Che cosa misura davvero un questionario di sicurezza per i fornitori?<\/h2>\n
Un questionario di sicurezza per i fornitori \u00e8 lo strumento con cui un\u2019organizzazione valuta, prima di firmare, quale rischio si assume collegando una terza parte ai propri dati, alle proprie identit\u00e0 e ai propri sistemi. Questa \u00e8 l\u2019intenzione dichiarata.<\/p>\n
Nella pratica, il formato standard misura la maturit\u00e0 documentale, che \u00e8 correlata alle dimensioni del fornitore molto pi\u00f9 che alla sua postura di sicurezza. Un fornitore grande con un team di conformit\u00e0 dedicato risponde a qualsiasi questionario in modo impeccabile, con o senza controlli efficaci alle spalle. Uno piccolo con un\u2019ingegneria solida pu\u00f2 fare una brutta figura perch\u00e9 gli manca il documento che formalizza quello che gi\u00e0 fa.<\/p>\n
La distinzione utile, quando sei dalla parte di chi valuta, \u00e8 separare tre piani. Quello che il fornitore dichiara<\/strong> (una casella spuntata). Quello che pu\u00f2 dimostrare<\/strong> se glielo chiedi (un certificato, un contratto). E quello che puoi verificare da solo<\/strong>. Il questionario tradizionale si esaurisce nel primo piano, ed \u00e8 l\u00ec che perde quasi tutto il suo valore.<\/p>\n Le certificazioni sono necessarie e non c\u2019\u00e8 motivo di lavorare con un fornitore che non ne abbia nessuna. Il problema nasce quando la conversazione si ferma al logo.<\/p>\n A decidere se una certificazione ti serve \u00e8 il suo ambito di applicazione. Un certificato ha un perimetro dichiarato, e quel perimetro pu\u00f2 coprire l\u2019intera piattaforma di produzione oppure solo la sede aziendale e i processi amministrativi. Le due cose sono identiche se guardi il logo. Chiedere che cosa \u00e8 rimasto dentro l\u2019ambito, che cosa \u00e8 rimasto fuori e con quale data di emissione le distingue in un minuto.<\/p>\n Lo stesso vale per il modello di servizio. Se il fornitore gira su infrastruttura di terzi, una parte dei controlli su cui lo stai interrogando non sono suoi. La risposta onesta a \u201ccome controlli l\u2019accesso fisico al tuo data center?\u201d spesso \u00e8 che quel controllo \u00e8 del provider cloud e si dimostra con la sua certificazione. Insistere per una risposta interna produce soltanto una risposta peggiore.<\/p>\n Dalla nostra parte, i sigilli che manteniamo e il loro ambito sono pubblicati e verificabili<\/a>, inclusa la qualificazione del CCN (Centro Criptol\u00f3gico Nacional, l\u2019organismo spagnolo per la sicurezza dei sistemi della pubblica amministrazione) per la gestione di informazioni sensibili nell\u2019ENS (Esquema Nacional de Seguridad, il quadro normativo spagnolo di sicurezza per il settore pubblico). Anche il fatto che siano pubblicati \u00e8 un\u2019informazione. Se devi scrivere una mail per sapere quali sono, hai gi\u00e0 imparato qualcosa.<\/p>\n Sono le cinque che, quando ci arrivano, ci obbligano a mostrare come \u00e8 costruita la piattaforma. Nessuna si risolve con un documento generico.<\/p>\n Tutte e cinque chiedono come si comporta un controllo in un caso concreto, invece di chiedere se il controllo esiste. Conviene costruire il resto della valutazione con la stessa logica, in linea con il quadro decisionale per scegliere una piattaforma<\/a>.<\/p>\n La proof of concept o il periodo di prova sono il momento migliore per verificare, e quasi nessuno li usa per questo. Questi quattro controlli stanno in un pomeriggio:<\/p>\n Chiedi la dimostrazione dal vivo.<\/strong> Crea un utente di prova, revocalo e chiedi di vedere il log di audit di quelle due azioni. Se il log mostra chi l\u2019ha fatto, quando e da dove, la risposta del questionario era vera.<\/p>\n Cerca l\u2019elenco dei sub-responsabili senza chiederlo.<\/strong> Se \u00e8 una pagina pubblica che il fornitore mantiene, dietro c\u2019\u00e8 un processo. Se te lo devono preparare, quel processo non esiste ancora.<\/p>\n Guarda se lo stato del servizio \u00e8 pubblico.<\/strong> Una pagina di stato raggiungibile senza credenziali dice pi\u00f9 sulla cultura operativa di un fornitore che tre paragrafi sul suo piano di continuit\u00e0.<\/p>\n Chiedi l\u2019accordo sul trattamento dei dati prima di firmare.<\/strong> Leggerlo con calma cambia la trattativa. Leggerlo dopo serve solo a sapere che cosa hai accettato.<\/p>\n Ci sono tre famiglie che occupano met\u00e0 del file e non producono alcun segnale.<\/p>\n Quelle s\u00ec o no senza evidenza allegata. \u201cAvete un antivirus?\u201d, \u201cavete una policy sulle password?\u201d. Nessuno risponde di no, quindi la domanda non distingue due candidati e aggiunge solo righe.<\/p>\n Quelle che chiedono le policy interne complete. Ricevere l\u2019intero documento di gestione degli accessi di un fornitore produce molto da leggere e pochissima informazione sul fatto che quella policy venga applicata. Meglio chiedere un caso: come \u00e8 stata eseguita l\u2019ultima disattivazione di un amministratore.