Politica di sviluppo esternalizzato

La Politica di sviluppo esternalizzato (P28) stabilisce un quadro completo per gestire in modo sicuro i progetti di sviluppo software o di sistemi eseguiti da fornitori esterni, contraenti o agenzie. Il suo scopo principale è integrare controlli di sicurezza e meccanismi di governance lungo l’intero ciclo di vita dello sviluppo, dalla pianificazione e negoziazione contrattuale fino a consegna, monitoraggio e attività post-ingaggio. Impostando un insieme chiaramente definito di obblighi di sicurezza, che vanno dalla due diligence sui fornitori e valutazione del rischio fino a standard di codifica applicati e requisiti contrattuali, la politica mira a salvaguardare riservatezza, integrità e disponibilità di tutto il software sviluppato per l’organizzazione. L’ambito della politica si estende a qualsiasi iniziativa aziendale che preveda sviluppo di terze parti, incluse applicazioni web e mobile, sistemi embedded, API, piattaforme interne e commerciali e flussi di lavoro di automazione. In particolare, disciplina anche qualsiasi entità esterna che richieda accesso al codice sorgente dell’organizzazione, agli ambienti di test o alle pipeline CI/CD. I requisiti si applicano indipendentemente da dove o come operi il fornitore, garantendo che distinzioni geografiche o contrattuali non creino lacune di sicurezza. Gli obiettivi della politica sono orientati a ridurre l’esposizione a minacce della catena di fornitura, non conformità legale (ad esempio GDPR o DORA), furto di proprietà intellettuale e pratiche di codifica non sicure che potrebbero introdurre vulnerabilità o rischio normativo. A tal fine, assegna responsabilità esplicite ad Alta Direzione, Responsabile della sicurezza delle informazioni (CISO), Approvvigionamento e Funzione legale e compliance, Proprietari del processo, Sicurezza delle informazioni e fornitori esterni. Centrale in questo approccio è il Registro di sviluppo di terze parti, come fonte unica di verità per tutti gli ingaggi dei fornitori, le risultanze della due diligence sui fornitori, i registri delle deroghe alle politiche e gli stati contrattuali. I requisiti di governance includono due diligence sui fornitori, valutazione del rischio per la sicurezza e un insieme di controlli contrattuali minimi, come l’adesione a framework di programmazione sicura, test di sicurezza, specifiche di titolarità della proprietà intellettuale, esecuzione di accordo di riservatezza e clausole sul diritto di audit. Il codice sorgente è gestito esclusivamente tramite piattaforme controllate dall’impresa, con protezione dei branch, revisione tra pari e protocolli rigorosi di procedura di uscita che prevengono la perdita di codice o il riutilizzo non autorizzato. Tutto l’accesso di terze parti è soggetto a governance, accesso limitato nel tempo e principio del privilegio minimo, monitorato tramite registrazione di audit e revocato rapidamente alla chiusura dell’ingaggio. L’integrazione dei repository dei fornitori negli strumenti di sicurezza aziendali per analisi del codice, applicazione delle policy CI/CD e gestione delle eccezioni è richiesta ove fattibile. Le richieste di eccezione sono gestite tramite un processo formale di trattamento del rischio e approvazione guidato dal Responsabile della sicurezza delle informazioni (CISO), inclusa la documentazione della giustificazione, delle misure di mitigazione e delle tempistiche di rimedio. Il Team di sicurezza delle informazioni svolge monitoraggio continuo e audit di conformità, con violazioni che possono comportare revoca immediata degli accessi, sospensione del progetto, escalation legale/regolatoria o misure disciplinari, a seconda dei casi. Questa politica è riesaminata almeno annualmente o a seguito di cambiamenti nel contesto normativo, risultanze della risposta agli incidenti o output dell’audit interno. Tutte le modifiche sono soggette a controllo versione, comunicate e richiamate nella documentazione procedurale. Attraverso questi meccanismi e la sua mappatura a standard internazionali e obblighi legali, la Politica di sviluppo esternalizzato garantisce che la consegna software di terze parti rimanga sicura e conforme, proteggendo l’organizzazione dai rischi in evoluzione dello sviluppo esternalizzato.