Mio figlio ha un mese. Non mi chiede ancora che cosa sia il TPRM: per ora le sue priorità sono altre e decisamente più concrete. Ma il senso di questa serie è proprio provare a spiegare cose complicate in modo abbastanza semplice da poterle raccontare, un giorno, anche a lui.
Partiamo allora da una domanda: se un’azienda usa password forti, antivirus e firewall, perché dovrebbe preoccuparsi dei computer degli altri?
Perché ormai i computer degli altri entrano continuamente nei nostri.
Un fornitore gestisce la posta, un altro il cloud, un altro ancora gli stipendi. Qualcuno aggiorna il software, qualcuno fa manutenzione da remoto, qualcuno conserva i backup. Molti hanno credenziali, accessi o informazioni. E anche quando non hanno nulla di tutto questo, possono essere così importanti che, se smettono di funzionare, smettiamo di lavorare anche noi.
Il TPRM, acronimo di Third Party Risk Management, serve a governare questo problema. Tradotto senza inglese aziendale: decidere a chi consegniamo le chiavi, quali porte può aprire e che cosa facciamo se quelle chiavi vengono perse, copiate o usate male.
La porta era chiusa. Il problema arrivò dall’aggiornamento
Nel 2021 il mondo della cybersecurity stava ancora misurando le conseguenze del caso SolarWinds, scoperto nel dicembre dell’anno precedente.
SolarWinds produceva Orion, un software utilizzato per controllare reti e sistemi informatici. Era uno di quegli strumenti ai quali si concede molta fiducia proprio perché devono osservare ciò che accade nell’infrastruttura.
Gli attaccanti non provarono a forzare, una per una, le porte di migliaia di organizzazioni. Compromisero il sistema con cui il fornitore costruiva gli aggiornamenti e inserirono una componente malevola in versioni ufficiali di Orion distribuite tra marzo e giugno 2020.
L’aggiornamento arrivava dal canale corretto. Aveva l’aspetto di un aggiornamento legittimo. Furono quindi gli stessi clienti a installarlo.
SolarWinds comunicò che meno di 18.000 clienti potevano aver installato una versione interessata. Questo non significa che tutti siano stati effettivamente violati, ma spiega la dimensione potenziale del problema. Nel maggio 2021, il Government Accountability Office statunitense utilizzò proprio quel numero per descrivere la portata del rischio; nell’aprile dello stesso anno le autorità americane attribuirono formalmente l’operazione a esponenti del servizio di intelligence estero russo.
SolarWinds rese evidente una cosa semplice: un fornitore fidato può diventare, suo malgrado, il canale attraverso cui arriva un attacco.
Un fornitore non è soltanto una fattura
Quando si parla di terze parti, la tentazione è affidare tutto all’ufficio acquisti. Il fornitore offre il servizio, si negozia il prezzo, si firma il contratto e la pratica viene archiviata.
Il rischio, però, non segue l’organigramma.
Un piccolo manutentore con accesso remoto può essere più delicato di una società alla quale paghiamo milioni di euro. Un servizio apparentemente secondario può custodire dati importanti. Un componente software gratuito può essere incorporato in decine di prodotti. Un unico provider può sostenere contemporaneamente posta elettronica, identità digitali e backup.
Per questo il primo lavoro del TPRM non è inviare questionari. È capire quali fornitori esistono, che cosa fanno, quali dati trattano, a quali sistemi accedono e quanto dipendiamo da loro.
Solo dopo ha senso distinguere quelli critici dagli altri. Non tutti meritano lo stesso controllo, perché trattare allo stesso modo il fornitore delle piante e quello che amministra il cloud non aumenta la sicurezza. Aumenta soltanto il numero dei file Excel.
Il questionario non basta
Un programma di TPRM serio accompagna l’intero rapporto.
Prima della scelta si valuta il rischio e si chiedono evidenze proporzionate: certificazioni, procedure, architetture, modalità di gestione delle vulnerabilità e degli incidenti. Nel contratto si traducono le aspettative in obblighi verificabili, compresi i tempi di notifica, il diritto di audit, la gestione dei subfornitori e la restituzione o cancellazione dei dati.
Durante il servizio bisogna controllare ciò che cambia. Un fornitore può essere sicuro il giorno della firma e molto meno due anni dopo. Può cambiare infrastruttura, essere acquisito, affidarsi a nuovi subfornitori oppure subire un incidente. Alla fine del rapporto occorre chiudere gli accessi, recuperare le informazioni e assicurarsi che le copie non necessarie siano state eliminate.
Se il TPRM consiste in duecento domande inviate una volta all’anno e mai lette davvero, abbiamo costruito burocrazia, non sicurezza.
Anche la NIS2 insiste sulla sicurezza della catena di approvvigionamento e sui rapporti con fornitori e prestatori di servizi. La ragione viene prima della norma: un’organizzazione può proteggere benissimo il proprio perimetro e restare esposta attraverso quello degli altri.
La domanda da tenere a mente
Alla fine si può ridurre tutto a una domanda molto più utile di tanti modelli di valutazione: se gli diamo le chiavi, siamo sicuri che sappia tenerle?
Non possiamo esserne sicuri in senso assoluto. Possiamo però sapere quali chiavi gli abbiamo consegnato, limitarne l’uso, controllare come vengono custodite e avere un piano per riprendercele.
Il TPRM è questo. Ricordarsi che affidare un servizio non significa affidare anche la responsabilità.
Mio figlio, per il momento, ha un mese e pensa giustamente ad altro. Tocca a noi fare in modo che, quando il mondo digitale toccherà davvero a lui, le chiavi non siano state lasciate in giro.