L’evoluzione delle architetture cloud-native e l’estensione della supply chain digitale hanno reso obsoleti i modelli di difesa perimetrale basati sulla fiducia implicita. Nel contesto attuale, il Third-Party Risk Management (TPRM) non è più una valutazione statica della postura di sicurezza del fornitore (Point-in-Time Assessment), ma una strategia sempre più integrata con i principi della Zero Trust Architecture.

Tradizionalmente, il TPRM si è concentrato sulla verifica della compliance tramite strumenti statici: questionari, certificazioni annuali e audit saltuari. Sebbene questi processi siano necessari per la governance formale, presentano tre criticità fondamentali:

1. Latenza: un report di audit di sei mesi fa non riflette una vulnerabilità scoperta oggi.
2. Fiducia implicita: una volta concessa una VPN o un accesso di rete a un partner, il rischio di movimento laterale a seguito di una compromissione delle credenziali del fornitore diventa critico.
3. Mancanza di granularità: l’accesso viene spesso fornito “per silos” piuttosto che per singola transazione o risorsa.

L’Integrazione della Zero Trust: da Rischio “Accettato” a rischio “Controllato”

L’integrazione di una piattaforma TPRM avanzata con un framework Zero Trust permette di trasformare la gestione delle terze parti attraverso tre direttrici tecniche:

1. L’Identità come nuovo perimetro. L’accesso alle risorse non è più determinato dalla posizione nella rete o dall’appartenenza a un dominio, ma dall’identità verificata del soggetto terzo e dal contesto del dispositivo. Una piattaforma TPRM moderna deve interfacciarsi con sistemi di IAM/PAM per garantire che ogni accesso sia autenticato, autorizzato e crittografato, indipendentemente dalla proprietà dell’asset (BYOD o Corporate-managed).

2. Micro-segmentazione e Software-Defined Perimeters (SDP). L’applicazione del principio del Least Privilege a livello granulare permette di limitare l’esposizione della superficie di attacco. Integrando i dati di rischio del fornitore direttamente nelle policy di accesso, il fornitore non accede mai all’infrastruttura globale, ma esclusivamente a singoli servizi o microservizi autorizzati per il tempo strettamente necessario.

3. Verifica continua e risposta adattiva. La moderna gestione del rischio terze parti (TPRM) evolve verso la Zero Trust, superando i controlli statici con la governance attiva e la mitigazione collaborativa, essenziale per la conformità DORA e NIS2. Il nuovo approccio integra la validazione delle evidenze e piani di remediation per garantire la sicurezza operativa continua

Verso un nuovo paradigma: “Assume Breach”

In conclusione, la sicurezza della supply chain non si risolve più delegando la responsabilità contrattuale al fornitore. È necessario implementare un’architettura che presupponga la compromissione (Assume Breach) e ne neutralizzi gli effetti attraverso il controllo tecnico rigoroso e costante.

Integrare una piattaforma di TPRM che supporti attivamente i principi Zero Trust significa passare da una difesa reattiva a una resilienza proattiva, proteggendo non solo i propri dati, ma l’integrità dell’intero ecosistema digitale.