Che cos’è la gestione di terze parti dell’ Risk ?

La gestione dei rischi di terze parti consiste nell’identificare e mitigare i rischi a cui è esposta un’organizzazione derivanti da partner commerciali esterni quali fornitori, venditori, prestatori di servizi e appaltatori. Tale processo richiede alle organizzazioni di comprendere con chi intrattengono rapporti commerciali — e, per estensione, con chi intrattengono rapporti commerciali tali aziende — in modo da poter attuare misure di protezione volte a ridurre i rischi.

Le organizzazioni moderne di ogni dimensione affidano a terzi servizi e attività essenziali, avvalendosi di aziende esterne per servizi quali l’hosting cloud, la gestione delle buste paga e la gestione delle strutture. Quando i partner esterni non riescono a fornire un prodotto o un servizio, ciò può comportare conseguenze potenzialmente devastanti. Si consideri un’azienda di e-commerce che si avvale dei servizi web di Amazon (AWS) per l’hosting del proprio sito web. Qualora AWS dovesse subire un’interruzione del servizio, il sito web verrebbe messo fuori linea, con conseguente perdita di transazioni per l’azienda e, qualora il sito rimanesse inattivo per un periodo prolungato, un deterioramento della reputazione presso i propri clienti.

L’accesso di soggetti terzi alle strutture fisiche e ai sistemi informatici di un’organizzazione espone quest’ultima a un livello di rischio maggiore . Se, ad esempio, i dati dei clienti di un’organizzazione vengono resi pubblici a causa di una vulnerabilità di sicurezza di una terza parte, l’organizzazione rimane comunque responsabile dell’attacco. Si tratta di una preoccupazione sempre più diffusa tra le aziende odierne: secondo , il 93% delle aziende ha subito una violazione della sicurezza informatica a causa di vulnerabilità presenti nella propria catena di fornitura o presso fornitori terzi.

Anche le terze parti affidano parti della propria attività ad altre imprese. Tali entità assumono il ruolo di parti di livello superiore all’interno dell’organizzazione e, a loro volta, ciascuno dei loro livelli di sicurezza ha, in ultima analisi, un impatto sull’organizzazione che stipula il contratto con la terza parte. In parole povere, ogni nuovo rapporto commerciale con una terza parte aumenta il rischio per un’organizzazione.

Un classico esempio di rischio legato a soggetti terzi è la violazione dei dati delle carte di credito di Target, che ha interessato 2013 .i. Gli autori dell’attacco hanno preso di mira un’azienda di refrigerazione esterna di ,, utilizzando un’e-mail di phishing per indurre un dipendente a installare un malware che ha consentito loro di accedere alle credenziali di accesso al portale fornitori di Target. (Alcune fonti ritengono che l’appaltatore abbia utilizzato un software di sicurezza gratuito che non offriva protezione in tempo reale.) Gli autori dell’attacco hanno installato un malware nel sistema di punti vendita di Target e hanno sottratto 40 milioni di numeri di carte di credito , compromettendo i dati personali di 70 milioni di clienti. Sebbene l’attacco fosse stato sferrato da un appaltatore, Target è stata ritenuta responsabile e ha dovuto versare un risarcimento pari a 18,5 milioni di dollari.

È fondamentale che le organizzazioni verifichino attentamente tutte le aziende con cui collaborano. La gestione dei rischi legati alle terze parti aiuta le organizzazioni a identificare e valutare i rischi generati da tali soggetti, per poi collaborare con essi al fine di controllare tali rischi o di individuare un’alternativa più sicura.

[Leggi anche: Che cos’è la gestione del rischio? [Una panoramica semplificata] (si apre in una nuova scheda)

Qual è il ruolo di una terza parte?

Una terza parte fornisce una componente o un servizio essenziale per un’azienda, come software, beni materiali o materiali di consumo. Tra i partner esterni figurano solitamente:

• Fornitori di software
• Fornitori di servizi cloud
• Servizi di gestione IT
• Agenzie di selezione del personale
• Fornitori di servizi di gestione delle buste paga
• Servizi di gestione della fedeltà
• Professionisti del settore fiscale
• Fornitori e appaltatori

Poiché le aziende terze possono accedere ai dati di un’organizzazione e trattarli, è fondamentale garantire che rispettino gli standard di sicurezza previsti dalla normativa “
”.

In cosa consiste il rischio di terze parti?

