La catena di fornitura è sempre più al centro dell’attenzione delle aziende e non potrebbe essere altrimenti: senza un’opportuna gestione dei fornitori, infatti, si potrebbe subire indirettamente l’impatto di un incidente informatico. All’interno di questo portale è stato affrontato questo tema già in alcuni articoli anche in relazione al caso Jaguar-Land Rover e in un articolo dai contenuti più generali.
Catena di fornitura e contratti
La NIS2 è corredata da misure di sicurezza, tra cui le “misure di sicurezza di base” dell’ACN e tra queste ve ne sono molte dedicate alla catena di fornitura; la prima che s’intende esaminare è la regola GV.SC-05.
| GV.SC-05 | I requisiti per affrontare i rischi di cybersecurity nella catena di approvvigionamento sono stabiliti, prioritizzati e integrati nei contratti e in altri tipi di accordi con i fornitori e altre terze parti rilevanti. | Fatte salve motivate e documentate ragioni normative o tecniche, i requisiti di sicurezza di cui alla misura GV.SC-01, punto 1, lettera b) sono inseriti nelle richieste di offerta, bandi di gara, contratti, accordi e convenzioni relativi alle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete. |
Questa misura impone ai soggetti NIS l’obbligo di inserire requisiti di sicurezza adeguati all’interno di offerte, bandi di gara, contratti e accordi. Questa clausola di sicurezza, peraltro presente anche nella ISO 27001, sebbene con un minor livello di dettaglio, si realizza attraverso l’inserimento di livelli di servizio (SLA), procedure d’intervento e di comunicazione. Questa misura di sicurezza è particolarmente importante ed è spesso la più trascurata proprio perché le organizzazioni non definiscono contrattualmente le giuste modalità di gestione e comunicazione degli incidenti. Inoltre, spesso i livelli di servizio sono assenti o poco definiti all’interno degli accordi tra le parti. È un obbligo, non una facoltà, e devono essere stabiliti ma anche prioritizzati (il che implica un’analisi del rischio adeguatamente formulata).
Inventario dei fornitori
Un altro aspetto molto poco considerato è l’inventario dei fornitori che non significa “semplicemente” avere un elenco dei contratti in cui sono presenti i dati di contatto ma anche capire gli impatti che ciascuna fornitura ha sulla sicurezza. La misura di sicurezza GV.SC-04 ne è un fulgido esempio.
| GV.SC-04 | I fornitori sono noti e prioritizzati in base alla criticità. | È mantenuto un inventario aggiornato dei fornitori delle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete, che comprende almeno: a) gli estremi di contatto del referente della fornitura; b) la tipologia di fornitura.” |
Certamente è possibile notare che la misura prevede anche l’inserimento delle informazioni di carattere generale (gli estremi di contatto, la tipologia di fornitura), ma è nella descrizione iniziale che emergono gli aspetti più importanti, lì dove è scritto “con potenziali impatti sulla sicurezza dei sistemi informativi e di rete”, il che implica aver svolto analisi adeguate con il coinvolgimento dell’organizzazione della sicurezza informatica. Questo è previsto, tra l’altro, dalla misura GV.SC-01.
| GV.SC-01 | Sono stabiliti e accettati dagli stakeholder dell’organizzazione un programma, una strategia, obiettivi, politiche e processi di gestione del rischio di cybersecurity della catena di approvvigionamento. | In merito all’affidamento di forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete, anche mediante ricorso agli strumenti delle centrali di committenza di cui all’allegato I.1, articolo 1, comma 1, lettera i), del decreto legislativo 31 marzo 2023, n. 36, sono previsti: a) il coinvolgimento dell’organizzazione per la sicurezza informatica di cui alla misura GV.RR-02 nella definizione ed esecuzione dei processi di approvvigionamento a partire dalla fase di identificazione e progettazione della fornitura; b) in accordo agli esiti della valutazione del rischio associato alla fornitura di cui alla misura GV.SC-07, la definizione di requisiti di sicurezza sulla fornitura coerenti con le misure di sicurezza applicate dal soggetto NIS ai sistemi informativi e di rete. |
Nel punto b), lì dove è scritto che “la definizione di requisiti di sicurezza sulla fornitura coerenti con le misure di sicurezza applicate dal soggetto NIS ai sistemi informativi e di rete”, è importante notare un richiamo ad una precedente valutazione del rischio. Un’ultima riflessione andrebbe fatta in merito al concetto d’inventario ricordando la misura di sicurezza ID.AM-04.
