Il vostro team di sicurezza ha rafforzato il perimetro di protezione. Avete implementato l'autenticazione a più fattori (MFA), il rilevamento degli endpoint e protetto ermeticamente i vostri sistemi più importanti. Poi, un fornitore che avete scelto due anni fa, un'azienda che offre software SaaS di medie dimensioni approvato dal vostro team acquisti, subisce una violazione. Hanno avuto accesso ai dati dei vostri clienti. Ora il problema è vostro.
Questo è il problema del rischio legato a terze parti, riassunto in un paragrafo. Ed è il motivo per cui la gestione del rischio legato a terze parti (TPRM) è passata da una semplice formalità di conformità a un argomento di discussione a livello di consiglio di amministrazione.
Che cos'è realmente il TPRM
La gestione del rischio di terze parti (TPRM) è il processo di identificazione, valutazione e monitoraggio continuo dei rischi che soggetti esterni introducono nella tua organizzazione. Tali soggetti includono fornitori, provider di SaaS, appaltatori, piattaforme cloud e chiunque altro interagisca con i tuoi sistemi, dati o operazioni.
Qui la portata è fondamentale. Non si tratta solo dei grandi contratti aziendali negoziati dal vostro team legale. Si tratta anche del piccolo plugin di analisi aggiunto al vostro sistema di marketing, del fornitore esterno di servizi di elaborazione paghe, del fornitore di assistenza IT che ha i privilegi di amministratore locale sui vostri endpoint. Ognuno di questi elementi rappresenta una potenziale lacuna.
TPRM pone tre domande su ciascuno di loro:
- A quali informazioni possono accedere e quanto sono sensibili?
- Dispongono di controlli adeguati per proteggerlo?
- Questi controlli funzionano ancora adesso, e non solo al momento della revisione contabile dello scorso anno?
Perché è più importante che mai
Qualche anno fa, la gestione del rischio di terze parti (TPRM) era principalmente una questione di conformità. Si inviava un questionario, si riceveva un PDF in risposta, lo si archiviava e si finiva lì. Questo modello è ormai obsoleto per almeno tre motivi.
Il panorama delle minacce si è evoluto e ora riguarda l'accesso ai fornitori . Gli attacchi alla catena di approvvigionamento non sono più una mera ipotesi. SolarWinds, Kaseya, MOVEit: non si è trattato di attacchi diretti alle organizzazioni che hanno subito le conseguenze peggiori, bensì ai fornitori di cui queste organizzazioni si fidavano. Gli aggressori hanno capito che le terze parti rappresentano la via più semplice per raggiungere obiettivi ben protetti.
La pressione normativa ora ha un peso reale . Il DORA è entrato in vigore nel gennaio 2025 per le società di servizi finanziari dell'UE. Esso impone politiche scritte sui rischi di terze parti nel settore ICT, requisiti contrattuali specifici e la segnalazione dei rischi di concentrazione. Il NIS2 estende obblighi simili a tutti i settori delle infrastrutture critiche. L'articolo 28 del GDPR ha sempre richiesto la dovuta diligenza nei confronti dei responsabili del trattamento dei dati, ma l'applicazione sta finalmente corrispondendo all'intento del regolamento. Se sei un CISO di un'entità regolamentata senza un programma strutturato di gestione dei rischi di terze parti (TPRM), sei esposto non solo al rischio, ma anche a sanzioni normative.
L'ecosistema dei fornitori è cresciuto più rapidamente di quanto chiunque possa gestirlo manualmente . Un'azienda media utilizza ormai oltre 130 applicazioni SaaS. Anche un'organizzazione di medie dimensioni ha in genere centinaia di rapporti attivi con i fornitori. Non è possibile valutare un volume simile con fogli di calcolo e questionari annuali.
Come si presenta un vero programma TPRM
Il ciclo di vita si articola in sei fasi. Nessuna di esse è facoltativa se si desidera che il programma funzioni correttamente.
1. Identificazione e assunzione
Non si può gestire ciò di cui non si conosce l'esistenza. Il fondamento di qualsiasi programma TPRM è un inventario completo e aggiornato dei fornitori. Ogni nuovo rapporto con un fornitore dovrebbe innescare un processo di valutazione strutturato: a quali dati accederanno, quali dati gestiranno, chi è internamente responsabile del rapporto e quale funzione aziendale supportano?
Sembra ovvio. La maggior parte delle organizzazioni lo fa male. L'IT ombra, le procedure di appalto aggirate e i rapporti con i fornitori preesistenti a qualsiasi programma formale fanno sì che il numero reale di fornitori sia solitamente superiore del 30-40% rispetto a quello presente nell'elenco ufficiale.
2. Classificazione del rischio
Non tutti i fornitori meritano lo stesso livello di controllo. Un fornitore che ha accesso al database dei clienti della tua linea di produzione richiede un livello di valutazione molto diverso rispetto all'azienda che fornisce i tuoi prodotti di merchandising con il tuo marchio.
