Dipendiamo da fornitori che non conosciamo abbastanza
Il fornitore che conta per la sicurezza non è quello che fattura di più, ma quello senza cui un servizio critico si ferma.
Il problema
Gestionale in cloud, assistenza sistemistica, posta elettronica, connettività, manutenzione dei macchinari da remoto. Ogni giorno l'azienda si appoggia a fornitori che hanno accesso ai suoi dati o ai suoi sistemi. Spesso nessuno sa chi siano davvero, cosa possano toccare e cosa succede se si fermano loro.
Come capire se ti riguarda
- L'elenco dei fornitori è quello dell'ufficio acquisti, ordinato per fatturato.
- Non sapete quali fornitori hanno accessi remoti ai vostri sistemi.
- I contratti non dicono nulla su sicurezza, incidenti, tempi di ripristino.
- Se il fornitore principale chiudesse domani, non c'è un piano B.
Il primo passo
Per ogni servizio critico chiedetevi: da chi dipendiamo per farlo funzionare? Quei nomi sono i vostri fornitori rilevanti, anche se fatturano poco.
Come risolverlo
- Fate il registro dei fornitori rilevanti. Servizio che supportano, dati e accessi che hanno, referente, contratto. *Chi: IT e acquisti insieme. Evidenza: registro fornitori.*
- Chiedete, non presumete. Un questionario breve: come proteggono i vostri dati, come vi avvisano di un incidente, dove sono i dati. *Evidenza: questionari compilati.*
- Mettete la sicurezza nei contratti. Obbligo di notifica degli incidenti, tempi di ripristino, gestione degli accessi, restituzione dei dati a fine rapporto.
- Controllate gli accessi remoti. Solo nominativi, con autenticazione a più fattori, attivi solo quando servono. *Evidenza: elenco accessi e loro revisione.*
- Preparate l'uscita. Per i fornitori critici, cosa fareste se smettessero di funzionare: alternativa, copie dei dati, tempi.
Come evitare che si ripeta
Nessun nuovo fornitore con accesso a dati o sistemi entra senza passare dal registro. E una volta l'anno si rivede chi c'è ancora, chi ha ancora accesso e perché.
Quando chiedere aiuto
Quando i fornitori sono molti o includono tecnologia di produzione (OT), conviene un metodo strutturato di valutazione con criteri e punteggi condivisi.
Dal libro
«Il fornitore rilevante non è una riga di anagrafica.»
— *NIS2. La carta che guida*, capitolo 5
Uno spunto in più
Guardate gli accessi remoti attivi oggi. Se trovate un fornitore che non lavora più con voi, avete appena chiuso una porta.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.