La NIS2 porta al centro un tema che per molte organizzazioni è ancora gestito in modo troppo amministrativo: la catena di approvvigionamento ICT. I fornitori vengono spesso censiti come soggetti contrattuali, classificati per tipologia di servizio, valore economico o area aziendale di riferimento.
È un punto di partenza, ma non è sufficiente per governare il rischio cyber.
Indice degli argomenti
La supply chain come superficie di rischio
In un contesto sempre più interconnesso, un fornitore esterno può gestire infrastrutture critiche, amministrare sistemi, accedere da remoto, erogare servizi cloud, supportare applicazioni gestionali, mantenere ambienti produttivi, configurare apparati di rete, gestire backup o intervenire su piattaforme di sicurezza.
In questi casi il fornitore non è un elemento periferico: diventa parte dell’ecosistema operativo dell’organizzazione.
La domanda corretta, quindi, non è soltanto quali fornitori abbiamo, ma quali attività aziendali dipendono da quei fornitori e quale sarebbe l’impatto se non fossero disponibili, affidabili o sicuri.
Non tutti i fornitori sono uguali
La prima distinzione da fare è tra fornitore contrattualmente rilevante e fornitore operativamente critico. Un fornitore può avere un contratto economicamente limitato ma gestire un sistema essenziale. Allo stesso modo, un fornitore con un contratto importante può avere un impatto operativo contenuto se il servizio erogato non supporta attività critiche.
La criticità non deriva quindi solo dal valore del contratto, dal nome del fornitore o dalla tipologia del servizio. Deriva dal legame tra fornitore, asset, servizi IT e attività aziendali. La classificazione del fornitore dovrebbe quindi derivare dal ruolo che svolge nella continuità dei servizi, non solo dalla categoria merceologica o dal valore economico del contratto.
Un fornitore che gestisce il firewall perimetrale, il sistema di backup, l’ERP, la piattaforma cloud, il sistema di autenticazione o un applicativo di produzione ha un peso diverso rispetto a un fornitore che eroga un servizio accessorio.
Un fornitore con accessi amministrativi o remoti presenta un profilo di rischio diverso rispetto a un fornitore che non interagisce direttamente con l’infrastruttura.
Accessi, privilegi e controllo operativo
Uno dei criteri principali per valutare la criticità di un fornitore è il tipo di accesso di cui dispone. Un fornitore che accede occasionalmente a un sistema non presenta lo stesso rischio di un fornitore che possiede credenziali privilegiate, accesso VPN, accesso persistente, strumenti di amministrazione remota o capacità di modificare configurazioni, dati e processi.
Gli accessi dei fornitori devono essere governati con attenzione: devono essere nominativi ove possibile, limitati al necessario, tracciabili, soggetti a revisione periodica e revocati quando non più necessari. L’accesso remoto non dovrebbe essere considerato una comodità tecnica, ma un’estensione della superficie di attacco dell’organizzazione.
Il punto non è impedire ai fornitori di lavorare. Il punto è rendere il loro intervento coerente con il livello di rischio degli asset e dei servizi coinvolti.
Fungibilità e dipendenza operativa
Un altro elemento spesso sottovalutato è la fungibilità del fornitore. Alcuni fornitori possono essere sostituiti con relativa facilità. Altri detengono competenze, configurazioni, conoscenze storiche, accessi o capacità operative difficilmente replicabili in tempi brevi. In questi casi la dipendenza non è solo contrattuale, ma operativa.
Un fornitore non fungibile o difficilmente sostituibile può diventare un punto di fragilità. Se non è disponibile durante un incidente, se subisce una compromissione, se non ha tempi di risposta adeguati o se non dispone di procedure strutturate, l’organizzazione può trovarsi esposta proprio nel momento in cui ha bisogno di maggiore capacità operativa.
Per questo la valutazione dei fornitori deve considerare non solo che cosa erogano, ma anche quanto l’organizzazione dipende da loro e quanto velocemente potrebbe sostituirli o operare senza il loro supporto.
SLA, responsabilità e requisiti contrattuali
La gestione della supply chain non può essere scollegata dagli accordi contrattuali. Per i fornitori più rilevanti è necessario verificare se esistono SLA coerenti con la criticità del servizio, tempi di presa in carico, tempi di intervento, procedure di escalation, obblighi di comunicazione in caso di incidente, requisiti minimi di sicurezza, regole sugli accessi, gestione delle credenziali, obblighi di riservatezza e modalità di supporto in caso di crisi.
Il contratto non deve essere visto solo come documento legale, ma come strumento di governo operativo. Se un fornitore supporta asset critici, gli obblighi contrattuali dovrebbero riflettere questa criticità.
In caso contrario si crea una discontinuità pericolosa: l’organizzazione considera un servizio essenziale, ma il contratto che lo governa non prevede tempi, responsabilità e livelli di servizio adeguati.
Collegare fornitori, asset e rischio
La gestione dei fornitori deve dialogare con l’inventario degli asset e con la valutazione del rischio. Ogni asset rilevante dovrebbe consentire di individuare i fornitori collegati, il tipo di servizio erogato, il livello di accesso, la presenza di privilegi amministrativi, la sostituibilità, gli SLA e le dipendenze operative. Allo stesso modo, il registro dei fornitori dovrebbe permettere di capire quali asset e servizi IT sono supportati da ciascun fornitore.
Solo in questo modo è possibile valutare correttamente l’impatto di un’interruzione, di una compromissione o di una mancata disponibilità del fornitore. Il rischio supply chain non è un rischio astratto. È il rischio che una terza parte possa incidere sulla disponibilità, integrità, riservatezza o continuità dei servizi dell’organizzazione.
La valutazione dei fornitori non può essere svolta una sola volta. Cambiano i servizi erogati, cambiano gli accessi, cambiano le infrastrutture, cambiano i contratti e cambiano anche i rischi. Per questo la gestione della supply chain deve prevedere una revisione periodica, non necessariamente complessa, ma strutturata.
Le prime 2 guide pratiche per la conformità NIS2
Conclusione
La NIS2 impone alle organizzazioni di guardare ai fornitori ICT non solo come soggetti esterni, ma come elementi integrati nella propria capacità operativa e nella propria superficie di rischio.
Un fornitore è critico quando gestisce, supporta o accede ad asset e servizi rilevanti.
La sua valutazione deve quindi essere collegata alle attività aziendali, all’inventario degli asset, agli accessi, agli SLA, alla fungibilità, alla continuità operativa e alla gestione degli incidenti.
L’obiettivo non è appesantire il rapporto con i fornitori, ma renderlo più consapevole e governato.
Una volta chiarite dipendenze e responsabilità dei fornitori, il passaggio successivo è inserirle nella valutazione del rischio, evitando analisi generiche o scollegate dal contesto operativo.
Partecipa alla community