Proof & Trust
Proof&Trust · 其他
Proof&Trust 以供應商自身提供的證據，為 NIS2 供應鏈夥伴評分與分級，用可稽核的風險報告取代靜態問卷，三十分鐘內就能完成。
關於 Proof & Trust
About
什麼是 Proof&Trust
Proof&Trust 是一套處理 NIS2 供應鏈風險的網路平台。它對每一位夥伴進行供應商風險評估，把結果依等級歸類，並保留一條對應稽核人員要求的證據軌跡。它的主張很直接：別再追著靜態問卷跑，開始替供應商手上既有的憑證、報告與聲明打分。這是一套為單一法規設計的第三方風險管理，做法是以文件評分取代供應商安全問卷。
產品誕生於歐盟的 NIS2 指令，該指令自 2024 年 10 月 17 日起適用。第 21(2)(d) 條把直接供應商的安全責任放到採購方身上，因此一份放著過期回覆的試算表，已經算不上供應鏈盡職調查。Proof&Trust 會讀取原始文件、確認有效性，並把每一項控制措施對應到它滿足的具體條文。這就是以證據為基礎的評分，而不是只抄下供應商自我說法的問卷。
限制和賣點一樣重要。Proof&Trust 是法規遵循與風險工具，不是防火牆，也不是掃描器，主要服務歐盟受監管的團隊，涵蓋銀行、能源、醫療、電信與公部門。預設託管在歐盟境內，規模較大的專案走業務洽談，而不是自助結帳。年約方案從 1,999 歐元起。
開始使用
- 預約示範，或索取三十分鐘樣本，無需整合、不用信用卡，就能拿到一份已評分的組合。
- 上傳一批供應商證據，例如 ISO 27001 憑證、SOC 2 報告、SBOM、滲透測試聲明與書面政策。手上有合約與供應商主檔就一併串接。
- 讓引擎解析、驗證並替每份文件評分，再把分數彙整成單一的供應商風險指數。
- 用連結邀請供應商，讓他們在對應的風險等級填寫內建問卷，並上傳最新證據。
- 在主控台檢視分級後的組合，再匯出稽核包交給審閱者。
產品資訊
快速了解 Proof & Trust 的定價、支援平台與效能。
適合對象
這項工具最適合的使用者、任務與情境。
使用者
- 歐盟重要實體的合規與 GRC 團隊：整套產品圍繞 NIS2 第 21(2) 條打造，需要向監管機關證明盡職調查的團隊，能拿到一份每個分數都有依據的分級組合。
- 銀行、能源、醫療、電信或公部門的資安主管：這些正是官方網站點名的產業，持續重新分級也適合盯住數百家供應商的團隊。
- 正在建立第一個方案的小型團隊：Basic 方案一年 1,999 歐元、涵蓋 20 次評估，足以在不拉高預算的情況下先跑一輪。
任務
- 汰換供應商問卷試算表：平台吸收既有證據並套用供應商風險評分，你不必再寄 PDF，而是讀一份風險指數。
- 替積壓的供應商分級：供應商依相依程度、集中度與證據品質，分成重大、高、標準與有限四個等級。
- 準備 NIS2 稽核：每個分數、等級與建議都連回文件與它滿足的條文，整份資料可以一次匯出。
- 起草第 23 條的事件通報：記錄符合條件的事件後，平台會預先填好預警與後續報告。
情境
- 監管機關要求供應商證據：你直接拿出稽核包，不必手工重做報告。
- 供應商通報外洩或出現新的 CVE：等級會重新計算，受影響的供應商幾分鐘內就浮現，不必等下一季審查。
- 董事會檢視資安風險：組合視圖與彙總風險分數，讓管理層拿到一份禁得起追問的態勢摘要。
主要功能
以證據為基礎的供應商評分
供應商送來的每份文件，不論是 ISO 憑證、SOC 2 報告或滲透測試聲明，都會被解析、向簽發單位核對，並依完整度、時效、範圍與控制涵蓋度評分。這些分數接著彙整成單一的供應商風險指數。價值很單純：你評的是禁得起檢驗的文件，而不是有人在表單裡打下的答案。
自動分級
供應商分級依三項訊號進行。第一是供應商對你服務的關鍵程度，第二是你曝險的集中程度，第三是證據的強度。模型是確定性且可解釋的，因此每一次等級變動都能連回觸發它的證據事件。
持續重新分級
等級不是做過一次就擺著。只要有新證據進來，或某項訊號轉弱，等級就會重算，事件驅動的檢查也會捕捉 CVE、制裁與外洩揭露。上一季看似安全的供應商，只要曝險跨過門檻，隨時可能被調升。
對應 NIS2 第 21(2) 條
平台涵蓋第 21(2) 條的全部十項措施，從風險分析、供應鏈安全一路到多因子驗證與安全通訊。每個分數都綁定具體條文，而這份對照通常是稽核人員最先翻找的東西。
第 23 條事件通報起草
當你記錄符合條件的事件，Proof&Trust 會預先填好第 23 條的通報，包括 24 小時預警、72 小時事件通報與一個月的最終報告，附上帶時間戳的事實、受影響供應商與衝擊估算，交給 CSIRT 審閱即可。
稽核證據匯出
稽核工作區可匯出 PDF 與機器可讀 JSON 的可攜式封包。內容反映審閱者在即時主控台看到的樣貌，你交出一份檔案，而不是拼湊截圖與試算表。
彈性部署
Proof&Trust 提供歐盟託管的多租戶服務、單租戶環境，或在自家 VPC 上以 AWS、Azure、GCP 或 OVH 私有部署。所有選項共用同一套證據模型與評分引擎，資料預設留在歐盟。
優缺點
優點
- 評的是實體證據而非問卷答案，這正是稽核人員與監管機關最先查看的部分。
- 等級會自行重算，新的 CVE 或揭露的外洩不必等到下一個審查週期。
- 價格從一年 1,999 歐元、20 次評估起，對供應鏈方案來說不算高。
- 每個分數都標明來源文件與對應的 NIS2 條文，組合在審查時站得住腳。
- 預設在歐盟託管，另有單租戶與私有 VPC 選項，因應資料落地需求。
缺點
- 產品圍繞 NIS2 與歐盟企業打造，歐盟以外或不在指令範圍內的團隊能得到的幫助有限。
- 沒有免費方案，也沒有自助註冊，你得從示範或付費方案開始，而不是先試用。
- API 匯出只隨 Enterprise 方案提供，較小的方案只能靠 CSV 搬資料。
- 它追的是供應商的書面資料，不是你自己的系統，因此無法取代弱點掃描或滲透測試。
常見問題
它是一套 NIS2 合規軟體，替供應鏈上的供應商評分與分級，把憑證、報告與聲明轉成單一風險指數與可稽核的組合。
相關內容
探索與 Proof & Trust 相關的工具、技能與文章。
Proof & Trust 替代方案
Odyssey 3
Odyssey · 其他Odyssey-3 是 Odyssey 的基礎世界模型，能即時模擬物理，把一段文字提示變成可互動的環境，並套用到機器人、汽車與遊戲上。
JarvisCore
Prescott Data · 程式設計 · 生產力 · 其他JarvisCore 是開源的 Python 執行環境，讓 AI 代理在網格上以對等節點運作、從共用帳本認領任務，並透過零信任代理服務存取外部系統。
Clef
Cloudflare · 商業 · 其他Clef 是 Cloudflare 推出、可在 Workers AI 上執行的開源決策模型。它針對設定好的題目回傳校準後的機率而非生成文字，讓代理程式快速分類、分流並採取行動。