Un cliente invia 90 domande con una scadenza di due settimane, ma nessuno in azienda sa chi debba compilare il questionario

Il file si intitola «Valutazione della sicurezza del fornitore» o «Autovalutazione del fornitore sulla sicurezza informatica». Proviene da un cliente con cui collaborate da anni e il testo di accompagnamento include una frase che rende la questione seria: in assenza di una risposta completa, l’accordo quadro non verrà rinnovato. In allegato c’è una tabella con domande relative all’autenticazione a più fattori, allo stato delle patch, alla crittografia, ai periodi di conservazione dei dati di log e alle scadenze per la segnalazione degli incidenti.

Per le piccole e medie imprese, questa è la forma più sgradevole di requisito di sicurezza: proviene dall’esterno dell’organizzazione, non è negoziabile, ha una scadenza e le risposte hanno implicazioni legali. Questo articolo spiega da dove provengono questi questionari, come rispondere senza esporsi a vulnerabilità in futuro, quali lacune possono essere colmate con il software e quali no.

Perché improvvisamente riceviamo questi questionari?

Perché il vostro cliente ha ricevuto l’incarico di farlo e sta trasferendo tale obbligo lungo la catena. Questo non è un segno di sfiducia nei vostri confronti, ma piuttosto una reazione a catena che deriva da tre fonti.

In Svizzera, lo standard ICT minimo del governo federale include una sezione dedicata alla catena di fornitura. Esso richiede che i fornitori e i prestatori di servizi siano identificati, classificati per priorità e valutati attraverso un processo di valutazione dei rischi; che i contratti li obblighino ad adottare misure adeguate; e che la conformità sia regolarmente verificata tramite rapporti di audit. Chiunque applichi questo standard – e le aziende di servizi pubblici, gli ospedali, le agenzie governative e i loro fornitori lo stanno facendo sempre più spesso – non può evitare di condurre una valutazione dei fornitori.

Nell’Unione europea, l’articolo 21, paragrafo 2, lettera d), della direttiva NIS 2 richiede una politica di sicurezza della catena di approvvigionamento che regoli i rapporti con i fornitori diretti e i prestatori di servizi, compresi i criteri per la loro selezione. Le organizzazioni interessate trasferiscono contrattualmente tali requisiti ai fornitori che non sono essi stessi soggetti alla direttiva.

E nel settore automobilistico, TISAX — un sistema di audit dedicato — esiste da anni; ha sostituito gli audit individuali dei produttori e i suoi requisiti vengono trasferiti dai produttori ai fornitori di secondo e terzo livello.

Dobbiamo proprio compilare il questionario?

Un fornitore non soggetto alla normativa non è generalmente tenuto per legge a farlo. Dal punto di vista contrattuale, tuttavia, la situazione è diversa: il cliente può subordinare il rapporto commerciale alla fornitura di queste informazioni — ed è esattamente ciò che fa. La questione non è quindi di natura giuridica, ma commerciale.

Ciò che si può certamente negoziare, tuttavia, è l’ambito di applicazione. Molti questionari sono documenti standard che una grande società invia a tutti i fornitori — dall’operatore del data center al falegname che ha costruito il banco della reception. Le domande relative all’accesso al data center o ai processi di sviluppo software semplicemente non sono applicabili a un’azienda che non dispone di un proprio reparto di sviluppo. Una semplice risposta del tipo «non applicabile, poiché non disponiamo di un nostro reparto di sviluppo software» è perfettamente valida e preferibile a un «sì» inventato.

Inoltre, chiedete quali dati del cliente trattate effettivamente. Questo determina quale parte del questionario sia effettivamente rilevante per voi e, spesso, ciò può ridurre l’ambito di applicazione della metà.

Le risposte sono giuridicamente vincolanti?

Come regola generale, sì, e questo è il punto più importante dell’intera questione. I questionari compilati vengono solitamente allegati come appendice al contratto o citati nell’accordo quadro come caratteristica garantita. Ciò trasforma una spunta in una tabella in una garanzia contrattuale.

