Verificare le prove di sicurezza dei fornitori di software: certificati, audit e referenze

Perché le prove di sicurezza sono decisive prima della scelta del software

Il Safety Center definisce la sicurezza delle informazioni come vitale per la sopravvivenza delle organizzazioni di ogni tipo nella sua pagina normativa dedicata alla ISO/IEC 27001. Riservatezza, integrità e disponibilità delle informazioni sono un fattore strategico di successo per la fiducia di clienti, partner commerciali e opinione pubblica. Una certificazione ISO/IEC 27001 dimostra a questi gruppi di interesse che la sicurezza delle informazioni è gestita attivamente e verificata regolarmente.

Chi acquista software spesso non può valutare autonomamente la sicurezza di un fornitore. Ha bisogno di prove rilasciate o verificate da enti indipendenti.

Netsafe AG cita studi secondo i quali nel 2024 oltre il 30 percento delle aziende svizzere è stato colpito da attacchi informatici. Di conseguenza, la verifica del fornitore passa da una mera formalità a una decisione basata sul rischio. Un fornitore di software che elabora dati personali o critici per l’azienda dovrebbe dimostrare come gestisce la sicurezza delle informazioni.

Nella verifica occorre distinguere tre ambiti. I certificati attestano la norma, l’ambito di applicazione e la durata di validità di un fornitore o di un prodotto. Gli audit mostrano il metodo, la profondità dell’analisi e le eventuali constatazioni aperte. Le referenze e la qualifica degli auditor dimostrano chi ha effettuato la verifica e se questa persona o ente possiede un’esperienza pertinente per il proprio settore e la dimensione aziendale.

Attacchi informatici in Svizzera: dati del 2024

Leggere correttamente i certificati: certificati del sistema di gestione e tecnici

Per un certificato del sistema di gestione conforme alla norma ISO/IEC 27001:2022, la SQS indica i dati essenziali. Il certificato ha una validità di tre anni; dopo la certificazione iniziale, nei due anni successivi si svolge annualmente un audit di mantenimento. Questi audit verificano il rispetto dei requisiti normativi e lo sviluppo continuo del sistema di gestione.

Il numero «2022» nel titolo della norma indica l’anno dell’ultima revisione. Secondo la SQS, la norma viene esaminata e sviluppata regolarmente. Chi verifica un fornitore non deve quindi fermarsi alla dicitura «ISO 27001», ma deve chiarire la data di emissione e di scadenza e chiedere se gli audit di mantenimento siano effettivamente stati effettuati.

I certificati tecnici seguono una logica diversa. L’Ufficio federale dell’informatica e della telecommunicazione (UFIT) pubblica, in conformità con il CA Browser Forum, certificati di prova che i fornitori di software e applicazioni possono utilizzare. Sono suddivisi in classi: Classe A (Regulated CA 02 e Regulated CA 03), Classe B (Enhanced CA 01) nonché firma QSCD. Recano indicazioni di stato come «Valid (through)», «Expired» e «Revoked».

Ogni voce indica il numero di serie (SN), il Common Name (CN) e la data di scadenza. Nelle voci di Classe A della Regulated CA 03 sono inoltre indicate lunghezze delle chiavi di 2048 bit e 3072 bit.

Entrambi i tipi di certificato richiedono domande di verifica diverse. Un certificato del sistema di gestione nomina l’organizzazione, l’ambito di applicazione e una durata di tre anni; senza i due audit di mantenimento non è significativo. Un certificato PKI garantisce le chiavi e il titolare, riporta numero di serie e data di scadenza e può passare in qualsiasi momento allo stato «Expired» o «Revoked». Chi legge «certificato» presso un fornitore deve prima chiarire di quale tipo si tratti.

Certificato del sistema di gestione vs. certificato tecnico

Verificare l’organismo di certificazione e l’accreditamento

La SQS sottolinea che non tutti i certificati ISO hanno lo stesso valore. Per il riconoscimento sul mercato sono decisivi la competenza e la reputazione dell’organismo di certificazione. Come prova cita la propria accreditamento come primo organismo di certificazione da parte dell’Organismo svizzero di accreditamento (OSA).

