Una politica sui fornitori per i servizi ICT è una panoramica di ogni parte che ha accesso, per conto vostro o insieme a voi, ai sistemi, dati o infrastrutture dei vostri clienti, con l'indicazione per ogni parte di cosa può fare, cosa è stato concordato e quando è stato controllato l'ultima volta. La stilate perché l'obbligo di diligenza imposto ai committenti vi obbliga a valutare anche la vostra sicurezza — e perché a vostra volta vi affidate a subappaltatori, software di gestione remota e partner cloud che meritano la stessa valutazione.
Il nocciolo della questione è semplice: chiunque possa accedere al cliente deve comparire nella vostra panoramica. Ciò vale per la parte che ospita il vostro sistema di ticket, per il libero professionista che distribuisce patch di notte e per lo strumento con cui monitorate da remoto una workstation. Una politica sui fornitori non è una formalità; è la risposta alla domanda che un giorno vi porrà il vostro cliente: chi altro può accedere ai miei dati e come fate a sapere che lo fanno correttamente.
Chi deve comparire nella panoramica
Cominciate in ampiezza e poi potate. Nella panoramica devono comparire i subappaltatori che eseguono il vostro lavoro, i fornitori di software i cui strumenti hanno accesso agli ambienti dei clienti, i partner cloud dove depositare i dati dei clienti e gli specialisti occasionali che collaborano saltuariamente. La domanda che vi ponete per ogni fornitore non è se siano importanti per il vostro business, ma se — direttamente o indirettamente — possono accedere ai sistemi o ai dati dei vostri clienti. Un fornitore di cancelleria non vi rientra; una parte che ospita il vostro software di monitoraggio sì.
È allettante includere solo le parti grandi e visibili e saltare i subappaltatori più piccoli perché la relazione è informale. È proprio qui che le cose spesso vanno storte: un accordo informale con un libero professionista che lavora presso un cliente con le vostre credenziali non è meno rischioso per il cliente di un contratto con una grande parte. Chi è in dubbio se la propria organizzazione stessa rientri nell'obbligo di diligenza e sia quindi tenuta a mantenere questa panoramica può verificarlo con poche domande.
Cosa registrate per ogni fornitore
Per ogni fornitore è di solito sufficiente una serie limitata di dati: che tipo di accesso ha la parte (lettura, scrittura, diritti amministrativi), a quali sistemi o dati, esiste un contratto con accordi sulla sicurezza, chi è il vostro contatto, e quando avete verificato l'ultima volta se qualcosa è cambiato. Quest'ultimo punto viene spesso dimenticato: un fornitore valutato due anni fa e da allora non più controllato conta nella pratica come non valutato. Un momento fisso ogni anno per passare in rassegna l'elenco lo evita.
I concetti che ricorrono in questo tipo di panoramiche — obbligo di diligenza, catena, rilevanza — diventano più chiari se li consultate inizialmente al di fuori della vostra situazione; la knowledge base per argomento fornisce per ogni concetto una risposta breve e verificabile.
Subappaltatori: un aspetto che merita attenzione particolare
I subappaltatori meritano attenzione particolare perché il cliente spesso non sa che esistono. Se affidate il lavoro a una terza parte che in questo modo accede ai sistemi dei clienti, è consueto segnalarlo al cliente e specificare cosa quella terza parte può fare. Alcuni contratti con i committenti proibiscono il subappalto senza preventiva autorizzazione; controllare questo è parte della stesura della politica, non della prossima discussione con il cliente.
Gestione remota come categoria a parte
Software per gestione remota — gestione remota, monitoraggio, ticketing con funzione di visualizzazione — merita un posto separato nella panoramica, anche se non è un "fornitore" nel senso ordinario. Questi strumenti di solito hanno accesso ampio a molti ambienti cliente contemporaneamente, il che li rende attraenti come vettore di attacco. Documentare chi può accedere a questi strumenti, con quali diritti e con quale verifica, è quindi una delle prime cose che un cliente chiede non appena la conversazione riguarda la propria sicurezza.
Dalla panoramica alla risposta
Una politica dei fornitori che esiste solo sulla carta non aiuta se un cliente domani invia un questionario. La panoramica è utilizzabile solo se è collegata a una prova per ogni fornitore e a un proprietario che la mantiene aggiornata. Come appare in pratica un registro vivo di questo tipo e da dove provengono le corrispondenti risposte ai questionari è spiegato su la pagina che mostra come funziona la piattaforma.
Desiderate prima verificare se la vostra organizzazione ricade direttamente sotto l'obbligo di diligenza della NIS2 o viene coinvolta solo attraverso la catena di fornitura? Effettuate il controllo gratuito o consultate gli argomenti — entrambi sono accessibili senza account e forniscono immediatamente un passo successivo appropriato alla vostra situazione.