Rischio di fornitori e supply chain: chi richiede cosa
Le violazioni attraverso i fornitori continuano a salire nelle statistiche sugli incidenti, e i framework si sono adeguati. La maggior parte ora richiede la sicurezza dei fornitori, ma ne danno interpretazioni diverse.
Questo articolo copre i 11 framework che ControlMapping aveva mappato al momento della stesura. Da allora sono stati aggiunti DORA, CPS 234, Cyber Essentials il 2026-10-27; le relative pagine e la matrice di copertura li includono.
I fornitori sono diventati una delle vie d'accesso più comuni alle organizzazioni, dagli aggiornamenti software compromessi ai fornitori di servizi gestiti violati. I framework hanno risposto, alcuni più di altri. ControlMapping monitora questo tema in due argomenti: gestione del rischio fornitori (valutazione e gestione dei singoli fornitori) e rischio della supply chain (il programma che li governa).
Gestione del rischio fornitori
| Framework | Gestione del rischio dei fornitori | Collegamento |
|---|---|---|
| NIST CSF 2.0 | GV.SC-04GV.SC-06GV.SC-07ID.RA-10DE.CM-06 | Definizione dell'argomento |
| ISO 27001 | A.5.19A.5.20A.5.22 | Crosswalk |
| CIS v8.1 | CIS 15.1CIS 15.5CIS 15.6CIS 15.3CIS 15.4CIS 15.7 | Crosswalk |
| SOC 2 | CC9.2 | Redazione |
| PCI DSS | 12.8.112.8.212.8.312.8.412.8.5 | Crosswalk |
| CMMC | — | |
| 800-53 | SA-4SA-9SR-6 | Crosswalk |
| HIPAA | §164.308(b)(1)§164.314(a) | Crosswalk |
| GDPR | Art.28(1)Art.28(3) | Redazione |
| NIS2 | 5.15.26.1 | Crosswalk |
| Essential Eight | — | Nessuna mappatura nei nostri dati |
Dettaglio completo e motivazione di ogni collegamento: Gestione del rischio dei fornitori nei framework →
Rischio della supply chain come programma
| Framework | Gestione del rischio della supply chain | Collegamento |
|---|---|---|
| NIST CSF 2.0 | GV.SC-01GV.SC-03GV.SC-05GV.SC-09ID.RA-09 | Definizione dell'argomento |
| ISO 27001 | A.5.19A.5.21 | Crosswalk |
| CIS v8.1 | CIS 15.2 | Crosswalk |
| SOC 2 | CC9.2 | Redazione |
| PCI DSS | 6.3.212.8.1 | Crosswalk |
| CMMC | — | |
| 800-53 | PM-30SR-2SR-3SR-11 | Crosswalk |
| HIPAA | — | |
| GDPR | Art.28(1) | Redazione |
| NIS2 | 5.16.1 | Crosswalk |
| Essential Eight | — | Nessuna mappatura nei nostri dati |
Dettaglio completo e motivazione di ogni collegamento: Gestione del rischio della supply chain nei framework →
Dove concordano
La maggior parte dei framework richiede lo stesso ciclo di vita: sapere chi sono i fornitori, valutarli prima di instaurare il rapporto, inserire requisiti di sicurezza nei contratti, monitorarli e concludere il rapporto in modo sicuro. ISO 27001 lo copre da A.5.19 ad A.5.22; PCI DSS richiede un elenco dei fornitori di servizi, accordi scritti, due diligence, monitoraggio annuale e una ripartizione documentata delle responsabilità (da 12.8.1 a 12.8.5); SOC 2 prevede che il rischio dei fornitori sia valutato e gestito (CC9.2); i CIS Controls richiedono un inventario, la classificazione, requisiti contrattuali, valutazione, monitoraggio e dismissione sicura (Control 15). Costruite questo ciclo di vita una volta sola, e lo stesso processo serve la maggior parte di questi framework.
Dove differiscono
- GDPR si concentra sui responsabili del trattamento: contratti scritti con le clausole dell'articolo 28, e ricorso solo a responsabili che offrano garanzie sufficienti. Riguarda i dati personali, non i fornitori in generale.
