Attacchi supply chain: Prevenzione e risposta 2026

Da questionario annuale a programma continuo

Un fornitore non si valuta una volta e poi si archivia: il rischio di terze parti cambia quando cambia il servizio, il personale o l'infrastruttura. Un programma maturo mantiene un inventario dei fornitori, assegna a ciascuno un livello di rischio e fissa una cadenza di rivalutazione proporzionata.

Classificazione per dati e accesso

La classificazione non si basa sul fatturato ma su due dimensioni: quali dati il fornitore tratta e quale accesso tecnico possiede. Chi riceve dati personali o segreti commerciali e dispone di accesso diretto ai sistemi va collocato nel livello più alto anche se è piccolo; chi eroga un servizio senza toccare dati identificativi e senza accesso alla rete resta in un livello basso. Per ogni livello si definiscono evidenze richieste, frequenza dei controlli e responsabile interno.

• Livello alto: valutazione approfondita, clausola di audit, notifica di incidente entro termini contrattuali, verifica annuale e monitoraggio continuo.
• Livello medio: questionario documentato, evidenze delle certificazioni, rivalutazione periodica.

Le domande che rivelano la capacità reale

Le risposte generiche non dicono nulla: le domande utili chiedono procedure, tempi e prove verificabili.

• Cadenza delle patch: entro quanto tempo vengono corrette le vulnerabilità critiche e chi firma l'eccezione quando la scadenza non viene rispettata.
• Storico incidenti: quali violazioni hanno coinvolto il fornitore e come sono state gestite.
• Subappaltatori: elenco aggiornato dei sub-responsabili, loro ubicazione e modalità di autorizzazione preventiva.
• Gestione degli accessi: come vengono creati e revocati gli account, se esistono autenticazione a più fattori resistente al phishing e registrazione delle sessioni.
• Notifica di incidente: canale, referente, tempi di comunicazione e contenuto minimo della segnalazione.

Clausole contrattuali e obblighi come responsabile del trattamento

Il contratto rende esigibili le promesse tecniche. Quando il fornitore tratta dati personali per conto del titolare, l'art. 28 GDPR richiede un accordo scritto che definisca oggetto, durata e finalità del trattamento, riservatezza del personale, misure di sicurezza ai sensi dell'art. 32, supporto nelle valutazioni d'impatto (art. 35), assistenza nella notifica delle violazioni (artt. 33 e 34) e restituzione o cancellazione dei dati al termine. Si negoziano inoltre clausole operative: diritto di audit o relazioni indipendenti, termine massimo di notifica di un incidente, approvazione preventiva dei sub-responsabili e penali legate alle scadenze. In contesti NIS2 (D.Lgs. 138/2024) la sicurezza della catena di fornitura è un obbligo di gestione del rischio.

Controlli tecnici lato acquirente

La verifica non basta: servono difese che limitino l'impatto quando un fornitore viene compromesso.

• Versioni bloccate e file di lock: fissare le versioni delle dipendenze e revisionare ogni aggiornamento prima dell'adozione.
• Consumo di SBOM: richiedere la distinta base del software per sapere quali componenti entrano nel prodotto.
• Firma e provenienza: accettare artefatti solo se firmati e con provenienza attestata, secondo i principi della supply chain SLSA.
• Filtraggio del traffico in uscita: limitare le connessioni che i sistemi interni possono avviare verso l'esterno.
• MFA resistente al phishing: proteggere i portali dei fornitori con credenziali a chiave, non con codici riutilizzabili (NIST SP 800-63B).

Igiene degli accessi di terze parti

Ogni accesso esterno deve essere nominale e legato a una persona identificabile, senza credenziali condivise. Va concesso secondo il minimo privilegio e, dove possibile, solo su richiesta con finestra temporale definita, con registrazione delle sessioni e revisione periodica degli account inutilizzati.

Monitoraggio, uscita e limiti della verifica

La sorveglianza dei bollettini dei fornitori e delle fonti pubbliche di violazioni consente di reagire prima che l'impatto raggiunga i propri sistemi. Quando un fornitore è compromesso, la risposta segue NIST SP 800-61 e ISO/IEC 27035: contenere, valutare l'esposizione, avvisare gli interessati secondo gli obblighi di legge e conservare le evidenze. Serve anche un piano di uscita con formati di esportazione concordati. Nessuna certificazione garantisce l'assenza di incidenti: uno standard attesta un sistema di gestione, non uno stato di sicurezza permanente, e i controlli documentali non rilevano una vulnerabilità introdotta ieri. La difesa ragionevole combina riduzione del privilegio, segmentazione, monitoraggio e prove periodiche. Per approfondire si può consultare la sezione blog o valutare un test di sicurezza autorizzato sui sistemi di cui si detiene la titolarità; per discutere i requisiti di un programma fornitori sono disponibili le informazioni di contatto.