Cosa vi chiederà il capofila, e cosa preparare adesso
Se siete fornitori di un’azienda grande, la richiesta non vi arriverà da un’autorità. Arriverà per posta elettronica dall’ufficio acquisti, allegata al rinnovo del contratto, e avrà l’aria di un adempimento burocratico fra i tanti. Non lo è: è il punto in cui un cliente decide se siete un rischio che vale la pena di correre.
Ho passato anni dall’altra parte di quel tavolo — valutando la sicurezza di fornitori terzi e rispondendo della parte di sicurezza in gare d’appalto. Ecco cosa arriva davvero.
Non vi chiederanno un certificato
È la prima cosa che sorprende. Nessuno vi chiederà di essere certificati ISO 27001: una certificazione costa decine di migliaia di euro e mesi, e il capofila lo sa. Vi chiederà di rispondere a delle domande e poi, per le risposte che contano, di mostrare le evidenze.
La differenza fra le due cose è tutto. Rispondere “sì, abbiamo i backup” richiede dieci secondi. Mostrare l’evidenza richiede il verbale dell’ultimo ripristino di prova, con la data. Chi non ha mai fatto un ripristino di prova scopre in quel momento di non avere backup: ha copie, che è un’altra cosa.
Le domande che tornano sempre
Chi ha accesso a cosa. Non l’elenco degli utenti: l’elenco di chi può arrivare ai dati che il capofila vi affida, e cosa succede a quegli accessi quando qualcuno cambia ruolo o se ne va. La risposta sbagliata più comune è che l’amministratore è uno solo, è il titolare, e la sua password la sanno in tre.
Come entrate nei vostri sistemi. Se la risposta è “utente e password”, la domanda successiva è perché non ci sia un secondo fattore. Non è una domanda retorica: è la misura singola che spegne la maggior parte degli attacchi che vi riguarderebbero.
Cosa succede se qualcuno cifra i vostri server un venerdì sera. Qui la domanda vera non è tecnica: è chi risponde al telefono. Il capofila vuole sapere entro quanto tempo tornate a consegnare, e chi lo decide. Se la risposta è “chiamiamo il nostro consulente informatico”, la domanda successiva è se avete un contratto con lui che preveda un tempo di risposta. Quasi mai c’è.
Chi sono i vostri fornitori. Il rischio si propaga: il vostro gestionale in cloud, chi vi fa la manutenzione dei macchinari, chi ha un accesso remoto per assistenza. Quell’ultimo punto è il più trascurato e il più pericoloso, perché tipicamente nessuno sa più quante utenze di assistenza remota siano rimaste attive.
Le tre cose da preparare adesso, prima che arrivi la richiesta
- L’elenco di chi ha accesso da fuori. Manutentori, software house, consulenti. Metteteci accanto una data: quando è stato usato l’ultima volta. Le voci senza data recente sono accessi da chiudere, ed è il lavoro con il miglior rapporto fra tempo e rischio rimosso che esista.
- Un ripristino di prova, fatto sul serio, con un verbale di una pagina. Data, cosa si è ripristinato, quanto ci è voluto, cosa non ha funzionato.
- Il nome di una persona. Il capofila vuole un referente per la sicurezza. Non serve che sia un esperto: serve che esista, che sia raggiungibile e che sappia chi chiamare.
Nessuna delle tre richiede un budget. Tutte e tre richiedono che qualcuno decida di farle.
L’errore da non fare
Rispondere di sì a tutto. I questionari dei capofila non sono compiti in classe: chi li legge sa distinguere una risposta vera da una compiacente, e una risposta compiacente scoperta dopo — durante un incidente, o durante un audit — è molto peggio di un “non ancora, ma entro giugno”. Un fornitore che dichiara un divario e un piano è un fornitore gestibile. Un fornitore perfetto sulla carta è un fornitore su cui non si sa niente.