Due diligence sui fornitori: un processo per più framework

Ogni framework principale chiede di gestire il rischio dei fornitori, come mostra il nostro confronto dei requisiti su fornitori e catena di fornitura. I requisiti si sovrappongono a tal punto che un unico processo, progettato una volta, può soddisfarli tutti. Ecco una struttura che lo consente.

Passo 1: un unico inventario

Elencate ogni fornitore con accesso ai vostri sistemi, dati o strutture e, per ciascuno: cosa fa, quali dati tratta e quali framework ne derivano (dati dei titolari di carte per PCI DSS, ePHI per HIPAA, dati personali per GDPR, servizi a supporto di un servizio regolato da NIS2). PCI DSS (12.8.1), ISO 27001 (A.5.19) e i CIS Controls (15.1) partono tutti da qui.

Passo 2: classificateli per livello

• Livello 1: accesso a dati sensibili o sistemi di produzione, oppure fornitori critici per il vostro servizio.
• Livello 2: accesso limitato o criticità moderata.
• Livello 3: nessun accesso a dati sensibili; impatto basso in caso di guasto.

La classificazione per livelli è ciò che mantiene il processo proporzionato. CIS la chiama classificazione dei fornitori di servizi (15.3).

Passo 3: valutate in base al livello

• Livello 1: un report di assurance indipendente che copra il servizio utilizzato (report SOC 2 Type II o certificato ISO 27001 con ambito pertinente), più un breve questionario per ciò che il report non copre. Leggete il report: ambito, periodo, eccezioni, esclusioni e controlli che dovete attuare.
• Livello 2: un questionario standard oppure il report, se disponibile.
• Livello 3: una verifica di base in fase di onboarding.

Passo 4: un solo contratto che copra tutto

Scrivete clausole di sicurezza che coprano simultaneamente tutti i framework:

• Obblighi di sicurezza proporzionati al servizio.
• Notifica di violazione a voi, con un termine abbastanza breve da rispettare i vostri obblighi (le 24 ore di NIS2, le 72 di GDPR).
• Clausole ai sensi dell'Articolo 28 del GDPR laddove trattino dati personali per vostro conto; un accordo di business associate dove si applica HIPAA.
• Diritti di audit o di verifica, e restituzione o cancellazione dei dati alla cessazione.
• Per PCI DSS, riconoscimento delle loro responsabilità sui dati dei titolari di carte (12.8.2) e una ripartizione documentata delle responsabilità (12.8.5).

Passo 5: monitorate e chiudete il rapporto

Rivalutate i fornitori di Livello 1 annualmente (PCI DSS richiede il monitoraggio annuale della conformità dei fornitori di servizi, 12.8.4), quelli di Livello 2 ogni anno o due, e reagite a incidenti e modifiche. Alla cessazione, revocate gli accessi, recuperate o cancellate i dati e documentatelo (CIS 15.7).

Un questionario breve che funziona

Per i fornitori senza un report di assurance indipendente, un questionario breve è preferibile a uno lungo, perché le persone rispondono correttamente a quelli brevi. Dieci domande coprono gran parte di ciò che ogni framework chiede:

1. Quali dei nostri dati accederete, conserverete o tratterete, e dove?
2. Disponete di un report SOC 2 o di un certificato ISO 27001 aggiornato che copra questo servizio?
3. L'MFA è imposto per tutti gli accessi ai sistemi che contengono i nostri dati?
4. Con quale rapidità vengono applicate le patch alle vulnerabilità critiche?
5. I nostri dati sono cifrati a riposo e in transito?
6. I backup vengono eseguiti, protetti e testati?
7. Come e con quale rapidità ci notificherete un incidente che riguarda i nostri dati?
8. Quali subfornitori trattano i nostri dati?
9. Come vengono restituiti o cancellati i nostri dati alla scadenza del contratto?
10. Chi è il vostro referente per la sicurezza?

Mappate ogni risposta ai vostri requisiti una sola volta e riutilizzate la mappatura per ogni fornitore. La gap analysis e l'argomento rischio della catena di fornitura mostrano come ogni framework formula questi requisiti.

Punti chiave

• Un unico inventario dei fornitori, classificato per rischio, serve tutti i framework.
• Accettate i report indipendenti quando il loro ambito è adeguato, e leggeteli.
• Scrivete le clausole contrattuali una sola volta, in modo da coprire ogni obbligo.

Una scheda per ciascun fornitore

Conservate tutto (livello, valutazioni, report letti, clausole contrattuali, revisioni) in un unico luogo per ogni fornitore. Gli auditor di ciascun framework potranno così trovare le prove nella stessa scheda.

La pagina dell'argomento Vendor Risk elenca ogni requisito con la relativa fonte, e il nostro articolo su perché "SOC 2 certified" è la domanda sbagliata tratta la lettura dei report dei fornitori.

Domande

Posso accettare il report SOC 2 di un fornitore al posto di un questionario?

Spesso sì, se il report è di Type II, recente, copre il servizio che utilizzate, e si leggono le eccezioni e i controlli complementari delle entità utenti. Un report che non copre il vostro servizio dice ben poco.

Quali framework richiedono che i contratti con i fornitori includano clausole di sicurezza?

ISO 27001 (A.5.20), PCI DSS (12.8.2), GDPR per i responsabili del trattamento (Articolo 28), gli accordi di business associate di HIPAA e le misure per la catena di fornitura di NIS2 richiedono tutti clausole di sicurezza nei contratti con i fornitori.

Con quale frequenza vanno rivalutati i fornitori?

I fornitori critici almeno annualmente (PCI DSS richiede il monitoraggio annuale della conformità dei fornitori di servizi), gli altri ogni anno o due, e qualsiasi fornitore dopo un incidente significativo o una modifica del servizio.