Garantire la sicurezza della supply chain ICT: rischi, normative e framework di riferimento

La crescente complessità dei sistemi ICT, la richiesta di professionalità sempre più specializzate, l’insufficienza cronica dei team ICT interni fanno sì che le organizzazioni, per la gestione e lo sviluppo del proprio sistema ICT, si affidino in misura sempre crescente a fornitori esterni.

I fornitori diretti di un’organizzazione, a loro volta, hanno necessità di utilizzare altri fornitori per lo sviluppo dei propri prodotti e servizi, andando a formare la supply chain.

La supply chain (“catena di fornitura”) è una rete di organizzazioni con un insieme collegato di risorse e processi coinvolti nelle attività di produzione o di erogazione di servizi fino al cliente o utente finale.

La sempre maggiore pervasività e complessità della supply chain nell’erogazione dei servizi ICT ha come conseguenza che sempre più fornitori esterni accedano ai sistemi dell’organizzazione cliente. In generale, l’organizzazione cliente ha un controllo limitato sui requisiti di sicurezza delle informazioni del proprio fornitore diretto e nessun controllo sui requisiti di sicurezza delle informazioni sui subfornitori, introducendo rischi che devono essere gestiti.

Tutto ciò è dimostrato dai molti casi di incidenti dovuti a errori, leggerezze e mancati controlli da parte dei subfornitori della supply chain, i cui impatti si sono propagati poi sino al cliente finale, con conseguenze anche gravi per il business.

Alla luce dello scenario descritto si comprende perché quello della sicurezza della supply chain sia un argomento di crescente importanza nell’attuale panorama globale, tanto che le principali normative di settore dedicate ad aziende e pubbliche amministrazioni dedicano sempre maggiore attenzione al tema.

Questo articolo è in parte basato sul lavoro della Clusit Community for Security pubblicato nel marzo 2023, “Supply chain security – I rischi della catena di fornitura”, di cui sono uno degli autori, rilasciato con licenza “Creative Common, Attribuzione e Condividi nello stesso modo”, liberamente scaricabile.

La Community si è dedicata a esaminare e affrontare queste sfide attraverso un approccio multidisciplinare, fornendo risorse e linee guida per proteggere le catene di approvvigionamento da potenziali attacchi e interruzioni.

I rischi della supply chain

In uno scenario in cui le tecnologie ICT si basano su supply chain sempre più complesse, distribuite a livello globale e fortemente interconnesse, una vulnerabilità derivante da un fornitore può immediatamente tradursi in una vulnerabilità del prodotto o servizio realizzato per il cliente finale.

Tale prodotto o servizio può essere a sua volta usato da innumerevoli utenti (potenziali vittime) non interessati alla complessità sottostante ma al risultato finale.

Tutto ciò diventa molto interessante per eventuali attaccanti: da un lato la possibilità di utilizzare come punto di accesso le vulnerabilità di fornitori spesso estremamente specializzati nel rispettivo campo applicativo, ma non nella cyber security, dall’altra l’impatto potenzialmente molto ampio, rendendo gli attacchi alla supply chain particolarmente interessante per i criminali che abbiano obiettivi economici, politici o strategici.

Gli scenari di rischio legati alle tecnologie dell’informazione e comunicazione (ICT) all’interno della catena di fornitura sono naturalmente dipendenti dalla tipologia di prodotto o servizio o dal settore specifico in cui opera il cliente finale. Si possono comunque evidenziare i principali scenari di rischio e le relative buone pratiche:

1. Rischio di sicurezza dei dati: furto o compromissioni di dati critici, modifica e corruzione dei dati gestiti o acceduti da fornitori causati dall’applicazione di misure di sicurezza inadeguate da parte dei fornitori stessi.
2. Vulnerabilità del software: software, sia di base che applicativo, sia open source che proprietario, che presenta vulnerabilità o comunque di qualità insufficiente, compromissione della distribuzione del software e difficoltà di aggiornamento.
3. Presenza di malware all’interno del software fornito: inserimento di software malevolo in fase di sviluppo, di distribuzione o in esercizio.
4. Vendor lockin: dipendenza da un unico fornitore per servizi essenziali.
5. Indisponibilità di dati e servizi: cessazione di attività da parte del fornitore, incidenti a sistemi, software, TLC, carenza di personale.

