Supply Chain Security

La supply chain (“catena di fornitura”) è una rete di organizzazioni coinvolte nelle attività di produzione o di erogazione di servizi fino al cliente o utente finale. Infatti, le singole organizzazioni non dispongono internamente di tutte le risorse necessarie per gestire l'intero ciclo di vita di un prodotto o di un servizio ed è per questo motivo che devono ricorrere a numerosi fornitori.

Nello specifico, la supply chain relativa ai servizi ICT ha subito nel tempo profonde trasformazioni, passando da soluzioni gestite nei data center interni all’outsourcing e al cloud, interessando non solo la classica informatica di base ma anche l’automazione degli impianti con soluzioni OT (Operational Technology) e IoT (Internet of Things). L'esternalizzazione dei servizi ha inoltre avuto come conseguenza che sempre più fornitori accedono ai sistemi informatici dell'organizzazione cliente.

Il presente libro tratta i rischi relativi alla sicurezza della supply chain ICT. Il termine supply chain sarà dunque normalmente riferito, in modo implicito, a quella ICT, pur estendendo talvolta la trattazione, più in generale, a quegli oggetti digitalizzati la cui sicurezza è fortemente correlata a quella dei loro fornitori.

In particolare, la Clusit Community for Security si propone con questa pubblicazione di fornire alcuni suggerimenti di taglio interfunzionale come:

• approfondire quali rischi devono essere esaminati nella gestione della supply chain nei diversi contesti;
• esaminare come le criticità e le vulnerabilità della supply chain possano propagarsi;
• suggerire come intervenire presentando controlli per prevenire o almeno limitare la propagazione delle criticità;
• approfondire gli aspetti legali e contrattuali.

Ampio spazio è inoltre dedicato alla trattazione delle principali normative dedicate a settori regolamentati, quale ad esempio la Direttiva NIS2, di recente pubblicazione, destinata alle organizzazioni private e alle pubbliche amministrazioni che operano nei servizi fondamentali e nelle infrastrutture critiche e ai loro fornitori.

La necessità di un’adeguata gestione dei rischi è dimostrata anche da molti casi di incidenti dovuti a errori, leggerezze e mancati controlli da parte dei subfornitori della supply chain, i cui impatti si sono propagati poi sino al cliente finale, con conseguenze anche gravi per il business. Varie ricerche ed esempi rilevanti di incidenti di sicurezza vengono quindi inclusi, fornendo ulteriori utili spunti.