Oltre la stretta di mano: governare la sicurezza dei fornitori con ISO 27001 e GDPR

I fornitori sono un’estensione della tua organizzazione, ma anche della tua superficie di attacco. Una sicurezza dei fornitori debole può causare violazioni dei dati, sanzioni regolatorie e interruzioni operative, rendendo indispensabile una gestione strutturata. Questa guida offre un percorso pratico per governare la sicurezza dei fornitori con ISO 27001:2022 e per soddisfare gli obblighi previsti dal GDPR per i responsabili del trattamento tramite contratti efficaci e un’adeguata supervisione.

La posta in gioco

Nell’ecosistema aziendale interconnesso di oggi, nessuna organizzazione opera in isolamento. Le imprese dipendono da una rete di fornitori per attività che spaziano dall’hosting cloud e dallo sviluppo software fino all’analisi marketing e all’elaborazione delle paghe. L’esternalizzazione aumenta l’efficienza, ma introduce anche rischi significativi. Ogni volta che concedi a una terza parte accesso ai tuoi dati, sistemi o infrastrutture, le affidi il compito di mantenere standard di sicurezza equivalenti ai tuoi. Quando questa fiducia è mal riposta, le conseguenze possono essere gravi e andare ben oltre una semplice interruzione del servizio. Una violazione che nasce nella catena di fornitura resta comunque una tua violazione, e le ricadute operative, finanziarie e reputazionali ricadono direttamente sulla tua organizzazione.

Il quadro normativo, in particolare in Europa, non lascia spazio ad ambiguità. Il GDPR, all’articolo 28, chiarisce esplicitamente che i titolari del trattamento rispondono delle azioni dei propri responsabili del trattamento. Ciò significa che hai l’obbligo giuridico di svolgere due diligence e di assicurare che ogni fornitore che tratta dati personali offra garanzie sufficienti rispetto al proprio livello di sicurezza. La semplice firma di un contratto non è sufficiente: è necessario disporre di un Accordo sul trattamento dei dati (DPA) formale e documentato, che definisca misure di sicurezza specifiche, obblighi di riservatezza, protocolli di notifica delle violazioni e diritto di audit. Il mancato rispetto di questi requisiti può comportare sanzioni rilevanti, ma il danno non si limita a questo. Normative come NIS2 e DORA stanno ampliando tali aspettative, richiedendo valutazioni del rischio coordinate e obblighi contrattuali di sicurezza lungo l’intera catena di fornitura ICT, soprattutto nei settori critici e finanziari.

Considera una piccola azienda di e-commerce che incarica una società di marketing terza di gestire le campagne e-mail rivolte ai clienti. La società di marketing archivia l’elenco clienti su un server cloud configurato in modo inadeguato. Un attore della minaccia individua la vulnerabilità, esfiltra i dati personali di migliaia di clienti e li pubblica online. Per l’azienda di e-commerce l’impatto è immediato e critico. Deve affrontare un’indagine GDPR, possibili sanzioni, una perdita di fiducia dei clienti che potrebbe richiedere anni per essere recuperata e la complessità operativa della gestione della risposta agli incidenti e del processo di notifica. La causa radice non è stata una falla nei propri sistemi, ma l’assenza di un’adeguata valutazione preventiva e di obblighi contrattuali specifici che vincolassero il fornitore a determinati standard di sicurezza. Questo scenario evidenzia una verità essenziale: la tua sicurezza delle informazioni è solida quanto il tuo fornitore più debole.

Come dovrebbe funzionare

Raggiungere una sicurezza dei fornitori solida non significa costruire barriere impenetrabili, ma definire un quadro di riferimento trasparente e basato sul rischio per gestire i rapporti con le terze parti. Un programma maturo, allineato a ISO 27001:2022, trasforma la gestione dei fornitori da formalità di approvvigionamento a funzione strategica di sicurezza. Il percorso parte dai principi del controllo A.5.19, che richiede di stabilire e mantenere una politica chiara per gestire la sicurezza delle informazioni nei rapporti con i fornitori. Ciò significa non trattare tutti i fornitori allo stesso modo, ma classificarli per livello di rischio, considerando fattori quali la sensibilità dei dati a cui accedono, la criticità del servizio fornito e il grado di integrazione con i sistemi core.