L’OSA è un’autorità federale. Controlla gli organismi di certificazione e ne verifica l’idoneità nonché la conformità degli auditor. La SQS certifica sistemi di gestione dal 1983 e conta circa 7000 clienti.

Per la verifica dei fornitori emerge una domanda concreta: da quale organismo proviene il certificato e questo organismo è accreditato da un ente statale di accreditamento come l’OSA per il relativo ambito normativo? Se non è così o se l’accreditamento non è rintracciabile, resta aperto quale standard di verifica il certificato rappresenti.

Comprendere gli audit: portata, svolgimento e significatività

Il ciclo di certificazione secondo la ISO/IEC 27001 nella versione 2022 è descritto dalla SQS: certificazione iniziale, seguita da un audit di mantenimento nel primo e nel secondo anno successivo, con verifica del rispetto della norma e dello sviluppo del sistema di gestione.

Da questi vanno distinti gli audit interni, con cui un’organizzazione verifica autonomamente il rispetto delle proprie direttive, e l’analisi gap, che rileva la distanza dalla norma prima di un audit vero e proprio. Netsafe AG include l’analisi gap nel suo configuratore di audit come «check preliminare» e la raccomanda per i primi audit, per verificare lo status quo prima dell’audit effettivo.

Ciò che distingue un audit da una verifica superficiale è descritto da Netsafe AG come segue: le verifiche standard documentano solo problemi superficiali, mentre un audit analizza strategicamente l’intera infrastruttura IT e integra i risultati nella politica di sicurezza dei sistemi. La portata e la profondità della verifica dovrebbero quindi essere richieste esplicitamente – ad esempio se sia stata effettuata una certificazione iniziale, una ricertificazione o una valutazione secondo uno standard di settore come TISAX (Livello di valutazione AL 2 «Alto» o AL 3 «Molto alto»).

Le certificazioni promesse in tempi brevi devono essere messe in discussione criticamente. InfoGuard AG descrive questo modello: i fornitori promettono una certificazione ISO 27001 in tempi record – «implementazione rapida, immediatamente certificabile, senza oneri aggiuntivi». Si chiede se ciò risponda alla complessità di un ISMS efficace, basato sulla maturità organizzativa, su una cultura della sicurezza vissuta e su una gestione efficace dei rischi.

La stessa azienda segnala che un ISMS non si conclude con il ottenimento del certificato, ma entra in un processo di miglioramento continuo.

Ciclo di certificazione secondo ISO/IEC 27001:2022

Vantaggi e rischi delle certificazioni rapide

Valutare le referenze e la competenza di verifica dei fornitori

La qualifica degli auditor può essere accertata tramite certificazioni. Netsafe AG cita per i suoi audit di sicurezza IT un’expertise certificata CISA, ovvero Certified Information Systems Auditor. Tali prove dicono qualcosa sulla formazione della persona che effettua la verifica, non sul risultato nel singolo caso; devono quindi essere valutate sempre insieme al mandato di verifica concreto.

L’indipendenza è un secondo criterio. Bureau Veritas descrive il suo approccio come segue: l’azienda verifica in modo indipendente se i clienti e i loro fornitori rispettano le norme e gli standard di cyber-security. Se lo stesso ente viene incaricato contemporaneamente per consulenza e certificazione, occorre chiarire come venga garantita l’indipendenza della verifica.

La conoscenza del settore e dei temi si manifesta nel portafoglio metodologico. Bureau Veritas cita tra l’altro la ISO 27017 per la sicurezza cloud, la ISO 27701 per i sistemi di gestione della protezione dei dati, TISAX, eIDAS nonché verifiche ISAE-3000/3402 e servizi per la verifica della maturità della sicurezza e della sicurezza dei fornitori.

Per le referenze dei clienti, al centro dovrebbero esserci la comparabilità per settore e dimensione aziendale, l’ambito di applicazione verificato, il periodo di verifica e la disponibilità a parlare delle constatazioni e delle misure derivanti – non il numero di loghi.

