Come valuto le piattaforme TPRM per il mio settore?
Di HodeitekPubblicato
Per i responsabili di sicurezza e conformità che stanno per acquistare, confrontare o sostituire uno strumento di rischio di terze parti e vogliono sapere cosa chiede la loro normativa prima di vedere una demo.
Parti dal regime che ti vincola, non dall'elenco delle funzioni. Per ogni norma (DORA, NIS2, ENS, HIPAA, CMMC 2.0, SAMA o ECC) verifica cosa chiede sulle terze parti, quali evidenze si aspetta e se la piattaforma le conserva con un responsabile e una data. Poi prova con i tuoi fornitori prima di acquistare.
Scarica la checklist in PDFChecklist di valutazione delle piattaforme TPRM per settore. PDF, download diretto senza moduloCriteri validi per qualsiasi settore
Prima di vedere ogni norma, sei domande valgono sempre. Nessuna dipende dal marchio dello strumento e tutte si possono provare in una demo con i tuoi dati.
Cosa verificare nella piattaforma
- Un inventario delle terze parti con responsabile interno, criticità, dati del contratto e subfornitori.
- Evidenze con responsabile, data di validità e stato, e l'evidenza scaduta che smette di contare.
- Come si ottengono le informazioni del fornitore: questionario, documenti, scansione esterna, SBOM. Ogni via misura qualcosa di diverso.
- Come si calcola il punteggio o il rischio: input visibili, metodo documentato e stime segnalate come tali.
- Un registro delle modifiche, l'esportazione dei tuoi dati e un'API, per poter lasciare lo strumento.
- Dove sono ospitati i dati, quali subresponsabili intervengono e cosa la piattaforma non fa. Nessuna ti rende conforme da sola.
DORA: entità finanziarie dell'UE
DORA è il regolamento (UE) 2022/2554 e si applica dal 17 gennaio 2025. L'articolo 28 chiarisce che l'entità resta responsabile anche se esternalizza, richiede una strategia sul rischio dei fornitori terzi di servizi TIC e, al paragrafo 3, un registro delle informazioni su tutti gli accordi contrattuali. L'articolo 29 chiede di valutare il rischio di concentrazione, l'articolo 30 fissa le clausole contrattuali minime (con piani di uscita e diritti di accesso e audit per le funzioni critiche o importanti) e l'articolo 31 prevede la designazione dei fornitori critici, che passano sotto la sorveglianza europea.
Il formato del registro è fissato dal regolamento di esecuzione (UE) 2024/2956.
Cosa verificare nella piattaforma
- Un registro con LEI, giurisdizione, funzione supportata e criticità per fornitore e per contratto.
- Esportazione nel formato dei modelli ufficiali (le guide dei supervisori citano pacchetti xBRL-CSV), con l'invio tramite il canale ufficiale che resta a te.
- Monitoraggio per contratto di piano di uscita, diritto di audit e catena di subappalto.
- Una vista di concentrazione: quante funzioni dipendono dallo stesso fornitore.
Fonte: Regolamento (UE) 2022/2554 (DORA), articoli da 28 a 31, su EUR-Lex (si apre in una nuova scheda); Regolamento di esecuzione (UE) 2024/2956, modelli del registro delle informazioni, su EUR-Lex (si apre in una nuova scheda)
NIS2: soggetti essenziali e importanti dell'UE
La direttiva (UE) 2022/2555 richiede, all'articolo 21, paragrafo 2, lettera d), misure di sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza del rapporto con ogni fornitore diretto. L'articolo 21, paragrafo 3, aggiunge che occorre tenere conto delle vulnerabilità specifiche di ciascun fornitore e della qualità complessiva dei suoi prodotti e delle sue pratiche di cibersicurezza. L'articolo 20 rende l'organo di gestione responsabile dell'approvazione e della supervisione di tali misure.
Per fornitori di DNS, cloud, data center, servizi gestiti e altri tipi specifici, il regolamento di esecuzione (UE) 2024/2690 aggiunge requisiti tecnici.