Le buone pratiche che permettono di ridurre i rischi elencati si possono riassumere nel mantenimento della governance rispetto alle attività dei fornitori, attraverso processi di valutazione dei fornitori, misure contrattuali che indirizzino gli aspetti di sicurezza, controllo sull’efficacia delle misure di sicurezza applicate dai fornitori (es. audit, controllo del codice), robusti processi di change management.

Normative e i framework di riferimento

L’importanza della sicurezza nell’ambito della supply chain ha comportato la necessità, recepita dagli organi di governo nazionali e internazionali e da istituti di ricerca sulla cyber security ed enti regolatori, di definire e regolare la sicurezza informatica nei contesti propri della supply chain.

Allo scopo, da un lato sono stati sviluppati framework e standard di sicurezza della supply chain che possono essere presi come importante riferimento dalle organizzazioni per costruire adeguatamente la propria strategia su questo ambito e, dall’altro lato, sono state emanate leggi e regolamenti specifici (compliance normativa) che dettano requisiti e obbligano le organizzazioni di determinati settori a seguire regole e approcci omogenei di cyber security con un occhio di riguardo alla supply chain.

Vediamo quindi innanzitutto cosa richiedono le ultime normative europee che dettano requisiti di cyber security sul tema della supply chain, per poi concentrarci sui framework internazionali.

Se già il GDPR richiede di ricorrere solamente a responsabili di trattamento che presentino garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate, in particolare in termini di conoscenza specialistica, affidabilità e risorse, le ultime normative europee vanno un passo oltre.

Approfondiamo quindi quanto richiesto da normative recentemente entrate in vigore e che a breve dovranno diventeranno esecutive: la direttiva NIS 2 e il regolamento DORA.

NIS 2 (Network and Information Security Directive 2)

La Network and Information Security Directive 2 (NIS 2) è una direttiva europea volta a migliorare la sicurezza delle reti e delle informazioni nell’Unione Europea. NIS 2 si concentra sulla protezione delle infrastrutture critiche e dei servizi digitali essenziali degli Stati membri, con implicazioni significative per la sicurezza della supply chain per fornitori di servizi digitali essenziali.

Le disposizioni rilevanti di NIS 2 comprendono i seguenti aspetti.

1. Requisiti di sicurezza: le organizzazioni devono adottare misure adeguate a garantire la sicurezza delle loro reti e dei loro sistemi informativi, incluso il monitoraggio dei rischi nella supply chain.
2. Notifica degli incidenti: le organizzazioni devono notificare gli incidenti di sicurezza informatica alle autorità competenti. Questo include gli incidenti che coinvolgono fornitori e partner nella supply chain.
3. Valutazione e monitoraggio dei fornitori: le organizzazioni sono tenute a valutare e monitorare i rischi derivanti dai loro fornitori e controparti. Questo può includere l’audit dei fornitori per garantire la conformità ai requisiti di sicurezza.

Gli Stati membri dell’UE devono recepire questa direttiva entro il 17 ottobre 2024.

DORA (Digital Operational Resilience Act)

DORA è un regolamento dell’Unione Europea che mira a migliorare la resilienza operativa delle entità finanziarie e dei fornitori di servizi digitali, il che include la sicurezza della supply chain. Le disposizioni pertinenti di DORA includono i seguenti aspetti:

