Valutare la cybersicurezza di un fornitore: certificazione, valutazione con punteggio, questionario, cosa dimostra ciascuna

In breve: quando affidate identità, documenti giustificativi e dati bancari a un fornitore, ereditate il suo livello di sicurezza. Per stabilirlo circolano tre tipi di prove, che non dicono affatto la stessa cosa. Una certificazione come ISO 27001 attesta che un sistema di gestione è stato sottoposto ad audit, ma non fornisce alcuna misura del livello e dipende interamente dal suo perimetro. Una valutazione con punteggio come CyberVadis produce un punteggio su 1.000 e una granularità per dominio, ma non è un audit di certificazione. Un questionario dichiarativo, dal canto suo, non prova nulla di per sé. Il riflesso utile non è collezionare loghi, è porre sei domande precise.

‍

Perché la sicurezza del vostro fornitore è un vostro problema

‍

Il ragionamento è ormai banale ma resta esatto: un fornitore mal protetto diventa il vostro punto debole. Se il vostro fornitore di verifica dell'identità subisce una fuga di dati, a circolare sono i documenti di identità dei vostri clienti, non i suoi.

‍

Tre quadri normativi trasformano questa constatazione in un obbligo.

‍

Il RGPD (GDPR), che fa del responsabile del trattamento un anello di cui il titolare del trattamento deve assicurarsi che presenti garanzie sufficienti. Il contratto non basta: occorre poter dimostrare su cosa si fonda questa garanzia.

‍

DORA, per il settore finanziario e i suoi fornitori, che impone di inquadrare contrattualmente e di sorvegliare i fornitori di servizi informatici, in particolare quelli che supportano funzioni critiche. Il nostro articolo sulla resilienza operativa digitale illustra nel dettaglio cosa questo comporta.

‍

Il dovere di vigilanza e, più in generale, la conoscenza dei vostri fornitori, che risponde alla stessa logica del Know Your Supplier: verificare prima di dare fiducia, poi continuare a verificare.

‍

In tutti e tre i casi, l'acquirente deve produrre una prova. Resta da sapere quale, e quanto vale.

‍

Le 3 famiglie di prove, e cosa stabiliscono

‍

La certificazione

‍

Una certificazione come ISO 27001 attesta che un organismo indipendente ha sottoposto ad audit un sistema di gestione della sicurezza delle informazioni e lo ha giudicato conforme alla norma. È una prova forte, perché è esterna e viene riverificata periodicamente.

‍

Ha due limiti che spesso si dimenticano.

‍

È binaria. Un'azienda è certificata oppure non lo è. La certificazione non dice se è eccellente o appena conforme, né dove si trovano i suoi punti deboli.

‍

Dipende dal suo perimetro. Il certificato riporta una dichiarazione di perimetro, e questo perimetro può essere ristretto: un solo sito, una sola filiale, un solo servizio. Un fornitore può presentare un certificato perfettamente autentico che non copre il prodotto che state acquistando. È la verifica più redditizia da fare, e la più raramente fatta.

‍

La valutazione con punteggio

‍

Una valutazione con punteggio, come quella realizzata da CyberVadis, produce un punteggio numerico e una scomposizione per dominio. Il metodo si articola attorno a quattro funzioni: Identify, Protect, Detect, React. Identificare i rischi e gli asset, proteggerli, rilevare gli incidenti, essere in grado di reagire. Ogni funzione riceve un punteggio separato, poi ponderato in un punteggio complessivo su 1.000, accompagnato da un livello di maturità che va da insufficiente a maturo.

‍

Il suo interesse è esattamente l'inverso di quello della certificazione: è granulare e comparabile. Vi dice non solo che un fornitore è serio, ma su cosa lo è meno. Potete confrontare due fornitori sulla stessa scala, cosa che una certificazione non permette.

‍

Dal 1° gennaio 2026, la scala delle medaglie CyberVadis è la seguente:

‍

• Platinum: da 950 a 1.000
• Gold: da 900 a 949
• Silver: da 800 a 899
• Bronze: da 700 a 799

‍

Al di sotto di 700 non c'è medaglia, soltanto un attestato di partecipazione. Un fornitore che mette in evidenza un semplice badge di partecipazione non comunica quindi un risultato, comunica il fatto di aver risposto.

