Articolo Pubblicazioni
Rischio delle terze parti: come valutare i fornitori ICT
di Vincenzo Calabrò · Pubblicato il 14 novembre 2026
Abstract
Una parte crescente degli incidenti parte da un fornitore, che si tratti di un software compromesso, di un accesso remoto mal protetto o di un servizio cloud che si ferma. L’articolo descrive un processo di gestione del rischio delle terze parti in cinque fasi, dalla classificazione dei fornitori alla due diligence, dalle clausole contrattuali al monitoraggio e alla strategia di uscita, collegandolo agli obblighi di NIS2 e DORA.
Perché il fornitore è un rischio
Ogni fornitore che accede ai sistemi, tratta dati o eroga un servizio da cui dipende un processo allarga la superficie d’attacco. Un attacco a un fornitore di software o di servizi gestiti può colpire centinaia di clienti in una volta, e i fornitori più piccoli hanno spesso difese più deboli dei loro clienti. NIS2 chiede ai soggetti obbligati di gestire la sicurezza della catena di approvvigionamento e DORA dedica alle terze parti ICT un intero capitolo. Le due norme convergono sullo stesso processo.
1. Classificare i fornitori
Non tutti i fornitori meritano la stessa attenzione. Si parte da un inventario e si classifica ciascuno in base a che cosa tocca, cioè dati personali o riservati, accessi ai sistemi, servizi da cui dipendono processi critici, e a quanto sarebbe difficile sostituirlo. Tre livelli bastano di solito, con un trattamento proporzionato. Il fornitore di cancelleria e quello che gestisce il cloud dove gira il gestionale non vanno valutati allo stesso modo.
2. Valutare prima del contratto
Per i fornitori più critici la valutazione combina più fonti. Un questionario mirato, basato su uno schema riconosciuto e limitato alle domande che contano, le certificazioni come ISO/IEC 27001 o i rapporti di audit indipendenti, verificandone perimetro e scadenza, le informazioni pubbliche su incidenti e vulnerabilità e, quando serve, un colloquio tecnico o una verifica diretta. Le risposte vanno lette con spirito critico. Una certificazione che copre solo un ufficio dice poco sul servizio acquistato.
3. Scrivere il contratto
- requisiti minimi di sicurezza, con il rinvio alle misure concordate;
- obbligo di notificare gli incidenti entro un termine compatibile con le scadenze di legge del cliente;
- diritto di audit e di ricevere evidenze, anche tramite terzi;
- regole sui subfornitori, con obbligo di comunicazione e di trasferire gli stessi requisiti;
- localizzazione dei dati, cifratura, conservazione e cancellazione a fine rapporto;
- livelli di servizio, tempi di ripristino coerenti con la business impact analysis e penali;
- assistenza in caso di uscita, con restituzione dei dati in un formato utilizzabile.
4. Monitorare
La valutazione iniziale invecchia in fretta. I fornitori critici vanno rivalutati almeno una volta l’anno e ogni volta che cambia il servizio o emerge un incidente. Accanto alle verifiche periodiche si possono usare servizi di monitoraggio esterno della superficie esposta, utili come segnale ma da non confondere con una valutazione. Sul piano tecnico conviene limitare gli accessi dei fornitori ai sistemi necessari, con autenticazione a più fattori, account nominativi e sessioni registrate.
5. Prepararsi all’uscita
Per i servizi che supportano funzioni critiche serve una strategia di uscita, cioè sapere come si sostituirebbe il fornitore o si riporterebbe il servizio all’interno, in quanto tempo e con quali costi. DORA la rende obbligatoria per le entità finanziarie, ma è utile a chiunque dipenda da un unico fornitore cloud o da un software difficile da sostituire. Una strategia di uscita mai provata, però, resta un documento.
Un esempio di classificazione
Tabella 1. Esempio di classificazione dei fornitori ICT per livello di criticità.
| Livello | Esempi | Valutazione iniziale | Rivalutazione |
|---|---|---|---|
| Alto | Cloud che ospita il gestionale, fornitore di servizi gestiti con accesso amministrativo, software per i pagamenti | Questionario completo, certificazioni e audit, colloquio tecnico | Annuale e a ogni incidente o cambiamento |
| Medio | Software applicativi senza accesso privilegiato, servizi che trattano dati personali non particolari | Questionario ridotto, verifica delle certificazioni | Ogni due anni |
| Basso | Servizi senza accesso a dati o sistemi, forniture di beni | Dichiarazione di conformità a requisiti minimi | Al rinnovo del contratto |
Il questionario giusto
I questionari troppo lunghi ottengono risposte affrettate. Conviene un numero limitato di domande verificabili, raggruppate per area, che chiedano evidenze oltre a un sì o un no. Per esempio, se l’accesso amministrativo è protetto da autenticazione a più fattori, con quale strumento e per quali utenti, quando è stata eseguita l’ultima prova di ripristino e con quale esito, quale dei propri fornitori tratta i dati del cliente e dove. Usare uno schema riconosciuto, allineato alle misure di sicurezza di base o a uno standard, facilita la vita anche ai fornitori che ricevono richieste da più clienti.
Quando il fornitore ha un incidente
Prima o poi un fornitore subirà un incidente. Il contratto deve prevedere che lo comunichi in tempi compatibili con le scadenze di notifica del cliente, con informazioni sufficienti a valutare l’impatto, e che collabori all’analisi. Internamente serve una procedura che dica chi riceve la comunicazione, come si valuta se i dati o i sistemi dell’organizzazione sono coinvolti, quando si sospendono gli accessi del fornitore e quando scattano le notifiche proprie. Le esperienze di questi anni, da attacchi a fornitori di software gestionale a compromissioni di piattaforme di trasferimento file, mostrano che chi aveva questa procedura ha reagito in ore e chi non l’aveva in settimane.
Un ultimo consiglio riguarda la proporzione. Un processo pensato per le grandi banche, applicato a una media impresa, genera più carta che sicurezza. Meglio poche verifiche fatte bene sui fornitori davvero critici che questionari inviati a tutti e mai letti.
Vedi anche: l’articolo del 2021 Resilienza aziendale, come gestire i rischi della cyber supply chain e l’articolo del 2026 DORA: il registro delle informazioni sui fornitori ICT.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn