La sicurezza informatica di un’impresa dipende anche dalle organizzazioni con cui collabora. Software gestionali, servizi cloud, piattaforme di pagamento, manutenzione IT, componenti hardware e attività esternalizzate collegano infatti i sistemi aziendali a una rete di fornitori e partner tecnologici. Una vulnerabilità presente in uno di questi soggetti può compromettere dati, applicazioni e processi operativi dell’azienda cliente, anche quando i suoi sistemi interni sono stati configurati correttamente.
La cybersecurity supply chain riguarda proprio la protezione della catena di fornitura digitale e dei rapporti tecnologici che permettono a un’impresa di lavorare. Il rischio può nascere da un aggiornamento software alterato, da credenziali condivise, da un accesso remoto con privilegi elevati o dall’indisponibilità improvvisa di un servizio esterno. Per le PMI, affrontare il tema non significa controllare ogni dettaglio tecnico dei fornitori, ma individuare le dipendenze più importanti, stabilire requisiti chiari e verificare nel tempo che le misure concordate siano applicate.
La gestione del rischio informatico dei fornitori completa le attività di protezione interna e richiede il coinvolgimento di direzione, responsabili IT, acquisti, legali e referenti della continuità operativa.
Che cos’è la cybersecurity della supply chain
La catena di fornitura tradizionale comprende produttori, distributori, trasportatori e prestatori di servizi che contribuiscono alla realizzazione o alla consegna di un prodotto. La supply chain digitale aggiunge soggetti che forniscono tecnologie, dati e accessi: sviluppatori di software, provider cloud, società di assistenza, piattaforme gestionali, operatori di telecomunicazioni e fornitori di servizi esternalizzati.
Un’azienda commerciale può dipendere dal gestionale in cloud, dal sistema dei pagamenti e dal software per il magazzino. Una manifattura può utilizzare sistemi di supervisione industriale, manutenzione da remoto e componenti connessi. Un’impresa di servizi può affidare a terzi l’hosting, la gestione delle identità o l’elaborazione dei dati dei clienti. In tutti questi casi, la sicurezza deve essere valutata lungo le relazioni tecnologiche e organizzative, come indicato anche dal documento NIST sulla gestione dei rischi di cybersecurity nella supply chain.
Come i fornitori possono aumentare il rischio informatico
Un attacco può colpire direttamente un fornitore, sfruttando poi i suoi accessi o i dati gestiti per conto dei clienti. Un’altra modalità consiste nella compromissione di un prodotto, di un aggiornamento o di una componente distribuita a molte organizzazioni. La differenza è rilevante: nel primo caso il bersaglio iniziale è l’infrastruttura del partner; nel secondo la minaccia può propagarsi attraverso software e servizi considerati affidabili.
I rischi più frequenti riguardano:
- aggiornamenti software manipolati prima della distribuzione;
- credenziali riutilizzate o condivise tra tecnici e aziende;
- accessi remoti privilegiati senza autenticazione multifattore;
- componenti di terze parti e dipendenze open source non monitorate;
- concentrazione su un unico provider cloud o prestatore di servizio;
- interruzione di piattaforme esterne indispensabili per le attività quotidiane.
Tra gli incidenti documentati rientrano la compromissione della piattaforma di aggiornamento Orion di SolarWinds, resa pubblica nel 2020, l’attacco alla libreria di gestione IT Kaseya VSA nel 2021 e la compromissione della piattaforma 3CX nel 2023. Le conseguenze hanno incluso accessi non autorizzati, distribuzione di software alterato, interruzioni operative e necessità di sostituire o verificare componenti tecnologiche. La lezione riguarda la fiducia riposta nei fornitori e la necessità di controllare l’intera relazione, senza fornire dettagli utili a replicare gli attacchi.
