# Cosa può insegnare la gestione della sicurezza tradizionale al Third-Party Cyber Risk Management > SwissGRC spiega cosa il TPCRM può imparare da ISO 28000, TAPA FSR e CTPAT. Per CISO e consulenti del rischio indica tre insegnamenti: segmentazione basata sul rischio, validazione indipendente e reti di responsabilità condivisa. - URL: https://swissgrc.com/it/tpcrm-lezioni-dalle-funzioni-sicurezza-consolidate/ - Editore: SwissGRC® - Pubblicato: 2025-10-05 - Ultimo aggiornamento: 2025-10-05 ## Punti chiave - La gestione del rischio cyber di terze parti (TPCRM) è una disciplina ancora in evoluzione, mentre sicurezza fisica e sicurezza della catena di fornitura dispongono già di framework maturi. - ISO 28000, TAPA FSR e CTPAT non si basano solo su questionari o autodichiarazioni, ma integrano controlli standardizzati, meccanismi di verifica e reti di fiducia settoriali. - Primo insegnamento: la segmentazione basata sul rischio prevede livelli di assurance differenziati, con monitoraggio continuo e certificazione per i fornitori ad alto rischio e sorveglianza più leggera per quelli a basso rischio. - Secondo insegnamento: la validazione indipendente integra standard di attestazione come ISO 27001, ISAE 3000 e SOC 2 e consorzi settoriali che riducono le ridondanze tra le valutazioni. - Terzo insegnamento: la TPCRM dovrebbe evolvere verso ecosistemi collaborativi come Swiss FS-CSC, dove l'intelligence sui rischi viene messa in comune. - L'articolo propone di considerare la TPCRM parte dell'Enterprise Security Risk Management (ESRM), in cui convergono sicurezza logica, fisica e delle risorse umane. **Nell’economia interconnessa di oggi, la resilienza di un’organizzazione non è più definita soltanto dalla propria postura di sicurezza, ma dalla solidità del suo intero ecosistema esteso. Se la gestione del rischio cyber di terze parti (TPCRM) ha guadagnato slancio negli ultimi anni, si tratta di una disciplina ancora in evoluzione. Altri ambiti, invece, come la sicurezza fisica e la sicurezza della catena di fornitura, hanno già sviluppato framework e prassi mature.** **La domanda da porsi è:** ***cosa può imparare la TPCRM da queste funzioni di sicurezza di terze parti già consolidate?*** Guardare oltre il cyber: imparare dai modelli maturi Le organizzazioni affrontano da tempo rischi legati a terze parti negli ambiti fisico e della catena di fornitura. Per gestirli, sono stati sviluppati interi standard e framework che integrano **approcci basati sul rischio, schemi di certificazione e modelli di fiducia settoriali**. Alcuni esempi: - **ISO 28000** – Uno standard incentrato sui sistemi di gestione della sicurezza per la catena di fornitura. Definisce come identificare gli asset critici, valutare i rischi e costruire resilienza nelle reti logistiche. - **TAPA FSR (Transported Asset Protection Association – Facility Security Requirements)** – Un framework ampiamente utilizzato nella logistica e nella gestione dei magazzini per proteggere merci di elevato valore, con una forte attenzione ai controlli verificabili e alle certificazioni. - **CTPAT (Customs Trade Partnership Against Terrorism)** – Un’iniziativa congiunta tra il governo statunitense e il settore privato che garantisce che importatori e partner della catena di fornitura implementino prassi di sicurezza rigorose a tutela del commercio globale. Questi framework hanno un elemento in comune: **non si basano solo su questionari** o autodichiarazioni. Integrano **controlli standardizzati, meccanismi di verifica e reti di fiducia settoriali**. Non serve che la cybersicurezza reinventi la ruota Troppo spesso, i programmi di gestione del rischio cyber di [terze parti](https://swissgrc.com/it/tprm-software) si basano pesantemente su fogli di calcolo, questionari lunghi e monitoraggi incoerenti. Rispetto alla sicurezza fisica, questo approccio appare immaturo. Traendo ispirazione da ISO 28000, TAPA FSR e CTPAT, possiamo individuare tre insegnamenti: 1. **Segmentazione basata sul rischio:** non tutti i fornitori sono uguali. Così come CTPAT differenzia i livelli di rischio nelle catene di fornitura, la TPCRM dovrebbe definire livelli di assurance differenziati: i fornitori ad alto rischio richiedono monitoraggio continuo e certificazione, quelli a basso rischio una sorveglianza più leggera. 