| ID.AM-04 | Sono mantenuti gli inventari dei servizi erogati dai fornitori. | È mantenuto un inventario aggiornato dei servizi informatici erogati dai fornitori, ivi inclusi i servizi cloud. |
Come è possibile notare la normativa impone ai soggetti NIS2 di mantenere un inventario inclusivo anche dei servizi cloud erogati da fornitori terzi, il che significa corredare di specifici attributi tale inventario. Alcuni degli attributi più comuni potrebbero essere:
Informazioni base del servizio
- Nome del Servizio: il nome commerciale del servizio cloud (es. AWS, Microsoft 365, Salesforce).
- Fornitore: ragione sociale del fornitore e contatti del supporto o dell’Account Manager.
- Modello di servizio: classificazione standard del cloud: IaaS, PaaS o SaaS. Questa informazione è fondamentale per capire chi gestisce cosa (modello di responsabilità condivisa).
- Responsabile interno: il dipartimento o la persona interna che utilizza e “possiede” il budget del servizio.
- Amministratore del servizio: chi ha i privilegi di amministrazione sulla piattaforma.
Sicurezza e data protection
- Classificazione dei dati trattati: quali dati transitano o risiedono nel cloud? (es. pubblici, interni, riservati, dati personali, etc…).
- Localizzazione geografica dei dati: Dove risiedono fisicamente i server? (es. UE, USA, Global). Questo è un attributo critico per la compliance GDPR e NIS2, in particolare nei casi di trasferimento dati extra-UE.
- Certificazioni del Fornitore: quali garanzie offre il vendor? (es. ISO 27001, ISO 27017/2018 per il cloud, SOC 2 Type II, qualificazione CSA STAR).
- Livello di criticità del servizio (TIER): che impatto ha il servizio sul business in caso di downtime (es. critico, alto, medio, basso).
Continuità operativa e SLA
- SLA (Service Level Agreement): I livelli di servizio presenti nel contratto e la disponibilità minima garantita dal fornitore (es. 99.9%).
- RTO (Recovery Time Objective) e RPO (Recovery Point Objective): i tempi massimi di ripristino accettabili e la massima perdita di dati tollerabile per quel servizio specifico.
- Strategia di backup/exit: valutare se i dati sono soggetti a backup anche all’esterno del cloud e se esiste un piano per migrare i dati altrove in caso di fallimento del vendor? Questo è fondamentale e spesso denota l’intenzione di lock-in da parte del fornitore.
Integrazione e modalità di accesso al servizio
- Metodo di autenticazione: come accedono gli utenti al servizio? (es. Integrazione con Single Sign-On (SSO) aziendale, MFA obbligatorio, credenziali locali). È bene ricordare che l’art.24 c.2 punto L) prevede l’uso “di soluzioni di autenticazione a più fattori o di autenticazione continua”. È un obbligo di legge! Non è una scelta facoltativa.
- Interconnessioni (API/Rete): bisogna descrivere se il servizio è collegato alla rete aziendale tramite VPN/Direct Connect, se è accessibile liberamente da internet o se dialoga con altri sistemi interni. Questo dovrà poi trovare riscontro anche nelle misure di sicurezza del traffico dati.
Valutazione del rischio
Con riferimento alla rilevazione dei rischi, è opportuno richiamare anche la ISO 27005. È bene tenere presente quanto previsto dalla GV.SC-07. La regola definisce quali sono gli elementi da valutare all’interno dell’analisi del rischio.
| GV.SC-07 | I rischi posti da un fornitore, dai suoi prodotti e servizi e da altre terze parti sono compresi, registrati, prioritizzati, valutati, trattati e monitorati nel corso della relazione. | Nell’ambito della valutazione del rischio di cui alla misura ID.RA-05, è valutato e documentato il rischio associato alle forniture. A tal fine, sono valutati almeno:
|
È bene notare che elementi come il “livello di accesso del fornitore ai sistemi informativi e di rete del soggetto NIS” sono da sempre presi in considerazione dal comparto normativo. Si pensi al provvedimento 426 del 2023 del GPDP, in cui è riportato che “la mancata segmentazione tra i servizi critici, gli applicativi e le postazioni di lavoro [ha comportato] l’estensione della singola compromissione all’intera infrastruttura”. La regola prevede la progettazione di misure di sicurezza adeguate al compito svolto dal fornitore.
