La maggior parte delle organizzazioni affronta ancora la sicurezza dei fornitori come un esercizio di questionari. Spuntare caselle. Richiedere il SOC 2. Archiviare il PDF. Andare avanti.
Questo non è vendor risk management. È burocrazia.
La valutazione reale dei fornitori si basa su contesto, potere contrattuale e credibilità. Se non si affronta la questione da CISO, la supply chain diventa la principale fonte di rischio.
Il profilo di sicurezza di un fornitore non conta in isolamento. Conta solo in relazione a:
- i dati che tratta
- gli accessi che riceve
- i processi che influenza
- le normative a cui si è soggetti
- i fallimenti che non ci si può permettere
Non si valuta un fornitore «in generale». Lo si valuta per la propria realtà.
Vediamo nel dettaglio il metodo reale; quello che i CISO usano davvero.
1. Iniziare dal contesto, non dai controlli
Prima di richiedere un singolo documento, mappare la relazione.
- A quali dati avrà accesso il fornitore?
- Con quali sistemi interagirà?
- Opererà all'interno della propria infrastruttura, del proprio cloud, o del tutto esternamente?
- Si tratta di una dipendenza critica o di un'integrazione a basso impatto?
- Influenzerà processi rivolti ai clienti?
Senza contesto, qualsiasi valutazione dei controlli è congettura.
Esempio concreto: Due fornitori possono entrambi dichiarare la certificazione ISO 27001; ma solo uno potrebbe trattare dati di produzione. Il certificato è irrilevante senza contesto.
Il contesto definisce i requisiti. Nient'altro.
2. Definire i requisiti di sicurezza di cui si ha bisogno
Smettere di valutare i fornitori rispetto a checklist di best practice. Valutarli rispetto alla propria baseline minima accettabile.
Questa baseline deve riflettere:
- il proprio contesto normativo (NIS2, GDPR, DORA)
- il proprio framework di controllo interno
- la propria propensione al rischio
- le proprie aspettative in materia di business continuity
- gli impegni contrattuali assunti nei confronti dei propri clienti
Questo trasforma la conversazione da: «Siete sicuri?» a «Siete in grado di soddisfare i nostri obblighi?»
È lì che la sicurezza diventa esigibile.
3. Controllare il contratto; è lì che la sicurezza vive o muore
Questo è il punto che la maggior parte delle organizzazioni gestisce male.
I requisiti di sicurezza non scritti nel contratto = aspirazioni, non obblighi.
Un CISO solido si assicura che i contratti includano:
- controlli di sicurezza espliciti
- tempistiche di notifica delle violazioni
- garanzie di continuità
- limitazioni degli accessi
- diritti di audit e assurance
- trasparenza sui sub-responsabili del trattamento
- impegni di cancellazione e di uscita
I questionari ai fornitori sono strumenti di negoziazione. I contratti sono impegni.
Un fornitore che non vuole firmare per un controllo non lo implementerà.
4. Imparare a riconoscere il «linguaggio di fuga» nei contratti con i fornitori
I fornitori ricorrono spesso a espedienti legali per diluire gli obblighi:
- «commercially reasonable effort»
- «industry-standard practices»
- «where feasible»
- «as appropriate»
- «intends to comply»
Queste formule eliminano l'esigibilità.
Il team legale comprende il diritto. Non comprende affatto il rischio operativo. Si affida interamente a chi sa individuare le scappatoie.
Il ruolo del CISO qui è di traduzione: trasformare l'esposizione reale in linguaggio contrattuale vincolante.
5. Negoziare; ma solo entro i limiti della propria giustificazione
Si scenderà a compromessi. Ogni CISO lo fa. Ma il compromesso deve essere giustificato; non improvvisato.
La regola:Se non si può difendere davanti a un regolatore, non si può accettare.
Si possono adeguare i requisiti, ma non si possono abbandonare i principi che tutelano l'organizzazione.
La sicurezza è flessibile; fino a quando non inizia la responsabilità.
6. Ricordare: non si possiede il rischio; ma lo si deve rendere visibile
Uno dei più grandi equivoci nelle organizzazioni: i CISO non sono risk owner.
Ma i CISO sono responsabili di:
- inquadrare il rischio,
- spiegarne l'impatto,
- chiarire le alternative,
- delineare le conseguenze,
- e assicurarsi che la persona corretta firmi l'accettazione.
Il potere non sta nell'accettare o rifiutare i fornitori. Il potere sta nell'illuminare ; rendere la decisione impossibile da ignorare o fraintendere.
Un CISO che sa spiegare bene il rischio orienta ogni decisione che lo circonda.
7. Usare il proprio brand professionale come asset strategico
Ecco la parte sorprendente di cui la maggior parte dei CISO non parla mai:La propria credibilità influenza le negoziazioni con i fornitori quanto i controlli stessi.
Un brand professionale solido offre:
- maggiore consenso da parte dei responsabili di business
- più alta fiducia da parte dei dirigenti
- migliore coinvolgimento da parte dei fornitori
- maggiore influenza nelle negoziazioni
- conversazioni più fluide su rischi, vincoli e compromessi
La competenza conta. Ma la propria presenza la amplifica.
Il brand non è un ornamento. È leva; soprattutto quando si naviga nel rischio di terze parti.
Considerazione finale
Il third-party risk management non è un processo di sicurezza. È un insieme di competenze di governance fondato su contesto, negoziazione, responsabilità e comunicazione.
Un CISO che padroneggia questi elementi non si limita a valutare i fornitori; plasma l'intera esposizione, postura e resilienza dell'organizzazione.
La sicurezza dei fornitori non consiste nel cercare debolezze. Consiste nel costruire fiducia, allineamento e impegni esigibili; le fondamenta di una supply chain resiliente.
Per playbook operativi sulla vendor governance; dalla definizione delle baseline dei requisiti alle clausole contrattuali e alle strategie di negoziazione; è esattamente ciò che insegniamo nel Cyber Academy Lead Implementer Program. Partecipa alla prossima sessione e potenzia il tuo toolkit da CISO.