Questo approccio basato sul rischio alimenta direttamente i requisiti contrattuali previsti dal controllo A.5.20, relativo alla gestione della sicurezza delle informazioni negli accordi con i fornitori. Per un fornitore ad alto rischio, come un provider di infrastruttura cloud, l’accordo deve essere articolato. Deve specificare controlli tecnici come gli standard di cifratura, imporre audit di sicurezza periodici, definire tempi rigorosi per la notifica delle violazioni e tutelare il tuo diritto a verificare la conformità del fornitore. Per un fornitore a basso rischio, come un servizio di pulizia degli uffici, i requisiti potrebbero limitarsi a una clausola di riservatezza. L’obiettivo è garantire che ogni rapporto con un fornitore sia disciplinato da obblighi di sicurezza chiari, vincolanti e proporzionati al rischio. Questo processo strutturato assicura che la sicurezza sia considerata fin dalla valutazione iniziale di un nuovo fornitore, e non come un elemento aggiunto dopo la firma del contratto. La nostra libreria completa di controlli aiuta a definire queste misure specifiche per i diversi livelli di rischio dei fornitori.¹

Immagina una startup fintech in crescita che tratta dati finanziari sensibili. Il suo programma di sicurezza dei fornitori è un modello di efficienza. Quando coinvolge un nuovo fornitore cloud per ospitare l’applicazione core, il fornitore viene classificato come a “rischio critico”. Questo attiva un processo rigoroso di due diligence, che include il riesame del certificato ISO 27001 e del report SOC 2. Il DPA viene esaminato dai team legale e sicurezza per verificare che soddisfi i requisiti GDPR relativi alla localizzazione dei dati e alla gestione dei sub-responsabili. Al contrario, quando viene incaricata un’agenzia di design locale per un progetto marketing una tantum, l’agenzia viene classificata come a “basso rischio”. In questo caso firma un accordo di riservatezza standard e riceve accesso solo ad asset di brand non sensibili. Questo approccio graduato e metodico consente alla startup di concentrare le risorse sui rischi più elevati senza perdere agilità.

Percorso pratico

Costruire un programma duraturo di sicurezza dei fornitori richiede un approccio strutturato e per fasi, che integri la sicurezza nell’intero ciclo di vita del fornitore, dalla selezione alla dismissione. Non è un progetto una tantum, ma un processo aziendale continuo che allinea approvvigionamento, funzione legale e dipartimenti IT. Suddividendo l’attuazione in passaggi gestibili, è possibile creare slancio e dimostrare valore rapidamente senza sovraccaricare i team. Questo percorso garantisce la definizione dei requisiti di sicurezza, la solidità dei contratti e un monitoraggio continuo, creando un sistema di controllo in grado di soddisfare gli auditor e ridurre concretamente il rischio. La nostra guida all’attuazione del SGSI, il Zenith Blueprint, fornisce un piano di progetto dettagliato per istituire questi processi fondamentali.²

La fase iniziale consiste nel predisporre le basi. Occorre comprendere l’attuale panorama dei fornitori e definire le regole di ingaggio per tutti i rapporti futuri. Non puoi proteggere ciò che non conosci: per questo la creazione di un inventario completo di tutti i fornitori attivi è il primo passaggio essenziale. Questo processo spesso fa emergere dipendenze e rischi non precedentemente documentati. Una volta ottenuta visibilità, è possibile sviluppare politiche e procedure che disciplineranno il programma, assicurando che tutti nell’organizzazione comprendano il proprio ruolo nel mantenimento della sicurezza della catena di fornitura.

• Settimana 1: rilevazione e definizione della politica
  • Compilare un inventario completo di tutti i fornitori attivi, indicando i servizi forniti e i dati a cui accedono.
  • Sviluppare una metodologia di valutazione del rischio per classificare i fornitori per livelli, ad esempio alto, medio e basso, in base a sensibilità dei dati, criticità del servizio e accesso ai sistemi.
  • Redigere una politica formale di sicurezza dei fornitori che definisca i requisiti per ciascun livello di rischio.
  • Creare un questionario di sicurezza standardizzato e un modello di Accordo sul trattamento dei dati (DPA) allineato all’articolo 28 GDPR.

Con le politiche fondamentali definite, la fase successiva consiste nell’integrare i nuovi requisiti nei flussi di lavoro di approvvigionamento e legali. È qui che il programma passa dalla teoria alla pratica. È essenziale assicurare che nessun nuovo fornitore possa essere inserito senza il riesame di sicurezza appropriato. Ciò richiede una stretta collaborazione con i team che gestiscono contratti e pagamenti ai fornitori. Rendendo la sicurezza un punto di controllo obbligatorio nel processo di approvvigionamento, si previene la creazione di rapporti rischiosi e si assicura che tutti gli accordi contengano le necessarie tutele giuridiche.