2. **Validazione indipendente:** i framework di sicurezza fisica si basano su audit e certificazioni accreditati. La cybersicurezza può seguire questo modello integrando **standard di attestazione indipendenti** (ad esempio ISO 27001, ISAE 3000, SOC 2) e consorzi settoriali che riducono le ridondanze tra le valutazioni. 3. **Reti di responsabilità condivisa:** TAPA e CTPAT prosperano perché sono **comunità settoriali**: i membri condividono informazioni e parametri di riferimento. La TPCRM cyber dovrebbe evolvere verso **ecosistemi collaborativi** analoghi (cfr. [Swiss FS-CSC](https://fscsc.ch/en/)), dove l’intelligence sui rischi viene messa in comune, invece che ogni azienda reinventi la ruota da sola. Verso una visione integrata della sicurezza La lezione è chiara: la gestione del rischio informatico legato a terze parti non dovrebbe essere **un compartimento isolato**. Va invece considerata come parte di un approccio più ampio di [**Enterprise Security Risk Management**](https://asisonline.org/security-news/security-topics/esrm/) **(ESRM)**, in cui sicurezza logica, fisica e delle risorse umane convergono. Se allineiamo la gestione del rischio informatico di terze parti (TPCRM) ai modelli consolidati di sicurezza fisica e della supply chain, possiamo accelerare la maturità, ridurre le ridondanze e, soprattutto, costruire una fiducia reale lungo tutta la catena del valore. Conclusione I responsabili della sicurezza informatica non devono ripartire da zero. Decenni di esperienza nella **sicurezza fisica e della supply chain legata a terze parti** hanno già dimostrato cosa funziona: segmentazione basata sul rischio, validazione indipendente e comunità di fiducia consolidate. In qualità di CISO e consulenti del rischio, il nostro compito non è soltanto proteggere il perimetro digitale, ma integrare la **resilienza informatica negli stessi quadri di fiducia che già tutelano beni, persone e catene di fornitura**. **E lei, vede ulteriori insegnamenti che la gestione del rischio informatico di terze parti può trarre da funzioni già consolidate?** ## Domande frequenti ### Cosa può imparare la TPCRM dalla sicurezza fisica e della supply chain? Secondo l'articolo, la TPCRM può adottare tre principi già consolidati: segmentazione basata sul rischio, validazione indipendente e reti di responsabilità condivisa. Questi principi derivano da ISO 28000, TAPA FSR e CTPAT. ### Che cosa sono ISO 28000, TAPA FSR e CTPAT? ISO 28000 è uno standard per i sistemi di gestione della sicurezza della catena di fornitura. TAPA FSR è un framework per logistica e magazzini che protegge merci di elevato valore. CTPAT è un'iniziativa congiunta tra governo statunitense e settore privato per prassi di sicurezza rigorose nel commercio globale. ### Perché questionari e fogli di calcolo non bastano nella gestione del rischio cyber di terze parti? L'articolo osserva che i programmi basati su fogli di calcolo, questionari lunghi e monitoraggi incoerenti appaiono immaturi rispetto alla sicurezza fisica. I framework maturi integrano invece controlli standardizzati e meccanismi di verifica. ### Come si applica la segmentazione basata sul rischio ai fornitori? La TPCRM dovrebbe definire livelli di assurance differenziati. I fornitori ad alto rischio richiedono monitoraggio continuo e certificazione, quelli a basso rischio una sorveglianza più leggera. ### Che cos'è l'Enterprise Security Risk Management (ESRM) nel contesto della TPCRM? L'ESRM è un approccio più ampio in cui convergono sicurezza logica, fisica e delle risorse umane. L'articolo indica che la TPCRM non dovrebbe essere un compartimento isolato, ma parte di questo approccio.