Il questionario di sicurezza che ti manda un cliente non serve a bocciarti: serve a lui per documentare di aver verificato i propri fornitori, perché NIS2, GDPR e la sua polizza cyber glielo impongono. Le domande sono quasi sempre le stesse dodici, e quello che sposta l'esito non è rispondere sì a tutto, ma rispondere in modo verificabile e allegare evidenze datate. Un no motivato con un piano e una data vale più di un sì che il cliente non può controllare.
Fino a pochi anni fa i questionari di sicurezza circolavano fra grandi aziende. Oggi arrivano a fornitori di ogni dimensione, spesso in modo apparentemente sproporzionato rispetto alla fornitura. La ragione non è diffidenza verso di te: è che il tuo cliente ha un obbligo proprio da dimostrare.
La conseguenza pratica è che il questionario non è negoziabile e non sparirà. La buona notizia è che, essendo guidato da obblighi comuni, è sempre lo stesso questionario sotto nomi diversi: una volta preparate le risposte e le evidenze, il secondo cliente costa un decimo del primo.
Cambiano l'ordine e il numero di caselle, ma il contenuto ricorre. Per ciascuna, cosa sta davvero chiedendo il cliente.
| La domanda | Cosa vuole sapere davvero |
|---|---|
| Avete una politica di sicurezza delle informazioni? | Esiste un documento approvato dalla direzione, o la sicurezza dipende dalla buona volontà di qualcuno |
| Siete certificati ISO 27001 o equivalente? | Esiste un controllo esterno periodico, e qual è il perimetro certificato |
| Eseguite scansioni di vulnerabilità? Con quale frequenza? | Se la verifica è continua o una tantum; la frequenza è la vera domanda |
| Eseguite penetration test periodici? | Se c'è una verifica approfondita oltre a quella automatica, e quando è stata l'ultima |
| Come gestite gli aggiornamenti di sicurezza? | Entro quanto tempo correggete, per classe di gravità |
| Usate l'autenticazione a più fattori? | Su cosa: accessi amministrativi, accessi remoti, posta elettronica |
| Come gestite i backup? | Se sono isolati dalla rete e se il ripristino è stato provato |
| Avete un piano di risposta agli incidenti? | Chi decide, chi chiamare e in quanto tempo avvisate il cliente |
| Entro quanto ci notificate una violazione che ci riguarda? | La clausola contrattuale che gli serve per rispettare le sue 72 ore |
| Dove risiedono i dati e quali subfornitori usate? | La catena completa, perché la sua responsabilità arriva fino in fondo |
| Come proteggete la posta elettronica e il dominio? | Nella pratica: SPF, DKIM e soprattutto la policy DMARC, che lui può verificare da solo |
| Come formate il personale sulla sicurezza? | Se esiste formazione documentata e ricorrente |
Vale la pena notare quali di queste il cliente può verificare senza il tuo permesso, semplicemente dall'esterno: la policy DMARC del tuo dominio, i certificati dei tuoi siti, i servizi che pubblichi e in alcuni casi le versioni del software esposto. Su queste conviene essere precisi, perché una risposta ottimistica è smentibile in trenta secondi.
Prima regola: mai dichiarare quello che non puoi mostrare. Una dichiarazione falsa in un questionario non è solo un rischio reputazionale. Se il documento viene allegato al contratto o richiamato dalle condizioni di fornitura, diventa una dichiarazione contrattuale, e in caso di incidente il cliente contesterà proprio quella riga. Se la stessa dichiarazione è finita nella sua istruttoria assicurativa, il problema si allarga.
Seconda regola: allega evidenze, non aggettivi. "Adottiamo elevati standard di sicurezza" non è una risposta. Sono risposte: il rapporto della verifica delle vulnerabilità con la data dell'ultimo ciclo, il certificato con il suo perimetro, l'estratto della procedura di gestione degli incidenti con i tempi, il record DMARC pubblicato, la data dell'ultima prova di ripristino. Una pagina di allegati datati vale più di dieci pagine di prosa.
Terza regola: un no con un piano batte un sì generico. Il cliente deve valutare un rischio, non promuoverti a un esame. "Non ancora, attivazione prevista entro il trimestre, nel frattempo la misura compensativa è questa" è una risposta che un responsabile sicurezza accetta, perché può scriverla nella propria valutazione. Un sì che alla verifica non regge distrugge la fiducia su tutte le altre risposte.
Alcune combinazioni fanno scattare un rifiuto o una richiesta di adeguamento immediata, e sono quasi sempre le stesse.
Nessuna di queste richiede un progetto lungo. Sono tutte correggibili in settimane, e la maggior parte non richiede investimenti rilevanti.
