La maggior parte delle aziende non si affida solo ai sistemi interni. Utilizza piattaforme cloud, fornitori di servizi payroll, strumenti di marketing, partner IT e decine di account SaaS che fanno andare avanti il lavoro quotidiano. Ogni fornitore risolve un problema e crea anche un nuovo rapporto di fiducia.
La gestione del rischio dei fornitori (VRM) è il processo di valutazione, approvazione, monitoraggio e revisione dei rischi per la sicurezza che derivano dal lavorare con terze parti. Aiuta le aziende a capire quali fornitori possono accedere a sistemi o dati sensibili, quali controlli hanno in atto tali fornitori, se le loro pratiche di sicurezza sono sufficientemente solide da giustificare tale accesso e con quale rapidità l’accesso può essere modificato se un contratto termina o si verifica un incidente.
Spiegheremo come affrontare la gestione del rischio dei fornitori nella tua azienda: come valutare i fornitori con cui lavori già, come classificare il rischio dei fornitori terzi, cosa includere in una lista di controllo per la sicurezza dei fornitori e come controllare le credenziali dei fornitori prima che diventino un’esposizione a lungo termine.
Che cosa copre la gestione del rischio dei fornitori
La tua guida alla gestione del rischio dei fornitori
La tua lista di controllo per la sicurezza dei fornitori
In che modo Proton Pass for Business supporta il controllo dell’accesso dei fornitori
Che cosa copre la gestione del rischio dei fornitori
La gestione del rischio dei fornitori si basa su un principio semplice: ogni parte esterna che tocca i tuoi dati, sistemi o processi aziendali modifica il tuo profilo di rischio.
La maggior parte del rischio dei fornitori nasce dal lavoro quotidiano. Per esempio, un’agenzia di terze parti può essere inserita in una rete aziendale perché un team ha bisogno di rapidità, competenze o software che l’azienda non ha internamente. L’accesso viene concesso, i dati vengono condivisi e il rapporto si stabilisce come parte del lavoro quotidiano.
Il rischio nasce quando non è chiaro a cosa quel fornitore può accedere, quali controlli si frappongono tra quell’accesso e una violazione — autenticazione a più fattori (MFA), account nominativi, crittografia — o con quale rapidità quell’accesso può essere individuato e revocato. La revoca avviene di solito all’interno del sistema stesso o tramite il provisioning SCIM; la parte difficile per la maggior parte delle aziende è sapere dove guardare davvero.
Il fornitore può essere un grande provider cloud, una piattaforma SaaS di nicchia, uno sviluppatore freelance o uno studio contabile. La dimensione e il settore del fornitore non sono il problema principale. Il suo accesso lo è.
Il rischio dei fornitori si manifesta in diversi modi:
- Rischio sui dati: Il fornitore può visualizzare, archiviare, trattare, trasferire o eliminare dati aziendali o personali.
- Rischio di accesso: Il fornitore può accedere ai sistemi, gestire le impostazioni, usare integrazioni o raggiungere pannelli di amministrazione.
- Rischio operativo: L’azienda dipende dal fornitore per un flusso di lavoro, un servizio o un processo critico rivolto ai clienti.
- Rischio di conformità: Il ruolo del fornitore influisce sui tuoi obblighi ai sensi delle leggi sulla protezione dei dati (come i requisiti di conformità al GDPR), contrattuali o specifici del settore.
- Rischio credenziali: L’accesso del fornitore è condiviso, riutilizzato, non documentato o difficile da revocare.
Il rischio dei fornitori è difficile da individuare perché spesso si accumula attraverso piccole scelte di accesso che hanno senso sul momento: un membro del team condivide un login che non dovrebbe, oppure un account fornitore mantiene i permessi per comodità, oppure un permesso di un collaboratore esterno che nessuno ricontrolla dopo la fine del progetto. Nel tempo, queste eccezioni diventano parte dell’ambiente aziendale, anche quando nessuno le gestisce attivamente.
Come creare un processo di gestione del rischio dei fornitori (VRM)
Se attuata in modo efficace, la gestione del rischio dei fornitori non rende ogni decisione più complicata. Crea un quadro affidabile per il modo in cui la tua azienda concede l’accesso con limiti più chiari. Esploreremo i passaggi chiave che la tua azienda può seguire per valutare il proprio rischio dei fornitori e costruire una strategia di gestione del rischio.