- HIPAA richiede business associate agreement (§164.308(b)(1), §164.314(a)) con chiunque tratti ePHI per conto dell'organizzazione.
- NIS2 tratta la sicurezza della supply chain come una misura a sé stante (articolo 21(2)(d)), e il Regolamento di esecuzione richiede una politica di sicurezza della supply chain, criteri di selezione dei fornitori e requisiti di sicurezza contrattuali (punti 5.1 e 5.2), considerando le pratiche di sicurezza dei fornitori e le loro vulnerabilità.
- NIST CSF 2.0 va più in là, con dieci sottocategorie Govern sulla gestione del rischio della supply chain di cybersecurity, dall'istituzione di un programma alla gestione dei fornitori lungo l'intero ciclo di vita.
- CMMC Level 2 non prevede una pratica specifica per i fornitori; il trasferimento dei requisiti ai subappaltatori deriva dalle clausole contrattuali. Gli Essential Eight non affrontano i fornitori.
Come si presenta un buon programma
- Un unico inventario dei fornitori, con indicazione di cosa ogni fornitore può accedere e di quanto sia critico.
- Due diligence graduata: più approfondita per i fornitori con accesso a dati o sistemi sensibili, meno per gli altri. Accettate il report SOC 2 o la certificazione ISO del fornitore quando copre il servizio, e leggetene l'ambito.
- Requisiti contrattuali: obblighi di sicurezza, notifica delle violazioni a voi, diritti di audit e restituzione o cancellazione dei dati alla cessazione (clausole dell'articolo 28 del GDPR dove sono coinvolti dati personali).
- Monitoraggio proporzionato al livello: revisioni annuali per i fornitori critici, come PCI DSS richiede per i fornitori di servizi.
- Offboarding: revocare gli accessi, recuperare o cancellare i dati, e verificarne l'avvenuta cancellazione.
Le pagine dedicate agli argomenti Vendor Risk e Supply Chain Risk elencano ogni requisito con la sua fonte. Il nostro articolo su perché un report SOC 2 non risponde da solo alla questione dei fornitori spiega come leggere le garanzie fornite dai fornitori.
Domande
Cosa richiede NIS2 in materia di sicurezza della supply chain?
L'articolo 21(2)(d) richiede la sicurezza della supply chain, inclusi gli aspetti di sicurezza delle relazioni con i fornitori diretti e i fornitori di servizi. Il Regolamento di esecuzione definisce una politica di sicurezza della supply chain, criteri di selezione dei fornitori e requisiti contrattuali (punti 5.1 e 5.2).
CMMC Level 2 richiede la gestione del rischio dei fornitori?
Non come programma. CMMC Level 2 eredita SP 800-171 Rev 2, che si concentra sulla protezione dei CUI nei sistemi interni; il trasferimento dei requisiti ai subappaltatori deriva invece dalle clausole contrattuali.
Dati aggiornati al 2026-10-27: i numeri di questo articolo sono calcolati dal crosswalk attuale e si aggiornano quando questo cambia. Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Non è una consulenza di conformità.
Articoli correlati
Analisi · 2026-10-27APRA CPS 234 e ISO 27001: cosa copre l'ISMS e cosa aggiunge APRAUn ISMS conforme a ISO 27001 copre quasi ogni paragrafo del CPS 234 di APRA, ma APRA aggiunge responsabilità del Consiglio di amministrazione, garanzie di terze parti e scadenze di notifica stringenti.
Analisi · 2026-10-27Cyber Essentials vs Essential Eight: confronto tra due baselineIl Cyber Essentials del Regno Unito e l'Essential Eight australiano puntano entrambi a contrastare attacchi comuni, ma coprono ambiti diversi. Cosa si sovrappone, cosa no e perché.
Analisi · 2026-10-27DORA vs NIS2: cosa copre già un programma NIS2DORA e NIS2 condividono gran parte dei controlli di sicurezza, ma DORA aggiunge registro, clausole contrattuali e test basati sulle minacce. Cosa si riporta, articolo per articolo.