La conformità come codice, mappata per quadro normativo.
Policy OPA/Rego aggregate da molteplici fonti con licenza permissiva, deduplicate, validate sul motore reale OPA, poi mappate per framework (CIS, NIST, ISO 27001, SOC 2, PCI-DSS, NIS2, DORA, EU AI Act). Non parti da 2.590 regole sparse: carichi il bundle del quadro che devi dimostrare.
31 bundle, un quadro alla volta.
~555 policy rilevanti per gli obblighi UE. La copertura NIS2 e DORA è derivata dai tuoi controlli ISO 27001 / NIST / CIS tramite un crosswalk normativo (tabella ENISA, CC BY 4.0, inclusa nel pack), evidenza di audit tracciata, non una certificazione. Diretto e derivato restano distinti.
Resilienza operativa e pagamento in un solo feed: DORA, PCI-DSS e SOC 2. Per banche, assicuratori, fintech e i loro fornitori.
Le policy mappate a PCI-DSS per dimostrare la conformità dei tuoi ambienti di pagamento, cifratura, segmentazione, logging, accesso.
La copertura più ampia del pack: i controlli CIS per AWS, Azure, GCP, Kubernetes e Docker. La baseline di hardening più richiesta.
Tutte le policy per l’IaC Terraform, eseguile in CI/CD prima dell’apply, per bloccare una config errata prima che raggiunga il cloud.
Le policy di admission e configurazione Kubernetes, collega a Gatekeeper/Conftest per rifiutare un manifest non conforme all’admission.
Policy aggregate da diversi repo open-source con licenza permissiva (Apache-2.0), deduplicate per contenuto, validate sul motore reale OPA (opa check, per dialetto Rego) e indicizzate per framework e piattaforma in mapping.json. Provenienza (commit) conservata per la tracciabilità delle licenze.
Curazione + mapping, non materia grezza.
Diversi repo open-source con licenza permissiva (Apache-2.0) aggregati, deduplicati per contenuto, una libreria coerente, non elenchi che si sovrappongono.
Ogni consegna supera `opa check` sul motore, le policy che non compilano vengono rimosse.
Ogni policy indicizzata per framework (CIS, NIST, ISO 27001, SOC 2, PCI-DSS, NIS2, DORA, EU AI Act) in mapping.json. Il mapping che non esiste gratis da nessuna parte, il vero moat.
31 bundle pronti da caricare: per quadro da dimostrare e per piattaforma IaC (Terraform, Kubernetes, CloudFormation, Ansible).
Il feed è firmato; ne verifichi l’integrità prima di ogni esecuzione.
Solo fonti permissive (Apache-2.0), provenienza e attribuzione conservate. La compilazione e il mapping restano il valore proprietario di ThreatClaw.
Come si usa?
Il pack include una cartella `policies/` (l’insieme curato), una cartella `bundles/` (per framework e piattaforma) e un `mapping.json`. Caricali con OPA o Conftest, in CI/CD prima di `terraform apply`, all’admission di Kubernetes (Gatekeeper) o nelle tue pipeline. Ogni bundle è l’elenco delle policy di un quadro.
Come coprite NIS2 e DORA?
NIS2 e DORA non definiscono controlli tecnici di basso livello: rimandano a ISO 27001 e NIST. Il pack applica un crosswalk normativo, basato sulla tabella di corrispondenza ENISA (CC BY 4.0, inclusa nel pack) e sui riferimenti NIST OLIR, che deriva la rilevanza NIS2/DORA di una policy dai controlli ISO 27001 / NIST / CIS che già implementa. Risultato: ~555 policy rilevanti per gli obblighi UE, invece di una manciata mappate esplicitamente. Queste mappature derivate sono chiaramente etichettate, separate da quelle dirette, ciascuna con la provenienza della derivazione: è evidenza di audit, non una certificazione.
Perché pagare, se OPA e le policy sono gratuiti?
Non paghi le policy, paghi per non dover aggregare, deduplicare, testare e soprattutto mappare 2.590 regole a 16 quadri. Il mapping di conformità (mapping.json), ritestato a ogni consegna, non esiste gratis da nessuna parte: trasforma un mucchio di Rego in prova per quadro, pronta per un audit.
Quali licenze, e posso rivendere / MSSP?
Solo fonti con licenza permissiva (Apache-2.0). Le policy restano sotto Apache-2.0: ridistribuibili con attribuzione (provenienza e licenze conservate nel pack). La compilazione, il mapping di conformità (mapping.json) e i bundle sono invece il valore proprietario di ThreatClaw. Per uso MSSP o rivendita del mapping, parliamone.
Pronto a dimostrare la tua conformità?
Abbonamento annuale. Chiave immediata. Disdici quando vuoi.