Portale clienti per i documenti di conformità
Condivida documenti di conformità approvati con clienti specifici, per prodotto e versione, con accesso controllato e cronologia dei download.
In questo articolo
- Sintesi
- I fabbricanti vogliono meno passaggi intermedi
- Il fornitore diventa un rischio se blocca le evidenze
- Fornitori e clienti: due flussi con scopi diversi
- I clienti iniziano dai prodotti condivisi con loro
- Ogni prodotto raccoglie le sue versioni condivise
- Ogni versione ha i propri file pubblicati
- Lei sceglie come le versioni entrano nel portale
- L’ambito aziendale definisce il tetto di condivisione
- Pubblichi i file adatti al rapporto con il cliente
- I token mantengono separate le aree cliente
- La cronologia dei download aiuta le verifiche successive
- L’autoservizio controllato elimina il lavoro ripetuto via email
- Una configurazione semplice parte da un solo cliente
- Domande frequenti
- Prossimi passi
Da conversazioni con oltre 50 fabbricanti, notiamo una preferenza chiara. I team stanno riportando sempre più lavoro di conformità all’interno dell’azienda. Vogliono meno fornitori intermedi tra i team di prodotto e le proprie evidenze.
Il Portale clienti è l'area della nostra piattaforma SaaS dedicata alla condivisione dei documenti con i clienti. I clienti specifici accedono direttamente ai file di prodotto approvati, mentre il suo team gestisce prodotti, versioni, documenti e periodo di accesso.
Sintesi
- Lei mantiene il controllo: il suo team decide cosa riceve ogni cliente
- Le evidenze restano versionate: i clienti vedono i file per la versione di prodotto che usano
- L’accesso resta separato: un cliente non vede l’area di un altro cliente
- La condivisione resta flessibile: pubblichi versioni selezionate oppure aggiunga automaticamente le versioni future idonee
- La consegna richiede meno lavoro: i clienti scaricano i file approvati senza un’altra richiesta via email
- L’attività resta visibile: gli eventi di accesso e download creano una cronologia chiara
I fabbricanti vogliono meno passaggi intermedi
Il lavoro di conformità attraversa spesso più aziende.
Un fornitore di componenti fornisce un SBOM. Un laboratorio di prova produce un rapporto. Un consulente aiuta a preparare la documentazione tecnica. Un fornitore di software conserva parte del fascicolo.
Il supporto esterno è utile. Il problema inizia quando il fabbricante perde il controllo delle evidenze.
Il fabbricante deve comunque rispondere alle domande dei clienti. Deve anche mantenere il fascicolo di prodotto dopo il cambio di un fornitore.
Per questo sempre più team vogliono il fascicolo di lavoro all’interno dell’azienda. Continuano ad acquistare supporto specialistico, ma le evidenze tornano al proprio processo.
Oltre 50 fabbricanti hanno discusso con noi questo modello operativo. Si tratta di un’osservazione sul campo di CRA Evidence, non un’indagine di mercato rappresentativa.
Il modello preferito è semplice.
I fornitori contribuiscono con le evidenze. I fabbricanti sono proprietari del fascicolo di prodotto finale. I clienti ricevono una parte approvata di quel fascicolo.
Il fornitore diventa un rischio se blocca le evidenze
In queste conversazioni, i problemi con i fornitori nascono spesso da condizioni di consegna poco chiare.
Un fornitore invia un SBOM all’inizio del progetto. Il fabbricante si aspetta un file aggiornato per ogni rilascio di componente.
Un laboratorio invia un PDF senza una versione di prodotto chiara. Il rapporto diventa poi difficile da usare in una revisione di rilascio.
Un consulente conserva la documentazione tecnica nel proprio spazio di lavoro. Il fabbricante non dispone di un’esportazione pulita quando il contratto termina.
Il lavoro è stato completato, ma le evidenze non si possono spostare.
Questo genera quattro problemi ricorrenti:
- Confusione di versione: nessuno può confermare a quale rilascio appartiene un file
- Risposte lente ai clienti: le richieste ripetute fanno ripartire la ricerca e la catena di approvazione
- Dipendenza dal fornitore: un unico account esterno diventa l’unica via di accesso al fascicolo
- Cronologia delle modifiche scarsa: i file corretti sostituiscono le copie precedenti senza una traccia chiara
Definisca le regole di consegna prima dell’inizio dei lavori.
Indichi file, formato, versione di prodotto, evento che attiva l’aggiornamento e data di consegna. Aggiunga un passaggio di esportazione per la fine del rapporto.
Per i componenti software, definisca l’output atteso con la guida alla generazione dell’SBOM. Per lo stato delle vulnerabilità, concordi quando il fornitore fornisce un documento VEX.
Fornitori e clienti: due flussi con scopi diversi
Le evidenze dei fornitori entrano nel fascicolo del fabbricante. Le evidenze per i clienti escono da quel fascicolo.
