Il fornitore che non avete mai controllato è già nel vostro perimetro di rischio

Immaginate un'azienda manifatturiera che si ferma per tre giorni. Non per un attacco diretto: il problema è nel software gestionale fornito da una software house terza, compromessa a sua volta attraverso un suo fornitore di infrastruttura cloud. Nessuno, in quell'azienda, aveva mai classificato quel fornitore come critico. Era "solo" il gestionale ERP, quello che gira in sottofondo da anni senza che nessuno se lo chieda. Tre giorni di produzione ferma, contratti a rischio per i ritardi di consegna, e una domanda che il CEO si fa troppo tardi: quanti altri fornitori come questo abbiamo?

Un ecosistema di fornitori è anche un ecosistema di rischi

È esattamente questo lo scenario che la NIS2 ha messo al centro dell'agenda aziendale. Non la conformità normativa in sé, ma una consapevolezza che fino a poco tempo fa restava confinata ai reparti IT: la sicurezza della vostra azienda oggi dipende anche dalla sicurezza del suo ecosistema di fornitori.

In altre parole, il rischio cyber non si ferma più al perimetro aziendale. Entra attraverso applicazioni gestionali, servizi cloud, partner tecnologici, outsourcer, consulenti, provider verticali e subfornitori. E quando un fornitore critico non è adeguatamente valutato, monitorato e governato, il suo rischio diventa rischio operativo, economico e reputazionale per l'azienda che lo utilizza. Il cambio di paradigma è più semplice di quanto sembri. Fino a ieri, un fornitore si valutava su prezzo, qualità del servizio, solidità contrattuale, affidabilità delle consegne, e la responsabilità di questa valutazione era quasi sempre del Procurement Manager. Oggi va aggiunta una quarta dimensione, che per molte aziende è del tutto nuova e che chiama in causa direttamente CIO, CISO, Risk and Compliance Manager: quanto rischio cyber quel fornitore introduce nella vostra catena, e cosa succede al vostro business se quel fornitore viene colpito. Non è un esercizio teorico. È la differenza tra scoprire una criticità quando è ancora gestibile, oppure accorgersene quando la produzione è già ferma o un servizio essenziale non è disponibile.

"Il rischio cyber non si ferma più al perimetro aziendale"

Cosa chiede davvero la NIS2 sulla classificazione dei fornitori

Sul piano operativo, il percorso avviato dall'Agenzia per la Cybersicurezza Nazionale ha reso ancora più evidente la centralità della supply chain nella gestione del rischio cyber, per cui le aziende soggette alla NIS2 sono chiamate a guardare oltre il proprio perimetro interno e a identificare i soggetti della catena di approvvigionamento che possono incidere sulla continuità e sulla sicurezza dei servizi.

"Un fornitore può essere conveniente, affidabile e conforme alle normative, ma rappresentare comunque un rischio informatico rilevante"

Il vero lavoro comincia quando quei fornitori devono essere classificati, valutati e monitorati in base al rischio effettivo che possono introdurre nel business: quali fornitori meritano un audit approfondito, quali possono essere gestiti con un questionario di autovalutazione e quali richiedono azioni di rimedio immediate. È una decisione che raramente può restare solo del CISO, solo del Procurement Manager o del Compliance Manager: richiede che i ruoli condividano criteri e priorità, altrimenti si finisce per classificare i fornitori in base a chi ha risposto per primo, non in base al rischio reale.

Cosa ci guadagna l'azienda, oltre alla conformità

Un lavoro che vale la pena fare bene indipendentemente dalla scadenza normativa. Primo, perché avere visibilità reale sul rischio della propria filiera è una leva negoziale, non solo un adempimento: un'azienda che sa esattamente dove sono le sue vulnerabilità di terze parti può chiedere garanzie contrattuali più solide, o scegliere alternative prima che sia un fornitore a scegliere per lei, nel peggiore dei modi. Secondo, perché è sempre più probabile che siano i vostri stessi clienti B2B a chiedervi conto della vostra postura di sicurezza come fornitori: la due diligence che oggi fate sui vostri fornitori, domani la faranno su di voi.

Il limite dei fogli Excel e il valore di un processo strutturato

Il problema, per chi ha provato ad affrontare questo tema con fogli Excel condivisi e questionari inviati via mail, è che la gestione del rischio di terze parti smette rapidamente di essere sostenibile appena il numero di fornitori supera la manciata che si conosce a memoria: classificazioni non aggiornate, questionari che si perdono nelle caselle di posta di persone che nel frattempo hanno cambiato ruolo, contratti che nessuno rilegge dopo la firma, azioni di rimedio non tracciate. E soprattutto: valutazioni basate quasi esclusivamente su ciò che il fornitore dichiara. Un fornitore può dichiarare di avere processi formalizzati, ma presentare asset digitali esposti, vulnerabilità non gestite, domini configurati in modo debole o indirizzi e-mail coinvolti in data breach.

È qui che una soluzione strutturata di Third Party Risk Management fa la differenza concreta, e non solo per il CISO che deve dimostrarne l'efficacia: non aggiunge burocrazia, la elimina, perché centralizza classificazione, monitoraggio e documentazione in un unico processo che resta aggiornato anche quando cambiano le persone che lo gestiscono. Non si limita a raccogliere dati, ma li trasforma in evidenze decisionali, utili tanto al Procurement Manager che deve scegliere con chi rinnovare un contratto quanto al CIO che deve rispondere di fronte al board. Consente di affiancare alla valutazione documentale, dichiarativa e di processo una componente tecnica dedicata alla postura di sicurezza cyber del fornitore. Questo significa che la valutazione non dipende più solo da ciò che il fornitore compila in un questionario, ma viene arricchita da evidenze oggettive raccolte attraverso analisi su asset digitali, indirizzi IP, domini, indirizzi e-mail e informazioni pubblicamente disponibili.

In un contesto NIS2, questo aspetto è particolarmente rilevante: non basta dimostrare di aver chiesto informazioni ai fornitori. È sempre più importante dimostrare di aver strutturato un processo di valutazione, classificazione, decisione e remediation proporzionato al rischio effettivo.

"La vera sfida non sta nel raccogliere i dati dei fornitori, ma nel trasformarli in decisioni basate su dati concreti"

Non più un elenco, ma uno strumento di governance

Con la soluzione TPRM di Cegeka, questo significa passare da un elenco statico di fornitori a una mappa viva del rischio, consultabile in qualsiasi momento e pronta a essere mostrata, con dati alla mano, a chi ve lo chiederà: un auditor, un cliente, o il vostro stesso board.

La domanda da farsi non è se siete pronti per una verifica ACN. È se sapete, oggi, quale dei vostri fornitori potrebbe fermarvi per tre giorni. Se la risposta non è immediata, probabilmente è il momento di scoprirla prima che lo faccia un incidente al posto vostro.

Vuoi capire quanto è esposta oggi la tua catena di fornitori? Parliamone: un assessment iniziale può mostrarti, in poche settimane, dove classificare davvero il rischio, prima che sia un incidente a farlo per te.

Puoi anche scaricare l'ebook Governare i rischi delle terze parti e se ti servono ulteriori informazioni basta compilare il modulo che trovi qui sotto.