• Settimana 2: integrazione e due diligence
  • Integrare il processo di riesame di sicurezza nel flusso di lavoro esistente di approvvigionamento e onboarding dei fornitori.
  • Avviare la valutazione dei nuovi fornitori utilizzando il questionario di sicurezza e la metodologia di rischio.
  • Collaborare con il team legale per garantire che tutti i nuovi contratti, in particolare quelli che comportano il trattamento di dati personali, includano il DPA standard e le clausole di sicurezza.
  • Avviare la valutazione retrospettiva dei fornitori esistenti ad alto rischio e correggere eventuali lacune contrattuali.

La terza fase sposta l’attenzione sul monitoraggio e sul riesame continui. La sicurezza dei fornitori non è un’attività da “impostare e dimenticare”. Il panorama delle minacce cambia, i servizi dei fornitori evolvono e il loro livello di sicurezza può degradarsi nel tempo. Un programma maturo include meccanismi di supervisione continua per assicurare che i fornitori restino conformi agli obblighi contrattuali per tutta la durata del rapporto. Ciò include verifiche periodiche, riesame dei rapporti di audit e un processo chiaro per gestire qualsiasi modifica ai servizi forniti.

• Settimana 3: monitoraggio e gestione delle modifiche
  • Stabilire un calendario per il riesame periodico dei fornitori ad alto rischio, ad esempio annuale. Il riesame deve includere la richiesta di certificazioni o rapporti di audit aggiornati.
  • Definire un processo formale per gestire le modifiche ai servizi dei fornitori. Qualsiasi modifica significativa, come l’introduzione di un nuovo sub-responsabile o un cambio della sede di trattamento dei dati, deve attivare una rivalutazione del rischio.
  • Implementare un sistema per monitorare le prestazioni dei fornitori rispetto agli SLA di sicurezza e ai requisiti contrattuali.

Infine, il programma deve essere pronto a gestire gli incidenti e a chiudere in modo sicuro il rapporto con un fornitore. Per quanto accurata sia la due diligence, gli incidenti possono comunque verificarsi. Un piano di risposta agli incidenti ben definito, che includa anche i fornitori, è essenziale per una reazione rapida ed efficace. Altrettanto importante è un processo di dismissione sicuro. Quando un contratto termina, devi assicurare che tutti i dati siano restituiti o distrutti in modo sicuro e che ogni accesso ai sistemi sia revocato, senza lasciare lacune di sicurezza.

• Settimana 4: risposta agli incidenti e dismissione
  • Integrare i fornitori nel piano di risposta agli incidenti, chiarendo ruoli, responsabilità e protocolli di comunicazione in caso di violazione della sicurezza.
  • Sviluppare una checklist formale di dismissione dei fornitori. Deve includere passaggi per la restituzione o distruzione dei dati, la revoca di tutti gli accessi fisici e logici e la chiusura finale dei rapporti amministrativi.
  • Eseguire un test del piano di comunicazione con i fornitori in caso di incidente per verificarne il corretto funzionamento.
  • Iniziare ad applicare il processo di dismissione ai rapporti con fornitori in fase di cessazione.

Politiche che rendono il processo stabile

Un piano pratico di attuazione è essenziale, ma senza politiche chiare e applicabili anche i processi migliori cedono sotto pressione. Le politiche sono l’ossatura del programma di sicurezza dei fornitori: traducono gli obiettivi strategici in regole concrete che guidano le decisioni quotidiane. Offrono chiarezza ai dipendenti, definiscono aspettative inequivocabili per i fornitori e creano una registrazione verificabile del quadro di governance. Una politica ben redatta elimina le ambiguità e assicura che la due diligence di sicurezza sia applicata in modo coerente in tutta l’organizzazione, dal team di approvvigionamento che negozia un nuovo contratto al team IT che assegna gli accessi a un consulente di terza parte.