1. Requisiti di resilienza operativa: le entità soggette a DORA devono garantire la resilienza operativa, che include la sicurezza della supply chain. Ciò implica l’identificazione e la gestione dei rischi associati alla catena di approvvigionamento digitale, nonché l’adozione di misure adeguate a prevenire e rispondere agli incidenti.
2. Monitoraggio dei fornitori e delle controparti: DORA richiede alle entità soggette di monitorare i rischi derivanti dalle loro controparti e fornitori di servizi digitali. Ciò può includere l’audit dei fornitori per valutare la loro sicurezza e la loro capacità di garantire la continuità operativa.
3. Sorveglianza e reportistica: le autorità competenti saranno responsabili del monitoraggio del rispetto dei requisiti di resilienza operativa, incluso il coinvolgimento delle catene di fornitura digitali. Le entità soggette devono essere in grado di fornire report dettagliati sulle proprie pratiche di sicurezza della supply chain.

DORA, entrato in vigore il 17 gennaio 2023, diventerà vincolante il 17 gennaio 2025.

Entrambe le normative DORA e NIS 2 pongono un’enfasi significativa sulla sicurezza della supply chain e sull’audit dei fornitori quando necessario. Queste normative promuovono la trasparenza, la responsabilità e la cooperazione tra le parti interessate nella gestione dei rischi legati alla supply chain IT.

I framework internazionali: la ISO 28000

La ISO (International Organization for Standardization), oltre ad affrontare il tema della supply chain security all’interno dei principali standard dedicati ai sistemi di gestione per la sicurezza delle informazioni (come la serie ISO 27000) e per la business continuity (come la serie ISO 22300) o alla gestione del rischio (ISO 31000), ha dedicato uno standard specifico alla gestione della sicurezza nella Supply Chain, lo standard ISO 28000.

Questo standard fornisce linee guida per l’implementazione di un sistema di gestione della sicurezza nella supply chain. La ISO 28000 aiuta le organizzazioni a identificare, valutare e gestire i rischi lungo l’intera catena di approvvigionamento, inclusi rischi legati alla sicurezza fisica, informatica e alla gestione dei dati, sviluppare e attuare un piano di sicurezza della supply chain, formare il personale addetto alla sicurezza.

I framework internazionali: il NIST Special Publication 800-161

Così come la ISO, anche il NIST (National Institute of Standards and Technologies) indirizza la sicurezza della supply chain in diverse suoi framework, come il NIST Cybersecurity Framework, che contiene controlli specifici relativi alla supply chain.

Al pari della ISO, anche il NIST ha inoltre rilasciato un framework specifico per la sicurezza della supply chain, il framework NIST Special Publication 800-161, intitolato “Supply Chain Risk Management Practices for Federal Information Systems and Organizations“.

Tale framework descrive le regole per l’implementazione di un sistema di cybersecurity supply chain risk management (di seguito C-SCRM), definito come un processo sistematico per la gestione dei rischi cyber lungo tutta la supply chain e lo sviluppo di strategie, politiche, processi e procedure di risposta appropriati.

Secondo il framework i rischi della supply chain in un’organizzazione devono essere valutati secondo un approccio multilivello, attraverso i tre seguenti livelli:

1. livello 1 (Enterprise);
2. livello 2 (Mission and Business Process);
3. livello 3 (Operational).

Nella gestione del rischio a più livelli, il processo di C-SCRM si svolge senza soluzione di continuità attraverso i tre livelli, con l’obiettivo generale di un miglioramento continuo delle attività legate al rischio dell’impresa e di un’efficace comunicazione inter e intra livello tra le parti interessate al C-SCRM.

La figura seguente fornisce una panoramica della struttura di gestione del rischio a più livelli e delle relative strategie, politiche e piani sviluppati a ciascun livello.

Documenti SCRM nella gestione del rischio aziendale multilivello (fonte: NIST).

La figura successiva indica invece le diverse tipologie di documenti del C-SCRM attraverso i tre livelli del risk management.

Relazione tra i documenti del C-SCRM (fonte: NIST).

