Marcatura temporale alla fonte
Ogni voce porta la data, l’ora e l’identità del suo autore nel momento in cui l’azione viene compiuta: nessuna ricostruzione a memoria, nessuna data «arrotondata» diversi giorni dopo l’incidente.
Prove & architettura · la base e la traccia
Come Galyct Pro traccia le decisioni e gli elementi di prova.
Ogni voce del registro conserva il suo autore, la sua marcatura temporale, il suo contesto e gli elementi a cui si collega. Il registro è progettato per ricostruire una cronologia ed esportare un fascicolo utilizzabile dalla direzione, da un auditor o da un terzo autorizzato.
Capire il rischio. Riprendere il controllo. Durare nel tempo.
Registro in sola aggiunta · con marca temporale · ospitato in Francia presso Scaleway · IA di Mistral (UE) · i vostri dati restano esportabili.
PRINCIPIO
La fiducia
si dimostra.
«Sovrano» è diventato un argomento di marketing. Preferiamo i fatti verificabili: il paese di hosting, il nome di ogni subfornitore, il fornitore della nostra IA, la natura esatta della cifratura, e l’elenco esplicito di ciò che non facciamo. Un’organizzazione non affida la propria cybersicurezza a una promessa: la affida a un’architettura che può leggere, sottoporre ad audit e sottoporre al proprio DPO.
Parte ILa prova, ciò che resta dopo la decisione
01 · IL REGISTRO DELLE PROVE
Un registro con data e ora che si compila da solo
Non dovete «ricordarvi di documentare». Ogni gesto compiuto nella console (una decisione di crisi, una misura di trattamento, uno scostamento di conformità corretto, un’analisi di IOC) alimenta il registro nel momento in cui avviene, con la sua marcatura temporale e il suo autore. La prova non è un report redatto a posteriori: è la traccia di ciò che è realmente accaduto.
Collegata al suo contesto
Una prova non esiste mai da sola: è collegata al rischio, all’incidente, al playbook o al requisito normativo che l’ha prodotta. Si risale dal fatto alla decisione, e dalla decisione al fatto.
Log, screenshot, documenti
Decisioni, ipotesi, log degli eventi, screenshot, scambi e allegati: il fascicolo si costituisce in modo continuo, pronto per essere riletto da un terzo che non era nella stanza.
Conservato per il tempo necessario
Conservazione per categoria e finalità, proporzionata: i fascicoli degli incidenti sono archiviati a fini probatori fino a 5 anni (in Francia l’azione civile ordinaria si prescrive in cinque anni, art. 2224 del Codice civile francese); gli account, 24 mesi dopo l’ultima attività. Mai a tempo indeterminato.
02 · REGISTRO DELLE DECISIONI CON DATA E ORA E TRACCIABILE
Sola aggiunta: si aggiunge, non si riscrive la storia
Un registro ha valore solo se non lo si può truccare a posteriori. Il registro delle decisioni di Galyct Pro funziona in sola aggiunta (append-only): si aggiungono voci, non si cancella né si modifica in silenzio il passato. Correggere una decisione significa scrivere una nuova voce che spiega la correzione, e la voce originale resta visibile. Come il registro è sigillato e verificabile →
Il principio
Una linea della vita, non una bozza
Ogni decisione registra: cosa è stato deciso, da chi, in quale momento, sulla base di quali informazioni disponibili allora, e perché. Una revisione successiva si sovrappone senza cancellare ciò che precede. Il filo si legge in ordine, dal primo segnale alla chiusura.
È esattamente ciò che si aspettano un assicuratore che istruisce un sinistro, un’autorità di vigilanza che verifica il rispetto di un termine, o un giudice che ricostruisce una cronologia: una cronologia che nessuno ha potuto ritoccare dopo i fatti.
