Una politica dei fornitori per il settore delle installazioni è una panoramica delle parti con cui lavorate — subappaltatori, liberi professionisti, fornitori di software per la pianificazione o i sistemi di gestione degli edifici — con una valutazione del rischio che ciascuna comporta. Per le aziende di installazione, l'accento spesso non riguarda solo l'accesso digitale, ma anche quello fisico: chi riceve una chiave, un badge di accesso o un accesso al sistema di gestione del vostro cliente.
Questo rende il settore delle installazioni un caso particolare. Mentre un'azienda di software guarda principalmente a chi può accedere al codice sorgente, un'azienda di installazione guarda a chi si trova nell'edificio del cliente, quale cablaggio viene installato e quali dati sull'edificio — planimetrie, codici di allarme, registri di accesso — vengono trasmessi a un subappaltatore. Una politica dei fornitori riunisce questi due mondi, fisico e digitale, in un'unica panoramica.
Perché questo è rilevante anche senza obbligo diretto
Le aziende di installazione solitamente non rientrano esse stesse nell'obbligo di diligenza della Legge sulla cibersicurezza. Ma il committente che è soggetto all'obbligo — un ospedale, un'azienda energetica, un ente pubblico — deve valutare la propria catena di approvvigionamento, il che significa che guarda anche a chi voi a vostra volta coinvolgete. Un subappaltatore con un laptop non gestito che accede al sistema di gestione dell'edificio di un ospedale rappresenta un rischio per quel committente, anche se il contratto è formalmente stipulato con voi. Una politica dei fornitori dimostra che conoscete e gestite questa catena di trasmissione, piuttosto che rimanere senza risposta quando la domanda arriva. Ulteriori informazioni su cosa esattamente quel committente può chiedere si trovano in la panoramica dei temi per settore.
Cosa dovrebbe contenere concretamente la politica
Una politica dei fornitori praticabile inizia con un elenco: chi lavora per voi, con quale accesso, e quanto è stabile quella relazione. Per le aziende di installazione si tratta solitamente di tre categorie. Subappaltatori e liberi professionisti che lavorano in loco e hanno accesso fisico agli edifici, agli armadi con chiavi o alle sale server. Fornitori di software per sistemi di pianificazione, fatturazione o gestione degli edifici che monitorano o partecipano da remoto. E fornitori di materiali o apparecchiature che a volte hanno bisogno di un proprio accesso, ad esempio per la registrazione della garanzia da remoto.
Per ciascuna parte, la domanda è quale controllo sia ragionevole: una dichiarazione che le password non siano condivise tra i dipendenti, un accordo su cosa accada ai codici di accesso al termine di un lavoro, o semplicemente una persona di contatto che possiate raggiungere se qualcosa va male. Non ogni fornitore richiede la stessa profondità — un fornitore di viti richiede qualcosa di diverso da un subappaltatore che accede con il vostro account al sistema di gestione di un ospedale.
Subappaltatori e accesso: il punto dove spesso le cose vanno male
Nel settore delle installazioni si lavora spesso con subappaltatori diversi, talvolta per un singolo lavoro, talvolta strutturalmente. Questo rende la gestione dell'accesso più difficile che in un'azienda con un team fisso. Un punto di partenza pratico è una semplice domanda per ogni subappaltatore: questa persona riceve un proprio badge di accesso o una chiave, o si lavora con un codice condiviso? Quell'accesso viene revocato non appena il lavoro è completato, o rimane attivo finché qualcuno non pensa di bloccarlo? E chi all'interno della vostra azienda è responsabile della revoca?
Queste domande sembrano organizzative, non tecniche, ma sono esattamente di cosa tratta una politica dei fornitori: non di firewall, ma di chi entra dove e perché. Per le misure più ampie riguardanti l'accesso all'interno della vostra azienda esiste un approfondimento separato; questo articolo riguarda specificamente le parti esterne alla vostra azienda che voi stessi coinvolgete.
Come iniziate senza trasformarlo in un progetto annuale
Una politica dei fornitori non deve essere completa in una sola volta. Un ordine pratico è: iniziare dalle parti che hanno accesso agli ambienti più sensibili — sistemi di gestione degli edifici presso clienti dei settori critici, o software che monitora da remoto. Stabilire per ogni parte ciò che sapete, cosa dovete ancora chiarire e chi se ne incarica. Successivamente, estendere quella panoramica al resto della catena di approvvigionamento.
Se e in quale misura ciò è rilevante per la vostra azienda dipende dai settori in cui operano i vostri clienti e dalla natura del vostro servizio. Un breve controllo mostra dove si trova la vostra azienda nella catena di approvvigionamento, e la base di conoscenze su secria.eu mostra per ogni argomento quale fonte nel testo ufficiale vi si collega. Come manteniamo aggiornate quelle fonti è spiegato su la pagina sulla nostra metodologia.
Quello che questo articolo non sostituisce
Una politica dei fornitori è un documento organizzativo, non una consulenza legale sui vostri contratti specifici o sulla responsabilità nei confronti dei subappaltatori. Per domande in proposito, un avvocato o l'associazione di categoria è il punto di contatto appropriato. Le domande frequenti sulla portata della legge e sul ruolo dei fornitori sono raccolte su la pagina delle domande frequenti.
Volete sapere dove si trova la vostra azienda e quali fornitori nella vostra catena meritano per primi l'attenzione? Lo scan rapido è gratuito e fornisce in pochi minuti una prima indicazione, senza che abbiate bisogno di un account.