Un paio di volte al mese mi arriva lo stesso file. Un foglio di calcolo, tra le 150 e le 300 righe, tre colonne: domanda, sì o no, commento. È il questionario di sicurezza che l’ufficio acquisti o il team di sicurezza di un cliente invia prima di firmare. Lo compiliamo in una giornata, a volte in meno, e quasi sempre con documentazione che esisteva già.
Chi lo invia dovrebbe preoccuparsene. Se un fornitore completa duecento domande di sicurezza in un giorno senza scomporsi, quel questionario ha misurato la sua capacità di tenere le carte in ordine. Il rischio che l’organizzazione voleva valutare è rimasto intatto.
Guido il team di ingegneria di SMARTFENSE e firmo quelle risposte, quindi vedo con una certa chiarezza quali domande ci obbligano a mostrare qualcosa di reale e quali si risolvono con un PDF. Il rapporto DBIR 2026 di Verizon colloca le vulnerabilità software all’origine del 31% delle violazioni, davanti alle credenziali rubate. Ogni piattaforma che aggiungi alla tua organizzazione è software di qualcun altro che gira sui tuoi dati, e il questionario è l’unico momento del processo di acquisto in cui puoi guardarci dentro.
Che cosa misura davvero un questionario di sicurezza per i fornitori?
Un questionario di sicurezza per i fornitori è lo strumento con cui un’organizzazione valuta, prima di firmare, quale rischio si assume collegando una terza parte ai propri dati, alle proprie identità e ai propri sistemi. Questa è l’intenzione dichiarata.
Nella pratica, il formato standard misura la maturità documentale, che è correlata alle dimensioni del fornitore molto più che alla sua postura di sicurezza. Un fornitore grande con un team di conformità dedicato risponde a qualsiasi questionario in modo impeccabile, con o senza controlli efficaci alle spalle. Uno piccolo con un’ingegneria solida può fare una brutta figura perché gli manca il documento che formalizza quello che già fa.
La distinzione utile, quando sei dalla parte di chi valuta, è separare tre piani. Quello che il fornitore dichiara (una casella spuntata). Quello che può dimostrare se glielo chiedi (un certificato, un contratto). E quello che puoi verificare da solo. Il questionario tradizionale si esaurisce nel primo piano, ed è lì che perde quasi tutto il suo valore.
Perché una certificazione risponde meno di quanto sembri?
Le certificazioni sono necessarie e non c’è motivo di lavorare con un fornitore che non ne abbia nessuna. Il problema nasce quando la conversazione si ferma al logo.
A decidere se una certificazione ti serve è il suo ambito di applicazione. Un certificato ha un perimetro dichiarato, e quel perimetro può coprire l’intera piattaforma di produzione oppure solo la sede aziendale e i processi amministrativi. Le due cose sono identiche se guardi il logo. Chiedere che cosa è rimasto dentro l’ambito, che cosa è rimasto fuori e con quale data di emissione le distingue in un minuto.
Lo stesso vale per il modello di servizio. Se il fornitore gira su infrastruttura di terzi, una parte dei controlli su cui lo stai interrogando non sono suoi. La risposta onesta a “come controlli l’accesso fisico al tuo data center?” spesso è che quel controllo è del provider cloud e si dimostra con la sua certificazione. Insistere per una risposta interna produce soltanto una risposta peggiore.
Dalla nostra parte, i sigilli che manteniamo e il loro ambito sono pubblicati e verificabili, inclusa la qualificazione del CCN (Centro Criptológico Nacional, l’organismo spagnolo per la sicurezza dei sistemi della pubblica amministrazione) per la gestione di informazioni sensibili nell’ENS (Esquema Nacional de Seguridad, il quadro normativo spagnolo di sicurezza per il settore pubblico). Anche il fatto che siano pubblicati è un’informazione. Se devi scrivere una mail per sapere quali sono, hai già imparato qualcosa.
Quali cinque domande distinguono davvero un fornitore dall’altro?
Sono le cinque che, quando ci arrivano, ci obbligano a mostrare come è costruita la piattaforma. Nessuna si risolve con un documento generico.
- Qual è l’ambito esatto della tua certificazione e cosa è rimasto fuori? Un fornitore che conosce il proprio ambito lo dice a memoria. Uno che risponde allegando il certificato senza commento probabilmente non ne ha mai letto l’ambito.
- Chi del tuo team può vedere i dati dei miei collaboratori e cosa viene registrato quando lo fa? L’accesso del supporto esiste su tutte le piattaforme. Quello che cambia dall’una all’altra è se quell’accesso resta registrato in modo che il cliente possa verificarlo dopo.
- Che cosa succede ai miei dati il giorno in cui finisce il contratto? Occorre fissare i tempi di cancellazione, il formato di esportazione, cosa resta nei backup e per quanto. È la domanda che si salta più spesso e quella che costa di più quando arriva il momento.
- Come si revoca l’accesso di una persona e in quanto tempo? Se la disattivazione di un collaboratore dipende da qualcuno che la esegue a mano nella piattaforma, hai una falla strutturale. Se si propaga dalla tua directory aziendale, non ce l’hai.
- Chi sono i tuoi sub-responsabili e come vengo avvisato quando cambiano? Il tuo fornitore ha fornitori. Firmare con il primo implica accettare quelli che stanno dietro, quindi l’elenco e il meccanismo di notifica fanno parte dell’accordo.