Trappole tipiche e come riconoscerle

La pagina dell’UFIT sui certificati di prova mostra il problema fondamentale delle prove tecniche nel confronto diretto. Nella stessa lista figurano voci con stato «Valid (through)» accanto a quelle con «Expired» e «Revoked», tutte nello stesso formato con numero di serie e Common Name. Un estratto del certificato con numero di serie e data di scadenza non prova quindi nulla di per sé; decisivi sono lo stato attuale e, in caso di validità, la data di scadenza concreta.

Una seconda trappola sono i certificati senza un accreditamento solido. La SQS lo formula chiaramente: non tutti i certificati ISO hanno lo stesso valore, perché la competenza e la reputazione dell’organismo di certificazione decidono sul riconoscimento di mercato. Chi non verifica l’ente emittente e la sua autorizzazione da parte di un organismo statale di accreditamento non può distinguere due certificati con la stessa intestazione.

Terzo, affermazioni vaghe sugli audit. Netsafe AG distingue espressamente l’audit dalle verifiche standard, che documentano solo problemi superficiali. Affermazioni come «audit regolari» senza indicazione della norma, dell’ambito di applicazione, del periodo di verifica, del metodo e delle deviazioni riscontrate non forniscono alcuna base per una decisione sul fornitore.

Quarto, il certificato senza contesto: un certificato della versione ISO/IEC 27001:2022 è valido per tre anni ed è significativo solo se nei due anni successivi si è svolto annualmente un audit di mantenimento. Se mancano l’ambito di applicazione o gli audit di mantenimento, il documento dice poco sullo stato attuale della sicurezza del fornitore.

Lista di controllo pratica per le aziende svizzere

Richiedere certificato e rapporto di audit: esigete il certificato completo con ambito di applicazione, titolo della norma citato e data di emissione, nonché il rapporto sulla certificazione iniziale. Chiedete inoltre dei due audit di mantenimento che hanno luogo durante la validità triennale secondo la ISO/IEC 27001 nella versione 2022.

Verificare validità e ambito di applicazione: chiarite, per i certificati del sistema di gestione, se la data di scadenza e l’ambito di applicazione coprono la gamma di software utilizzata. Per i certificati tecnici, verificate lo stato attuale (valid, expired, revoked), la data di scadenza e il numero di serie, come indicato dall’UFIT per i suoi certificati di prova.

Controllare l’accreditamento: identificate l’organismo di certificazione emittente e il suo accreditamento. La SQS cita come riferimento l’accreditamento da parte dell’Organismo svizzero di accreditamento (OSA), un’autorità federale che controlla gli organismi di certificazione e la conformità degli auditor.

Ottenere referenze e valutare la competenza di verifica: chiedete progetti comparabili nel vostro settore e la qualifica degli auditor, ad esempio auditor certificati CISA. Assicuratevi che l’ente verificatore operi in modo indipendente, come descritto da Bureau Veritas per la verifica di clienti e dei loro fornitori.

Utilizzare una checklist di sicurezza o un’analisi gap: Swisscom raccomanda come primo passo una checklist di sicurezza, perché mostra lo stato effettivo e può essere compilata senza conoscenze IT approfondite e senza interventi nell’infrastruttura. Per le aziende con un proprio reparto IT segue come ulteriore passo un’analisi gap rispetto alla ISO 27001; come strumento online Swisscom cita la 27001Academy. Netsafe AG conduce l’analisi gap come check preliminare prima di un audit iniziale.

Integrare le prescrizioni sulla protezione dei dati della Svizzera: Netsafe AG orienta espressamente i suoi audit alla ISO/IEC 27001, alla protezione di base BSI e alle prescrizioni svizzere sulla protezione dei dati. Se il fornitore elabora dati per clienti nell’UE, si aggiungono i requisiti citati da Bureau Veritas: il Regolamento generale sulla protezione dei dati (GDPR) e la direttiva UE sulla sicurezza delle reti e dell’informazione (NIS) per i gestori di servizi essenziali e i fornitori di servizi digitali.

Lista di controllo pratica per le aziende svizzere