I livelli d’implementazione
Quando l’ACN ha descritto i cinque livelli d’implementazione è riuscita a rappresentare la realtà di moltissime organizzazioni di media e grande dimensione. In particolare, il “Livello 1” è quello con cui si ha a che fare più di frequente.
| Livello | Descrizione |
| 1 Iniziale | L’implementazione del controllo è affidata a processi, procedure e soluzioni tecniche con risultati non prevedibili, non documentati, non organizzati e spesso eseguiti ad-hoc. Il successo della gestione è affidato alle singole competenze del personale e non all’uso comprovato di processi ben definiti. |
| 2 Ripetibile | L’implementazione del controllo si avvale di processi, procedure e soluzioni tecniche ben definiti e documentati in ciascuna o in un sottoinsieme delle funzioni dell’organizzazione coinvolte, ma in modo non consistente a livello di normativa aziendale (ciascuna funzione gestisce i propri processi, procedure e soluzioni tecniche in modo indipendente). |
| 3 Definito | L’implementazione del controllo si avvale di processi, procedure e soluzioni tecniche ben definiti, documentati e standardizzati a livello di normativa aziendale. Le varie funzioni possono specializzare i propri processi, partendo da quelli standardizzati a livello di normativa aziendale. |
| 4 Gestito | Oltre ad includere gli aspetti del livello di maturità “Definito”, sono fissati degli obiettivi quantitativi per quanto riguarda le performance dei processi, delle procedure e delle soluzioni tecniche alla base dell’implementazione del controllo. L’efficacia di processi, procedure e soluzioni tecniche è monitorata e misurata quantitativamente. |
| 5 Ottimizzato | Oltre ad includere gli aspetti del livello di maturità “Gestito”, i processi, le procedure e le soluzioni tecniche alla base dell’implementazione del controllo sono sottoposti a miglioramento continuo in risposta a cambiamenti nell’organizzazione e considerando le esperienze passate. |
Di fatto, nella stragrande maggioranza delle organizzazioni, le procedure di sicurezza sono attuate senza una corretta formalizzazione e senza un’adeguata raccolta all’interno di un documento volto a sistematizzarle. La stessa procedura di backup & restore è spesso attuata senza una reale formalizzazione atta a definire le modalità di svolgimento della procedura e di verifica dei risultati.
Conclusioni
La conclusione di questo articolo risiede in alcune considerazioni di merito.
La prima è la necessità di realizzare una valutazione del rischio, che tenga in considerazione anche i servizi esternalizzati (ad es.: i servizi cloud). Molte organizzazioni hanno un atteggiamento a dir poco sprezzante nei confronti dell’analisi del rischio: non investono un euro nella creazione di documenti e piani, salvo versare lacrime amare quando si trovano a gestire notifiche e incidenti. L’assenza di consapevolezza denota la mancanza di una cultura senza la quale le normative perdono effetto.
La seconda considerazione è che tale valutazione del rischio non è facoltativa per i soggetti NIS2, ma risponde a un preciso obbligo al quale non ci si può sottrarre. Spesse volte il documento, seppur presente, è incompleto o mal fatto perché non segue un razionale personalizzato ma affronta in modo generico e “rarefatto”, le problematiche dell’organizzazione.
Il terzo aspetto è che le misure progettate e adottate devono trovare un nitido riflesso all’interno del contratto di fornitura, sotto forma di livelli di servizio adeguati e di procedure di gestione e comunicazione degli incidenti. Per tale ragione è sempre raccomandabile avviare un’attività di revisione e adeguamento contrattuale dal punto di vista tecnico-organizzativo al fine di ottenere la conformità normativa. Anche in questo caso si trovano contratti carenti di procedure di gestione, di comunicazione e di misure tecniche atte a proteggere l’organizzazione (e il fornitore). Tutto questo in violazione della normativa vigente.
