ISO 27001 e fornitori ICT: dal questionario alle evidenze che aiutano a decidere

Le risposte non bastano

Il fornitore restituisce un questionario di sicurezza con tutte le caselle compilate. Dichiara di avere backup, controlli degli accessi e procedure per gli incidenti. Il documento entra nell’archivio acquisti e la valutazione viene chiusa. Alcuni mesi dopo emerge un’esigenza concreta: recuperare i dati, chiarire chi può intervenire sul servizio o organizzare il passaggio a un altro operatore. Le risposte iniziali risultano troppo generiche per orientare il lavoro.

Il riferimento di base è ISO/IEC 27001:2022, che definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. La scheda ufficiale ISO descrive un approccio che coinvolge persone, processi e tecnologie attraverso la gestione del rischio. Il laboratorio proposto in questo articolo è una modalità didattica aziendale; non viene presentato come un formulario ufficiale della norma. [1]

Un riferimento operativo recente è NIST SP 1326, nella versione finale dell’8 luglio 2026. La guida riguarda la valutazione dei fornitori ICT attraverso attività di due diligence e individua diverse dimensioni di analisi, tra cui provenienza, resilienza e pratiche fondamentali di cybersecurity. È una guida NIST, non un requisito aggiuntivo della ISO 27001 né un obbligo generalizzato per le imprese italiane. [2]

Un laboratorio sul servizio reale

La proposta di DM Web Solution è una sessione di lavoro con tre partecipanti organizzativi: acquisti, IT e responsabile del processo che dipende dal servizio. Ognuno porta una domanda differente. Acquisti deve comprendere impegni ed eccezioni; IT deve capire architettura e operatività; il responsabile di processo deve valutare le conseguenze di un’interruzione. La valutazione migliora quando queste prospettive si confrontano prima della decisione.

Il primo esercizio consiste nel descrivere il servizio senza partire dal questionario. Quali attività aziendali supporta? Quali dati utilizza? Quali accessi richiede? Quanto tempo può restare indisponibile prima di creare difficoltà rilevanti? In questo modo il gruppo costruisce un perimetro condiviso. Lo stesso fornitore potrebbe erogare servizi con esposizioni diverse, che richiedono approfondimenti differenti.

Il secondo esercizio trasforma una dichiarazione in una richiesta verificabile. Alla frase “effettuiamo backup” possono seguire domande su perimetro, responsabilità, modalità di recupero e prove disponibili. La richiesta deve essere proporzionata: un riepilogo controllato o un’evidenza opportunamente oscurata può essere sufficiente. Non serve acquisire dettagli sensibili che il cliente non è in grado di proteggere o interpretare.

Incidenti, cambiamento e uscita

Consideriamo uno scenario ipotetico: un servizio ospita documenti operativi indispensabili a un reparto. Il fornitore dichiara un ripristino rapido, ma il contratto non chiarisce se il recupero del singolo archivio rientri nel servizio. Il gruppo dovrebbe registrare il punto aperto, identificare chi lo chiarirà e stabilire se la risposta sia una condizione necessaria all’attivazione. La sola presenza della parola “backup” non risolve il caso.

Un terzo esercizio riguarda gli incidenti. Il gruppo simula una comunicazione del fornitore: un problema di sicurezza potrebbe aver coinvolto il servizio. I partecipanti verificano quali contatti utilizzare, quali informazioni chiedere e chi coordina la valutazione interna. L’obiettivo è capire se il rapporto permette di ottenere informazioni utili in tempi coerenti con le esigenze aziendali, senza inventare scadenze legali valide per ogni situazione.

La valutazione dovrebbe considerare anche il cambiamento e l’uscita. Se il servizio evolve, chi aggiorna le informazioni di sicurezza? Se il rapporto termina, come vengono esportati dati e configurazioni? Quali accessi devono essere chiusi e quali attività restano da completare? Sono domande operative proposte per il laboratorio, da tradurre in accordi appropriati al servizio e alle responsabilità delle parti.

Una decisione motivata

L’elaborato finale può essere una scheda breve con requisito aziendale, risposta ricevuta, evidenza esaminata, dubbio residuo e decisione. È utile distinguere ciò che è stato dimostrato da ciò che è stato dichiarato e da ciò che resta sconosciuto. Una valutazione credibile può includere condizioni e limitazioni, purché abbiano un responsabile e una data di riesame.

La verifica dell’apprendimento consiste nel presentare un secondo fornitore con un profilo differente. I partecipanti devono scegliere poche domande pertinenti, motivare le evidenze richieste e proporre una decisione. Per la direzione, il risultato è una migliore qualità degli acquisti: meno documenti raccolti senza scopo e più chiarezza sulle dipendenze, sugli impegni e sui rischi accettati.