Gestione del rischio di terze parti nei servizi di condivisione file

La gestione del rischio di terze parti per i servizi di condivisione file valuta i rischi di sicurezza, privacy, operativi e legali di un fornitore prima del contratto e per tutta la durata del rapporto. Un programma funzionale nel 2026 usa un questionario con punteggio (spesso il Shared Assessments SIG o il CAIQ della Cloud Security Alliance), richiede evidenze SOC 2 Type II o ISO 27001, impone un Data Processing Agreement firmato ai sensi dell'Articolo 28 del GDPR, monitora violazioni e inadempienze tramite servizi come BitSight o SecurityScorecard, e innesca una rivalutazione in caso di cambiamenti materiali. Gli acquirenti regolamentati ai sensi di DORA, NIS2 e delle regole settoriali hanno elementi obbligatori aggiuntivi. Il MOVEit del 2023 ha colpito centinaia di organizzazioni tramite una singola vulnerabilità del fornitore — quel precedente ha ridefinito come i team di rischio valutano i fornitori di trasferimento file.

Perché i fornitori di condivisione file meritano uno scrutinio speciale

I fornitori di condivisione file detengono i tuoi file. Questo è un profilo di rischio diverso da un tipico SaaS. Uno strumento di analisi marketing che viene violato perde dati di campagna. Un servizio di trasferimento file che viene violato può esporre i file che il tuo personale ha inviato la settimana scorsa, che possono includere record di clienti, contratti e documenti strategici. Lo sfruttamento di MOVEit nel 2023 da parte del gruppo ransomware Cl0p ha colpito centinaia di organizzazioni tramite una singola vulnerabilità del fornitore e ha esposto file di agenzie governative, banche e sistemi sanitari. Oggi, la valutazione va più in profondità rispetto a un intake SaaS standard e sonda specificamente l'architettura di gestione dei file, la gestione delle chiavi e la velocità di risposta agli incidenti.

Struttura della valutazione pre-contrattuale

Strutturare la valutazione pre-contrattuale a strati. Iniziare con il questionario Shared Assessments SIG Lite o CAIQ v4, da 40 a 100 domande su sicurezza, privacy e controlli operativi. Richiedere SOC 2 Type II (il più recente, di solito negli ultimi 12 mesi), certificato ISO 27001 e certificazioni settoriali specifiche (HITRUST per gli acquirenti sanitari, FedRAMP per il governo USA, SecNumCloud per i regolamentati francesi). Esaminare il sommario del penetration test; chiedere ambito, data e stato di rimedio dei rilievi. Leggere il DPA e l'elenco dei sub-responsabili. Intervistare il responsabile della sicurezza del fornitore in videochiamata per verificare se le risposte scritte corrispondono alle loro conoscenze reali.

Il questionario SIG e cosa prioritizzare

Il Shared Assessments SIG ha sezioni per sicurezza informatica, privacy, rischio di terze parti e altro. Per la condivisione file in particolare, concentrarsi su: Information Security Policy (le policy sono aggiornate, approvate, revisionate annualmente?), Access Control (MFA, privilegio minimo, controlli di sessione), Crittografia (AES-256-GCM, TLS 1.3, approccio alla gestione delle chiavi), Sicurezza Fisica (certificazioni data center, controlli di accesso), Risposta agli Incidenti (capacità di rilevamento, tempo di risposta, SLA di notifica), Gestione del Rischio dei Fornitori (il fornitore valuta i propri sub-responsabili?) e Continuità Operativa (RPO, RTO, cadenza dei test DR).

Elementi essenziali del Data Processing Agreement

Il DPA ai sensi dell'Articolo 28 del GDPR deve specificare oggetto, durata, natura, scopo, tipi di dati, categorie di soggetti interessati e obblighi del titolare. Oltre al minimo, negoziare: notifiche di cambio sub-responsabile con diritto di opposizione, tempistiche di notifica delle violazioni (24 ore per le violazioni materiali è lo standard per gli acquirenti regolamentati), diritti di audit (le ispezioni in loco sono tipicamente limitate, ma l'accesso alla documentazione deve essere illimitato), cancellazione dei dati alla risoluzione entro 30 giorni e restrizioni geografiche specifiche ove applicabili. Per il trasferimento file in particolare, aggiungere clausole sulla gestione delle chiavi: il fornitore deve dichiarare se detiene chiavi che possono decifrare i file dei clienti e in quali circostanze lo farebbe o potrebbe farlo.

