Nella sicurezza cyber, avere il controllo della supply chain non è affatto semplice.

Non lo è per chi è soggetto ad obblighi normativi cogenti a riguardo, né tantomeno per chi, di fatto, lo fa per mantenere una corretta postura di sicurezza cyber. Che, ricordiamolo bene, contempla anche i soggetti di cui ci si avvale, la loro responsabilizzazione nonché gli asset che pongono a disposizione dell’organizzazione.

La quale, semplicemente, non può permettersi il lusso di disinteressarsene scommettendo sul fatto che il proprio fornitore non possa essere vittima di un attacco.

Sottovalutare il valore dei controlli di filiera esprime un debito cognitivo che propaga la vulnerabilità del fornitore. Anzi: le vulnerabilità dei fornitori.

Vulnerabilità che inevitabilmente si ripercuotono lungo tutta la filiera in una riedizione della fiera dell’est in salsa cyber, in cui però i due soldi iniziali sono quelli apparentemente risparmiati mentre l’intero percorso è connotato da singoli passaggi con una serie di costi di tipo organizzativo, strategico, nonché economico-finanziario.

Tutto questo, a prescindere dall’essere soggetti ad una specifica responsabilità di dover garantire la sicurezza della propria supply chain.

Gestire i fornitori è d’obbligo

L’obbligo normativo generale di dover garantire adeguati assetti organizzativi, infatti, non può prescindere dalla gestione dei propri fornitori.

Dopodiché, se sei entra in un perimetro di lex specialis, qual è quello della NIS 2 (o DORA), ecco che si parla di responsabilità aumentate, valutazione della criticità dei fornitori, e una serie di ulteriori declinazioni di quella che, fondamentalmente, rientra nella governance della sicurezza e della superficie di rischio.

Anche perché i cybercriminali sfruttano proprio gli ecosistemi di dipendenze, come recentemente emerso dal caso Amazon e dalla distribuzione di pacchetti compromessi, al fine di realizzare attacchi su larga scala e con elevate probabilità di successo.

Ed è possibile impiegare più tecniche e strumenti, contando su una superficie d’attacco particolarmente estesa e scommettendo sul fatto che in alcuni punti non venga correttamente presidiata.

Scommessa che, al contrario di quella del difensore di non subire mai attacchi, è destinata ad avere una sorte decisamente positiva.

Ecco, dunque, che quei due soldi per controllare la supply chain, forse, è meglio spenderli.