Il fabbricante si trova tra i due flussi.
| Flusso | Scopo | Parte esterna | Azione del fabbricante |
|---|---|---|---|
| Input del fornitore | Costruire il fascicolo di prodotto | Fornisce evidenze di componente e aggiornamenti | Verifica e collega le evidenze a una versione di prodotto |
| Condivisione con il cliente | Consegnare un insieme di evidenze approvato | Visualizza o scarica i file pubblicati | Sceglie i prodotti, le versioni e i file |
Questa separazione protegge lo spazio di lavoro interno.
I clienti non vedono le richieste ai fornitori. Non vedono le note di revisione interne. Non vedono le evidenze relative a prodotti non pertinenti.
I fornitori non ottengono accesso alle aree cliente.
I clienti iniziano dai prodotti condivisi con loro
Dopo aver inserito il proprio token di accesso, i clienti vedono i prodotti disponibili.
Ogni scheda mostra il nome del prodotto, la descrizione, il numero di versioni condivise e l’ultima versione condivisa. Il cliente può passare direttamente dal catalogo al prodotto che gli interessa.
Ogni prodotto raccoglie le sue versioni condivise
I clienti selezionano un prodotto condiviso dal catalogo. La pagina del prodotto elenca tutte le versioni incluse nel loro ambito di accesso.
L’ultima versione condivisa appare per prima. Le versioni condivise precedenti restano disponibili più sotto.
Il cliente apre la versione usata nel proprio ambiente. In questo modo le evidenze di prodotto attuali e precedenti restano sulla stessa pagina.
Ogni versione ha i propri file pubblicati
Le evidenze di prodotto cambiano spesso da un rilascio all’altro.
Un rapporto di prova per la versione 3.4.1 non descrive la versione 3.2.0. La stessa regola vale per le valutazioni del rischio, i documenti di architettura, gli SBOM e lo stato delle vulnerabilità.
Il Portale clienti mantiene visibile questo confine tra versioni.
I clienti aprono la versione che usano. Possono scaricare un singolo file oppure il pacchetto disponibile.
Questa vista mantiene i file legati al proprio prodotto e alla propria versione.
Il nome del prodotto è chiaro. Il numero di versione è chiaro. I file disponibili sono raggruppati sotto quella versione.
Lei sceglie come le versioni entrano nel portale
Ogni prodotto ha due opzioni di condivisione.
Pubblicare versioni selezionate
Scelga le versioni singole quando ogni rilascio richiede un controllo finale.
Questa opzione funziona bene per i prodotti sensibili. Si adatta anche ai contratti che indicano una versione supportata precisa.
Il suo team seleziona la versione dopo aver esaminato le evidenze disponibili.
Includere le versioni attuali e future idonee
Scelga l’inclusione automatica quando la stessa regola di condivisione vale per tutti i rilasci.
Le nuove versioni idonee entrano nell’ambito di condivisione aziendale senza un ulteriore passaggio di selezione del prodotto. I file seguono comunque il normale stato di revisione e pubblicazione.
Combinare le due opzioni
Un’organizzazione può usare entrambi i modelli.
Un prodotto industriale può usare le versioni selezionate. Un prodotto software standard può usare l’inclusione automatica.
Non deve usare un’unica regola di condivisione per ogni linea di prodotto.
L’ambito aziendale definisce il tetto di condivisione
L’ambito di condivisione aziendale è l’insieme più ampio di evidenze disponibile tramite le aree cliente.
Ogni cliente eredita quell’ambito oppure ne riceve uno più ristretto. Un cliente non riceve mai più di quanto l’azienda abbia approvato.
Modificare un cliente non modifica un altro cliente.
Questo modello si adatta a rapporti commerciali diversi:
| Tipo di cliente | Evidenze condivise |
|---|---|
| Cliente standard | L’insieme normale di evidenze per il prodotto e le versioni rilasciate coperte dall’accordo. |
| Partner di integrazione | Le evidenze per le versioni integrate nel prodotto o servizio del partner. |
| Acquirente regolamentato | I file concordati per la revisione degli acquisti, l’accettazione o il proprio fascicolo di filiera. |
Un ambito cliente più ristretto riduce anche il rischio di condivisione eccessiva involontaria.
I team acquisti non hanno bisogno delle note interne. I clienti non hanno bisogno delle evidenze per i prodotti non ancora rilasciati.
Pubblichi i file adatti al rapporto con il cliente
L’insieme di pubblicazione disponibile copre le evidenze di prodotto più comuni.
Può condividere:
- file SBOM collegati alla versione pubblicata
- documenti VEX che registrano lo stato delle vulnerabilità
- avvisi di sicurezza CSAF
- dichiarazioni UE di conformità generate
- informazioni e istruzioni per l’utente generate
- pacchetti di versione
- documenti approvati selezionati singolarmente
La distinta base hardware non fa parte dell’attuale insieme di pubblicazione del Portale clienti.
La condivisione resta una decisione del fabbricante. Il portale non pubblica per impostazione predefinita ogni file interno.
Inizi dai documenti già richiesti dai clienti. Aggiunga nuovi tipi di file quando il rapporto commerciale lo richiede.
Per la pianificazione dell’SBOM, consulti la guida ai requisiti SBOM del CRA.
