Assurance
Wat u zelf kunt controleren en waar u om moet vragen
Wij gaan geen certificeringsbadges op een pagina zetten. Normconformiteit kunt u zonder onze medewerking aan onze uitvoer toetsen; naar de status van formele assurance kunt u ons rechtstreeks vragen, en u krijgt een duidelijk antwoord.
- Conformiteit
- Onafhankelijk controleerbaar
- Formele assurance
- Vraag het ons
- Badges
- Geen
Definition
Hoe beoordeelt u een leverancier van digitale productpaspoorten?
Verifieer conformiteit in plaats van certificaten. Geef een paspoort uit en toets de uitvoer rechtstreeks aan de specificaties GS1 Digital Link, EPCIS 2.0 en W3C Verifiable Credentials. Dat bewijs vereist geen vertrouwen in de leverancier of een auditor, en het toetst precies datgene wat bepaalt of uw data overdraagbaar blijft.
Certificates still matter for a security review, but ask for the scope statement before the certificate. A boundary that excludes the platform holding your data is the most common way a genuine certificate turns out to be irrelevant.
Bewijs
Welk soort bewijs waarvoor beschikbaar is
| What you want to establish | How to get it | Needs us? |
|---|---|---|
| GS1 Digital Link conformance | Issue a passport and check the identifier resolves per the specification | A sandbox key only |
| EPCIS 2.0 conformance | Append an event and validate the JSON-LD against the standard | A sandbox key only |
| Credential verifiability | Verify a signed credential with any conforming W3C library | No — that is the point |
| Data portability on exit | Export and confirm the documents are standards-conformant | A sandbox key only |
| Security controls | Send your vendor questionnaire; we complete it against your controls | Yes |
| Formal certification status | Ask during procurement — we will tell you exactly where it stands | Yes |
Conformiteit
De specificaties die wij implementeren
GS1 Digital Link
Resolvebare productidentiteit op de drager. Controleer of een scan volgens de specificatie resolvet.
GS1 EPCIS 2.0
Ketengebeurtenissen in de standaard JSON-LD-serialisatie. Valideer de onze tegen het schema.
W3C Verifiable Credentials 2.0
Ondertekende claims die met elke conforme bibliotheek verifiëren, zonder ons aan te roepen.
W3C Decentralized Identifiers
Uitgeversidentiteit die onafhankelijk van dit platform resolvet.
CIRPASS · CEN-CENELEC JTC 24
Het paspoortdatamodel waar de gedelegeerde handelingen naartoe bewegen.
ISO 14040 · 14067 · 59020
De methodieken waartegen voetafdruk- en circulariteitscijfers worden vastgelegd.
Antwoorden
Veelgestelde vragen
Hebt u SOC 2 of ISO 27001?
Niets wat wij op een webpagina zullen beweren. Formele assurance staat op onze roadmap en wij publiceren hier elke certificering zodra zij is afgegeven, met de certificerende instantie, de scopeverklaring en de geldigheidsduur erbij. Vraag het ons tot die tijd rechtstreeks tijdens de inkoop en u krijgt een recht antwoord over de huidige stand.
Waarom telt de scope zwaarder dan het certificaat?
Omdat een certificaat zegt dat er een audit heeft plaatsgevonden op een afgebakende scope, en die scope is het interessante deel. Een certificaat over een corporate IT-functie zegt vrijwel niets over het platform dat uw paspoortgegevens bewaart. Wie u ook beoordeelt: vraag welke systemen de scopeverklaring werkelijk noemt.
Is de AVG een certificering?
Nee. Het is een wettelijke verplichting, geen geauditeerd schema, dus “AVG-gecertificeerd” is van niemand een zinnige bewering. Wat wél aantoonbaar is, zijn de verwerkersvoorwaarden, de subverwerkerslijst, het doorgiftemechanisme en de beveiligingsmaatregelen daarachter — en die leveren wij.
Wat kan ik verifiëren zonder ook maar met u te spreken?
Conformiteit met standaarden. Geef een paspoort uit met een sandboxsleutel en toets de uitvoer rechtstreeks aan de specificaties van GS1 Digital Link, EPCIS 2.0 en W3C Verifiable Credentials. Dat is een sterkere vorm van bewijs dan een badge, want het hangt niet af van vertrouwen in ons of in een auditor.
Hoe beoordelen wij u ondertussen?
Send your vendor questionnaire to ceo@fistasolutions.com. We will complete it against your specific controls, and where the honest answer is that something is not yet in place we will say so rather than answering around it. That is more useful to a security reviewer than a badge would be.
Next step
Stuur de vragenlijst, krijg een recht antwoord
Ook waar het antwoord is dat iets nog niet op orde is. Daar kan een beoordelaar mee werken; een badge die bij de scopebeoordeling irrelevant blijkt, kost iedereen tijd.