framework
NIST SSDF e OWASP SAMM
I Suoi clienti chiedono quanto sia sicuro il Suo sviluppo software e il Cyber Resilience Act lo richiederà presto per ogni prodotto con elementi digitali? Complass La guida attraverso le 42 attività del NIST SSDF, mostra il Suo livello di maturità secondo OWASP SAMM e collega entrambi con CRA e IEC 62443-4-1.
Che cos’è NIST SSDF?
Il Secure Software Development Framework (SSDF) è un framework volontario del National Institute of Standards and Technology statunitense (NIST SP 800-218). In quattro gruppi e 42 attività descrive come i produttori sviluppano software in modo sicuro e reagiscono alle vulnerabilità. OWASP SAMM è un modello di maturità aperto per la sicurezza del software con 15 pratiche e livelli da 0 a 3. Per nessuno dei due esistono certificati.
Complass non è affiliata al NIST né alla OWASP Foundation. I testi inglesi delle attività provengono da NIST SP 800-218, un’opera del governo federale statunitense liberamente utilizzabile. OWASP SAMM (owaspsamm.org) è concesso in licenza CC BY-SA 4.0; Complass cita solo i nomi delle pratiche e descrive i livelli con parole proprie.
Aggiornamento dei contenuti:
Vale anche per me?
L’SSDF riguarda produttori e sviluppatori di software, anche di firmware e software in macchine e dispositivi: aziende i cui clienti vogliono la prova di uno sviluppo sicuro, fornitori di enti statunitensi e chiunque voglia attuare in pratica i requisiti di sviluppo del Cyber Resilience Act.
L’SSDF non è obbligatorio e non sostituisce né il CRA né IEC 62443-4-1. Li integra come elenco pratico di attività; se sviluppa secondo IEC 62443-4-1, ha già attuato molte attività.
Questa panoramica non sostituisce la consulenza legale. Fa fede il testo giuridico o normativo; in Complass verificate l’applicabilità con indicazioni basate sui riferimenti.
Basi
- NIST SP 800-218Secure Software Development Framework (SSDF) versione 1.1, febbraio 2022; versione 1.2 come bozza da dicembre 2025
- OWASP SAMM v2Software Assurance Maturity Model, licenza CC BY-SA 4.0
Date chiave
Per l’SSDF non esistono termini di legge. Chi offre prodotti con elementi digitali nell’UE dovrebbe tenere d’occhio i termini del Cyber Resilience Act; l’SSDF aiuta ad attuare in tempo i requisiti per lo sviluppo e la gestione delle vulnerabilità. Consigliamo di ripetere ogni anno la valutazione SAMM.
Come Complass aiuta
- 5fasi
- 10passi guidati
- 3modelli di documento
- 42requisiti nel catalogo
Guidato in cinque fasi
Perimetro, preparare l’organizzazione, proteggere il software e produrlo in modo sicuro, reagire alle vulnerabilità, valutare la maturità.
42 attività con guida all’attuazione
Ogni attività con identificativo ufficiale, formulazione originale del NIST, passaggi, ambito minimo, evidenze tipiche e livelli secondo OWASP SAMM.
Modelli
Politica di sviluppo software sicuro, valutazione della maturità SAMM e piano di miglioramento.
Implementare una volta, dimostrare più volte
Complass propone all’SSDF di riprendere valutazioni ed evidenze da CRA, IEC 62443-4-1 e ISO 27001.
Le fasi nel modulo
- Punto di partenza e ambito di applicazione
- Preparare l'organizzazione (PO)
- Proteggere il software e produrlo in modo sicuro (PS, PW)
- Rispondere alle vulnerabilità (RV)
- Valutare la maturità con OWASP SAMM
Catalogo: NIST SSDF 1.1 – 42 attività
Moduli correlati
Compliance management
Attuare i framework con una guida: fasi, modelli, piramide documentale, cataloghi, gap analysis, obiettivi e piano d’azione fino all’audit nel portale degli auditor.
Scoprire di piùRisk management
Registro dei rischi con valutazione qualitativa o quantitativa, propensione al rischio e piano di trattamento, collegato ad asset, vulnerabilità e incidenti.
Scoprire di piùAsset management
Asset IT e OT in un unico posto, rilevati senza agent, con SBOM, avvisi dei fabbricanti, fine del supporto, riconciliazione delle licenze, identità, relazioni e zone secondo IEC 62443-3-2.
Scoprire di piùDomande frequenti
Esiste un certificato SSDF?
No. Né l’SSDF né OWASP SAMM sono certificabili. Complass La aiuta a descrivere e dimostrare il Suo stato di attuazione e il Suo livello di maturità.
Con l’SSDF soddisfiamo il Cyber Resilience Act?
Non automaticamente. L’SSDF copre molti requisiti per lo sviluppo e la gestione delle vulnerabilità e Complass mostra l’associazione all’allegato I. La valutazione della conformità ai sensi del CRA resta un compito a sé.
A che serve SAMM se abbiamo l’SSDF?
L’SSDF dice che cosa fare; SAMM mostra quanto sia consolidato. Con i livelli da 0 a 3 può misurare i progressi e fissare obiettivi.
Sviluppiamo già secondo IEC 62443-4-1. Dobbiamo registrare tutto da capo?
No. Tramite le misure comuni, Complass propone di riprendere valutazioni ed evidenze. Lei verifica ogni proposta prima di confermarla.
Provate Complass con i vostri dati
Create voi stessi il vostro accesso di prova, se volete con un progetto di esempio per ogni quadro normativo. Se preferite vedere prima Complass, richiedete una demo.