1. Crea un inventario dei tuoi fornitori
Invece di lasciare che la gestione del rischio dei fornitori diventi un’attività reattiva quando ti viene chiesta una prova di sicurezza o stai rinnovando un contratto, rendila un’attività proattiva. Inizia comprendendo i fornitori già presenti nelle tue operazioni.
Creare un inventario dei fornitori non deve essere complesso. Deve essere abbastanza chiaro da mostrare:
- Chi è responsabile della relazione
- Quale servizio fornisce il fornitore
- A quali sistemi o dati può accedere
- Se sono coinvolti dati personali
- Se vengono utilizzati subresponsabili del trattamento
- Quando è prevista la prossima revisione del contratto o della sicurezza
L’accesso è un componente cruciale da registrare perché i fornitori hanno privilegi ed esigenze di accesso diversi. Alcuni fornitori usano account nominativi. Altri si affidano a credenziali condivise, accesso amministratore, chiavi API, caselle di posta condivise o login temporanei che rimangono attivi molto dopo che l’esigenza originale è passata. Queste differenze contano perché determinano con quale rapidità l’accesso può essere modificato durante l’offboarding o un incidente.
L’inventario dovrebbe includere anche fornitori più piccoli che possono restare al di fuori dei processi di approvvigionamento formali. Un plugin, un consulente, uno sviluppatore freelance, un’agenzia o un servizio SaaS specializzato possono creare un’esposizione significativa se entrano in contatto con dati sensibili o flussi di lavoro critici.
Il valore principale di un inventario è creare controlli di accesso migliori. Quando una relazione con un fornitore termina, la tua azienda sa quali account disattivare, quali credenziali ruotare, quali integrazioni rimuovere e cosa deve accadere ai dati archiviati.
2. Classifica i fornitori in base al rischio, non alla comodità
Dopo aver mappato i fornitori, raggruppali in base al rischio che creano. In questo modo il processo rimane proporzionato ed evita di trattare ogni fornitore come innocuo o critico.
Fornitori ad alto rischio di solito trattano dati sensibili, supportano operazioni essenziali o detengono accessi privilegiati. Possono includere infrastrutture cloud, piattaforme di identità, servizi payroll, finanza, sistemi HR, IT gestito, servizi di sicurezza o piattaforme SaaS principali.
Fornitori a rischio moderato supportano attività importanti ma hanno un accesso più limitato. Possono includere piattaforme di collaborazione, strumenti di analisi, sistemi di gestione dei progetti, software per help desk o agenzie con permessi limitati.
Fornitori a basso rischio hanno accesso limitato o nullo a dati sensibili o sistemi critici per l’azienda. Devono comunque essere registrati, ma non richiedono la stessa profondità di revisione a meno che il loro ruolo non cambi.
Il livello dovrebbe seguire l’accesso effettivo, non la reputazione, la dimensione o il prezzo del fornitore. Una piattaforma nota può diventare ad alto rischio se archivia dati sensibili. Un piccolo collaboratore esterno può essere ad alto rischio se detiene privilegi di amministratore.
Usa il livello di rischio per decidere quanto approfondire la valutazione del fornitore, con quale frequenza rivedere la relazione e quali controlli minimi applicare.
3. Stabilisci i requisiti di sicurezza prima che venga concesso l’accesso
Le valutazioni dei fornitori funzionano meglio quando l’azienda conosce i propri requisiti minimi prima che l’accesso venga approvato.
Per i fornitori ad alto rischio, tali requisiti dovrebbero coprire i controlli che proteggono i dati e garantiscono la responsabilità dell’accesso: MFA, crittografia in transito e a riposo, controllo degli accessi basato sui ruoli, log di controllo, procedure di risposta agli incidenti, gestione delle vulnerabilità, controlli sui subresponsabili del trattamento, impegni alla cancellazione dei dati e pianificazione della continuità operativa.
Le prove di sicurezza possono supportare tale revisione. ISO 27001, SOC 2, schemi nazionali come Cyber Essentials nel Regno Unito, riepiloghi di penetration test o whitepaper sulla sicurezza possono essere tutti utili, a seconda del ruolo del fornitore e della sensibilità della relazione.
Le certificazioni e i rapporti di audit descrivono come opera un fornitore. Dicono molto meno su chi sia davvero il fornitore. Una recente indagine sulla sicurezza di Passwork dimostra che questa distinzione conta: una registrazione europea, un sito web curato e un messaggio “costruito per la fiducia” sono bastati per superare l’asticella in organizzazioni che non avevano mai tracciato la proprietà, la giurisdizione o l’origine del codice che stavano installando.