La classificazione si basa in genere su quattro variabili: sensibilità dei dati (a quali informazioni possono accedere?), ambito normativo (rientrano in un contesto di conformità?), concentrazione operativa (cosa succede alla tua attività se dovessero cessare l'attività?) e sostituibilità (con quale rapidità potresti sostituirli?). La combinazione di queste variabili produce una classificazione Critica/Alta/Media/Bassa che influenza ogni aspetto successivo, inclusi il livello di approfondimento della valutazione, la frequenza delle rivalutazioni e il livello di protezione contrattuale necessario.
3. Due diligence
È qui che si svolge la maggior parte del lavoro, ed è anche qui che la maggior parte dei programmi fallisce.
Per i fornitori critici e di alto livello, una valutazione approfondita include un questionario completo sulla sicurezza (SIG o CAIQ sono gli standard di settore), la verifica della certificazione SOC 2 Type II o ISO 27001, un riepilogo dei test di penetrazione, la documentazione relativa alla continuità operativa e al ripristino di emergenza e gli indicatori di salute finanziaria.
La sfida sta nel farlo su larga scala. Un questionario SIG completo contiene oltre 850 domande. Leggere correttamente un report SOC 2, comprenderne l'ambito, identificare le eccezioni e verificare se gli impegni di servizio coprono effettivamente il proprio caso d'uso, richiede tempo reale. Moltiplicate questo per decine di fornitori critici e avrete un problema di risorse non indifferente.
È proprio qui che la revisione documentale basata sull'intelligenza artificiale cambia le carte in tavola. Una piattaforma in grado di acquisire un report SOC 2 ed estrarne in pochi secondi l'ambito, gli impegni di servizio, le eccezioni e la data di scadenza non è un lusso per i grandi programmi, bensì una necessità.
4. Contratto
La valutazione ti indica quali rischi esistono. Il contratto è lo strumento per gestirli.
Clausole cruciali che mancano o sono carenti in troppi contratti con i fornitori:
- Tempistiche di notifica delle violazioni. Il termine standard del GDPR è di 72 ore, ma molti contratti continuano a specificare "tempestivamente" o "senza indebito ritardo", il che non significa nulla quando si cerca di rispettare un obbligo di notifica previsto dalla normativa.
- Diritto di verifica contabile. La possibilità di condurre o commissionare una valutazione di sicurezza indipendente del fornitore. Negoziare questo aspetto al momento della firma del contratto è infinitamente più semplice che richiederlo dopo un incidente.
- Restrizioni del sottoprocessore. Chi è il fornitore del tuo fornitore? Ai sensi del GDPR, i subappaltatori sono di tua responsabilità. Il tuo contratto deve stabilire chi può essere aggiunto, con quale preavviso e con quali requisiti di sicurezza.
- Cancellazione dei dati al termine del servizio. Specifico, verificabile, con una tempistica definita e un meccanismo di conferma. Non "cancelleremo i tuoi dati in conformità con la nostra politica di conservazione dei dati".
5. Monitoraggio continuo
Il modello di valutazione annuale presenta un difetto fondamentale: un fornitore che risultava conforme a gennaio potrebbe non esserlo più a marzo, e lo si scoprirà solo con il questionario dell'anno successivo.
Il monitoraggio continuo affronta questo problema attraverso due percorsi paralleli. In primo luogo, i segnali di rischio informatico provenienti dall'esterno. Piattaforme come BitSight e SecurityScorecard analizzano passivamente l'infrastruttura esterna dei fornitori, segnalando porte aperte, server configurati in modo errato, credenziali compromesse e attività di botnet, senza intervenire sui sistemi interni del fornitore. Un calo del punteggio di un fornitore critico rappresenta un segnale concreto che indica un cambiamento.
In secondo luogo, il monitoraggio dei media e degli eventi avversi. Ciò significa tenere d'occhio le notizie relative a violazioni che il fornitore potrebbe non aver ancora divulgato, azioni normative, sanzioni, segnali di difficoltà finanziarie e cambiamenti ai vertici che potrebbero influire sul suo profilo di rischio.
Nessuno dei due sostituisce il ciclo di valutazione formale. Entrambi riempiono i 364 giorni che li separano.
6. Reporting, governance e cessazione del rapporto di lavoro
Un programma TPRM che non è in grado di dimostrare la propria efficacia a un ente regolatore o a un revisore dei conti non è un programma, ma una semplice attività. La documentazione è fondamentale: registrazioni delle valutazioni con data e ora, tracciamento delle azioni correttive, approvazioni delle eccezioni, reportistica per il consiglio di amministrazione e i comitati, e la traccia di audit che dimostra l'effettiva diligenza dimostrata.
La fase di cessazione del rapporto con un fornitore è la più sottovalutata. Quando un rapporto con un fornitore termina, è necessario avere la conferma che i dati siano stati cancellati o restituiti, che l'accesso sia stato revocato da ogni sistema e che la chiusura sia documentata. Le violazioni dell'accesso da parte di ex fornitori sono molto più frequenti di quanto dovrebbero essere.
Uno scenario reale: perché la suddivisione in livelli cambia tutto
Ecco un esempio concreto di come si presenta la stratificazione nella pratica.
