Vendor Security Questionnaire

Da usare in pre-qualifica, gara, rinnovo contrattuale o revisione periodica del fornitore.

Vendor Risk Supply chain Procurement ICT Due diligence NIS2-ready

Come usarlo (2 minuti)

Richiedere risposta “Sì/No/Parziale” + evidenza (link o documento) + owner interno del fornitore.
Per servizi critici, chiedere anche: data dell’ultima revisione, scadenze, e piano di remediation se “Parziale/No”.
Se il fornitore usa subfornitori, le domande 12–15 valgono anche per la sua supply chain.

Dati del fornitore

Ragione sociale: ______________________

Servizio/prodotto valutato: ______________________

Referente security: ______________________ Email: ______________________

Data compilazione: ____ / ____ / ______

Nota: indicare eventuali limitazioni (scope) del servizio: Paesi, region, tenant, ambienti, moduli.

Questionario (15 domande)

Governance: Esiste un programma formale di sicurezza (policy, ruoli, responsabilità) approvato dal management?
Evidenze: organigramma security, policy, SoA/controlli, verbali/comitati.
Risk management: Eseguite risk assessment periodici sul servizio/prodotto fornito e sui suoi componenti critici?
Evidenze: metodologia, ultimi report, piano di trattamento rischio.
Certificazioni/attestazioni: Avete certificazioni o attestazioni di sicurezza rilevanti (es. ISO 27001 o equivalenti) applicabili allo scope del servizio?
Evidenze: certificato, scope, statement/annex, date validità.
Asset & configurazioni: È mantenuto un inventario aggiornato degli asset (hardware/software/cloud) e delle configurazioni che erogano il servizio?
Evidenze: asset register, CMDB, baseline/hardening guide.
Access control: Gli accessi amministrativi sono gestiti con least privilege, approvazioni, tracciamento e review periodiche?
Evidenze: processo IAM/PAM, report access review, log accessi privilegiati.
Autenticazione forte: È implementata MFA per accessi amministrativi e per accessi remoti (dove applicabile)?
Evidenze: policy MFA, screenshot/estratti configurazione, eccezioni.
Logging & monitoring: Sono attivi log di sicurezza e monitoraggio con retention definita e procedure di triage/alerting?
Evidenze: logging policy, retention, esempi alert, runbook SOC/IR.
Vulnerability management: Esiste un processo di vulnerability scanning, gestione patch e SLA (per severità) misurato nel tempo?
Evidenze: policy, ultimi report scan, KPI patch, backlog remediation.
Secure development (se software): Avete SDLC sicuro (code review, SAST/DAST, dipendenze, secret scanning) e gestione delle release?
Evidenze: SDLC policy, pipeline CI/CD, report strumenti, release notes process.
Crittografia: I dati sono cifrati in transito e (dove necessario) a riposo, con gestione controllata delle chiavi?
Evidenze: crypto policy, KMS/HSM, configurazioni TLS, key rotation.
Incident response: Avete un piano di Incident Response testato (esercitazioni) e un canale di escalation verso il cliente?
Evidenze: IR plan, report tabletop, contatti escalation, RACI.
Notifica incidenti: Vi impegnate contrattualmente a notificare incidenti che impattano il servizio entro una finestra definita (es. 24h) e con aggiornamenti successivi?
Evidenze: clausola contrattuale standard, template comunicazione, SLA notifica.
Business continuity: Avete BCP/DR con backup testati e obiettivi RTO/RPO dichiarati per il servizio?
Evidenze: BCP/DR plan, report test restore, RTO/RPO per componenti.
Subfornitori (supply chain): Elencate subfornitori critici e applicate controlli di sicurezza (due diligence e monitoraggio) anche sulla vostra supply chain?
Evidenze: lista subprocessor, policy onboarding vendor, audit/attestazioni.
Exit & data handling: In caso di cessazione, garantite revoca accessi, restituzione/cancellazione dati e supporto all’uscita (portabilità) con tempi definiti?
Evidenze: exit plan, data retention/deletion policy, procedure offboarding.

Esito (da compilare dal cliente)

Classificazione fornitore: CRITICO / ALTO / MEDIO / BASSO

Esito: Approvato / Approvato con remediation / Non approvato

Note e azioni: __________________________________________________________

Owner interno (cliente): ______________________ Data: ____ / ____ / ______

BITIL.COM è una organizzazione di professionisti ed esperti senior, dell' Information & Communication Technology (ICT) il cui interesse principale è la diffusione, la divulgazione della conoscenza [...]