Cosa registra ogni voce
- Cosa: la decisione o l’azione compiuta
- Chi: l’autore identificato, il suo ruolo nella cellula
- Quando: la marcatura temporale al secondo
- Su quale base: gli elementi noti in quell’istante
- Perché: la giustificazione, la scelta adottata
- Stato: fatto accertato, ipotesi o segnale debole
03 · CONSTATATO O SUPPOSTO
Distinguere ciò che è accertato da ciò che è supposto
L’errore più costoso, in una crisi come in un audit, è presentare un’ipotesi come un fatto. Galyct Pro qualifica esplicitamente ogni elemento del fascicolo: rileggendolo, si sa cosa è stato dimostrato e cosa restava una supposizione al momento di decidere.
Constatato
Un fatto accertato, basato su una traccia verificabile: un log di evento, uno screenshot, un documento, una conferma tecnica. Ciò che può essere mostrato a un terzo.
Supposto
Un’ipotesi di lavoro, utile per andare avanti ma non dimostrata. È indicata come tale: si decide sulla sua base con cognizione di causa, senza travestirla da certezza.
Segnale debole
Un indizio che merita di essere annotato senza trarre conclusioni. Registrato per non perderlo, potrà confermarsi (o smentirsi) man mano che il fascicolo procede.
Conseguenza diretta: nessuna attribuzione senza prova. Nessun responsabile, nessuna causa principale viene affermata finché gli elementi tecnici o contestuali non la sostengono. Ciò che non è dimostrabile resta presentato come ipotesi o come limite.
04 · ESPORTAZIONI UTILIZZABILI
Lo stesso fascicolo, leggibile da ciascuno dei vostri interlocutori
Un registro delle prove serve solo se esce dallo strumento. Galyct Pro produce esportazioni strutturate a partire dagli stessi fatti, declinate in base a chi le legge. Una sola verità, più livelli di lettura: la direzione, la banca, l’assicuratore, l’avvocato, l’auditor e l’autorità di vigilanza non ricevono versioni contraddittorie.
Banca
Cronologia dell’incidente e misure adottate: quanto serve per sostenere una denuncia di frode, una richiesta di blocco o un fascicolo di recupero, con le date che contano.
Assicuratore cyber
Un fascicolo di sinistro documentato: marche temporali, decisioni, registri e prove di remediation, i giustificativi che gli assicuratori chiedono spesso, secondo il vostro contratto.
Avvocato & ufficio legale
Una cronologia non ritoccata, che distingue fatti e ipotesi: la base di una denuncia, di una notifica o di una difesa, senza zone grigie su ciò che è provato.
Auditor
Prove collegate ai requisiti (ISO 27001, NIS 2, DORA): la documentazione rimanda a pratiche reali e a tracce, non a dichiarazioni d’intenti.
Autorità di vigilanza · CNIL, autorità NIS 2
Notifica di una violazione di dati nei termini (72 h per il GDPR), con la traccia delle decisioni prese: l’orologio normativo e il registro parlano la stessa lingua.
Direzione & comitato
Una restituzione sintetica, orientata alla decisione e al budget: cosa è successo, cosa è stato deciso, cosa resta da fare, il tutto appoggiato al fascicolo dettagliato.
Formati aperti e leggibili fuori dalla piattaforma. Vedi i framework coperti →
05 · TRACCIABILITÀ DALL’INIZIO ALLA FINE
Dal primo segnale alla prova, un’unica catena
La prova non si fabbrica alla fine: si deposita a ogni anello. Poiché il rischio, l’analisi, l’incidente e la conformità vivono nello stesso posto, nulla si inserisce due volte e nulla si perde tra due strumenti. Si risale da qualsiasi elemento del fascicolo fino alla sua origine.
01SegnaleUn allarme di un connettore (riunito nella vista «Segnali»), un’analisi di IOC, uno scenario di rischio: l’evento entra con la sua data.
02QualificazioneConstatato, supposto o segnale debole: l’elemento viene nominato prima di essere utilizzato.
03DecisioneLa scelta è registrata con il suo autore, la sua ora e la sua giustificazione.