Le implicazioni pratiche diventano evidenti solo in caso di violazione della sicurezza. Se, a seguito di un incidente, viene condotta un’indagine per determinare in che modo l’autore dell’attacco abbia ottenuto l’accesso e si scopre che l’autenticazione a più fattori garantita per l’accesso remoto non era affatto attiva, la situazione è completamente diversa da quella di un’azienda che avesse dichiarato apertamente: «No, è prevista entro la fine del trimestre». Nel primo caso si tratta di una falsa garanzia; nel secondo, di un rischio noto e accettato.

Ciò porta all’unica regola che conta davvero: nessun «sì» senza prove. Se non è possibile rispondere a una domanda con certezza, è bene chiarirla prima di spuntare la casella. Nel caso di accordi quadro di ampia portata, vale la pena far esaminare il questionario compilato da un consulente legale prima di inviarlo, poiché esso diventa parte integrante del contratto.

Quali sezioni di domande ricorrono quasi sempre?

I questionari variano nella struttura, ma dal punto di vista dei contenuti si ripetono sempre gli stessi dieci-dodici argomenti. Una volta che avete risposto in modo esauriente, potete riutilizzare la maggior parte delle vostre risposte per il cliente successivo.

Gli argomenti tipici includono: gestione degli accessi e autenticazione a più fattori, in particolare per l’accesso remoto e gli account amministrativi; protezione dei dispositivi finali e dei server; stato degli aggiornamenti software e gestione delle vulnerabilità; crittografia dei laptop e dei dispositivi di archiviazione rimovibili; backup dei dati, compreso il ripristino testato; registrazione degli eventi e durata di conservazione dei log; Rilevamento degli incidenti e termine per la segnalazione al cliente. Formazione dei dipendenti. Gestione dei subappaltatori. E, infine, l’ubicazione del trattamento dei dati.

Ciò che colpisce è ciò che raramente viene incluso in questo elenco: le certificazioni. La maggior parte dei questionari chiede informazioni sulle misure implementate, non sulla documentazione. Una certificazione aiuta a ridurre lo sforzo richiesto, ma non sostituisce automaticamente le risposte.

A quali domande è possibile rispondere con un software e a quali no?

La seguente panoramica classifica le aree più comuni in base al fatto che un prodotto fornisca la risposta o che sia richiesto un intervento organizzativo. Questa distinzione è fondamentale nella compilazione del questionario: per il primo gruppo è sufficiente l’acquisto di una soluzione; per il secondo è necessario un processo documentato, che nessuno può acquistare.

Per quanto riguarda i tre punti contrassegnati come "Parzialmente": un prodotto può generare registri, ma non può determinare per quanto tempo si desidera conservarli; il periodo di conservazione è una decisione che deve essere presa e documentata per iscritto. Il software di backup esegue il backup dei dati ma non sostituisce il test di ripristino documentato, che viene esplicitamente richiesto nel questionario. Inoltre, una soluzione di rilevamento emette avvisi ma non sostituisce la persona che risponde all’avviso.

Cosa devo rispondere se non soddisfiamo un requisito?

«No» — accompagnato da una spiegazione, una misura alternativa e una scadenza. Questa risposta in tre parti viene quasi sempre accettata nella pratica ed è in ogni caso preferibile a un «sì» di facciata.

Un esempio di risposta valida: “Attualmente non implementato. L’accesso remoto è attualmente limitato a tre account amministratore specificatamente indicati e viene registrato. L’implementazione dell’autenticazione a più fattori è prevista per il terzo trimestre.” Questo mostra al cliente tre cose: siete consapevoli della lacuna, non è lasciata senza protezione e c’è una tempistica. Questo è esattamente ciò che cerca un acquirente che deve rendere conto ai propri superiori.