Cosa verificare nella piattaforma
- Valutazione per fornitore con vulnerabilità e pratiche di sicurezza, non solo un questionario generico.
- Clausole di notifica degli incidenti dal fornitore verso di te, con monitoraggio del termine.
- Report che l'organo di gestione possa approvare e rivedere.
- Gestione degli incidenti con i termini dell'articolo 23: 24 ore, 72 ore e un mese.
Fonte: Direttiva (UE) 2022/2555 (NIS2), articoli 20, 21 e 23, su EUR-Lex (si apre in una nuova scheda); Regolamento di esecuzione (UE) 2024/2690, requisiti tecnici e metodologici, su EUR-Lex (si apre in una nuova scheda)
ENS: settore pubblico spagnolo e suoi fornitori
Il Real Decreto 311/2022 si applica al settore pubblico e, secondo l'articolo 2, paragrafo 3, anche ai sistemi dei soggetti privati che forniscono servizi o soluzioni a un ente pubblico. Nell'allegato II, la misura op.ext.1 chiede un accordo sul livello di servizio prima di usare risorse esterne, op.ext.2 un sistema ordinario per misurarne il rispetto e op.ext.3 la protezione della catena di approvvigionamento.
Le prime due si applicano alle categorie media e alta; op.ext.3 si applica alla categoria alta.
Cosa verificare nella piattaforma
- Che distingua la categoria del sistema (base, media, alta) e mostri quali misure op.ext si applicano.
- Accordi sul livello di servizio per fornitore e misurazione periodica del loro rispetto.
- Analisi di impatto e di rischio per un incidente nato nella catena di approvvigionamento, con misure di contenimento.
- Lo stato di conformità ENS del fornitore stesso quando serve un ente pubblico.
HIPAA: sanità negli Stati Uniti e business associate
Secondo HIPAA, chi crea, riceve, conserva o trasmette informazioni sanitarie protette per conto di una covered entity è un business associate. La Security Rule (45 CFR 164.308(b) e 164.314(a)) consente a un business associate di trattare ePHI solo con garanzie soddisfacenti previste da contratto. Le sezioni 164.502(e) e 164.504(e) regolano lo stesso aspetto per la Privacy Rule, comprese le garanzie che il business associate deve ottenere dai propri subappaltatori.
Un business associate deve notificare una violazione alla covered entity senza ritardo ingiustificato e al più tardi entro 60 giorni di calendario dalla scoperta (164.410).
Cosa verificare nella piattaforma
- Un contrassegno delle terze parti che toccano informazioni sanitarie e lo stato del contratto di business associate di ciascuna, con le date.
- Un registro dei subappaltatori del business associate e delle loro garanzie.
- Monitoraggio delle clausole di notifica delle violazioni e del termine di 60 giorni.
- Se la piattaforma stessa conserverà informazioni sanitarie, è un business associate: chiedi il contratto prima di caricare dati.
Fonte: 45 CFR 164.308(b), contratti con i business associate, su eCFR (si apre in una nuova scheda); 45 CFR 164.314(a), contratti con i business associate (Security Rule), su eCFR (si apre in una nuova scheda); 45 CFR 164.502(e), comunicazioni ai business associate, su eCFR (si apre in una nuova scheda); 45 CFR 164.504(e), contenuto dei contratti con i business associate, su eCFR (si apre in una nuova scheda); 45 CFR 164.410, notifica da parte di un business associate, su eCFR (si apre in una nuova scheda)
CMMC 2.0: catena di fornitura della difesa USA
Il programma CMMC è in 32 CFR Part 170. La sezione 170.23 obbliga il contraente principale a conformarsi e a esigere la conformità dai subappaltatori, con un livello minimo che dipende dalle informazioni trattate: livello 1 per le informazioni di contratti federali senza CUI e almeno livello 2 quando ci sono CUI. Le sezioni 170.16(c) e 170.17(c) aggiungono che un fornitore cloud che tratta CUI deve essere autorizzato FedRAMP Moderate o soddisfare requisiti equivalenti.
