Modelli e registrazioni · ISO 27001 · Punto A.5.19 a A.5.22
Modello di valutazione della sicurezza dei fornitori ISO 27001
La scheda di ogni fornitore che tocca informazioni o sistemi dell’azienda: quale accesso ha, che cosa gli si chiede per contratto e come si verifica che lo rispetti.
In una frase
La valutazione della sicurezza dei fornitori classifica ogni fornitore in base all’accesso che ha alle informazioni, fissa i requisiti di sicurezza del contratto e ne documenta il monitoraggio; risponde ai controlli da 5.19 a 5.22 della ISO/IEC 27001:2022, che chiedono di gestire i rischi dei fornitori, concordare i requisiti, curare la catena di fornitura ICT e monitorarne i servizi.
- Dove lo richiede la norma
- ISO 27001 · Punto A.5.19 a A.5.22 I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.
- Tipo di informazione
- Buona pratica Evidenza dei controlli da 5.19 a 5.22 dell’Appendice A
- Chi lo compila
- Gli acquisti con il responsabile della sicurezza Il proprietario del servizio acquistato partecipa alla revisione
- Quando
- Prima di contrattualizzare e periodicamente Revisione in base alla criticità e in caso di modifiche al servizio o incidenti del fornitore
- Per quanto tempo si conserva
- Lo stabilisce l’organizzazione La ISO/IEC 27001 non fissa termini: chiede di decidere la conservazione e l’eliminazione delle informazioni documentate (7.5.3). Coprire il ciclo di certificazione di tre anni permette di mostrare lo storico al rinnovo.
Che cosa richiede la norma
Che cosa impone la norma ISO 27001 e che cosa lascia alla sua discrezione
I controlli da 5.19 a 5.22 coprono l’intero ciclo: definire come si gestiscono i rischi dei fornitori, concordare con ciascuno i requisiti di sicurezza, estenderli alla catena di fornitura ICT e monitorare, riesaminare e valutare le loro pratiche, comprese le modifiche. Il 5.23 aggiunge i servizi cloud.
Non è la valutazione dei fornitori della ISO 9001, che guarda qualità, tempi e prezzo: qui la domanda è quale danno potrebbe causare il fornitore alle informazioni e quali garanzie offre.
L’impegno si gradua in base al rischio: un fornitore di hosting con dati dei clienti richiede questionario, clausole e revisione annuale; quello del materiale d’ufficio, nessuno di questi.
Struttura
Campi che il modello deve contenere
- Fornitore e servizio prestato
- Tipo di accesso: dati, sistemi, strutture
- Criticità per la sicurezza
- Requisiti richiesti e clausole firmate (riservatezza, avviso degli incidenti, subappalto, audit)
- Evidenze fornite: certificati, rapporti, questionario
- Data della valutazione ed esito
- Incidenti del fornitore e modifiche al suo servizio
- Prossima revisione
Esempio
Esempio: fornitore di hosting cloud
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Fornitore | Fornitore cloud (fittizio) · hosting della piattaforma SaaS |
| Accesso | Infrastruttura su cui risiedono i dati dei clienti |
| Criticità | Alta |
| Clausole | Riservatezza, dati nell’UE, avviso degli incidenti entro 24 h, elenco dei sub-responsabili |
| Evidenze | Certificato ISO/IEC 27001 in corso di validità e relativo campo di applicazione verificato |
| Valutazione | 3 marzo 2026 · idoneo |
| Monitoraggio | Incidente di disponibilità di 2 h il 12 agosto: rapporto ricevuto ed esaminato |
| Prossima revisione | Marzo 2027 |
In audit
Errori che gli auditor rilevano più spesso
- Si chiede il certificato del fornitore senza verificare che il suo campo di applicazione copra il servizio acquistato.
- Contratti senza clausola di avviso degli incidenti.
- Nessuno riesamina i fornitori dopo la stipula del contratto.
- Servizi cloud acquistati da un reparto senza passare dalla sicurezza.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1Ogni fornitore si registra con le sue clausole di sicurezza dal portale fornitori.
- 2Le evidenze del fornitore restano nella sua scheda, con data di scadenza e avviso.
- 3La valutazione continua del fornitore convive con la sua documentazione: se un certificato scade, il fornitore perde la qualifica prima che gli si emetta un ordine.
Domande frequenti
Cosa ci chiedono prima di iniziare
Basta che il fornitore sia certificato ISO 27001?
Aiuta molto, ma bisogna leggere il campo di applicazione del certificato: se non include il servizio acquistato, non lo copre. E il certificato non sostituisce le clausole del contratto.
Si può usare la stessa scheda della ISO 9001?
La stessa scheda fornitore sì; la stessa valutazione no. Conviene aggiungere alla scheda generale un blocco sulla sicurezza con criterio e frequenza propri.
Gestisca le registrazioni ISO 27001 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Modello di valutazione dei fornitori ISO 9001
Che cosa chiede la ISO 9001 (8.4) per valutare, selezionare, monitorare e rivalutare i fornitori, quali…
Modello di due diligence delle terze parti per la compliance
Come documentare la due diligence di soci, agenti e fornitori in un sistema ISO 37301: rischio della terza…
Attività operative
Le attività operative traducono l’analisi dei rischi in controlli reali: accessi, cifratura, backup e una…
Modello di dichiarazione di applicabilità ISO 27001
Che cosa deve riportare la dichiarazione di applicabilità della ISO 27001 (6.1.3 d): controlli necessari…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni. Requisiti ISO/IEC · 25 ottobre 2022
- ISO/IEC 27002:2022 — Controlli di sicurezza delle informazioni ISO/IEC · Febbraio 2022