La differenza fra chi soffre i questionari e chi li chiude in mezza giornata è l'esistenza di un fascicolo pronto. Il contenuto minimo utile:
Tenuto aggiornato ogni trimestre, questo fascicolo trasforma una richiesta che oggi blocca due persone per tre giorni in un invio di venti minuti. È anche, non per caso, quasi esattamente la documentazione che servirebbe a te per la NIS2 e per le misure dell'articolo 32 GDPR.
Molte aziende scoprono il tema da entrambi i lati nello stesso trimestre: ricevono il questionario da un cliente e devono mandarlo ai propri fornitori. Qualche criterio per non trasformarlo in burocrazia inutile.
Le domande del questionario si mappano quasi una a una su evidenze che si possono generare in automatico, invece di ricostruirle a mano ogni volta.
Se non sai quali obblighi ti riguardano prima ancora del questionario, la verifica degli obblighi di sicurezza risponde in sei domande.
Se vuoi mantenere la fornitura, in pratica sì. Il cliente non lo manda per curiosità: ha un obbligo proprio di verificare i fornitori, che gli arriva dalla NIS2 se rientra nel perimetro, dagli articoli 28 e 32 del GDPR se ti affida dati personali, dalla sua polizza cyber e dalle sue certificazioni. Senza la tua risposta non può documentare la verifica, e il suo responsabile sicurezza non firma. Puoi però negoziare la profondità, per esempio proponendo una scheda di sintesi con allegati al posto di un modulo di ottanta voci.
Dipende molto più da come lo scrivi che da quante volte. Un no accompagnato da una misura compensativa, da un piano e da una data è una risposta che il responsabile sicurezza del cliente può inserire nella propria valutazione del rischio e accettare, magari con una clausola contrattuale. Un no secco e ripetuto su temi di base, come l'assenza di verifiche delle vulnerabilità o di autenticazione a più fattori sugli accessi amministrativi, porta più spesso a una richiesta di adeguamento entro una data o alla perdita della fornitura.
Non al presente. Scrivere che una misura è attiva quando non lo è ancora crea un problema serio, perché il questionario finisce spesso allegato al contratto o richiamato dalle condizioni di fornitura, e in caso di incidente sarà la prima riga che il cliente e il suo assicuratore andranno a rileggere. La formulazione corretta è esplicita: in corso di attivazione, data prevista, misura compensativa nel frattempo. È accettata quasi sempre, e protegge entrambe le parti.
Documenti datati e verificabili, non dichiarazioni. L'esito dell'ultima verifica delle vulnerabilità con la data e la cadenza, il certificato con il suo perimetro, l'estratto della procedura di gestione degli incidenti con i tempi di notifica, la data dell'ultima prova di ripristino dei backup, il record DMARC in vigore e da quando, l'elenco dei subfornitori. Una pagina di allegati con le date vale più di dieci pagine di descrizioni, e riduce il numero di domande di chiarimento.
Una revisione trimestrale è sufficiente per la maggior parte delle voci, ma l'esito della verifica delle vulnerabilità va rigenerato a ogni invio, perché è l'evidenza che invecchia più in fretta ed è anche quella su cui i clienti guardano la data. Vanno aggiornati subito, senza attendere il trimestre, i cambiamenti di subfornitori, le variazioni del perimetro certificato e ogni modifica alla procedura di incidente o ai tempi di notifica dichiarati.
In parte sì, e senza chiederti nulla. Dall'esterno si controllano la policy DMARC del tuo dominio, i certificati dei tuoi siti, i servizi che pubblichi su internet e in diversi casi le versioni del software esposto. Su queste voci una risposta ottimistica viene smentita in pochi secondi e compromette la credibilità di tutte le altre. Le clausole di audit dei contratti più strutturati prevedono inoltre verifiche documentali periodiche o, per forniture critiche, ispezioni concordate.
Con un tempo esplicito e un canale, perché è quello che serve al cliente per rispettare i propri termini, in particolare le 72 ore del GDPR che decorrono da quando viene a conoscenza della violazione. Una formulazione utilizzabile indica la notifica senza ingiustificato ritardo ed entro un numero definito di ore dalla rilevazione, il recapito che riceve la segnalazione e chi è il referente. Prometti solo tempi che puoi rispettare, il che presuppone di essere in grado di accorgerti dell'incidente.
Nella grande maggioranza dei casi no. Aiuta molto, perché sostituisce diverse risposte con un controllo esterno periodico, ma i clienti accettano regolarmente fornitori non certificati che dimostrano misure concrete con evidenze datate. Attenzione al perimetro: una certificazione il cui campo di applicazione non copre il servizio che eroghi al cliente vale poco, e un responsabile sicurezza attento guarda proprio quella riga del certificato.
Le risposte sulle vulnerabilità, sul perimetro esposto e sulla protezione del dominio possono essere generate invece che ricostruite a mano. Parti dal vulnerability assessment continuo, oppure parla con noi del fascicolo da mettere insieme.