Il rischio cyber associato alla supply chain è oggi una delle principali priorità per le organizzazioni soggette a D.lgs. 138/2024 (attuazione Direttiva UE 2022/2555 - NIS2), DORA (Regolamento UE 2022/2554), CRA (Regolamento UE 2024/2847), e L. 90/2024. Le normative richiedono assessment strutturati, monitoraggio continuo e registri aggiornati dei fornitori critici: non è più sufficiente una valutazione occasionale. Eppure, molte organizzazioni non dispongono ancora di visibilità reale sulla postura di sicurezza dei propri vendor, né di metodologie e risorse dedicate per gestire questo ambito a regime.
Il servizio
CyberSupply360 è il servizio gestito di Deloitte che supporta le organizzazioni nell'analisi e nel monitoraggio continuo del rischio cyber della supply chain. Fondato su un approccio data-driven, trasforma dati eterogenei provenienti da fonti multiple in intelligence azionabile, abilitando decisioni più rapide e informate sulla postura di sicurezza dei vendor.
Il servizio combina expertise specialistica, tecnologia avanzata e presidio operativo costante, coprendo l'intero ciclo di vita del rischio cyber delle terze parti: dalla mappatura dei fornitori critici alla gestione delle azioni correttive. La struttura scalabile consente alle organizzazioni di adeguare progressivamente il livello di copertura alla crescita del proprio ecosistema di fornitori, senza dover riconfigurare processi o strumenti.Il servizio è progettato per rispondere nativamente ai requisiti normativi europei e italiani, garantendo output standardizzati pronti per gli audit e visibilità continua sulla postura di sicurezza dei vendor.
Modelli di servizio
CyberSupply360 è disponibile in tre modelli di servizio – Monitor, Guardian e Sentinel – che si differenziano per profondità di controllo e livello di assurance, ma condividono una stessa base operativa. A prescindere dal modello scelto, il canone CyberSupply360 mette infatti a disposizione un set di capability di base pensate per rendere strutturale, e non più occasionale, la gestione del rischio cyber dei fornitori.
In concreto, il canone CyberSupply360 include sempre:
- Mappatura del processo di onboarding dei fornitori sulla piattaforma tecnologica
- Definizione della risk taxonomy per il rischio cyber di terze parti
- Finalizzazione della standard assurance checklist mappata su un framework cyber condiviso
- Monitoraggio continuo dei fornitori selezionati• Analisi continua degli scostamenti di rating e reporting strutturato verso le funzioni di controllo
- Triage degli alert con identificazione di vulnerabilità critiche o data breach
- Erogazione e gestione operativa dei questionari di sicurezza (es. invii, solleciti, follow up)
Su questa base comune si innestano i tre modelli di servizio:
Monitor: Monitoraggio continuo dei security rating e analisi delle checklist di self assessment. Per le organizzazioni che necessitano di una visibilità strutturata di base sui fornitori critici.
Guardian: Include le attività del modello Monitor, con l'aggiunta di audit da remoto su un sottoinsieme critico di vendor e raccolta di evidenze tecniche verificate. Per chi richiede un livello di assurance superiore.
Sentinel: Include tutte le attività del modello Guardian, con l'aggiunta del supporto alla revisione delle clausole di sicurezza e continuità operativa nei contratti. Per le organizzazioni che adottano un approccio integrato e completo alla gestione del rischio cyber della supply chain.
Per tutti i modelli, il servizio può essere ulteriormente potenziato con attività specifiche attivabili on demand, tra cui Audit On Site, Incident Simulation, Cyber Threat Intelligence e Vulnerability Assessment.
Perché Deloitte
Deloitte mette a disposizione una practice cyber dedicata, con esperienza consolidata in materia di compliance cyber e di valutazione del rischio di sicurezza dei fornitori. Grazie all’uso di tecnologia AI e all’integrazione con partner globali come OneTrust, ServiceNow e SecurityScorecard, i processi di raccolta e analisi dei dati vengono automatizzati, riducendo i tempi di assessment della postura cyber del fornitore e migliorando la capacità di risposta. Un team dedicato gestisce l'intero processo per conto del cliente, dalla raccolta dati alla validazione analitica, fino alla remediation dei gap di sicurezza.