D’altra parte, evitate due errori comuni. Innanzitutto, un «sì» generico che non potete comprovare quando conta davvero. In secondo luogo, il vago riferimento al futuro senza una data: «è in fase di pianificazione» viene interpretato dal destinatario come «non accadrà mai» e porta regolarmente a domande di approfondimento che richiedono più tempo rispetto alla semplice indicazione di una scadenza onesta.

Cosa conta come prova?

Le prove che provengono direttamente dal sistema stesso, sono datate e ne mostrano la portata. Uno screenshot di una pagina delle impostazioni dimostra che una funzionalità è abilitata, non che funzioni su tutti i dispositivi. Ma è proprio questo che viene richiesto.

I report provenienti dalla console di gestione centrale sono quindi utili: l’elenco di tutti i dispositivi gestiti con il loro stato di protezione, lo stato di crittografia per ciascun dispositivo, il report sulle vulnerabilità aperte con la loro data di insorgenza, il log dell’ultimo test di rollback e l’elenco delle presenze ai corsi di formazione. Tutti questi report includono una data e un ambito di applicazione, ed entrambi questi elementi sono ciò che conta davvero.

È proprio qui che una console centrale fa la differenza. Un’azienda che ha installato il software di sicurezza singolarmente su ciascun dispositivo non può fornire una risposta affidabile alla domanda sulla copertura: può solo contare ciò che ritiene di sapere. Un’azienda con gestione centralizzata esporta un report.

Quali prodotti colmano le lacune più comuni?

Quattro aree risultano costantemente carenti nei sondaggi e, per tutte e quattro, esiste una soluzione immediatamente disponibile.

Autenticazione a più fattori. Si tratta della questione più frequentemente criticata, poiché riguarda direttamente il punto di accesso più probabile. ESET Secure Authentication ⧉ copre il secondo fattore per l’accesso remoto e gli accessi al sistema. Quando compilate il questionario, assicuratevi di specificare per quali punti di accesso state selezionando “Sì”: i questionari distinguono tra accesso remoto, account amministratore e accessi regolari.

Crittografia dei laptop. Ciò che conta in questo caso non è tanto la crittografia in sé, quanto la verifica centralizzata che sia attiva ovunque, insieme a una procedura per la gestione delle chiavi smarrite. ESET Full Disk Encryption ⧉ e SOPHOS Central Device Encryption ⧉ gestiscono entrambi questi aspetti dalla console. Se sono richiesti anche supporti rimovibili, ESET Endpoint Encryption Pro ⧉ copre anche questo aspetto.

Crittografia dei laptop: cosa conta nella gestione centralizzata.
Spiega l’autenticazione pre-avvio, la gestione centralizzata delle chiavi e il ripristino in caso di smarrimento della password.

Stato degli aggiornamenti e vulnerabilità. La questione non è se si effettuano gli aggiornamenti, ma entro quale lasso di tempo vengono corrette le vulnerabilità critiche e come è possibile dimostrarlo. Bitdefender GravityZone Patch Management ⧉ e Kaspersky Vulnerability and Patch Management ⧉ forniscono i report necessari per documentare tali tempi, comprese le applicazioni di terze parti, che sono esplicitamente menzionate nei questionari.

Formazione dei dipendenti. È richiesta la prova della partecipazione, non una presentazione una tantum. Kaspersky Automated Security Awareness Platform ⧉ genera esattamente questo tipo di report per ogni singolo individuo e periodo di tempo.

Gestione delle patch e prove da fornire a terzi:
illustra come documentare lo stato degli aggiornamenti in modo che regga a verifiche e questionari dei clienti.

Come rispondere alle domande sul backup dei dati e sulla registrazione?

