Per anni la sicurezza informatica è stata interpretata come un tema confinato all’interno del perimetro aziendale. Firewall, endpoint protection, controllo degli accessi e monitoraggio delle infrastrutture erano considerati gli strumenti principali per ridurre il rischio cyber.

Oggi questo paradigma non è più sufficiente.

Supply chain, il nuovo perimetro della cybersecurity

La crescente digitalizzazione dei processi, l’esternalizzazione di servizi critici e l’integrazione tra ecosistemi informativi hanno trasformato i fornitori in una componente strutturale della superficie d’attacco.

Non è un caso che la Direttiva NIS2 richieda esplicitamente alle organizzazioni essenziali e importanti di gestire il rischio derivante dalla supply chain, superando una logica puramente interna della cyber security.

In questo scenario si colloca SupplyShield, il progetto che verrà presentato ai Cybersecurity360 Awards e sviluppato da Arsenalia per un grande gruppo industriale italiano soggetto alla NIS2, con oltre 500 fornitori critici e un’infrastruttura SAP consolidata. Il caso dimostra come il Vendor Risk Management possa evolvere da attività amministrativa a processo continuo di governo del rischio cyber.

Perché il Third Party Risk Management deve cambiare

Molte organizzazioni continuano a gestire il rischio dei fornitori attraverso questionari inviati via e-mail, fogli di calcolo condivisi e raccolte documentali distribuite tra diverse funzioni aziendali.

Un approccio che può risultare sufficiente con poche decine di partner, ma che diventa rapidamente ingestibile quando il numero dei fornitori critici cresce e gli obblighi normativi aumentano.

Nel progetto descritto da Arsenalia il cliente si trovava proprio in questa situazione: oltre 500 fornitori critici, processi frammentati, osservazioni dell’audit interno sulla tracciabilità delle decisioni e nuove esigenze derivanti dal D.lgs. 138/2024 di recepimento della NIS2, dal GDPR e dalle richieste dei clienti Enterprise.

Per un CISO il problema non è solo organizzativo: senza una governance strutturata è difficile dimostrare di aver effettuato un’efficace due diligence sui terzi e di aver adottato misure proporzionate al rischio.

Dalla gestione documentale a una piattaforma di governance

Uno degli aspetti più interessanti del progetto riguarda la stretta integrazione tra il Vendor Risk Management e i processi aziendali.

SupplyShield è stato implementato come piattaforma SaaS cloud-native con architettura API-first e integrazione nativa con SAP.

Questo consente di sincronizzare automaticamente l’anagrafica fornitori e, soprattutto, di collegare la valutazione cyber direttamente al processo di onboarding.

In pratica un nuovo fornitore non può entrare nel ciclo operativo senza aver completato il percorso di qualifica previsto dal modello di controllo. Si tratta di un cambio di paradigma significativo: la sicurezza non interviene a posteriori, ma diventa un prerequisito del processo di procurement.

Il ruolo dell’AI nel Vendor Risk Management

L’Intelligenza Artificiale rappresenta uno degli elementi distintivi della soluzione, ma il suo valore emerge soprattutto nella riduzione del lavoro manuale.

Il motore AI analizza automaticamente le risposte fornite dai supplier, verifica la coerenza tra dichiarazioni ed evidenze documentali, identifica possibili incongruenze, classifica il livello di rischio e propone le priorità di revisione al team GRC.

Questo approccio modifica profondamente il lavoro degli specialisti di governance, rischio e compliance.

L’obiettivo non è sostituire il giudizio umano, ma concentrare il tempo delle persone sui casi realmente critici, lasciando all’automazione le attività ripetitive e a basso valore aggiunto.

Per i CISO questa rappresenta probabilmente una delle applicazioni più mature dell’AI nel dominio della cybersecurity: non tanto il rilevamento delle minacce, quanto il supporto ai processi decisionali.

Threat intelligence e monitoraggio continuo: oltre l’assessment periodico

Un altro elemento che distingue il progetto è l’integrazione della threat intelligence.

Tradizionalmente il rischio dei fornitori viene rivalutato solo durante campagne periodiche di assessment.

SupplyShield introduce invece un monitoraggio continuo basato su informazioni esterne, eventi pubblici, esposizione degli asset e fonti OSINT, aggiornando dinamicamente il profilo di rischio dei partner.

Per il CISO questo significa poter disporre di una fotografia sempre aggiornata della supply chain, senza attendere il successivo ciclo di valutazione.

È un passaggio importante verso una gestione realmente dinamica del rischio, coerente con il principio di continuous assurance promosso dalle più recenti evoluzioni normative e dagli standard internazionali.

I benefici: meno attività manuali, più controllo e maggiore conformità

Secondo quanto riportato nella documentazione progettuale, l’introduzione della piattaforma ha consentito di raggiungere rapidamente un modello di governance strutturato e auditabile.

Tra i principali risultati figurano:

• riduzione del tempo medio di revisione dei questionari da circa due ore a meno di venti minuti per fornitore grazie al supporto del motore AI;
• gestione centralizzata di oltre 500 fornitori critici;
• completa tracciabilità del processo di Vendor Risk Management;
• chiusura delle osservazioni emerse durante gli audit interni;
• monitoraggio continuo del rischio tramite threat intelligence;
• piena integrazione del controllo cyber nel processo di onboarding dei fornitori.

Più che l’efficienza operativa, il beneficio strategico consiste nella possibilità di trasformare un processo episodico in un sistema permanente di governo del rischio.

Un modello replicabile ben oltre il settore industriale

Pur essendo stato sviluppato per un grande gruppo industriale, il progetto presenta caratteristiche facilmente trasferibili ad altri contesti.

L’integrazione tra piattaforma, AI, threat intelligence e servizio gestito consente infatti di adattare il modello a organizzazioni con elevato numero di fornitori, indipendentemente dal settore di appartenenza.

Secondo Arsenalia, l’approccio è replicabile in manifattura, utilities, finanza, sanità e pubblica amministrazione, con limitati interventi di personalizzazione.

Questo elemento assume particolare rilevanza in una fase in cui sempre più organizzazioni sono chiamate a dimostrare non solo la sicurezza dei propri sistemi, ma anche la capacità di governare il rischio generato dai soggetti terzi.

Lezioni per i CISO: il Vendor Risk Management diventa un processo continuo

La principale indicazione che emerge da questo progetto è che il Third Party Risk Management non può più essere considerato un’attività amministrativa o di compliance.

La NIS2, il GDPR e la crescente interdipendenza degli ecosistemi digitali richiedono un approccio molto più strutturato, nel quale inventario dei fornitori, valutazione del rischio, monitoraggio continuo, automazione e governance convergono in un unico processo.

Per i CISO la sfida non consiste soltanto nel valutare i supplier, ma nel costruire un modello capace di adattarsi nel tempo all’evoluzione delle minacce e del contesto normativo.

Il caso di SupplyShield mostra come questa evoluzione sia già possibile, combinando piattaforma tecnologica, intelligenza artificiale e processi di governance in un framework operativo che supera la logica degli assessment periodici e accompagna l’organizzazione verso una gestione continua e misurabile del rischio della supply chain.