Il pilastro di questo quadro di riferimento è la Politica di sicurezza delle terze parti e dei fornitori.³ Questo documento funge da riferimento centrale per tutti gli aspetti di sicurezza relativi ai fornitori. Formalizza l’impegno dell’organizzazione nella gestione del rischio della catena di fornitura e descrive l’intero ciclo di vita del rapporto con il fornitore dal punto di vista della sicurezza. Stabilisce la metodologia di classificazione dei livelli di rischio, specifica i requisiti minimi di sicurezza per ciascun livello e assegna ruoli e responsabilità chiari. Questa politica assicura che la sicurezza non sia un elemento facoltativo, ma una componente obbligatoria di ogni incarico affidato a un fornitore, fornendo l’autorità necessaria per imporre la conformità e respingere i fornitori che non rispettano gli standard richiesti.

Ad esempio, una società di logistica di medie dimensioni si affida a una dozzina di fornitori software per attività che vanno dalla pianificazione dei percorsi alla gestione del magazzino. La sua Politica di sicurezza delle terze parti e dei fornitori impone che qualsiasi fornitore che tratti dati di spedizione o dati dei clienti sia classificato come ad “alto rischio”. Prima che il team Finance possa processare una fattura per un nuovo abbonamento software, il responsabile dell’approvvigionamento deve caricare in un repository centrale un DPA firmato e un questionario di sicurezza completato. Il responsabile della sicurezza IT riceve automaticamente una notifica per riesaminare i documenti. Se i documenti mancano o le risposte del fornitore sono inadeguate, il sistema impedisce l’approvazione del pagamento, bloccando di fatto il processo di onboarding fino al soddisfacimento dei requisiti di sicurezza. Questo flusso di lavoro semplice e guidato dalla politica assicura che nessun fornitore rischioso passi inosservato.

Checklist

Per garantire un processo di sicurezza dei fornitori completo e ripetibile, è utile suddividere le attività principali in checklist operative. Questi elenchi guidano i team nelle fasi critiche di costruzione del programma, gestione quotidiana e verifica periodica dell’efficacia. Aiutano a standardizzare l’approccio, riducono il rischio di errore umano e forniscono evidenze chiare agli auditor sul fatto che i controlli siano applicati in modo coerente.

Una base solida è cruciale per qualsiasi programma di sicurezza efficace. Prima di valutare i singoli fornitori, è necessario costruire il quadro interno che sosterrà l’intero processo. Ciò include la definizione della propensione al rischio, la creazione della documentazione necessaria e l’assegnazione di responsabilità chiare. Senza questi elementi fondativi, le attività saranno disorganizzate, incoerenti e difficili da scalare con la crescita dell’organizzazione. Questa fase iniziale serve a creare strumenti e regole che disciplineranno tutte le future attività di sicurezza dei fornitori.

Costruire: istituire il quadro di sicurezza dei fornitori

• Sviluppare e approvare una Politica di sicurezza delle terze parti e dei fornitori formale.
• Creare un inventario completo di tutti i fornitori esistenti e dei dati a cui accedono.
• Definire una metodologia chiara di valutazione del rischio e criteri per classificare i fornitori per livelli.
• Progettare un questionario di sicurezza standardizzato per la due diligence sui fornitori.
• Creare un modello legale di Accordo sul trattamento dei dati (DPA) conforme all’articolo 28 GDPR.
• Assegnare ruoli e responsabilità chiari per la gestione della sicurezza dei fornitori tra i dipartimenti.

Una volta definito il quadro di riferimento, l’attenzione si sposta sulle attività operative quotidiane di gestione dei rapporti con i fornitori. Ciò comporta l’inserimento dei controlli di sicurezza nei processi ordinari, in particolare approvvigionamento e onboarding. Ogni nuovo fornitore deve superare questi punti di controllo di sicurezza prima di ottenere accesso a dati o sistemi. Questa checklist operativa assicura che le politiche redatte siano applicate in pratica, in modo coerente, per ogni singolo incarico affidato a un fornitore.

Gestire: governare il ciclo di vita del fornitore

• Svolgere due diligence di sicurezza e valutazione del rischio per tutti i nuovi fornitori prima della firma del contratto.
• Assicurare che in tutti i contratti pertinenti con i fornitori siano inclusi un DPA firmato e clausole di sicurezza appropriate.
• Assegnare gli accessi ai fornitori secondo il principio del privilegio minimo.
• Tracciare e gestire eventuali eccezioni di sicurezza o rischi accettati relativi a fornitori specifici.
• Eseguire il processo formale di dismissione alla cessazione del contratto con un fornitore, includendo distruzione dei dati e revoca degli accessi.