‍

Il suo limite è simmetrico: non è un audit di certificazione ai sensi della ISO. Una valutazione con punteggio misura una maturità dichiarata e poi verificata su documenti, e la qualità del risultato dipende dalle prove fornite. Completa una certificazione, non la sostituisce.

‍

Il questionario dichiarativo

‍

È il documento che il vostro fornitore compila da sé, spesso un foglio di calcolo di 200 righe. Ha un'utilità reale: porre domande specifiche al vostro contesto, che né una norma né una valutazione generica coprono.

‍

Ma non prova nulla di per sé. Un questionario dichiarativo senza un documento giustificativo allegato a ogni risposta è una dichiarazione di intenti messa in bella forma. Il suo valore dipende interamente dai documenti allegati: politica di sicurezza, rapporto di penetration test, piano di continuità, schema di hosting, elenco dei subfornitori.

‍

Certificazione o valutazione: la lettura corretta

‍

La questione non è scegliere. Le due rispondono a interrogativi diversi, e un acquirente avveduto le utilizza entrambe.

‍

• La certificazione risponde a «questo fornitore è strutturato?» Prova l'esistenza di un approccio governato, documentato e sottoposto ad audit. Non stabilisce alcuna gerarchia.
• La valutazione con punteggio risponde a «a quale livello, e su cosa?» Stabilisce una gerarchia e permette il confronto. Non ha il valore normativo di un certificato.
• Il questionario risponde a «e per il mio caso specifico?» Copre le vostre specificità. Non apporta alcuna garanzia esterna.

‍

Il riflesso da evitare è il più diffuso: trattare queste prove come loghi intercambiabili da spuntare in un elenco fornitori. Un logo non si legge, un perimetro e un punteggio si leggono.

‍

Le 6 domande da porre prima di firmare

‍

Stanno in poche righe ed eliminano gran parte dell'incertezza.

‍

1. Qual è il perimetro esatto della certificazione? Chiedete il certificato stesso, non il logo. Verificate che il servizio che acquistate vi figuri, e non soltanto la casa madre.

‍

2. A quando risale la prova, e su quale versione della norma? Una certificazione ISO 27001 aggiornata riguarda la versione 2022. Una valutazione di cybersicurezza vecchia di 3 anni non dice nulla sullo stato attuale.

‍

3. Dove sono ospitati i dati, e sotto quale giurisdizione? La localizzazione fisica e il diritto applicabile al fornitore di hosting sono due questioni distinte, e contano entrambe.

‍

4. Qual è la catena di subfornitura? Il vostro fornitore si appoggia a sua volta a terze parti. Chiedete l'elenco, e cosa viene loro affidato. È lì che i perimetri si perdono.

‍

5. Qual è il processo di notifica degli incidenti? Entro quale termine venite avvisati, su quale canale, con quale livello di dettaglio? Un impegno contrattuale quantificato vale più di un'intenzione.

‍

6. Cosa mostra la scomposizione del punteggio, non soltanto il punteggio? In una valutazione con punteggio, un punteggio complessivo lusinghiero può nascondere una funzione debole. La capacità di reazione è spesso la meno dotata.

‍

Questo approccio non è diverso da un approccio basato sul rischio applicato ai vostri fornitori: l'intensità del controllo si calibra sulla sensibilità di ciò che affidate loro. Uno strumento che tratta documenti di identità e dati bancari non richiede lo stesso livello di esigenza di uno strumento di gestione delle note spese.

‍

A che punto è Meelo

‍

Applicare a noi stessi ciò che chiediamo agli altri presuppone di fornire elementi verificabili anziché un discorso.

‍

Meelo ha ottenuto 930 su 1.000 nella sua valutazione CyberVadis, il che corrisponde alla medaglia Gold. Questa valutazione riguarda le quattro funzioni descritte sopra: identificazione dei rischi, protezione, rilevamento e reazione.

‍

È un punteggio attribuito da una terza parte, ed è precisamente ciò che cercavamo: una misura esterna anziché un'affermazione interna. Preferiamo dirlo per quello che è, una valutazione con punteggio, e non una certificazione, perché la confusione tra le due è esattamente ciò che questo articolo cerca di dissipare.

