Politica di sicurezza dei fornitori e delle terze parti

La Politica di sicurezza dei fornitori e delle terze parti (P26) fornisce un quadro di governance completo per stabilire, gestire e supervisionare in modo continuo relazioni sicure con fornitori terzi, contraenti, fornitori cloud e organizzazioni di servizi. Questa politica è progettata per le organizzazioni impegnate a mantenere rigorosi standard di sicurezza delle informazioni quando esternalizzano o acquistano servizi che accedono, trattano o si integrano con asset e sistemi aziendali critici. La politica si applica a tutti gli incarichi con i fornitori che coinvolgono dati sensibili, ambienti di produzione o supporto per funzioni aziendali chiave, coprendo sia i fornitori diretti sia i loro subappaltatori. Definisce ruoli e responsabilità dettagliati per il Responsabile della sicurezza delle informazioni (CISO), l’Approvvigionamento e la Gestione dei fornitori, i responsabili di Sicurezza delle informazioni e gestione del rischio, i Proprietari delle relazioni commerciali e la Funzione legale e compliance. Ogni ruolo contribuisce alla gestione sicura del ciclo di vita dei fornitori, dalla valutazione iniziale del rischio e negoziazione contrattuale fino al monitoraggio continuo e al disimpegno sicuro. Elemento centrale della politica è il requisito di un modello formale di classificazione delle terze parti e di classificazione del rischio, che raggruppa i fornitori in base all’accesso ai dati, criticità del servizio, esposizioni normative e dipendenze da terze parti. Tutti gli incarichi con terze parti devono aderire a un approccio di ciclo di vita definito: i fornitori sono sottoposti a due diligence pre-contrattuale, valutazione del rischio e riesame della sicurezza contrattuale; i contratti devono includere controlli di sicurezza applicabili, tra cui notifica delle violazioni, diritto di audit, trattamento dei dati e requisiti specifici per l’uso di subappaltatori. I fornitori sono quindi monitorati in modo continuo tramite certificazioni, prestazioni rispetto agli Accordi sul livello di servizio (SLA), segnalazione degli incidenti di sicurezza e modifiche ai loro servizi o al personale. Se un fornitore non può soddisfare pienamente i requisiti di sicurezza, la politica impone un processo formale di richiesta di eccezione, con documentazione, controlli compensativi e approvazione esecutiva. Lo stato di eccezione attiva riesami frequenti e può comportare termini rinegoziati o audit supplementari. I fornitori riscontrati non conformi sono soggetti a penali contrattuali, sospensione o cessazione di servizi e accessi. L’applicazione rigorosa è garantita tramite audit di conformità pianificati, riesami delle prestazioni dei fornitori e misure disciplinari per elusioni interne della politica. La politica viene riesaminata almeno annualmente o in caso di cambiamenti significativi nella strategia di approvvigionamento, nel contesto normativo o dopo incidenti rilevanti dei fornitori. Tutte le modifiche e gli esiti degli audit sono documentati e comunicati in tutta l’organizzazione, mantenendo un programma di governance delle terze parti pienamente tracciabile e conforme.