Il NIST 800-161 evidenzia inoltre alcuni punti chiave per l’implementazione del C-SCRM:

1. Valutazione della sicurezza dei fornitori: Il framework fornisce linee guida per valutare la sicurezza dei fornitori e dei contraenti, garantendo che soddisfino i requisiti di sicurezza stabiliti dall’organizzazione.
2. Gestione dei contratti: il framework consiglia le pratiche da adottare nei contratti con fornitori e partner commerciali per mitigare i rischi nella supply chain, incluso l’inserimento di clausole di sicurezza e di audit.
3. Training e awareness: poiché tutti all’interno di un’organizzazione, compresi gli utenti finali dei sistemi informativi, hanno un ruolo nella gestione dei rischi di cybersecurity lungo la catena di fornitura, ogni individuo all’interno di un’azienda deve ricevere una formazione adeguata che gli consenta di comprendere l’importanza del C-SCRM per l’organizzazione.
4. Monitoraggio e mitigazione dei rischi: Il framework incoraggia le organizzazioni a implementare processi per monitorare continuamente i rischi nella supply chain e adottare misure di mitigazione appropriate per ridurre l’esposizione a tali rischi.

Infine, il NIST 800-161 propone infine di contestualizzare i controlli di un altro framework del NIST, SP 800-53, un catalogo di controlli di sicurezza e privacy, i quali coprono un’ampia gamma di misure di sicurezza, per affrontare specificamente le sfide e i rischi della supply chain, secondo il processo descritto in figura.

Controlli di sicurezza C-SCRM nel NIST SP 800-1 (fonte: NIST).

Di seguito alcune categorie di controlli che possono essere contestualizzati per la gestione del rischio nella supply chain:

1. Access Control (AC). Viene evidenziata l’importanza di limitare l’accesso ai dati e ai sistemi critici non solo all’interno dell’organizzazione, ma anche lungo la supply chain. Si raccomanda di valutare e controllare l’accesso fornito ai fornitori e ai partner commerciali.
2. Audit and Accountability (AU). Le pratiche di audit vengono estese ai fornitori, richiedendo che le organizzazioni effettuino verifiche regolari dei fornitori per garantire che rispettino i requisiti di sicurezza e privacy. È importante mantenere la tracciabilità delle attività dei fornitori.
3. Configuration Management (CM). Questo controllo richiede la gestione delle configurazioni dei sistemi e dei dispositivi utilizzati dai fornitori. È essenziale assicurarsi che i fornitori seguano le stesse pratiche di gestione delle configurazioni richieste all’interno dell’organizzazione.
4. Identification and Authentication (IA). Si sottolinea la necessità di autenticare e identificare non solo gli utenti interni, ma anche quelli dei fornitori. L’uso di meccanismi di autenticazione robusti per l’accesso ai sistemi critici della supply chain è fondamentale.
5. Incident Response (IR). Viene evidenziata la necessità di sviluppare piani di risposta agli incidenti che includano i fornitori. È importante che i fornitori siano preparati a rispondere agli incidenti di sicurezza e a collaborare con l’organizzazione principale per mitigare i danni.
6. System and Information Integrity (SI). Questo controllo riguarda la protezione dell’integrità dei sistemi e delle informazioni. Si raccomanda di monitorare costantemente i sistemi dei fornitori per rilevare eventuali anomalie o attività sospette che potrebbero indicare una compromissione.
7. Security Assessment and Authorization (CA). Viene evidenziata l’importanza di valutare e autorizzare non solo i propri sistemi, ma anche quelli dei fornitori. Le organizzazioni devono eseguire valutazioni di sicurezza periodiche sui fornitori per assicurarsi che soddisfino i requisiti di sicurezza.

Gestione dei contratti per mitigare i rischi della supply chain

Lo strumento fondamentale per formalizzare le aspettative di sicurezza tra un’organizzazione e i suoi fornitori è quello dei contratti, senza il quale molte delle misure descritte precedentemente non possono essere attuate. Attraverso strumenti contrattuali adeguati è possibile stabilire obblighi, responsabilità e standard di sicurezza che i fornitori devono rispettare, contribuendo a mitigare i rischi legati alla supply chain.