‍

Per il resto, gli elementi sono i seguenti: i dati sono ospitati in Francia, cifrati, gli accessi sono controllati, e ogni decisione di verifica dell'identità, di frode o di solvibilità è tracciata e auditabile. Il percorso di certificazione ISO 27701, l'estensione della ISO 27001 dedicata alla protezione dei dati personali, è avviato. Abbiamo scelto questa norma anziché un'altra perché riguarda ciò che i nostri trattamenti manipolano realmente: identità, documenti giustificativi e dati personali.

‍

In conclusione

‍

La sicurezza di un fornitore non si dimostra con un logo, e non si verifica spuntando una casella. Una certificazione prova che un approccio esiste ed è stato sottoposto ad audit, senza dire a quale livello. Una valutazione con punteggio dice il livello e lo dettaglia per dominio, senza avere la portata di un certificato. Un questionario copre le vostre specificità e non prova nulla da solo.

‍

Le tre si completano, e nessuna dispensa dal leggere il perimetro, la data e il dettaglio. Se di questo articolo doveste ricordare una sola domanda, ricordate la prima: chiedete il certificato, non il logo.

‍

FAQ

‍

Qual è la differenza tra una certificazione ISO 27001 e una valutazione CyberVadis?

‍

La certificazione ISO 27001 è rilasciata da un organismo accreditato dopo un audit, ed è binaria: l'azienda è conforme oppure non lo è, su un perimetro dichiarato. Una valutazione CyberVadis produce un punteggio su 1.000 e una scomposizione per dominio, il che permette di misurare un livello e di confrontare i fornitori tra loro. La prima ha una portata normativa, la seconda una portata comparativa. Si completano.

‍

Cosa significa un punteggio CyberVadis di 930 su 1.000?

‍

Corrisponde alla medaglia Gold, la cui soglia va da 900 a 949 dal 1° gennaio 2026. Al di sopra si trova Platinum, a partire da 950. Al di sotto, Silver a partire da 800 e Bronze a partire da 700. Sotto 700 non viene attribuita alcuna medaglia.

‍

Quali sono le 4 funzioni valutate da CyberVadis?

‍

Identify, Protect, Detect e React: l'identificazione dei rischi e degli asset, la loro protezione, il rilevamento degli incidenti e la capacità di reagire. Ogni funzione riceve il proprio punteggio, poi l'insieme viene ponderato in un punteggio complessivo su 1.000 accompagnato da un livello di maturità.

‍

Un certificato ISO 27001 copre tutta l'azienda?

‍

Non necessariamente, ed è il punto più spesso trascurato. Ogni certificato riporta una dichiarazione di perimetro che può limitarsi a un sito, una filiale o un servizio. Occorre quindi verificare che il prodotto che acquistate rientri effettivamente in questo perimetro, chiedendo il certificato e non il logo.

‍

Un questionario di sicurezza fornitore è sufficiente?

‍

No, non da solo. È utile per coprire i vostri requisiti specifici, che i riferimenti generici non trattano, ma le sue risposte sono dichiarative. Il suo valore dipende dagli allegati: politica di sicurezza, rapporto di penetration test, piano di continuità, schema di hosting, elenco dei subfornitori.

‍

Cosa richiede DORA sulla sicurezza dei fornitori?

‍

DORA impone alle entità finanziarie di inquadrare contrattualmente e di sorvegliare i propri fornitori di servizi informatici, con requisiti rafforzati per quelli che supportano funzioni critiche o importanti. L'obbligo riguarda il controllo del rischio legato alle terze parti, il che presuppone di documentare la prova su cui si fonda la fiducia accordata.

‍

Meelo è certificata ISO 27001?

‍

No. Meelo ha ottenuto 930 su 1.000 nella sua valutazione CyberVadis, ossia la medaglia Gold, che è una valutazione con punteggio attribuita da una terza parte e non una certificazione. Il percorso di certificazione ISO 27701, l'estensione della ISO 27001 dedicata alla protezione dei dati personali, è avviato. I dati sono ospitati in Francia, cifrati, gli accessi controllati, e ogni decisione è tracciata e auditabile.

‍

Fonti: documentazione CyberVadis sulla scala di punteggio, i badge e le medaglie; ISO/IEC 27001:2022 e ISO/IEC 27701, Organizzazione internazionale per la normazione; regolamento (UE) 2022/2554 sulla resilienza operativa digitale per il settore finanziario (DORA); regolamento generale sulla protezione dei dati.