Prevenzione e controllo dei partner tecnologici
Il primo passaggio consiste nel classificare i fornitori in base alla criticità. Un provider che custodisce dati personali, gestisce pagamenti o mantiene l’accesso ai sistemi produttivi richiede controlli più approfonditi rispetto a un fornitore con un ruolo marginale.
La valutazione preventiva può comprendere questionari, certificazioni pertinenti, descrizione dei controlli applicati, gestione delle vulnerabilità, tempi di aggiornamento, procedure di backup e risultati delle verifiche indipendenti. L’azienda dovrebbe inoltre sapere quali subfornitori vengono coinvolti e da quali Paesi sono erogati i servizi.
Gli accessi devono essere nominativi, limitati nel tempo e coerenti con le attività autorizzate. L’autenticazione multifattore, la separazione dei privilegi, la registrazione degli accessi e la revisione periodica degli account riducono l’esposizione. È utile mantenere un inventario delle applicazioni, delle interfacce e delle dipendenze tecnologiche, collegandolo ai processi aziendali più importanti. La gestione dei fornitori va quindi coordinata con le procedure di continuità operativa aziendale.
Contratti, incidenti e monitoraggio continuo
Le clausole contrattuali possono definire requisiti di sicurezza, protezione dei dati, tempi di notifica degli incidenti, disponibilità del servizio, conservazione dei log, gestione dei subfornitori, diritto di audit e modalità di restituzione o cancellazione delle informazioni. Queste clausole sono accordi tra le parti e non sostituiscono gli obblighi previsti dalla legge.
Il testo della direttiva europea NIS2 include la sicurezza della catena di approvvigionamento tra gli aspetti da gestire per i soggetti interessati. In Italia, il recepimento è avvenuto con il decreto legislativo 4 settembre 2024, n. 138. Gli obblighi non si applicano automaticamente a tutte le imprese: riguardano i soggetti classificati come essenziali o importanti secondo ambito, dimensioni e condizioni previste dalla normativa. Anche le aziende non direttamente soggette possono ricevere richieste contrattuali da clienti o partner regolamentati.
Quando un fornitore comunica un incidente, l’impresa deve attivare i referenti interni, valutare quali sistemi e dati siano coinvolti, modificare gli accessi eventualmente esposti, conservare le evidenze e verificare gli obblighi di notifica applicabili. Se sono coinvolti dati personali, il rapporto con il fornitore deve essere valutato anche alla luce del GDPR, considerando ruoli, istruzioni documentate e possibili comunicazioni all’autorità competente.
Un approccio sostenibile per le PMI
Una PMI può iniziare da una mappa semplice: fornitori utilizzati, dati trattati, accessi concessi, processi dipendenti e conseguenze di un’interruzione. Dopo questa ricognizione, è possibile concentrarsi sui partner più critici e chiedere documenti proporzionati, senza applicare lo stesso livello di controllo a ogni rapporto.
Un programma sostenibile può prevedere revisione annuale dei fornitori prioritari, autenticazione multifattore per gli accessi remoti, contatti di emergenza aggiornati, test dei piani di continuità e verifica delle scadenze contrattuali. Per orientarsi nella selezione e nella verifica dei partner, può essere utile anche la gestione strutturata dei fornitori aziendali, integrata con criteri specifici di sicurezza informatica.
Domande frequenti
Che cosa significa cybersecurity supply chain?
Indica l’insieme di misure per proteggere sistemi, dati e processi dai rischi informatici collegati a fornitori, partner tecnologici, subfornitori e servizi esternalizzati.
Quali fornitori devono essere controllati per primi?
Vanno prioritizzati quelli che accedono a dati sensibili, sistemi produttivi, pagamenti, identità digitali o applicazioni indispensabili per la continuità del lavoro.
NIS2 riguarda tutte le imprese?
No. La direttiva e la normativa italiana di recepimento individuano soggetti essenziali e importanti in base a settore, dimensioni e altri requisiti. Le imprese non direttamente soggette possono comunque ricevere richieste di sicurezza dai propri clienti o committenti.