I contratti con i fornitori ICT devono prevedere varie clausole che permettano di garantire la sicurezza della supply chain. Tali clausole dovrebbero specificare i requisiti di sicurezza che i fornitori devono soddisfare, eventuali certificazioni e pratiche di gestione del rischio, la conformità alle normative, definire le politiche di accesso ai sistemi e ai dati, la richiesta di mantenere aggiornati i propri sistemi e di notificare eventuali vulnerabilità o incidenti di sicurezza.

È inoltre molto importante includere clausole contrattuali che permettano all’organizzazione di condurre audit regolari e monitorare le pratiche di sicurezza dei fornitori.

I contratti devono inoltre prevedere piani dettagliati per la gestione degli incidenti di sicurezza, inclusi i processi di notifica e le azioni correttive. È essenziale che i fornitori siano preparati a rispondere rapidamente agli incidenti e a collaborare con l’organizzazione per limitare i danni.

I contratti dovrebbero infine prevedere l’obbligo per i fornitori di partecipare a programmi di formazione sulla sicurezza. Una maggiore consapevolezza delle minacce e delle best practice di sicurezza tra il personale dei fornitori può ridurre il rischio di incidenti.

Il monitoraggio dei fornitori: la checklist del Clusit

Uno degli strumenti più comuni per la valutazione e il monitoraggio dei fornitori è la predisposizione di checklist di misure di sicurezza che l’organizzazione richiede al fornitore, costruita sulla base della tipologia e sulla criticità dal punto di vista della sicurezza dei prodotti e dei servizi forniti.

Si tratta certamente di uno strumento valido per una prima forma di valutazione e monitoraggio dei fornitori, preliminare ad altri strumenti, come gli audit, che permettono un maggior livello di dettaglio, a fronte di una maggiore complessità.

Il problema principale di questa tipologia di strumenti è nella mancata standardizzazione, che può portare alcune organizzazioni a predisporre checklist parziali o addirittura concettualmente errate.

La mancata standardizzazione comporta inoltre un notevole impegno da parte dei fornitori, che si trovano spesso a dover rispondere a numerose checklist ricevute dai propri clienti, diverse nella forma e nei contenuti.

Per ovviare a questi problemi il CLUSIT ha attivato un gruppo di lavoro con l’obiettivo di redigere un questionario di riferimento a supporto universale delle organizzazioni di ogni tipo, al fine di permettere di verificare agevolmente il grado di sicurezza delle informazioni/sicurezza ICT/cybersecurity dei propri fornitori.

Il questionario predisposto dal gruppo di lavoro, in formato Excel, si articola in 47 domande, a risposta chiusa e multipla, che mirano a verificare i principali requisiti previsti da ISO/IEC 27001 (Sistema di Gestione per la Sicurezza delle Informazioni) e FNCS (Framework Nazionale di Cyber Security) in termini di Servizi ICT e prodotti ICT (i.e. software e hardware).

L’organizzazione, una volta deciso quali domande e quali risposte proporre ai fornitori, sarà in grado, al completamento del questionario da parte del fornitore, di individuare i punti di debolezza/non conformità e, conseguentemente, richiedere al fornitore le necessarie azioni a garantire la propria sicurezza.

Il questionario è utilizzabile secondo i limiti stabiliti dalla licenza Creative Commons CC BY-SA 4.0 ed è liberamente scaricabile.

Conclusioni

L’imminente fase vincolante delle normative europee DORA e NIS2 ha portato all’attenzione delle aziende e pubbliche amministrazioni il tema della sicurezza della supply chain, tema importante affrontato finora in maniera non omogenea e standardizzata.

Sebbene gli standard siano presenti e gli elementi della sicurezza della supply chain ben noti e documentati, lo stesso non si può dire degli strumenti a supporto.

È auspicabile che l’interesse sul tema, destinato inevitabilmente a crescere, sia elemento propulsore alla nascita di strumenti a supporto, ad esempio, dell’analisi dei rischi della supply chain e della valutazione dei fornitori.