La sicurezza dell'organizzazione dipende anche da soggetti esterni.
Fornitori IT, cloud, software, manutentori e partner possono accedere a dati e sistemi o sostenere processi essenziali. La supply chain security identifica queste dipendenze, applica controlli proporzionati e prepara l'organizzazione a gestire incidenti che iniziano fuori dal proprio perimetro.
Attività
- inventario e classificazione delle terze parti per criticità;
- mappatura di servizi, dati, accessi e subfornitori rilevanti;
- questionari e raccolta di evidenze proporzionati al rischio;
- valutazione di certificazioni, report, test e incident history;
- requisiti contrattuali su sicurezza, notifica e cooperazione;
- governo degli accessi remoti e degli account di assistenza;
- monitoraggio di variazioni, vulnerabilità e concentrazione del rischio;
- exit strategy, portabilità e continuità in caso di indisponibilità.
Incidenti di supply chain
Vengono definiti contatti, tempi di escalation, evidenze richieste e modalità di coordinamento. Le tabletop exercise possono simulare compromissione di un fornitore cloud, aggiornamento software malevolo o indisponibilità prolungata di un servizio critico.
Output
- registro delle terze parti e livelli di criticità;
- requisiti minimi per categorie di fornitore;
- gap e piani di trattamento;
- clausole tecniche da coordinare con l'ufficio legale;
- indicatori e calendario di rivalutazione;
- piano di continuità e uscita per dipendenze prioritarie.