I token mantengono separate le aree cliente
Le aree cliente richiedono un token di accesso. Non sono pagine pubbliche anonime.
Il suo team crea il token per un cliente nominato. Il token in chiaro appare una sola volta al momento della creazione. La piattaforma conserva il suo hash, non il valore in chiaro.
Può impostare una data di scadenza. Può ruotare il token quando cambia il referente. Può revocarlo quando il rapporto termina.
Questo crea un processo di accesso chiaro senza aggiungere utenti cliente allo spazio di lavoro interno del fabbricante.
I clienti sfogliano il catalogo nel proprio browser. Possono anche usare un manifesto leggibile da macchina in un flusso di lavoro interno.
La cronologia dei download aiuta le verifiche successive
Il portale registra l’attività e i download dei clienti.
Questa cronologia aiuta a rispondere a domande pratiche:
- Quale cliente ha avuto accesso all’area
- Quale file o pacchetto è stato scaricato
- Quando è avvenuto il download
- Quale token rappresentava il cliente
La cronologia mostra l’attività di consegna. Non dimostra che il cliente abbia letto o accettato un documento.
Mantenga le condizioni di accettazione nell’accordo con il cliente. Usi la cronologia del portale come registro di consegna.
L’autoservizio controllato elimina il lavoro ripetuto via email
La prima richiesta di evidenze da parte di un cliente sembra spesso un compito piccolo.
Qualcuno trova i file. Qualcuno controlla la versione. Qualcuno approva l’email. Qualcuno invia l’allegato.
Lo stesso lavoro si ripete per il cliente successivo.
Il Portale clienti sposta questo sforzo alla fase di pubblicazione. Dopo l’approvazione, i clienti recuperano da soli le evidenze disponibili.
Il fabbricante mantiene comunque il controllo su ogni prodotto e versione condivisi.
Questo modello funziona per:
- pacchetti di evidenze per gli acquisti
- revisioni di integrazione di prodotto
- valutazioni di sicurezza richieste dai clienti
- consegna di documenti specifica per un rilascio
- accesso continuativo durante un contratto di assistenza
Una configurazione semplice parte da un solo cliente
Non inizi pubblicando l’intero portafoglio.
Scelga un prodotto e un cliente.
Per prima cosa, identifichi i file già richiesti da quel cliente. Colleghi ogni file alla versione di prodotto corretta.
Poi imposti l’ambito di condivisione aziendale per quel prodotto. Scelga tra versioni selezionate o inclusione automatica.
Quindi crei l’area cliente. Usi un ambito cliente più ristretto se l’accordo lo richiede.
Infine, apra l’area con il token emesso. Verifichi il catalogo prodotti, la pagina versione, i nomi dei file e il pacchetto.
Ripeta lo schema dopo che la prima area è corretta.
Per il fascicolo interno più ampio, consulti la guida alla documentazione tecnica.
Domande frequenti
Il Portale clienti è pubblico?
No. Ogni area cliente richiede un token. Il suo team crea il token per un cliente nominato e può impostare una data di scadenza, ruotarlo o revocarlo.
Due clienti possono ricevere file diversi?
Sì. L’ambito aziendale definisce il tetto di condivisione. Ogni cliente può ereditare quell’ambito oppure riceverne uno più ristretto. Modificare un cliente non modifica l’area di un altro cliente.
Le future versioni di prodotto possono apparire automaticamente?
Sì. Scelga l’opzione delle versioni attuali e future idonee per quel prodotto. Usi le versioni selezionate quando ogni rilascio richiede un controllo di pubblicazione separato.
Quali file possono scaricare i clienti?
L’insieme di pubblicazione copre SBOM, VEX, CSAF, dichiarazioni UE di conformità generate, informazioni e istruzioni per l’utente generate, pacchetti di versione e documenti di versione approvati.
Un cliente può scaricare insieme i file disponibili?
Sì. Quando la versione contiene file pronti per il pacchetto, il cliente può scaricare il pacchetto disponibile. Il download dei singoli file resta disponibile dalla stessa pagina versione.
Cosa succede se un fornitore non collabora?
Registri il file mancante, la versione di prodotto, il formato richiesto e la scadenza. Segnali il caso al responsabile del contratto e al responsabile di prodotto. Aggiunga condizioni di consegna, correzione, esportazione e uscita prima del prossimo incarico.
Contenuto redatto esclusivamente a scopo informativo. Non costituisce consulenza legale. Per indicazioni specifiche sulla conformità, si rivolga a un legale qualificato con esperienza nella normativa UE sui prodotti.
Articoli correlati
ENISA e l'IA di frontiera: 5 conseguenze per il CRA
Il CRA si applica al tuo prodotto?
Rispondi fino a 11 semplici domande per scoprire se il tuo prodotto rientra nell'ambito del Regolamento sulla ciberresilienza dell'UE. Ottieni il risultato in meno di 2 minuti.
Pronto a raggiungere la conformità CRA?
Inizia a gestire i tuoi SBOM e la documentazione di conformità con CRA Evidence.