Quando si parla di backup dei dati, la domanda non riguarda quasi mai il backup in sé, ma piuttosto il ripristino. La formulazione tipica è più o meno questa: «Quando è stata l’ultima volta che è stato testato e documentato un ripristino completo?». Se non si è in grado di fornire una data, non si è risposto alla domanda, indipendentemente da quanto bene funzioni il backup. Acronis Cyber Protect Advanced Server ⧉ gestisce il backup: è necessario mantenere il registro del test di ripristino, includendo la data, l’ambito e il nome della persona che lo ha eseguito.

La registrazione dei log comporta due dettagli fondamentali: cosa viene registrato e per quanto tempo rimane disponibile. Chi si affida esclusivamente alla protezione antivirus tradizionale può rispondere brevemente alla prima domanda, ma non è in grado di rispondere affatto alla seconda. Una soluzione con registrazione continua dei log, come Bitdefender GravityZone Business Security Enterprise ⧉, soddisfa entrambi i requisiti, poiché in essa è possibile definire esplicitamente i periodi di conservazione.

Se vi sono requisiti aggiuntivi per la conservazione delle e-mail — cosa comune tra i clienti dei settori regolamentati — questi dovrebbero essere gestiti da un sistema separato. MailStore Server ⧉ archivia le e-mail indipendentemente dalla casella di posta, rendendo così verificabile il periodo di conservazione.

Chi deve compilare e firmare il questionario?

Dovrebbe essere compilato da qualcuno che abbia familiarità con i sistemi. Dovrebbe essere firmato da qualcuno autorizzato a rappresentare l’organizzazione. Raramente si tratta delle stesse persone, e questa distinzione è importante poiché la firma costituisce una garanzia formale.

In pratica, si è dimostrato efficace un processo in tre fasi: il responsabile IT o il fornitore di servizi incaricato compila il modulo e allega la documentazione di supporto per ciascuna risposta. La direzione esamina le risposte «no» e le scadenze concordate, poiché sarà essa, in ultima istanza, a dover garantire il finanziamento di tali scadenze. Solo allora il documento viene inviato.

Se è un fornitore di servizi IT esterno a compilare il modulo, chiarite in anticipo chi è responsabile della sua accuratezza. Il fornitore di servizi conosce le risposte tecniche ma non può assumere impegni a nome della vostra azienda.

Come posso evitare che ogni cliente parta da zero?

Mantenendo un proprio database delle risposte invece di elaborare ogni questionario singolarmente. Per ogni argomento ricorrente, create una risposta in due formati: due frasi per i campi tabellari, un paragrafo per i campi di testo libero. Allegate il documento giustificativo corrispondente con la data per ciascuno.

Tre elementi garantiscono che questo database rimanga aggiornato. Innanzitutto, includete una data di revisione per ogni risposta, in modo da poter individuare ciò che non è più attuale. In secondo luogo, effettuate una revisione periodica, idealmente una volta all’anno e, inoltre, dopo ogni cambiamento significativo. In terzo luogo, occorre distinguere tra risposte documentate e dichiarazioni di intenti: non appena una scadenza promessa viene superata senza che l’azione sia stata attuata, la risposta deve essere aggiornata prima di essere inviata nuovamente.

Lo sforzo richiesto per il primo questionario è quindi notevolmente maggiore, mentre quello per il secondo e il terzo è significativamente inferiore. Le aziende che ricevono regolarmente tali richieste si risparmiano in questo modo la maggior parte del lavoro.

Vale la pena optare per la certificazione anziché per i singoli questionari?

Sì, una volta raggiunto un certo numero di richieste, e il calcolo è semplice: non appena si impiega più tempo sui questionari di quanto ne richiederebbe la certificazione, il rapporto si inverte. I tre approcci differiscono in modo significativo per portata e impegno richiesto.

Per quanto riguarda i campi lasciati in bianco: il periodo di validità di un certificato ISO 27001 e dei marchi svizzeri per le PMI dipende dal rispettivo ente di certificazione e dalla frequenza degli audit di sorveglianza e non è quindi specificato qui in termini generali; l’unica informazione affidabile riguarda TISAX, dove il marchio è valido per tre anni. I marchi svizzeri per le PMI più diffusi sono Cyber-Safe e, per i fornitori di servizi IT, CyberSeal; sono specificamente rivolti alle aziende che non intendono ottenere la certificazione ISO.