La maggior parte dei rischi legati a terzi rientra in una delle seguenti categorie:

• Sicurezza informatica. I soggetti terzi rappresentano una fonte sempre più diffusa di attacchi informatici. Gli hacker compromettono uno o più anelli della catena di fornitura dell’ e di un’organizzazione e sfruttano l’accesso ottenuto per sferrare attacchi di maggiore portata contro obiettivi di maggior valore.
• Conformità normativa. La mancanza di controlli di sicurezza da parte di soggetti terzi può comportare la perdita di dati e conseguenti violazioni normative
  , nonché sanzioni.
• Operativo. I malfunzionamenti di soggetti terzi possono causare la chiusura di un’organizzazione. Ad esempio, un attacco informatico ai danni del fornitore di software Geographic Solutions ha causato interruzioni nell’erogazione dei sussidi di disoccupazione e dei servizi di assistenza alla ricerca di lavoro per i residenti degli Stati che utilizzavano
  il loro software.

“Sebbene l’attacco abbia avuto origine da un appaltatore, Target è stata ritenuta responsabile e ha dovuto versare un risarcimento pari a 18,5 milioni di dollari.”

• Strategico. Quando le strategie aziendali dell’organizzazione e quelle di terzi non sono allineate, è possibile che non vengano rispettati gli standard normativi e gli altri standard di sicurezza.
• Relativo alla reputazione. La pubblicità negativa derivante da violazioni della sicurezza, inadempienze normative o altre problematiche relative a terzi può avere ripercussioni negative sull’organizzazione che utilizza i prodotti o i servizi di tali soggetti.
• Finanziario. Potrebbero derivare danni finanziari dall’impossibilità di fornire i servizi previsti dal contratto, dalla fornitura di prodotti difettosi o dal deterioramento della qualità del lavoro svolto da terzi. Anche le sanzioni o le spese legali sostenute da terzi possono aumentare il rischio finanziario per un’organizzazione.

In pratica, i fallimenti di soggetti terzi si ripercuotono solitamente su un’organizzazione in modi che si sovrappongono. La violazione dei dati subita da Target, ad esempio, ha compromesso le attività dell’azienda, ha rappresentato una minaccia dal punto di vista normativo e ha causato danni finanziari e reputazionali all’azienda.

Perché le terze parti comportano dei rischi?

Un’organizzazione potrebbe non disporre della stessa visibilità e dello stesso controllo sul personale, sulla rete, sui sistemi informatici e sulle pratiche aziendali di un’altra società che ha sui propri. Ciò espone l’organizzazione a una serie di potenziali problemi di natura operativa, finanziaria, reputazionale, normativa e di sicurezza. Poiché un’organizzazione è, in ultima analisi, responsabile delle azioni dei soggetti terzi che ne consentono lo svolgimento dell’attività, qualsiasi incidente può avere conseguenze gravi per
l’azienda.

Quali sono alcuni esempi di rischi legati a soggetti terzi?

Tra i rischi comuni legati a soggetti terzi figurano i seguenti:

• Sicurezza carente. Gli autori degli attacchi possono sfruttare le vulnerabilità di sicurezza di terze parti e utilizzarle per sottrarre dati dei clienti, informazioni finanziarie e proprietà intellettuale. È quanto è accaduto nel 2014 , quando i dati relativi a 15.000 pazienti del Boston Medical Center sono stati resi pubblici tramite il sito web del servizio di trascrizione, poiché il sito del fornitore non utilizzava una protezione tramite password per le cartelle cliniche dei pazienti.
• Dipendenti. Gli autori degli attacchi ricorrono spesso a tecniche di ingegneria sociale di tipo “ ” per prendere di mira i dipendenti di aziende terze. I dipendenti ricevono solitamente un’e-mail o un SMS che sembra provenire da una fonte attendibile e che cerca di indurli a rivelare le proprie credenziali di accesso o a installare malware in grado di intercettare tali informazioni. La violazione dei dati subita da Target è un esempio di come l’inganno da parte di un dipendente possa innescare una catena di eventi catastrofici.
• Disallineamento strategico. La mancata armonizzazione delle strategie aziendali di soggetti terzi e delle organizzazioni da essi supportate può comportare una serie di rischi. Questa è stata la causa della violazione dei dati relativa al programma “Health Share of Oregon” 2020 . Gli autori dell’attacco hanno reso pubbliche le informazioni di identificazione personale di oltre 650.000 membri in seguito al furto di un computer portatile presso GridWorks, fornitore di servizi di trasporto sanitario. Il fornitore non aveva rispettato
  la politica di Health Share che impone ai partner commerciali di utilizzare la crittografia su tutti i dispositivi portatili contenenti informazioni sui pazienti
  .

In che modo il rischio di terze parti differisce dal rischio interno?

I rischi interni derivano da problemi all’interno della vostra organizzazione — controlli di sicurezza poco rigorosi, sistemi informatici obsoleti, formazione inadeguata dei dipendenti — che possono causare vulnerabilità di sicurezza e violazioni dei dati. I rischi legati a soggetti terzi derivano in gran parte dalle stesse problematiche, ma hanno origine dai sistemi, dai processi e dal personale di un partner commerciale.

