Third Party Risk Management
La sicurezza non finisce al perimetro aziendale. Oggi la maggior parte degli attacchi informatici entra attraverso fornitori e partner: identifichiamo, valutiamo e monitoriamo il rischio della tua supply chain digitale.
01 Definizione
Che cos’è il Third Party Risk Management?
Il TPRM è il processo con cui un’organizzazione identifica, valuta e monitora continuamente il rischio cyber proveniente dall’ecosistema di fornitori, partner e service provider.
Oggi la maggior parte degli attacchi informatici entra nelle organizzazioni attraverso le vulnerabilità della supply chain. NIS2 e DORA impongono obblighi espliciti: non è più sufficiente proteggere i propri sistemi, bisogna verificare che anche i propri fornitori lo facciano. Il TPRM di Exe Digital trasforma questo requisito normativo in un programma operativo strutturato e verificabile.
02 Per chi è pensato
Quando il TPRM diventa critico
In quattro contesti tipici, la gestione del rischio della supply chain diventa non solo strategica ma normativa.
Soggetti NIS2
Obbligati a implementare misure di gestione del rischio nella supply chain, inclusa la verifica dei fornitori ICT critici.
Istituzioni finanziarie DORA
Tenute a classificare e monitorare i fornitori ICT che supportano servizi finanziari critici secondo i requisiti DORA.
Gruppi industriali
Reti di subfornitori con accesso ai sistemi OT/IT di produzione: ogni anello della catena è un potenziale vettore di attacco.
Catene internazionali
Supply chain distribuite su più paesi, con fornitori di primo e secondo livello da valutare e monitorare in modo coordinato.
03 Benefici principali
Cosa ottieni con un programma TPRM
Quattro vantaggi concreti che si traducono in sicurezza operativa e compliance verificabile.
Superficie di attacco ridotta
Identifichi e limiti i fornitori con accesso privilegiato o non necessario, riducendo la superficie esposta agli attacchi.
Conformità normativa
Dimostri la compliance a NIS2, DORA, GDPR e PCI-DSS con evidenze documentate e processi verificabili.
Risposta più rapida
In caso di incidente, sai subito quali fornitori hanno accesso ai tuoi sistemi e quali processi di contenimento attivare.
Leva negoziale
Utilizzi la valutazione del rischio per inserire requisiti di sicurezza vincolanti nei contratti con i tuoi fornitori.
04 Il nostro processo
Cinque livelli di gestione del rischio
Inventario e classificazione
Censimento completo dei fornitori con accesso ai sistemi o che trattano dati sensibili. Classificazione per criticità, tipologia di accesso e impatto potenziale sull’organizzazione.
Requisiti di sicurezza
Definizione dei requisiti minimi di sicurezza per categoria di fornitore, allineati ai framework normativi applicabili: ISO 27001, NIS2, DORA, PCI-DSS.
Due diligence
Assessment dei fornitori critici tramite questionari strutturati, raccolta documentazione e, se necessario, verifica tecnica on-site o da remoto.
Contrattualizzazione
Inserimento di clausole di sicurezza, SLA, diritti di audit e obblighi di notifica degli incidenti nei contratti con i fornitori critici.
Monitoraggio continuativo
Rivalutazione periodica dei fornitori, gestione degli alert di sicurezza e aggiornamento del programma in risposta a nuove minacce o variazioni normative.
05 Perché Exe Digital
Governance del rischio supply chain
Combiniamo competenze di governance, assessment tecnico e conoscenza approfondita delle normative NIS2 e DORA per costruire programmi TPRM concreti, non solo documentali.
06 Esempi di applicazione
Come lo applichiamo in pratica
Istituto bancario con oltre 80 fornitori ICT: inventario completo, classificazione per criticità DORA e revisione delle clausole contrattuali di terzo livello.
Azienda manifatturiera colpita tramite un subfornitore: post-incident TPRM per mappare tutti gli accessi remoti attivi e bloccare vettori analoghi.
Retailer con decine di partner di pagamento: programma di valutazione annuale e onboarding sicuro per i nuovi fornitori che trattano dati di carta.
Gruppo industriale con supply chain OT/IT integrata: valutazione dei fornitori di automazione e gestione del rischio degli accessi remoti agli impianti.
07 FAQ
Domande frequenti
Da dove si comincia se non ho mai fatto TPRM? +
Si parte dall’inventario dei fornitori. In molti casi non esiste una lista completa e aggiornata: il primo passo è censire chi ha accesso ai sistemi, ai dati o alle infrastrutture critiche. Da lì si costruisce il programma in modo incrementale, partendo dai fornitori ad alto impatto.
Devo valutare tutti i fornitori? +
No. Il TPRM efficace si concentra sui fornitori critici: quelli con accesso privilegiato ai sistemi, che trattano dati sensibili o che supportano processi business-critical. Rappresentano tipicamente il 10–20% del totale ma concentrano oltre l’80% del rischio reale.
Il TPRM è obbligatorio con NIS2 e DORA? +
Sì. NIS2 impone la gestione del rischio nella supply chain come misura obbligatoria per i soggetti essenziali e importanti. DORA richiede alle istituzioni finanziarie di classificare, monitorare e contrattualizzare i fornitori ICT critici. In entrambi i casi serve un programma documentato e verificabile.
Sai chi ha accesso ai tuoi sistemi?
Parlaci dei tuoi fornitori critici. In 30 minuti definiamo il perimetro di rischio e i prossimi passi.
Risposta entro 48 ore lavorative
Next step
Sai chi ha accesso ai tuoi sistemi?
Parlaci dei tuoi fornitori critici. In 30 minuti definiamo il perimetro di rischio e i prossimi passi concreti.
Sessione di scoping · Risposta in 48h