Tutte e cinque chiedono come si comporta un controllo in un caso concreto, invece di chiedere se il controllo esiste. Conviene costruire il resto della valutazione con la stessa logica, in linea con il quadro decisionale per scegliere una piattaforma.
Come verifichi una risposta senza fidarti della parola del fornitore?
La proof of concept o il periodo di prova sono il momento migliore per verificare, e quasi nessuno li usa per questo. Questi quattro controlli stanno in un pomeriggio:
Chiedi la dimostrazione dal vivo. Crea un utente di prova, revocalo e chiedi di vedere il log di audit di quelle due azioni. Se il log mostra chi l’ha fatto, quando e da dove, la risposta del questionario era vera.
Cerca l’elenco dei sub-responsabili senza chiederlo. Se è una pagina pubblica che il fornitore mantiene, dietro c’è un processo. Se te lo devono preparare, quel processo non esiste ancora.
Guarda se lo stato del servizio è pubblico. Una pagina di stato raggiungibile senza credenziali dice più sulla cultura operativa di un fornitore che tre paragrafi sul suo piano di continuità.
Chiedi l’accordo sul trattamento dei dati prima di firmare. Leggerlo con calma cambia la trattativa. Leggerlo dopo serve solo a sapere che cosa hai accettato.
Quali domande del questionario non servono a niente?
Ci sono tre famiglie che occupano metà del file e non producono alcun segnale.
Quelle sì o no senza evidenza allegata. “Avete un antivirus?”, “avete una policy sulle password?”. Nessuno risponde di no, quindi la domanda non distingue due candidati e aggiunge solo righe.
Quelle che chiedono le policy interne complete. Ricevere l’intero documento di gestione degli accessi di un fornitore produce molto da leggere e pochissima informazione sul fatto che quella policy venga applicata. Meglio chiedere un caso: come è stata eseguita l’ultima disattivazione di un amministratore.
E quelle che ignorano il modello di servizio, come il caso del data center di cui sopra, producono risposte formalmente corrette e sostanzialmente vuote.
Se tagli queste tre famiglie, il questionario scende a trenta o quaranta domande e inizia a servire per confrontare i candidati.
Come rispondiamo noi a quelle cinque domande?
Rispondo alle stesse cinque, perché chiederle senza rispondere sarebbe scomodo.
L’ambito dei sigilli è pubblicato nella pagina linkata sopra, con il dettaglio di cosa copre ciascuno.
Su chi vede i dati e cosa viene registrato, la piattaforma mantiene un sistema di protezione dei log di audit che registra le azioni degli utenti finali, quelle degli utenti amministrativi e quelle del sistema stesso, con record che non si possono cancellare né nascondere. Un record che il fornitore può modificare non funziona come evidenza, ed è questa distinzione a rendere verificabile l’accesso del supporto.
Sulla revoca degli accessi, il punto è non dipendere da un’operazione manuale. L’autenticazione viene delegata all’identity provider dell’organizzazione tramite SAML 2.0 e l’anagrafica resta allineata attraverso la directory, così la disattivazione del collaboratore nel sistema aziendale chiude il suo accesso. Il flusso completo è in come funziona l’integrazione SSO end-to-end, e il motivo per cui ci colleghiamo con interfacce standard invece di installare componenti nell’ambiente del cliente è in perché ci integriamo via API e non con un agente.
Su dati alla fine del contratto e sub-responsabili, entrambi vivono nel centro GDPR, con l’accordo sul trattamento dei dati e una policy pubblica sui sub-responsabili. Anche lo stato del servizio si consulta senza credenziali.
Nessuna di queste risposte è esotica. Sono quelle che qualsiasi fornitore dovrebbe poter dare senza preparare nulla, ed è proprio per questo che funzionano come filtro.
Domande frequenti
Che cos’è un questionario di sicurezza per i fornitori?
È lo strumento con cui un’organizzazione valuta, prima di firmare, quale rischio si assume collegando una terza parte ai propri dati, alle proprie identità e ai propri sistemi. Di solito viene inviato durante il processo di acquisto e fa parte della gestione del rischio di terze parti.
Quante domande dovrebbe avere?
Meno di quante ne ha di solito. Trenta o quaranta domande che chiedono evidenza di casi concreti distinguono i candidati meglio di duecento caselle sì o no, e si possono davvero rivedere.
Una certificazione sostituisce il questionario?
No, perché a determinarne l’utilità è l’ambito. Due certificati con lo stesso logo possono coprire perimetri molto diversi, quindi conviene chiedere cosa è rimasto dentro, cosa è rimasto fuori e con quale data di emissione.
Che cos’è un sub-responsabile del trattamento e perché conta?
È una terza parte che il tuo fornitore ingaggia e che tratta anche i tuoi dati personali, per esempio l’infrastruttura cloud o un servizio di posta. Conta perché firmando con il fornitore accetti tutta la sua catena, e dovresti poter consultare l’elenco ed essere avvisato quando cambia.
Qual è il momento migliore per verificare quello che il fornitore ha risposto?
Il periodo di prova. È quando puoi creare un utente, revocarlo e chiedere il log di audit di quelle azioni, che verifica in un colpo solo diverse risposte del questionario.
Se stai valutando una piattaforma di Cybersecurity awareness e preferisci partire dalle risposte invece che dalla demo di prodotto, il centro GDPR e la pagina dei sigilli di fiducia sono aperti. Alla fine la prova più semplice è questa, che il materiale sia disponibile prima che tu lo chieda.
Lascia un commento