04AzionePlaybook, responsabile, termine, remediation: ogni gesto lascia la sua traccia.
05ProvaFatti, decisioni e documenti si collegano nel registro in sola aggiunta.
06EsportazioneIl fascicolo esce, declinato per la banca, l’assicuratore, l’avvocato, l’auditor o l’autorità di vigilanza.
06 · REVERSIBILITÀ
Le vostre prove vi appartengono, e potete andarvene con esse
Un registro delle prove chiuso in uno strumento che non controllate non è una prova: è una dipendenza. Con Galyct Pro i vostri dati restano vostri, ospitati in Francia presso Scaleway, e li esportate quando volete, anche per lasciare la piattaforma.
Ospitato in Francia, presso Scaleway
Le vostre prove e i vostri registri sono ospitati in Francia, presso Scaleway. L’assistente IA si basa su Mistral (UE), sotto supervisione umana: nessun trattamento fuori dall’UE a vostra insaputa.
Esportabile in qualsiasi momento
Il registro, il registro delle decisioni e i documenti si esportano in formati aperti: non vi servono né il nostro accordo, né il nostro strumento, per rileggere il vostro fascicolo.
Reversibilità garantita
Andarsene deve restare possibile. Recuperate lo storico completo delle vostre decisioni e delle vostre prove: la tracciabilità non scompare perché cambiate soluzione.
Non vi chiediamo mai i vostri codici di accesso alle vostre banche, caselle di posta o servizi di terzi. La prova si costruisce a partire da ciò che constatate e decidete, non da un accesso ai vostri account.
Parte IIL’architettura, dove vivono i vostri dati, e chi li tratta
07 · LA BASE: DOVE VIVONO I VOSTRI DATI
I dati del vostro account e dei vostri incidenti, ospitati e trattati in Francia, presso Scaleway
Hosting, backup, registri e prove restano in Francia (UE), presso Scaleway. Le verifiche esterne opzionali (risoluzione DNS, reputazione di un URL, ricerca di fughe di dati) si attivano in modo controllato e documentato: per ognuna sapete quali dati sono trasmessi e a quale servizio. Fatti, descritti, non un assoluto di marketing.
Hosting francese
Server gestiti in Francia presso Scaleway, fornitore di hosting senza qualifica SecNumCloud. I dati dei vostri incidenti, dei vostri rischi e delle vostre prove non escono dall’UE nel normale svolgimento del servizio.
Cifratura a riposo & in transito
I dati sensibili sono cifrati a riposo; gli scambi passano in TLS (HTTPS), con intestazioni di sicurezza rafforzate (HSTS, CSP). La cifratura protegge il dato, non è mai un pretesto per non tracciare nulla.
Compartimentazione multi-entità
Ogni organizzazione (e ogni entità di un gruppo) dispone di uno spazio compartimentato. Una controllata non vede i dati di un’altra; la condivisione, quando esiste, è una scelta esplicita e registrata.
Backup & reversibilità
Backup regolari ed esportabilità dei vostri dati: le vostre prove, i vostri registri e i vostri log vi appartengono. Ve ne andate con ciò che avete prodotto, senza trattenute ostili.
Accesso minimo & registrato
Ruoli (amministratore, editor, membro), privilegio minimo e tracciabilità degli accessi. Le azioni sensibili sono registrate con data e ora: chi ha visto cosa, chi ha deciso cosa, e quando.
Risoluzione DNS cifrata (DoH)
Il modulo Galyct Domain interroga il DNS in modo cifrato (DNS-over-HTTPS) tramite resolver pubblici non filtranti dell’Unione europea, Mullvad (Svezia), Freifunk München (Germania) e LibreDNS (Grecia), con un ripiego in Francia presso FDN: transita solo il nome di dominio verificato, nessun dato personale. Un’osservazione controllata, descritta così com’è.
