Servizi di sicurezza della catena di fornitura

La gestione della catena di fornitura comporta la definizione di politiche e procedure chiare per affrontare i rischi di cybersecurity; è il primo passo essenziale per assumere il controllo dei rischi provenienti dalla sua catena di fornitura. La cybersecurity nella catena di fornitura deve essere integrata nell'intero processo, a partire dalla fase iniziale di onboarding dei fornitori.

Un'altra parte essenziale della gestione della catena di fornitura è il processo di monitoraggio; la cybersecurity non è un'attività una tantum, ma deve essere profondamente integrata nell'intero processo di approvvigionamento. La gestione della catena di fornitura comprende la classificazione dei fornitori in base al rischio, la definizione dei requisiti di sicurezza, il monitoraggio della conformità e le pratiche di audit. Il risultato è un quadro strutturato per gestire e ridurre le vulnerabilità lungo la catena di approvvigionamento.

Utilizziamo i requisiti dei framework esistenti, come ISO 27001, NIST CSF e IEC 62443 e prepariamo questionari pertinenti che possono essere ulteriormente integrati con gli strumenti esistenti utilizzati per la catena di fornitura.

In base al livello di rischio assegnato, eseguiamo assessment dei fornitori per i fornitori ad alto rischio e revisioni dei fornitori per i fornitori a basso rischio, utilizzando i questionari preparati. La differenza principale è la profondità della valutazione; i fornitori a rischio più elevato richiedono un livello di assessment più approfondito.

Un assessment del fornitore si concentra sulla valutazione delle pratiche di cybersecurity e della conformità ai requisiti di un singolo fornitore. L'obiettivo è analizzare tutti i requisiti di cyber security pertinenti e valutare le prove di conformità fornite. Il risultato è un rapporto dettagliato che riassume i risultati della revisione per quel fornitore specifico, evidenziando eventuali rischi o aree di miglioramento. Questo servizio è rivolto ai fornitori ad alto rischio.

Una revisione dei fornitori consiste nel valutare i fornitori a basso rischio in base a criteri di cybersecurity definiti, valutando la loro conformità e i rischi potenziali. L'attenzione si concentra sull'esame dello stato di conformità fornito; le prove vengono esaminate solo su base campionaria. Il processo si conclude con un rapporto combinato che riassume i risultati della revisione per tutti i fornitori, offrendo una chiara visione della posizione di sicurezza della sua catena di fornitura.

Possiamo anche eseguire una valutazione del ciclo di vita dello sviluppo del software (SDLC) dei suoi fornitori terzi. Valutiamo in che modo lo sviluppo sicuro è integrato nei loro processi, dalla progettazione e dalla codifica fino al test e al rilascio. L'attenzione si concentra sull'identificazione dei punti deboli che potrebbero introdurre un rischio nella sua organizzazione attraverso un codice insicuro, un cattivo utilizzo di librerie di terze parti o la mancanza di fasi di convalida.

Esaminiamo aree chiave come le pratiche di progettazione sicura, la modellazione delle minacce, le politiche di revisione del codice, i test statici e dinamici e la gestione delle dipendenze. I risultati vengono confrontati con gli standard di sviluppo sicuro. Riceve un rapporto strutturato, che include valutazioni del rischio, approfondimenti praticabili e raccomandazioni specifiche per il fornitore. Questo la aiuta a ottenere visibilità, a ridurre il rischio della catena di fornitura del software e a soddisfare i requisiti stabiliti da normative come DORA e NIS2.