Un'azienda di servizi finanziari ha 340 fornitori attivi. Eseguire una valutazione SIG completa su tutti e 340 richiederebbe circa 8,500 ore-uomo all'anno, senza contare la revisione della documentazione, il follow-up e il monitoraggio delle azioni correttive. Non si tratta di un programma, ma di un obiettivo.
Con una corretta classificazione, il quadro cambia. Venti fornitori sono Critici: sistemi bancari centrali, processori di pagamento, infrastrutture cloud. Sono soggetti a revisioni trimestrali, questionari SIG completi, verifica SOC 2, controlli di solidità finanziaria e monitoraggio continuo della sicurezza informatica. Sessanta sono Alti: revisioni semestrali, questionari completi, revisione della documentazione, diritti di audit contrattuali. Centocinquanta sono Medi: SIG Lite annuale e conferma della certificazione. I restanti 110 sono Bassi: revisione minima e autocertificazione.
Il carico di lavoro complessivo per la valutazione si riduce del 70%. Il tempo degli analisti si concentra dove il rischio è effettivamente presente. Il programma diventa difendibile di fronte agli enti regolatori e sostenibile dal punto di vista operativo.
Il problema della N-esima parte
Un aspetto che spesso viene trascurato nelle discussioni sul TPRM è che anche i vostri fornitori hanno dei fornitori.
Quando MOVEit subì una violazione nel 2023, molte delle organizzazioni colpite non erano clienti diretti di MOVEit, bensì i loro fornitori. I dati sottratti appartenevano all'organizzazione finale, ma la violazione si verificò a due livelli successivi della catena di fornitura.
Il rischio di terze parti, ovvero il rischio introdotto dai fornitori dei vostri fornitori, è effettivamente difficile da gestire. Gli strumenti principali sono le clausole contrattuali che estendono i requisiti di sicurezza ai subappaltatori, le sezioni dei questionari che chiedono ai fornitori di descrivere le proprie pratiche di gestione del rischio di terze parti e gli strumenti di mappatura della catena di fornitura che cercano di individuare le dipendenze di quarte parti. Nessuno di questi strumenti offre una visibilità completa. Tuttavia, includere la questione nel proprio programma è decisamente meglio che non includerla affatto.
Dove si colloca miniOrange TPRM
Abbiamo creato miniOrange TPRM perché continuavamo a riscontrare lo stesso schema: organizzazioni con solide misure di sicurezza e team di gestione del rischio realmente impegnati, ma programmi TPRM gestiti tramite fogli di calcolo, scambi di email e una cartella SharePoint piena di questionari in PDF.
La piattaforma copre l'intero ciclo di vita, dall'acquisizione alla cessazione del rapporto, con la revisione dei documenti basata sull'intelligenza artificiale come elemento centrale. Quando un fornitore invia un report SOC 2, la piattaforma lo legge, estrae lo stato dei controlli pertinenti, segnala eccezioni e limitazioni di ambito, mappa i risultati ai controlli del framework richiesti dalla valutazione e individua le lacune. Ciò che prima richiedeva a un analista senior dalle due alle tre ore per fornitore, ora viene completato in pochi minuti.
L'altro aspetto che rende diverso il nostro approccio è che TPRM è costruito sulla nostra base di sicurezza dell'identità. L'accesso al portale dei fornitori è protetto da miniOrange SSO e MFA fin da subito. L'accesso ai dati sensibili dei fornitori è regolato dalle stesse policy RBAC e IGA che proteggono la tua forza lavoro. La traccia di controllo del tuo programma TPRM confluisce nella tua reportistica di governance dell'identità esistente. Se stai già utilizzando miniOrange per IAMTPRM non è un nuovo compartimento stagno. È una naturale estensione.
Per le organizzazioni soggette a DORA, GDPR, HIPAA o PCI DSS, la piattaforma mappa un'unica valutazione del fornitore a tutti i framework pertinenti contemporaneamente. Un'unica valutazione, molteplici obblighi normativi soddisfatti, un unico pacchetto di prove pronto per l'audit.
Conclusione
TPRM non è un esercizio di conformità. È una disciplina di gestione del rischio che incide direttamente sulla postura di sicurezza della tua organizzazione, sulla tua posizione normativa e sulla tua capacità di rispondere quando un fornitore ha un problema.
Le organizzazioni che lo fanno bene hanno tre cose in comune: un inventario completo e aggiornato dei fornitori, un approccio basato sul rischio che concentra gli sforzi dove conta davvero e un monitoraggio continuo che non si basa sull'autosegnalazione dei problemi da parte dei fornitori.
Se il vostro programma attuale si basa su questionari annuali e buone intenzioni, è giunto il momento di valutare come potrebbe essere un approccio strutturato e supportato dalla tecnologia.
Pronti a vedere miniOrange TPRM in azione?
Offriamo una demo di 30 minuti personalizzata in base alle dimensioni del tuo portfolio fornitori, al settore di appartenenza e ai requisiti di conformità. Il nostro team ti guiderà attraverso la piattaforma, utilizzando, ove possibile, i tuoi documenti di esempio.
Oppure potete contattarci direttamente via email all'indirizzo info@xecurify.com.
Lascia un tuo commento