I vostri strumenti restano vostri. I connettori (EDR, firewall, backup, intelligence) funzionano in sola lettura, «il cliente fornisce la sua istanza». Galyct legge i vostri eventi e non comanda mai i vostri strumenti: nessun agente Galyct è necessario per questi connettori. Esiste inoltre un sensore di postazione facoltativo («Agente di postazione»), se desiderate arricchire la telemetria. Vedi i connettori →
08 · L’IA SOTTO SUPERVISIONE UMANA
Un’IA europea che assiste, mai che decide da sola
L’assistente di Galyct Pro si basa per impostazione predefinita su Mistral, un fornitore francese i cui modelli sono gestiti nell’Unione europea. L’IA prepara, propone e accelera; la decisione resta umana, e ogni restituzione è verificabile.
Modello europeo predefinito
Il trattamento IA avviene presso Mistral (Francia/UE). La scelta del fornitore è governata lato server: sapete quale motore tratta le vostre richieste, e nulla parte verso un modello fuori dall’UE a vostra insaputa.
La persona convalida, l’IA non agisce da sola
L’IA redige una bozza di playbook, propone una qualificazione, riassume un incidente: una persona convalida. Nessuna azione irreversibile viene avviata dall’assistente senza una decisione dell’operatore.
Analisi dei file (UE)
L’analisi automatizzata di file e indicatori si basa su un motore di analisi che non esce dall’UE, a complemento di fonti aperte riconosciute. Le capacità di analisi avanzata si arricchiscono per ondate: alcune arrivano presto, e lo diciamo invece di lasciarlo credere.
Consenso & registro
Il ricorso all’IA è regolato da un consenso e da un registro: una schermata di rischio esplicita ciò che viene inviato al modello. Mantenete il controllo su ciò che viene sottoposto, e su ciò che non lo è.
L’IA di Galyct Pro non ha lo scopo di sostituire un analista: gli fa risparmiare tempo su ciò che è ripetitivo, perché si concentri sulla decisione. Vedi lo spazio di analisi →
09 · IL QUADRO NORMATIVO
Progettato per la vostra conformità, senza simularla
Galyct Pro fornisce gli strumenti per i quadri che i vostri stakeholder esigono. La piattaforma vi aiuta a documentare e a rispettare i vostri obblighi: non vi rilascia alcun marchio statale, e non sostituisce né il vostro DPO né il vostro auditor.
GDPR · notifica in 72 h
Registro dei trattamenti, valutazioni d’impatto, procedura di notifica delle violazioni nei termini. Voi siete il titolare del trattamento; noi siamo responsabile del trattamento, con un quadro contrattuale (DPA) dedicato.
NIS 2
Direttiva europea: obblighi, governance, controllo del rischio terze parti e traiettoria di adeguamento. La piattaforma struttura la prova; la valutazione resta di competenza vostra e delle vostre autorità.
DORA
Resilienza operativa del settore finanziario: gestione del rischio dei fornitori di servizi TIC, test, incidenti gravi e reporting. Ogni requisito è collegato a decisioni e a prove esportabili.
10 · I NOSTRI SUBFORNITORI, PER NOME
Vi diciamo chi tratta cosa. Per nome.
La fiducia si verifica lungo la catena di subfornitura. Ecco i fornitori chiave che intervengono nel servizio, il loro ruolo e dove operano. L’elenco completo è aggiornato (ultima revisione: 15 agosto 2026) e messo a disposizione nel quadro contrattuale (DPA).
| Subfornitore | Ruolo | Ubicazione |
|---|---|---|
| Scaleway / Online Hosting |
Hosting dell’infrastruttura, dei database, dei backup e dei log del servizio. | Francia |
| Mistral Intelligenza artificiale |
Fornitore del modello di IA che assiste l’analisi e la redazione, sotto supervisione umana. | Francia / UE 🇪🇺 |
| Stancer Pagamento |
Fornitore di servizi di pagamento francese per gli abbonamenti e i pass. Non conserviamo i dati della vostra carta: transitano tramite il fornitore. | Francia |
Editore del servizio: Datashield Risk Consulting (SAS), che pubblica l’ecosistema Galyct. Ogni modifica di questo elenco vi viene comunicata nel quadro contrattuale. Note legali →
11 · CIÒ CHE NON VI CHIEDIAMO MAI
Non vi chiediamo mai i vostri codici
Una piattaforma affidabile si riconosce anche da ciò che si rifiuta di chiedervi. Queste regole non sono promesse commerciali: sono divieti che i nostri team applicano a sé stessi.