<\/p>\n E quelle che ignorano il modello di servizio, come il caso del data center di cui sopra, producono risposte formalmente corrette e sostanzialmente vuote.<\/p>\n Se tagli queste tre famiglie, il questionario scende a trenta o quaranta domande e inizia a servire per confrontare i candidati.<\/p>\n Rispondo alle stesse cinque, perch\u00e9 chiederle senza rispondere sarebbe scomodo.<\/p>\n L\u2019ambito dei sigilli<\/strong> \u00e8 pubblicato nella pagina linkata sopra, con il dettaglio di cosa copre ciascuno.<\/p>\n Su chi vede i dati e cosa viene registrato<\/strong>, la piattaforma mantiene un sistema di protezione dei log di audit<\/a> che registra le azioni degli utenti finali, quelle degli utenti amministrativi e quelle del sistema stesso, con record che non si possono cancellare n\u00e9 nascondere. Un record che il fornitore pu\u00f2 modificare non funziona come evidenza, ed \u00e8 questa distinzione a rendere verificabile l\u2019accesso del supporto.<\/p>\n Sulla revoca degli accessi<\/strong>, il punto \u00e8 non dipendere da un\u2019operazione manuale. L\u2019autenticazione viene delegata all\u2019identity provider dell\u2019organizzazione tramite SAML 2.0 e l\u2019anagrafica resta allineata attraverso la directory, cos\u00ec la disattivazione del collaboratore nel sistema aziendale chiude il suo accesso. Il flusso completo \u00e8 in come funziona l\u2019integrazione SSO end-to-end<\/a>, e il motivo per cui ci colleghiamo con interfacce standard invece di installare componenti nell\u2019ambiente del cliente \u00e8 in perch\u00e9 ci integriamo via API e non con un agente<\/a>.<\/p>\n Su dati alla fine del contratto e sub-responsabili<\/strong>, entrambi vivono nel centro GDPR<\/a>, con l\u2019accordo sul trattamento dei dati e una policy pubblica sui sub-responsabili. Anche lo stato del servizio si consulta senza credenziali.<\/p>\n Nessuna di queste risposte \u00e8 esotica. Sono quelle che qualsiasi fornitore dovrebbe poter dare senza preparare nulla, ed \u00e8 proprio per questo che funzionano come filtro.<\/p>\n Che cos\u2019\u00e8 un questionario di sicurezza per i fornitori?<\/strong> Quante domande dovrebbe avere?<\/strong> Una certificazione sostituisce il questionario?<\/strong> Che cos\u2019\u00e8 un sub-responsabile del trattamento e perch\u00e9 conta?<\/strong> Qual \u00e8 il momento migliore per verificare quello che il fornitore ha risposto?<\/strong> Se stai valutando una piattaforma di Cybersecurity awareness e preferisci partire dalle risposte invece che dalla demo di prodotto, il centro GDPR<\/a> e la pagina dei sigilli di fiducia<\/a> sono aperti. Alla fine la prova pi\u00f9 semplice \u00e8 questa, che il materiale sia disponibile prima che tu lo chieda.<\/p>\n","protected":false},"excerpt":{"rendered":" Cosa misura un questionario di sicurezza per i fornitori, perch\u00e9 le certificazioni rispondono meno di quanto sembri e le domande che distinguono davvero.<\/p>\n","protected":false},"author":4,"featured_media":44232,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[3,339],"tags":[1944,390,1641,1392,2184],"class_list":["post-44238","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-analisis-de-riesgos-it","tag-ciso-it","tag-cumplimiento-normativo-it","tag-gdpr-it","tag-plataforma"],"acf":[],"yoast_head":" \nPerch\u00e9 una certificazione risponde meno di quanto sembri?<\/h2>\n
Quali cinque domande distinguono davvero un fornitore dall\u2019altro?<\/h2>\n
\n
![\"Due](\"https:\/\/smartfense.com\/file\/2026\/07\/apoyo-01-1785519094.jpg\")
<\/p>\nCome verifichi una risposta senza fidarti della parola del fornitore?<\/h2>\n
Quali domande del questionario non servono a niente?<\/h2>\n
Come rispondiamo noi a quelle cinque domande?<\/h2>\n
Domande frequenti<\/h2>\n
\n\u00c8 lo strumento con cui un\u2019organizzazione valuta, prima di firmare, quale rischio si assume collegando una terza parte ai propri dati, alle proprie identit\u00e0 e ai propri sistemi. Di solito viene inviato durante il processo di acquisto e fa parte della gestione del rischio di terze parti.<\/p>\n
\nMeno di quante ne ha di solito. Trenta o quaranta domande che chiedono evidenza di casi concreti distinguono i candidati meglio di duecento caselle s\u00ec o no, e si possono davvero rivedere.<\/p>\n
\nNo, perch\u00e9 a determinarne l\u2019utilit\u00e0 \u00e8 l\u2019ambito. Due certificati con lo stesso logo possono coprire perimetri molto diversi, quindi conviene chiedere cosa \u00e8 rimasto dentro, cosa \u00e8 rimasto fuori e con quale data di emissione.<\/p>\n
\n\u00c8 una terza parte che il tuo fornitore ingaggia e che tratta anche i tuoi dati personali, per esempio l\u2019infrastruttura cloud o un servizio di posta. Conta perch\u00e9 firmando con il fornitore accetti tutta la sua catena, e dovresti poter consultare l\u2019elenco ed essere avvisato quando cambia.<\/p>\n
\nIl periodo di prova. \u00c8 quando puoi creare un utente, revocarlo e chiedere il log di audit di quelle azioni, che verifica in un colpo solo diverse risposte del questionario.<\/p>\n