Per qualsiasi fornitore che detiene un accesso a dati sensibili, due domande devono affiancarsi alla lista di controllo: chi possiede e controlla l’azienda e secondo le leggi di quale paese opera; e possono esperti indipendenti ispezionare il codice, o l’azienda si fida di un sistema chiuso sulla sola parola del fornitore?
Fornitori a rischio moderato possono richiedere una revisione più leggera, ma dovrebbero comunque essere in grado di spiegare come proteggono gli account, limitano l’accesso dei dipendenti, gestiscono i dati, notificano gli incidenti ai clienti e rimuovono l’accesso quando la relazione termina.
Per i fornitori a basso rischio, il controllo principale può essere se non hanno davvero accesso a sistemi sensibili o dati personali. Se ciò cambia, il fornitore deve essere rivalutato.
Un buon processo è rigoroso dove il rischio è alto e leggero dove il rischio è davvero basso. Non dovrebbe trasformare ogni revisione di un fornitore in un audit aziendale, ma dovrebbe impedire che un accesso a dati sensibili venga approvato sulla sola fiducia.
4. Monitora i fornitori dopo l’onboarding
I fornitori cambiano i loro sistemi, subprocessori, policy, personale e controlli di sicurezza. La tua azienda potrebbe anche concedere loro più accesso nel tempo. Senza monitoraggio, la tua valutazione iniziale diventa obsoleta.
Un processo di monitoraggio pratico può includere revisioni annuali per fornitori ad alto e medio rischio, controlli prima del rinnovo del contratto, rivalutazione quando l’accesso si espande e revisione dopo qualsiasi incidente segnalato. I fornitori critici potrebbero aver bisogno di controlli di accesso più frequenti.
Il monitoraggio dovrebbe includere il livello delle credenziali. Verifica se gli account dei fornitori appartengono ancora a contatti attivi, se i permessi corrispondono all’ambito attuale, se esistono ancora credenziali condivise e se le integrazioni o le chiavi API sono ancora necessarie.
È qui che molte aziende trovano un’esposizione evitabile: vecchi account di agenzie, login di appaltatori inutilizzati, password condivise che nessuno possiede, integrazioni create per un progetto passato e permessi di amministratore concessi per comodità.
Il rischio dei fornitori rientra anche nella pianificazione della continuità. Se un fornitore critico diventa indisponibile, segnala una violazione o impone cambiamenti di accesso di emergenza, l’azienda ha bisogno di un modo per mantenere il lavoro essenziale in movimento. La guida di Proton alle strategie di continuità aziendale spiega perché la resilienza dipende da più di semplici backup, soprattutto quando sono coinvolti accessi e credenziali.
5. Controlla le credenziali di terze parti
Molti programmi di rischio dei fornitori sembrano solidi sulla carta e poi falliscono a livello di credenziali. Un fornitore può sembrare conforme sulla carta e comunque creare esposizione attraverso il modo in cui l’accesso viene gestito giorno per giorno.
Il rischio esiste nel divario tra il processo formale e quello realistico: credenziali archiviate al di fuori dei sistemi approvati, account condivisi senza un proprietario chiaro o chiavi API che rimangono attive dopo che il rapporto con il fornitore cambia.
Se quei percorsi di accesso non vengono riesaminati e revocati, l’azienda potrebbe continuare a portare il rischio del fornitore molto dopo che il lavoro originale è terminato.
L’accesso di terze parti dovrebbe seguire la stessa disciplina e utilizzare le stesse policy password dell’accesso interno:
- Concedi ai fornitori solo l’accesso di cui hanno bisogno
- Utilizza account nominativi ove possibile
- Evita credenziali condivise a meno che non ci sia un’alternativa
- Archivia le credenziali condivise in un sistema controllato di gestione delle credenziali
- Condividi i file con i fornitori tramite archiviazione cloud per le aziende crittografata con link in scadenza, non allegati email
- Rivedi regolarmente l’accesso
- Revoca l’accesso quando il lavoro termina
- Ruota le credenziali dopo cambiamenti del personale del fornitore o incidenti
- Richiedi l’MFA ovunque il servizio lo supporti
Un gestore di password per le aziende rende queste regole facili da implementare. Offre ai team un luogo sicuro dove archiviare le credenziali dei fornitori, condividere l’accesso senza inviare password tramite chat o email, ruotare le password e rimuovere l’accesso quando il rapporto con il fornitore termina.