Mai
Non vi chiederemo…
- le vostre password, i codici di accesso o le credenziali dei vostri account di terzi;
- i codici ricevuti via SMS, e-mail o app di autenticazione;
- di disattivare la vostra autenticazione a due fattori o le vostre protezioni;
- un accesso remoto alle vostre postazioni al di fuori di una missione delimitata e contrattualizzata con lo studio.
Se un messaggio dice di provenire da Galyct e vi chiede una di queste cose, è un tentativo di frode. In caso di dubbio: segnala un incidente →
Sempre
Ciò che vi dobbiamo
- dirvi dove vivono i vostri dati e chi li tratta;
- tracciare gli accessi sensibili e rendervene conto;
- lasciarvi esportare e recuperare ciò che avete prodotto;
- distinguere un fatto accertato da un’ipotesi, in ogni restituzione.
12 · CIÒ CHE NON PROMETTIAMO
La fiducia si costruisce anche su ciò che ci si rifiuta di promettere
Un registro documenta ciò che è accaduto; un’architettura riduce l’esposizione. Né l’uno né l’altra riscrivono la storia, garantiscono un esito o sostituiscono il giudizio dei vostri consulenti. Dirlo è proprio ciò che dà loro valore.
Una traccia, non una garanzia di risultato
Documentare una decisione non garantisce che fosse quella giusta, né che un incidente sarà evitato: nessun risultato è garantito. Il registro dimostra ciò che è stato fatto e quando, non che basterà.
Un elemento solido, non un verdetto
Un registro con data e ora e coerente costituisce un elemento solido: la sua portata esatta davanti a un assicuratore, a un’autorità di vigilanza o a un giudice dipende dalla loro valutazione e dai vostri consulenti legali, non da una nostra promessa.
Niente rischio zero, niente «inviolabile»
Non usiamo né «inviolabile», né «sicuro al 100 %», né «garantito». L’obiettivo è ridurre l’esposizione e conservare la prova; una verifica limitata non dimostra mai l’assenza totale di rischio.
Una conformità legata alle pratiche reali
La piattaforma documenta; non rilascia alcun marchio. La documentazione deve corrispondere a responsabilità e pratiche reali: si documenta ciò che viene fatto, non il contrario.
Iscritto, non certificato dallo Stato
Galyct è un fornitore iscritto su Cybermalveillance.gouv.fr, un segno di serietà, non una certificazione statale, e non lo presentiamo mai come tale. Ciò non pregiudica la qualificazione di un determinato incidente.
Il software, e la persona quando serve
Galyct Pro governa la quotidianità. Per l’audit, l’EBIOS RM, la forensic, la gestione delle crisi o un CISO/DPO in outsourcing, lo studio interviene su preventivo: lo strato umano non si sostituisce con una casella spuntata.
Una crisi cyber in corso?
Sospetta intrusione, ransomware, account compromesso, fuga di dati: stabilizzate senza distruggere le prove. Apriamo una cellula di crisi, teniamo il registro delle decisioni e costituiamo il fascicolo man mano.
Prove e architettura, nel vostro contesto.
Visitate liberamente il cockpit su dati di esempio, oppure richiedete una demo di 30 minuti: ponete le vostre domande su tracciabilità, hosting e subfornitura. Senza impegno, trattamento nell’Unione europea, i vostri dati restano vostri.