Cosa verificare nella piattaforma
- Un campo per fornitore con il tipo di informazioni trattate (FCI o CUI) e il livello CMMC richiesto.
- La prova di aver trasferito i requisiti nel contratto (flow-down).
- Lo stato di ogni subappaltatore rispetto al livello richiesto, con la data dell'ultima evidenza.
- Se caricherai CUI nello strumento, che il suo hosting rispetti il requisito cloud di 170.16(c).
Fonte: 32 CFR 170.23, applicazione ai subappaltatori, su eCFR (si apre in una nuova scheda); 32 CFR Part 170 (programma CMMC), su eCFR (si apre in una nuova scheda)
SAMA ed ECC della NCA: settori finanziario e nazionale saudita
Il SAMA Cyber Security Framework dedica alle terze parti il dominio 3.4, con tre sottodomini: 3.4.1 contratti e gestione dei fornitori, 3.4.2 esternalizzazione e 3.4.3 cloud computing. Gli Essential Cybersecurity Controls della NCA (ECC-2:2024) comprendono il dominio 4, cibersicurezza delle terze parti e del cloud computing.
Cosa verificare nella piattaforma
- Che la libreria di framework includa SAMA ed ECC e indichi l'edizione (quella che abbiamo consultato è ECC-2:2024).
- Un inventario delle terze parti con accesso a sistemi o dati e le clausole contrattuali per fornitore.
- Un contrassegno per i fornitori di esternalizzazione e di cloud, che in SAMA hanno un sottodominio proprio.
- Evidenze per controllo, con responsabile e data, per rispondere all'ente di vigilanza.
Fonte: SAMA Cyber Security Framework, dominio 3.4 «Third Party Cyber Security», nel SAMA Rulebook (si apre in una nuova scheda); NCA Essential Cybersecurity Controls (ECC-2:2024), dominio 4 (si apre in una nuova scheda)
Tipi di strumento e dove si colloca HodeiShield
Esistono quattro famiglie e nessuna è migliore in astratto: piattaforme di questionari e raccolta di evidenze, servizi esterni di rating di sicurezza, suite GRC con modulo fornitori e piattaforme integrate che uniscono evidenze dei fornitori, quantificazione del rischio e conformità multi-framework. HodeiShield appartiene alla quarta ed è un'opzione tra le altre.
Secondo la sua documentazione, calcola un punteggio fornitore da 0 a 100 con dipendenze in un grafo, raggio d'impatto e indice di concentrazione (HHI); esegue una scansione esterna (porte esposte, CVE, violazioni note), incrocia gli SBOM dei fornitori (CycloneDX o SPDX) con OSV.dev e offre un portale in cui il fornitore risponde ai questionari con un link monouso, senza account. Quantifica l'esposizione FAIR in euro con una banda di incertezza simulata (non calibrata). Misura 17 framework, tra cui NIS2, ENS, DORA, HIPAA, CMMC 2.0, SAMA CSF e Saudi ECC-1:2018, come copertura misurata sui suoi controlli, non come certificazione.
Limiti: le evidenze documentali si caricano o si collegano, non vengono raccolte da sole dal cloud. Genera il registro delle informazioni DORA come pacchetto xBRL-CSV, ma l'invio spetta a te.
Come condurre il confronto
Con due o tre candidate, carica gli stessi dieci fornitori reali in ciascuna, compreso il più critico e quello con più subappaltatori. Chiedi a ogni strumento di produrre ciò che ti chiederebbe il tuo supervisore o auditor: il registro, l'evidenza di un controllo e il termine di un incidente. Assegna i punteggi con l'elenco del PDF e annota cosa ciascuna non fa.
Domande frequenti
- Che cos'è una piattaforma TPRM?
- È un software per inventariare le terze parti, raccogliere e monitorare le loro evidenze di sicurezza, misurarne il rischio e conservare i registri richiesti dai supervisori. TPRM significa gestione del rischio di terze parti.
