Perché le valutazioni puntuali non bastano più per DORA e NIS2
Per anni la gestione del rischio delle terze parti ha significato, in molte organizzazioni, inviare un questionario una volta all'anno, archiviare la risposta e andare avanti fino al ciclo successivo. Questo approccio non è mai stato perfetto, ma veniva tollerato. Con DORA e NIS2 non basta più. Entrambi i framework si aspettano che le organizzazioni conoscano lo stato attuale dei propri fornitori, non quello di dodici mesi fa. Questo articolo esamina perché sta avvenendo questo cambiamento e cosa significa nella pratica.
Il problema delle revisioni annuali
La postura di sicurezza di un fornitore non è statica. Un server mal configurato, un certificato scaduto, una vulnerabilità appena divulgata o un cambio di subappaltatori possono alterare il profilo di rischio di un fornitore nel giro di pochi giorni. Un questionario annuale fotografa un solo momento e poi diventa silenziosamente obsoleto. Le ricerche di settore indicano costantemente ritardi di rilevamento di molti mesi quando una violazione ha origine in una terza parte, proprio perché la supervisione non era abbastanza continua da cogliere per tempo il cambiamento di postura.
Le autorità ne hanno preso atto. DORA richiede che le entità finanziarie verifichino in modo continuativo la resilienza dei propri fornitori ICT e siano in grado di dimostrare tale supervisione in qualsiasi momento, non solo quando una revisione arriva a scadenza. NIS2 spinge i soggetti essenziali e importanti nella stessa direzione attraverso l'obbligo di sicurezza della filiera.
Come si presenta la supervisione continua nella pratica
Il TPRM continuo non significa valutare ogni fornitore ogni giorno con la stessa profondità. Significa combinare un piccolo numero di pratiche in modo che il rischio sia visibile man mano che cambia, e non solo a intervalli programmati. Di norma include un monitoraggio esterno continuo della postura di sicurezza di un fornitore, così un punteggio in calo o una nuova evidenza emergono rapidamente. Include il mantenimento di registri di valutazione abbastanza aggiornati da permettere a un team di rispondere, in qualsiasi momento, a quando un fornitore è stato rivisto l'ultima volta e a cosa è emerso. E include un processo chiaro per trasformare qualsiasi lacuna individuata in un piano di remediation con un responsabile e una scadenza, in modo che i problemi non restino semplicemente in un foglio di calcolo.
Perché è difficile farlo manualmente
La difficoltà raramente è la mancanza di volontà. È la scala. Un'organizzazione di medie dimensioni può facilmente lavorare con diverse centinaia di fornitori, e monitorare ogni giorno i cambiamenti di postura, lo stato dei questionari e l'avanzamento della remediation su tutti tramite e-mail e fogli di calcolo diventa ingestibile ben prima che il portafoglio raggiunga quelle dimensioni. I team finiscono per tornare alle revisioni periodiche semplicemente perché il monitoraggio continuo senza lo strumento giusto richiede più tempo di quanto ne abbiano.
È qui che una piattaforma costruita appositamente per il rischio delle terze parti si guadagna il suo posto. Cynapze aggiorna ogni giorno i punteggi di sicurezza dei fornitori e segnala un voto in calo o un nuovo problema al team competente entro un giorno, non alla successiva revisione programmata. Se il tuo team sta valutando se continuare a gestire tutto manualmente o adottare uno strumento dedicato, una breve demo è un buon modo per vedere la differenza che fa una vista aggiornata di continuo.
Conclusione
Il passaggio dalla gestione puntuale a quella continua del rischio delle terze parti non è solo una preferenza normativa. Riflette un quadro più accurato di come il rischio si comporta davvero. I fornitori cambiano, e un programma che controlla solo una volta all'anno lavorerà sempre su un quadro obsoleto. Le organizzazioni che integrano la supervisione continua nel proprio processo, con lo strumento giusto, non solo soddisferanno le aspettative di DORA e NIS2, ma individueranno anche i problemi prima, quando sono ancora facili da correggere.
Prenota una demo con Cynapze per vedere come può funzionare il monitoraggio continuo sul tuo portafoglio di fornitori.
