Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Valutare il servizio, non solo il fornitore
Il NIST SP 1326 propone una due diligence proporzionata su provenienza, stabilità, pratiche di cybersecurity, dipendenze e altri fattori di rischio. Referenze e certificazioni possono essere evidenze utili, ma devono essere pertinenti al perimetro del servizio richiesto.
Prima di confrontare offerte occorre definire sistemi, dati, accessi, orari, capacità di risposta e risultati attesi. Senza un perimetro comune, prezzo e promesse non sono confrontabili.
- Perimetro e livelli di servizio
- Ruoli, reperibilità ed escalation
- Competenze sullo stack effettivo
- Pratiche di sicurezza e gestione incidenti
- Dipendenze e subfornitori rilevanti
Mantenere controllo su accessi e conoscenza
Account amministrativi, domini, tenant, licenze, backup e repository devono rimanere riconducibili all’organizzazione. Il partner usa accessi nominativi, limitati e revocabili; le credenziali condivise e le intestazioni a persone fisiche aumentano la dipendenza.
Documentazione e configurazioni non sono un allegato finale. Inventario, rete, procedure, modifiche, licenze e decisioni devono essere aggiornati durante il servizio e verificabili dal referente interno.
- Titolarità aziendale di domini e tenant
- Account nominativi e MFA
- Registro degli accessi privilegiati
- Documentazione aggiornata con frequenza
- Consegna di configurazioni e credenziali in custodia
Progettare continuità e uscita fin dall’ingresso
Il NIST CSF 2.0 include pianificazione, monitoraggio e attività successive alla conclusione del rapporto. Il contratto dovrebbe definire restituzione dei dati, formati, cancellazione, revoca, assistenza alla transizione, tempi e costi.
La qualità del rapporto si verifica con report, riesami, test di ripristino e gestione delle azioni aperte. Una prova di passaggio di consegne su un sistema campione rende visibili le dipendenze prima che diventino un’emergenza.
- Portabilità di dati e configurazioni
- Tempi e responsabilità di transizione
- Revoca e attestazione di cancellazione
- Supporto a nuovo fornitore o team interno
- Riesame periodico di rischio e prestazioni
Domande frequenti
Una certificazione è sufficiente per scegliere il partner?+
No. Va verificato il perimetro della certificazione e il servizio concreto, insieme a accessi, persone, processi, subfornitori, continuità ed evidenze operative.
Chi deve possedere le credenziali amministrative?+
L’organizzazione deve mantenere controllo e possibilità di recupero. Il partner dovrebbe usare identità nominative e privilegi proporzionati, evitando che l’accesso dipenda da un solo tecnico.
Quando si prepara il piano di uscita?+
Prima dell’avvio e nel contratto, aggiornandolo quando cambiano servizi e dipendenze. Prepararlo alla cessazione è spesso troppo tardi.