

Sì. L’ente resta titolare del trattamento e il fornitore è responsabile; la responsabilità della scelta del fornitore è del titolare, e le certificazioni sulla sicurezza delle informazioni sono lo strumento con cui quella scelta si motiva in un atto.

Dai registri pubblici: il catalogo dei servizi cloud qualificati dell’ACN, il registro CSA STAR della Cloud Security Alliance e l’organismo che ha emesso ciascun certificato ISO, a partire dal numero riportato sul certificato.

Le persone hanno una qualifica propria, diversa da una certificazione aziendale: gli Ispettori di Terzo Livello che coordinano i rilievi sono qualificati secondo la norma UNI CEI EN ISO/IEC 17024. Riguarda il servizio di ispezione, non il software.

Restano dell’ente e si esportano in formati aperti come funzione ordinaria della piattaforma: anagrafiche, ispezioni, difetti, fotografie e classificazioni. È una domanda che conviene mettere nel contratto, non lasciare alla buona volontà.

Inizia oggi

Affidabilità su cui contare

Richiedi una demo gratuita: ti mostriamo PROPONTI sui ponti del tuo territorio, dal censimento alla classe di attenzione.

Prenota una demo gratuita