Infine, un programma di sicurezza è efficace solo se viene monitorato, riesaminato e migliorato con regolarità. La fase di “verifica” serve ad assicurare che i controlli operino come previsto e che i fornitori continuino a rispettare nel tempo i propri obblighi di sicurezza. Include controlli periodici, audit formali e l’impegno a trarre insegnamento da incidenti o mancati incidenti. Questo ciclo continuo di verifica trasforma un insieme statico di regole in una funzione di sicurezza dinamica e resiliente.

Verificare: monitorare e sottoporre ad audit la sicurezza dei fornitori

• Pianificare e svolgere riesami periodici della sicurezza dei fornitori ad alto rischio.
• Richiedere e riesaminare le evidenze di conformità dei fornitori, come certificati ISO 27001 o risultati di penetration test.
• Eseguire audit interni sul processo di sicurezza dei fornitori per verificare la conformità alla politica.
• Riesaminare e aggiornare le valutazioni del rischio dei fornitori in risposta a modifiche significative dei servizi o del panorama delle minacce.
• Integrare nelle politiche e nelle procedure le lezioni apprese dagli incidenti di sicurezza connessi ai fornitori.

Errori ricorrenti

Anche con un programma ben progettato, le organizzazioni spesso cadono in errori ricorrenti che indeboliscono le attività di sicurezza dei fornitori. Essere consapevoli di questi rischi è il primo passo per evitarli. Uno degli errori più frequenti consiste nel trattare la sicurezza dei fornitori come un’attività una tantum, da spuntare durante l’onboarding. Un fornitore può presentare un livello di sicurezza eccellente al momento della firma del contratto, ma la sua situazione può cambiare. Fusioni, acquisizioni, nuovi sub-responsabili o anche una semplice deriva della configurazione possono introdurre nuove vulnerabilità. Non svolgere riesami periodici, soprattutto per i fornitori ad alto rischio, significa basarsi su presupposti obsoleti e potenzialmente inesatti sulla loro sicurezza.

Un altro errore rilevante è l’accettazione acritica della documentazione del fornitore. I grandi provider, in particolare nei mercati cloud e SaaS, presentano spesso contratti standard e condizioni di sicurezza come non negoziabili. Molte organizzazioni, desiderose di avviare un progetto, firmano tali accordi senza un riesame approfondito da parte dei team legale e sicurezza. Questo può portare ad accettare condizioni sfavorevoli, come responsabilità estremamente limitata in caso di violazione, clausole ambigue sulla titolarità dei dati o assenza del diritto di audit. Anche quando la negoziazione è difficile, è essenziale identificare eventuali scostamenti dalla propria politica di sicurezza e documentare formalmente l’accettazione del rischio se si decide di procedere. Firmare condizioni senza comprenderne le implicazioni rappresenta una carenza di due diligence.

Un terzo errore comune riguarda la comunicazione interna e l’attribuzione delle responsabilità. La sicurezza dei fornitori non è responsabilità esclusiva del dipartimento IT o sicurezza. L’approvvigionamento deve gestire i contratti, la funzione legale deve valutarne le condizioni e i responsabili di business che si basano sui servizi del fornitore devono comprendere i rischi coinvolti. Quando questi dipartimenti operano in silos, emergono inevitabilmente lacune. L’approvvigionamento potrebbe rinnovare un contratto senza attivare la rivalutazione di sicurezza richiesta, oppure un’unità aziendale potrebbe incaricare un nuovo fornitore “a basso costo” senza alcuna verifica di sicurezza. Un programma efficace richiede un team interfunzionale con ruoli chiari e una comprensione condivisa del processo.

Infine, molte organizzazioni non pianificano la chiusura del rapporto. La dismissione è critica quanto l’onboarding. Un errore comune è risolvere un contratto ma dimenticare di revocare l’accesso del fornitore a sistemi e dati. Gli account inutilizzati e ancora attivi sono un bersaglio privilegiato per gli attaccanti. Un processo formale di dismissione, comprensivo di checklist per revocare tutte le credenziali, restituire o distruggere tutti i dati aziendali e confermare la cessazione degli accessi, è essenziale per impedire che questi account zombie diventino un futuro incidente di sicurezza.

Prossimi passi

Vuoi costruire un programma resiliente di sicurezza dei fornitori, in grado di sostenere il controllo regolatorio e proteggere la tua organizzazione? I nostri toolkit completi forniscono politiche, controlli e indicazioni di attuazione per iniziare rapidamente.

• Zenith Suite
• Complete SME + Enterprise Combo Pack
• Full SME Pack

Riferimenti