Che cos’è esattamente TISAX e quando ne abbiamo bisogno?

TISAX è il sistema di audit e scambio dell’industria automobilistica, gestito dall’Associazione ENX per conto dell’Associazione tedesca dell’industria automobilistica (VDA). Si basa sul questionario VDA-ISA, che dal punto di vista dei contenuti coincide in gran parte con la norma ISO 27001, ma la integra con argomenti specifici del settore, come la protezione dei prototipi.

Il vantaggio pratico è proprio nel nome: il risultato viene determinato una sola volta da un fornitore di servizi di audit accreditato e poi condiviso in modo specifico con più clienti tramite la piattaforma ENX. Invece di sottoporsi a un audit separato per ogni produttore, si condivide un unico risultato. Il marchio ha una validità di tre anni, al termine dei quali è richiesta una nuova valutazione. Formalmente, non si tratta di un certificato ma di un marchio: una distinzione che talvolta causa confusione nei documenti di richiesta di offerta.

Ne avrete bisogno se lavorate come fornitori, partner di sviluppo o fornitori di servizi IT per le case automobilistiche. Questo requisito viene sempre più esteso anche ai fornitori di secondo e terzo livello. Per tutti gli altri settori, TISAX non rappresenta l’approccio adeguato.

In che modo ciò si collega allo standard minimo svizzero per le TIC?

Lo standard minimo ICT della Confederazione è la fonte più comune di tali questionari in Svizzera. È strutturato attorno alle cinque funzioni di identificazione, protezione, rilevamento, risposta e ripristino; si rivolge principalmente ai gestori di infrastrutture critiche e ai loro fornitori; e funge da insieme di raccomandazioni.

È di interesse per i fornitori per due motivi. In primo luogo, la sua sezione dedicata alla catena di fornitura spiega perché vengono poste le domande e in quale forma il cliente si aspetta le prove — ovvero, a cadenza regolare e sotto forma di rapporto. In secondo luogo, funge da utile strumento di autovalutazione: valuta ogni misura su una scala di maturità anziché richiedere semplicemente una risposta «sì» o «no». Chiunque lo compili una volta per la propria organizzazione avrà già pronte la maggior parte delle risposte al questionario e avrà anche una chiara comprensione delle proprie lacune in ordine di priorità.

Cosa non è: un certificato. Non è possibile fare affidamento su di esso in quanto tale; può essere utilizzato solo per dimostrare l’attuazione delle misure.

Cosa ci richiede la direttiva NIS 2 se non siamo direttamente interessati?

Nulla direttamente, ma parecchio indirettamente. La direttiva richiede alle organizzazioni interessate di stabilire una politica di sicurezza della catena di fornitura che regoli i loro rapporti con i fornitori diretti e definisca i criteri per la loro selezione. Queste organizzazioni adempiono al proprio obbligo trasferendo contrattualmente i requisiti a voi.

Per voi, in qualità di fornitori, ciò significa: non siete soggetti ad alcun obbligo di registrazione o segnalazione presso un’agenzia governativa, ma siete vincolati dagli impegni contrattuali assunti nei confronti del vostro cliente. Le scadenze di segnalazione sono particolarmente comuni: il cliente deve segnalare gli incidenti entro tempi ristretti e pertanto necessita delle vostre informazioni in tempi più rapidi. Esaminate attentamente tali clausole: l’impegno a segnalare un incidente entro dodici ore presuppone che ve ne accorgiate entro dodici ore.

Se la vostra attività possa essere interessata a causa del settore in cui opera e delle sue dimensioni è una valutazione a sé stante che non viene trattata in questa sede.

