Se la vostra azienda opera nel settore dei servizi ICT — gestione di server e reti, helpdesk con accesso remoto, o manutenzione di software presso i clienti — il questionario di sicurezza che ricevete è spesso più corposo di quello degli altri fornitori. Ciò non accade perché il vostro cliente diffida di voi, ma perché il vostro servizio per definizione consente l'accesso a sistemi che non vi appartengono. Un'organizzazione con obblighi di diligenza che valuta la propria catena di approvvigionamento esamina un fornitore di servizi ICT più a fondo rispetto a un fornitore di mobili da ufficio.
Le domande che ricorrono in questo settore generalmente rientrano in tre gruppi: come gestite l'accesso remoto, come regolate l'accesso ai sistemi dei clienti e come gestite i subappaltatori. Qui di seguito, per ogni gruppo, si riportano le domande solitamente poste e le relative motivazioni.
Perché i fornitori di servizi ICT costituiscono una categoria a parte
Secondo la direttiva NIS2, un'organizzazione con obblighi di diligenza deve valutare anche i rischi che derivano dai fornitori. Uno studio di contabilità che elabora solo fatture rappresenta un rischio diverso rispetto a un'azienda che può accedere al server aziendale durante la notte per installare un aggiornamento. Le autorità di controllo e la direttiva stessa menzionano esplicitamente questa dipendenza dai servizi ICT come aspetto critico all'interno della catena del valore. Per voi, questo significa che il questionario spesso non riguarda il vostro ufficio, ma il percorso che i vostri dipendenti e i vostri sistemi compiono verso la rete del cliente.
Domande sulla gestione remota
Se gestite da remoto i sistemi dei clienti, mediante strumenti di monitoraggio e gestione remota (RMM) o tramite una connessione VPN, il questionario solitamente verifica la sicurezza della connessione stessa. Gli argomenti tipici sono: se l'accesso remoto è possibile solo con autenticazione a più fattori, se le sessioni vengono registrate e per quanto tempo vengono conservati i registri, se esiste un periodo fisso in cui la manutenzione si svolge, e cosa accade se il computer portatile di un tecnico viene rubato o smarrito. Frequentemente compare anche la domanda se il software RMM stesso viene mantenuto aggiornato — una vulnerabilità in quel programma di gestione colpisce in una sola volta tutti i clienti gestiti con esso, il che lo rende un punto critico per i committenti.
Domande sull'accesso ai sistemi dei clienti
Il secondo gruppo di domande riguarda chi può accedere esattamente a quali sistemi. Si pensi a: applicate il principio per cui una persona ottiene accesso solo a ciò che è necessario per il compito (least privilege), l'accesso viene revocato immediatamente quando un dipendente se ne va o cambia funzione, e le password e le chiavi di accesso sono separate per cliente o condivise tra gli incarichi. Alcuni questionari chiedono anche un elenco di chi ha avuto accesso in un determinato periodo, informazione che può essere fornita solo se tale elenco viene già tenuto aggiornato. Chi non ha a disposizione questo tipo di informazioni spesso non perde per carenze di sicurezza, ma semplicemente perché la risposta non può essere fornita abbastanza rapidamente.
Domande su subappaltatori e la propria catena di approvvigionamento
Il terzo gruppo di domande viene spesso dimenticato fino a quando non viene affrontato: avete voi stessi subappaltatori per parti del servizio, come una parte esterna per l'helpdesk fuori dell'orario di ufficio o per la gestione specializzata della rete? Un cliente che deve mappare la propria catena di approvvigionamento vuole sapere se quella catena si ferma da voi o continua oltre. Le domande su questo argomento riguardano solitamente se i subappaltatori ricevono gli stessi requisiti di sicurezza che applicate voi stessi, e se il cliente viene informato in anticipo quando viene coinvolto un nuovo subappaltatore. Questo è anche il punto in cui il questionario può andare oltre verso informazioni che non sono ragionevolmente necessarie per la valutazione del rischio; il confine non è lo stesso in ogni situazione e merita una valutazione propria.
Cosa significa questo per la risposta che fornite
Le domande di cui sopra non sono una semplice lista di controllo ma uno schema ricorrente, e quello schema cambia poco da cliente a cliente all'interno di questo settore. Questo rende utile sapere in anticipo dove vi trovate voi stessi — quale di questi argomenti è già assegnato a un responsabile e a una prova, e quale resta ancora aperto. in poche domande vedere se e come siete interessati dà una prima direzione, e gli argomenti elaborati per situazione approfondisce le misure specifiche come il controllo dell'accesso e la valutazione dei fornitori. Se dubbitate che una domanda posta rientri ancora entro limiti ragionevoli, questo è qualcosa da discutere con il cliente stesso o, in caso di persistente incertezza, con un avvocato; le domande più frequenti su questo argomento fornisce una serie di punti di partenza.
Se desiderate vedere senza impegno dove si trova la vostra azienda rispetto a questo tipo di questionari, eseguite la scansione veloce gratuita o sfogliate la banca dati su secria.eu — entrambi sono accessibili senza account.