«Un’organizzazione è, in ultima analisi, responsabile delle azioni dei soggetti terzi che ne consentono lo svolgimento delle attività.»

La differenza fondamentale tra il rischio interno e il rischio di terzi risiede nel livello di controllo che un’organizzazione esercita sulla mitigazione del rischio. Sebbene un’organizzazione abbia il controllo sui propri controlli di sicurezza, essa dispone di scarsa visibilità sui controlli dei partner esterni e dei fornitori di servizi in outsourcing. Ciò amplia la superficie di attacco di un’organizzazione, rendendo al contempo più difficile individuare l’origine dei rischi.

Che cos’è la due diligence di terze parti?

Le organizzazioni effettuano una verifica di due diligence prima di avviare un rapporto con un partner commerciale. Questo processo fondamentale di gestione del rischio dei fornitori prevede la creazione di un elenco dei potenziali soggetti terzi e la valutazione del livello di rischio che essi comportano per una partnership. Nel corso del processo, l’organizzazione raccoglie informazioni relative alla proprietà, alla struttura organizzativa, alla situazione finanziaria, alle attività operative e alla reputazione della terza parte.

Tali informazioni aiutano l’organizzazione a stabilire se una terza parte sia in grado di mitigare i rischi associati al proprio prodotto o servizio. La due diligence è di competenza del consiglio di amministrazione e dell’alta dirigenza e dovrebbe essere effettuata prima della firma di un contratto e per tutta la durata del rapporto, al fine di garantire che i nuovi rischi vengano affrontati man mano che si presentano.

[Legga anche: 6 domande sulla sicurezza informatica che consiglio sempre ai consigli di amministrazione di porre]

Quali sono i vantaggi della gestione dei rischi di terze parti?

La gestione dei rischi legati a soggetti terzi offre numerosi vantaggi, tra cui:

• Maggiore visibilità sugli ambienti di terze parti. Una visione dettagliata delle relazioni con i fornitori, i prestatori di servizi e altre aziende terze consente alle imprese di comprendere meglio l’interconnessione tra le parti e l’ubicazione dei potenziali rischi.
• Riduzione del rischio. La due diligence consente ai dirigenti di prendere decisioni più consapevoli riguardo alle organizzazioni con cui intrattengono rapporti commerciali. Fin dall’inizio del rapporto è possibile individuare e controllare i rischi, grazie a regolari verifiche di due diligence e a interventi correttivi immediati durante l’intero ciclo di vita del soggetto terzo.
• Maggiore conformità normativa. La gestione dei rischi legati a soggetti terzi è un requisito previsto da numerosi standard e normative di settore, quali FISMA, HIPAA, HITECH, SOX, GLBA e il Quadro di riferimento per la sicurezza informatica dell’ NIST . Una valutazione periodica dei rapporti con i soggetti terzi garantisce che le organizzazioni mantengano la conformità alle normative e evitino costose multe e sanzioni.
• Risparmio sui costi. Sebbene la gestione dei rischi legati a soggetti terzi rappresenti un investimento iniziale, essa consente di risparmiare denaro riducendo il rischio di violazioni dei dati, che costano alle organizzazioni 4,2 milioni di dollari in media
  per ogni singolo incidente.

Quali sono le migliori pratiche nella gestione dei rischi legati alle terze parti?

I dirigenti possono ridurre al minimo i rischi legati a soggetti terzi tenendo presenti i seguenti consigli:

• Fate un inventario. Per comprendere da dove provenga il rischio legato a soggetti terzi, è necessario sapere con chi si intrattengono rapporti commerciali. Effettuate un inventario completo dei soggetti terzi che avete incaricato. Potrebbero includere qualsiasi entità, dalle grandi organizzazioni ai singoli appaltatori, nonché qualsiasi azienda alla quale tali soggetti subappaltino servizi. Inoltre, si assicuri di identificare e documentare i sistemi, le applicazioni e i dati a cui ciascuna parte può accedere.
• Classificare i rischi. Esaminate singolarmente i soggetti terzi per determinare la probabilità e le possibili conseguenze di un attacco informatico, quindi classificateli in base al livello di rischio che comportano. Dovreste concentrare i vostri sforzi di mitigazione innanzitutto sui soggetti a più alto rischio.
• Si considerino tutti i tipi di rischio. I rischi non si limitano all’hacking. Una storia caratterizzata da scarse interazioni con i clienti, un basso rating creditizio, ritardi nelle consegne e qualsiasi altro segnale di allarme simile indicano il modo in cui una terza parte conduce la propria attività e i rischi che essa comporta.

