Un attacco a un fornitore di software o servizi può colpire centinaia di clienti in un colpo solo. Come individuare i fornitori critici e governare il rischio che portano con sé.
Un'organizzazione può proteggere bene i propri sistemi ed essere colpita lo stesso, perché l'attacco arriva da un fornitore. È successo molte volte negli ultimi anni: un aggiornamento software compromesso distribuito a migliaia di clienti, un fornitore di servizi informatici violato che ha esposto i dati di tutti gli enti che serviva, le credenziali di un'azienda di assistenza usate per entrare nei sistemi dei clienti.
Gli esperti parlano di attacchi alla catena di approvvigionamento. Per chi guida un'organizzazione sono un rischio da governare attivamente, non da delegare.
Non tutti i fornitori hanno lo stesso peso. Sono critici, dal punto di vista della sicurezza, quelli che:
Il primo passo è costruire un elenco di questi fornitori, con il servizio che offrono, i dati e i sistemi coinvolti e un responsabile interno del rapporto.
Per ogni fornitore critico conviene chiedersi:
La profondità della valutazione dipende dall'importanza del fornitore: un questionario semplice per i fornitori minori, verifiche più approfondite per quelli da cui dipende il servizio principale.
Il contratto è lo strumento principale per governare il rischio. Per i fornitori critici dovrebbe prevedere:
Per i soggetti che rientrano nella NIS2, la sicurezza della catena di approvvigionamento è una delle misure di base previste dal decreto 138/2024 e dalle determinazioni dell'ACN. Il GDPR, a sua volta, chiede di scegliere responsabili del trattamento che offrano garanzie sufficienti. E il Cyber Resilience Act europeo sta introducendo requisiti di sicurezza per i prodotti con componenti digitali, che renderanno più facile valutare ciò che si acquista.
Anche il fornitore migliore può essere colpito. Il piano di risposta agli incidenti dovrebbe prevedere anche questo scenario: chi contattare, come isolare i collegamenti con il fornitore, come continuare a lavorare senza il suo servizio, come comunicare con clienti e cittadini.
La sicurezza di un'organizzazione si estende ai suoi fornitori. Sapere chi sono quelli critici, cosa possono fare e cosa succede se vengono colpiti è ormai una responsabilità di chi decide, non solo dell'ufficio acquisti.
Il tecnico del gestionale, la società che gestisce i server, il consulente in cloud: molti fornitori entrano nei nostri sistemi. Come concedere loro l'accesso senza aprire una porta permanente.
Non serve un consulente per iniziare a capire dove un'organizzazione è più esposta. Un percorso semplice per individuare le priorità e decidere dove investire.
Stazioni, alberghi, bar e sale d'attesa offrono connessioni gratuite. Cosa può davvero succedere quando le usi per lavoro e come collegarti in sicurezza.