Monitoraggio continuo oltre la revisione annuale

Le revisioni annuali colgono la deriva lenta. Il monitoraggio continuo coglie i problemi rapidi. I servizi di rating esterni come BitSight, SecurityScorecard, UpGuard e Black Kite valutano la postura di sicurezza del fornitore in base a segnali osservabili (porte aperte, configurazione DNS, stato dei certificati SSL, cronologia delle violazioni, credenziali trapelate). Impostare soglie di allerta; un calo di 15 punti nel punteggio di un fornitore innesca un'indagine. Iscriversi ai feed di notifica delle violazioni: gli avvisi di sicurezza del fornitore, i feed CVE per il loro stack tecnologico e servizi come il catalogo US CISA Known Exploited Vulnerabilities. Quando una CVE colpisce la piattaforma di un fornitore (come CVE-2023-34362 di MOVEit), si vuole saperlo entro ore, non settimane.

Gestione dei sub-responsabili

I fornitori di trasferimento file si affidano a sub-responsabili: host cloud, provider CDN, servizi di consegna email, piattaforme di osservabilità. Ogni sub-responsabile è una dipendenza transitiva per i tuoi dati. Richiedere l'elenco aggiornato dei sub-responsabili prima del contratto e richiedere notifiche di 30+ giorni per i cambiamenti con diritto di opposizione. Verificare ogni sub-responsabile rispetto ai propri criteri di rischio. Un fornitore ospitato su un provider cloud approvato indipendentemente è più semplice di uno su un cloud regionale sconosciuto. L'Articolo 28(4) del GDPR supporta il requisito di flow-down che impone termini contrattuali equivalenti a ogni sub-responsabile.

Driver normativi del rigore nella gestione del rischio di terze parti

DORA, applicabile dal 17 gennaio 2025, rende le entità finanziarie direttamente responsabili del rischio ICT di terze parti. L'Articolo 30 specifica gli elementi contrattuali. Il Registro delle Informazioni ai sensi dell'Articolo 28 documenta ogni fornitore ICT. NIS2 Articolo 21(2)(d) obbliga la sicurezza della supply chain per le entità essenziali e importanti. GDPR Articolo 28 governa i rapporti con i responsabili del trattamento. Il trend: i regolatori vogliono vedere programmi attivi, non checklist una tantum.

Strategia di uscita e rischi di concentrazione del fornitore

Quando un fornitore fallisce, l'uscita deve essere fluida. Il DPA deve impegnarsi alla restituzione o cancellazione dei dati in formati utilizzabili entro 30 giorni. Testare la procedura di uscita: richiedere un'esportazione durante un momento non di crisi per verificare che funzioni. Considerare il rischio di concentrazione del fornitore: affidarsi a un unico provider per trasferimento file, storage, email e collaborazione significa che una singola violazione può propagarsi. La diversità tra le funzioni sensibili alla sicurezza riduce il raggio d'impatto.

HexaTransfer pubblica il proprio elenco di sub-responsabili e applica la cifratura lato client in modo che il servizio stesso non abbia testo in chiaro da esporre durante un incidente. Provalo su hexatransfer.com — gratuito, senza account, max 10 GB.

La gestione del rischio di terze parti non è avversariale con i buoni fornitori. I migliori fornitori accolgono domande dettagliate perché le loro risposte li differenziano. Il programma che funziona combina una solida valutazione pre-contrattuale, un contratto ben negoziato, un monitoraggio esterno continuo e un coordinamento degli incidenti praticato. Una volta che questi sono in vigore, la domanda "dobbiamo usare il fornitore X?" diventa rispondibile con prove, non con supposizioni.