• Raccogliere informazioni da terzi. Invii a ciascuna parte un questionario per raccogliere informazioni sulla sua struttura organizzativa e sul suo sistema di governance, sulle pratiche di sicurezza informatica che ha
  in atto, sulle reti e sulle risorse digitali a cui deve accedere,
  e sulle misure di sicurezza che adotterà quando accederà alle risorse della Sua azienda.
• Ridurre i rischi. Una volta identificati tutti i vostri soggetti terzi e i relativi rischi, potrete adoperarvi per mitigarli o gestirli. A seconda del rischio, la mitigazione potrebbe richiedere l’adozione di misure di sicurezza, quali la limitazione dell’accesso a determinate risorse. Potrebbe inoltre essere necessario che la terza parte risolva le vulnerabilità o attui controlli di sicurezza più rigorosi. Nei casi in cui non sia possibile ridurre ragionevolmente i rischi, potreste decidere di porre fine alla vostra relazione.
• Monitor. Poiché il comportamento dei soggetti terzi muta nel tempo, con il rischio di introdurre nuovi pericoli, è importante effettuare valutazioni periodiche. Il monitoraggio può essere effettuato in modo continuo e in tempo reale grazie a una piattaforma di gestione dei rischi dei fornitori.
• Ripetete la procedura per ogni nuovo soggetto terzo. Le pratiche sopra indicate dovrebbero essere adottate ogni volta che si instaura un rapporto con un nuovo fornitore, venditore, prestatore di servizi o appaltatore. Una vigilanza costante garantirà che i soggetti terzi dispongano solo del livello di accesso alla rete e ai dati necessario per intrattenere rapporti commerciali con la vostra azienda.

Quali sono le sfide legate alla gestione dei rischi di terze parti?

La maggior parte delle organizzazioni ha ben poca consapevolezza dei rischi a cui sono esposte a causa dei rapporti con soggetti terzi. Tra i motivi figurano i seguenti:

• Reti complesse di fornitori. Le aziende moderne collaborano con centinaia di fornitori, distributori e prestatori di servizi, ciascuno dei quali ricorre a esternalizzazioni e subappalti affidandosi alla propria rete di soggetti terzi. I rischi possono presentarsi in qualsiasi punto di questa rete e in qualsiasi momento. La maggior parte delle organizzazioni non dispone di una visibilità sufficientemente dettagliata sull’intera struttura delle relazioni per comprenderne e gestirne i rischi.
• Processi manuali. Le organizzazioni ricorrono spesso a fogli di calcolo, questionari e altre procedure manuali per gestire i rischi legati alle terze parti. Un approccio inefficiente può allungare i tempi necessari per individuare e risolvere i problemi.

[Legga anche: 5 passi per un piano di risposta agli incidenti solido come una roccia]

• Mancanza di scalabilità. I processi manuali risultano estremamente difficili da estendere man mano che le reti di terze parti si espandono, il che può comportare ulteriori rischi.
• Compartimenti stagni all’interno dell’organizzazione. Le divisioni tra i vari reparti, le funzioni e le unità aziendali possono rendere difficile la raccolta di informazioni complete sui rischi a livello dell’intera organizzazione.
• Una maggiore pressione normativa. Numerose normative federali e statali prevedono che le politiche di gestione dei rischi si estendano ai partner commerciali esterni di un’organizzazione. Tuttavia, tali entità non rientrano nel controllo diretto di un’organizzazione, il che rende difficile la loro attuazione.

In cosa consiste il ciclo di vita della gestione dei rischi legati a soggetti terzi?

Le aziende adottano una serie di misure nell’ambito di un rapporto con terzi, che vanno dalla stipula di un contratto fino alla sua risoluzione. Non esiste una mappa definitiva del ciclo di vita e il processo varia a seconda dell’organizzazione. Tuttavia, il ciclo di vita può essere suddiviso, in linea di massima, in tre fasi di rischio che devono essere gestite:

• Fase precontrattuale. Prima di stipulare un contratto con una terza parte, l’organizzazione valuta il rischio associato a tale terza parte, individua le informazioni sensibili alle quali essa deve avere accesso e verifica se l’altra società intenda subappaltare uno qualsiasi dei servizi da essa forniti.
• Fase contrattuale. L'organizzazione definisce i rischi che le due parti si assumeranno e le modalità con cui li mitigheranno congiuntamente, oltre agli altri termini della partnership.
• Fase successiva alla stipula del contratto. La gestione continuativa dei rapporti con i soggetti terzi avviene attraverso attività di monitoraggio, rendicontazione e revisione. Le procedure di uscita dall’azienda entrano in vigore anche in caso di cessazione del rapporto di lavoro.

Altre risorse

• Che cos’è il punteggio “Cyber Risk ”?
• Gestire i rischi della catena di approvvigionamento alla luce della vulnerabilità Log4j
• Il futuro della gestione dell’ Risk , ruota interamente attorno all’automazione
• Sviluppare un piano d'azione per la sicurezza informatica: comprendere la gestione del rischio IT
• Come la Sua azienda può sopravvivere a un attacco ransomware