Questionario per la sicurezza dei fornitori – Versione 2.2
CLUSIT, associazione Italiana per la Sicurezza Informatica, considerando le notevoli problematiche ed inefficienze che interessano questo ambito, ha attivato un gruppo di lavoro per redigere un questionario di riferimento, a supporto universale delle organizzazioni di ogni tipo, per la selezione di fornitori ICT in generale e di prodotti e servizi in particolare, al fine di permettere di verificare agevolmente il loro grado di sicurezza delle informazioni/sicurezza ICT/cybersecurity da loro offerto e, attraverso le risposte, dare dimostrazione dei requisiti applicabili in conformità alle best practice di settore e in linea con la strategia dell’organizzazione.
Il questionario riportato qui sotto in formato excel si articola in 48 temi collegati a domande a risposta chiusa e multipla, che mirano a verificare i principali requisiti previsti da ISO/IEC 27001 (Sistema di Gestione per la Sicurezza delle Informazioni) e FNCS (Framework Nazionale di Cyber Security) applicabili a fornitori di prodotti e servizi ICT senza tuttavia entrare nel merito delle specifiche forniture.
L’organizzazione, una volta deciso quali temi proporre ai fornitori (idealmente tutti ma si può optare per utilizzarne solo un sottoinsieme) al completamento del questionario da parte del fornitore, sarà in grado di individuare i punti di debolezza/non conformità e, conseguentemente, richiedere le necessarie azioni sul fornitore in modo tale da garantire la propria cybersecurity.
Il foglio del questionario è stato organizzato nelle seguenti colonne:
- SEZIONE: è un’area che raggruppa domande sullo stesso ambito. Sono previste le aree di GESTIONE DELLA SICUREZZA, SICUREZZA IT e SICUREZZA FISICA
- CODICE: è un codice identificativo unico della domanda formato da 3 lettere per l’area, un punto di separazione e due cifre per un numero progressivo
- TEMA: è il testo descrittivo del tema
- SOTTOINSIEME DOMANDE APPLICABILE A…: colonne che indicano se la domanda è ritenuta parte di un sottoinsieme applicabile per esempio ai fornitori di prodotti ICT, di servizi ICT o altro
- SELEZIONE DOMANDA: pilota l’inclusione o l’esclusione della domanda nel questionario e nel computo dei risultati derivanti dalla sua compilazione
- RIFERIMENTI ISO/IEC 27001: è il requisito o il controllo della norma ISO/IEC 27001:2022 richiamato dalla risposta. Se questa è selezionata è plausibile presumere che il requisito o controllo sia almeno in parte attuato/implementato
- RIFERIMENTI FNCS 2 e 2.1: è il requisito o il controllo del Framework Nazionale di Cyber Security richiamato dalla risposta. Se questa è selezionata è plausibile presumere che il requisito o controllo sia almeno in parte attuato/implementato
- DOMANDA: è il testo della domanda
- RISPOSTA DEL FORNITORE: è la risposta data alla domanda
- NOTE / REMEDIATION / AZIONI IN CORSO: è un campo libero in cui si può richiedere di inserire dettagli ulteriori in ogni caso oppure solo laddove le risposte siano negative, indicando eventuali azioni in corso
Il foglio dei risultati riepiloga il risultato della compilazione rispetto alle domande selezionate utilizzando un calcolo a doppia pesatura (delle domande e dei temi) e ritornando un punteggio pari al 100% in caso tutte le domande selezionate abbiano ricevuto risposta positiva, o proporzionalmente decrementale diversamente.
Rispetto alla versione 1.0 del questionario sono state introdotte le domande a risposta chiusa, la pesatura delle domande e dei temi e l’algoritmo di calcolo dei risultati oltre ad essere state corrette alcune imprecisioni.
Rispetto alla versione 2.0 del questionario è stata aggiunta una mappatura alla versione aggiornata del Framework Nazionale di Cyber Security.
Rispetto alla versione 2.1 del questionario sono stati coperti i requisiti del FNCS richiamati nell’ambito del PSNC e di quello legato a NIS2 ed è stata elaborata una versione in lingua inglese.
Il questionario può essere liberamente utilizzato nel rispetto dei limiti posti dalla licenza Creative Commons CC BY-SA 4.0 (v. https://creativecommons.org/licenses/by-sa/4.0/deed.it). Questa licenza permette a chiunque di usare questo prodotto per crearne una sua evoluzione a condizione che citi gli autori originali riportando la nostra URL http://www.clusit.it e utilizzi a sua volta lo stesso tipo di licenza
Scarica il questionario Italiano in formato Excel
Download the questionnaire in English (Excel)
CLUSIT ringrazia per la partecipazione ai lavori di stesura del presente questionario:
– Giovanni BELLUZZO
– Giancarlo BUTTI
– Fabio GUASCONI (Coordinatore)
– Roberto OBIALERO
– Massimiliano PERRONE
– Alessandro VALLEGA
e per le precedenti versioni ringrazia anche:
– Elenio DURSI
– Federica Maria Rita LIVELLI
– Davide MANCONI
– Andrea RUI
– Sofia SCOZZARI
– Claudio TELMON