Quali obblighi si applicano e a partire da quale dimensione aziendale?
Determina a partire da quale punto gli obblighi di segnalazione, i requisiti dei clienti e gli obblighi di documentazione entrano effettivamente in vigore per un’azienda.

Cosa si applica ai clienti nel settore finanziario?

I requisiti in questo ambito sono notevolmente più precisi. Il Regolamento europeo sulla resilienza operativa digitale impone alle società finanziarie di tenere un registro completo di tutti i rapporti contrattuali con i fornitori di tecnologie dell’informazione e della comunicazione e di includere determinate disposizioni minime in tali contratti.

In particolare, ciò significa per voi in qualità di fornitori: aspettatevi clausole relative ai diritti di ispezione e di audit, all’obbligo di comunicare i subappaltatori e a scenari di risoluzione definiti. Ciò va oltre il consueto questionario e riguarda il contratto stesso. Se un cliente del settore finanziario vi presenta un contratto contenente tali clausole, non si tratta di una questione di negoziazione, ma piuttosto di un suo obbligo legale.

Chi serve regolarmente clienti sia svizzeri che europei si trova spesso a dover gestire due sistemi normativi in parallelo. Un confronto dettagliato esula dall’ambito del presente articolo.

Un confronto tra gli obblighi in materia di sicurezza informatica in Svizzera e nell’UE
Il confronto mette a confronto gli obblighi di segnalazione previsti dalla normativa svizzera con quelli della direttiva NIS 2 ed evidenzia i punti di divergenza.

Come posso tutelarmi quando rispondo?

Essendo precisi riguardo all’ambito di applicazione. La maggior parte delle controversie non nasce perché qualcuno ha mentito, ma perché una risposta è stata interpretata in modo più ampio di quanto previsto.

Quattro abitudini possono aiutare in questo senso. In ogni risposta, specificare esattamente a cosa si riferisce: «tutti i portatili Windows», non semplicemente «sì». Indicare la data del questionario e precisare a quale versione si riferisce, in modo che le informazioni di due anni fa non vengano considerate come una garanzia attuale. Non assumere impegni per conto di terzi sui quali non si ha alcun controllo; per quanto riguarda i subappaltatori, indicare ciò che è stato concordato contrattualmente, non ciò che si presume. E tenere traccia internamente di chi ha fornito quale risposta, in modo che la base di una dichiarazione possa essere rintracciata in seguito.

Un ultimo punto spesso trascurato: le scadenze promesse devono essere monitorate. Un questionario con tre azioni aperte e tre scadenze crea tre impegni: se non li includete in un rapporto di follow-up, vi troverete di fronte alle stesse lacune e a un impegno non adempiuto al prossimo audit. Questo è peggio della lacuna originale.

Da dove si comincia concretamente?

Non compilandolo. Per prima cosa, esaminate l’intero questionario e contrassegnate ogni domanda con uno dei quattro colori: “Sì” definitivo con documentazione di supporto, “No” definitivo, poco chiaro o non applicabile. Questo processo di smistamento richiede un’ora e mostra immediatamente dove si concentra il vero lavoro.

Quindi procedi con due gruppi. Chiarisci le domande “non chiare” da un punto di vista tecnico prima di spuntare qualsiasi casella. Classifica le risposte “No” in base a ciò che può essere ottenuto e documentato a breve termine — l’autenticazione a più fattori, la crittografia, la gestione delle patch e i certificati di formazione di solito rientrano in questo gruppo — e a ciò che richiede un processo organizzativo, come la catena gerarchica o il test di riproduzione. Per il primo gruppo è sufficiente un ordine di acquisto; per il secondo, occorreranno una persona designata e una scadenza.

E tenete a mente l’obiettivo: il cliente non vuole vedere un’operazione impeccabile, ma una che comprenda la sua situazione. Un questionario onesto con quattro risposte “no” e quattro date programmate crea molta più fiducia di una colonna piena di segni di spunta che crolla al primo follow-up.