- Una piattaforma TPRM mi rende conforme a DORA o NIS2?
- No. La responsabilità resta all'entità (articolo 28 di DORA) e, in NIS2, all'organo di gestione (articolo 20). Lo strumento ordina dati e termini; le decisioni le prendi tu.
- Che differenza c'è tra scansione esterna e questionario?
- La scansione misura ciò che si vede dall'esterno, come le porte esposte o le violazioni note. Il questionario raccoglie ciò che il fornitore dichiara sui suoi controlli interni. Si completano e nessuno dei due prova da solo che un controllo funzioni.
- Da quali fornitori comincio?
- Da quelli che supportano funzioni critiche o importanti (DORA), da quelli che toccano informazioni sanitarie (HIPAA) o CUI (CMMC) e da quelli senza alternativa. Poi allarga per criticità.
- E se sono soggetto a più norme insieme?
- Cerca una mappatura tra framework per riutilizzare la stessa evidenza e verifica che ogni corrispondenza sia rivedibile. Una risposta valida per due framework vale solo se la corrispondenza è corretta.
- Cosa chiedo su dove sono conservati i miei dati?
- Regione di hosting, subresponsabili, cifratura, backup e come recuperi i tuoi dati quando esci. A seconda del regime possono esserci requisiti aggiuntivi, come il requisito cloud di 170.16(c) in CMMC.
Checklist di valutazione delle piattaforme TPRM per settore
I criteri comuni e quelli di DORA, NIS2, ENS, HIPAA, CMMC 2.0 e SAMA o ECC in un elenco stampabile, con la fonte di ogni norma e spazio per le note.
Scarica la checklist in PDFPDF, download diretto senza modulo
Guida correlata
Come raggiungere la conformità NIS2 con un software?Se NIS2 è il tuo regime principale, leggi cosa può e cosa non può fare il software per la conformità.
Fonti
- Regolamento (UE) 2022/2554 (DORA), articoli da 28 a 31, su EUR-Lex (si apre in una nuova scheda)
- Regolamento di esecuzione (UE) 2024/2956, modelli del registro delle informazioni, su EUR-Lex (si apre in una nuova scheda)
- Direttiva (UE) 2022/2555 (NIS2), articoli 20, 21 e 23, su EUR-Lex (si apre in una nuova scheda)
- Regolamento di esecuzione (UE) 2024/2690, requisiti tecnici e metodologici, su EUR-Lex (si apre in una nuova scheda)
- Real Decreto 311/2022 (ENS), articolo 2 e allegato II, misure op.ext, nel BOE (in spagnolo) (si apre in una nuova scheda)
- 45 CFR 164.308(b), contratti con i business associate, su eCFR (si apre in una nuova scheda)
- 45 CFR 164.314(a), contratti con i business associate (Security Rule), su eCFR (si apre in una nuova scheda)
- 45 CFR 164.502(e), comunicazioni ai business associate, su eCFR (si apre in una nuova scheda)
- 45 CFR 164.504(e), contenuto dei contratti con i business associate, su eCFR (si apre in una nuova scheda)
- 45 CFR 164.410, notifica da parte di un business associate, su eCFR (si apre in una nuova scheda)
- 32 CFR 170.23, applicazione ai subappaltatori, su eCFR (si apre in una nuova scheda)
- 32 CFR Part 170 (programma CMMC), su eCFR (si apre in una nuova scheda)
- SAMA Cyber Security Framework, dominio 3.4 «Third Party Cyber Security», nel SAMA Rulebook (si apre in una nuova scheda)
- NCA Essential Cybersecurity Controls (ECC-2:2024), dominio 4 (si apre in una nuova scheda)
Prova l'elenco con i tuoi fornitori
In una demo carichiamo fornitori di esempio in HodeiShield e passiamo in rassegna questo elenco punto per punto, compreso ciò che non copre. Ti risponde una persona di Hodeitek.