La tua lista di controllo per la sicurezza dei fornitori
Una lista di controllo per la sicurezza dei fornitori dovrebbe aiutare la tua azienda a integrare nuovi fornitori in modo sicuro.
Usala per comprendere chiaramente il rapporto:
- A quali dati il fornitore accederà, elaborerà o archivierà?
- Il fornitore tratterà dati personali per nostro conto?
- Il fornitore firmerà un accordo sul trattamento dei dati (DPA) e cancellerà i nostri dati quando il contratto termina?
- Dove verranno archiviati ed elaborati i dati?
- Il fornitore utilizza subprocessori?
- Il fornitore impone l’MFA?
- Come controlla il fornitore l’accesso dei dipendenti ai dati dei clienti?
- La nostra azienda può assegnare permessi basati sui ruoli?
- L’accesso può essere rimosso immediatamente?
- Il fornitore fornisce log di controllo o rapporti sulle attività degli amministratori?
- Come crittografa i dati il fornitore?
- Con quale rapidità il fornitore ci notificherà un incidente di sicurezza?
- Il fornitore dispone di procedure di continuità operativa o di ripristino dopo un disastro?
- Il fornitore può fornire documentazione sulla sicurezza, certificazioni o riepiloghi di audit?
- Il fornitore ha subito un incidente di sicurezza segnalato pubblicamente e come lo ha gestito?
- Chi possiede e controlla l’azienda e sotto quale giurisdizione opera?
- Il prodotto è open source o sottoposto a audit indipendente, in modo che le sue dichiarazioni sulla sicurezza possano essere verificate?
La lista di controllo dovrebbe mostrare qualsiasi rischio che la tua azienda sta accettando. Un fornitore che manca di certificazione formale può comunque essere adatto per lavori a basso rischio. Un fornitore con accesso amministrativo, autenticazione debole, tempistiche vaghe sugli incidenti o nessun processo di cancellazione chiaro è una decisione completamente diversa.
Per i fornitori già in uso, riprendi la lista di controllo durante i rinnovi e le revisioni programmate. L’approvazione originale potrebbe non riflettere più il modo in cui lo strumento viene utilizzato oggi. Un fornitore introdotto per un piccolo progetto può silenziosamente diventare parte delle operazioni con i clienti, dei flussi di lavoro finanziari o delle integrazioni critiche.
Come Proton Pass for Business supporta il controllo degli accessi dei fornitori
La gestione del rischio dei fornitori diventa molto più difficile quando l’accesso di terze parti viene gestito al di fuori di un sistema controllato. Un fornitore può essere approvato, documentato e coperto da contratto, ma l’esposizione reale dipende spesso dai percorsi di accesso quotidiani: credenziali condivise, permessi, chiavi di accesso, codici di recupero, chiavi API e account che devono essere riesaminati o rimossi man mano che il rapporto cambia.
Un gestore di password per le aziende come Proton Pass for Business aiuta le aziende a portare quell’accesso in un processo più sicuro e verificabile. I team possono archiviare le credenziali dei fornitori in cassette di sicurezza crittografate end-to-end, generare password robuste e uniche, utilizzare il riempimento automatico per ridurre la gestione manuale, gestire le chiavi di accesso e condividere l’accesso senza inviare password tramite email, chat o documenti di progetto.
Per l’accesso dei fornitori nello specifico, le cassette di sicurezza condivise possono aiutare a separare le credenziali per fornitore, progetto, team o livello di sensibilità. Ciò rende più facile mantenere l’accesso organizzato, verificare chi ha accesso a cosa e rimuovere l’accesso quando un contratto termina, un contatto del fornitore cambia o un incidente richiede un contenimento rapido.
Un gestore di password per team IT aggiunge il livello amministrativo necessario man mano che il processo diventa più formale. Policy, report, log, controllo degli accessi basato sui ruoli, provisioning SCIM e integrazione single sign-on aiutano le aziende a gestire l’accesso in modo coerente tra i team invece di affidarsi alle abitudini individuali.
Proton Pass for Business supporta la tua azienda controllando le credenziali e i percorsi di accesso che i fornitori utilizzano per lavorare con la tua azienda. È anche open source e sottoposto a audit indipendente, quindi supera la stessa lista di controllo che consigliamo di applicare ai tuoi fornitori. Quando l’accesso dei fornitori viene archiviato, condiviso, riesaminato e revocato da un ambiente controllato, il rischio dei fornitori diventa più facile da gestire oltre la valutazione iniziale.
Controlla in modo sicuro l’accesso alle credenziali di terze parti con un gestore di password per le aziende.
