Il divario di certificazione negli acquisti vendor
I team di sicurezza enterprise valutano decine di vendor ogni anno e hanno bisogno di un filtro rapido. La certificazione ISO 27001 glielo offre. Un auditor ha già verificato i controlli del vendor, risparmiando al team interno lo stesso lavoro.
I vendor privi di questa certificazione devono costruire la propria argomentazione in ogni trattativa. Questo costa tempo a entrambe le parti, rallenta la revisione e aumenta il rischio di un esito negativo.
Cosa copre lo standard 2022
L'Allegato A della versione attuale prevede 93 controlli in quattro gruppi: organizzativi, relativi alle persone, fisici e tecnologici. I team si concentrano su alcune aree chiave.
Controlli crittografici (Allegato A 8.24): Il vendor deve definire regole per l'uso delle chiavi, che coprono come le chiavi vengono create, conservate, accessibili e rimosse. La certificazione dimostra che un auditor ha confermato il funzionamento di questa politica.
Controllo degli accessi (Allegato A 8.2–8.5): L'accesso del personale ai dati dei clienti deve seguire il principio del privilegio minimo. La certificazione dimostra che tali limiti sono documentati e applicati.
Relazioni con i fornitori (Allegato A 5.19–5.22): I vendor devono documentare le regole di sicurezza per i propri fornitori. Questo è rilevante quando gli acquirenti devono dimostrare la sicurezza dei propri vendor.
Il certificato conferma che i processi e i controlli organizzativi sono in atto. Riduce la revisione personalizzata a un insieme più ristretto di domande architetturali che lo standard non affronta.
La domanda a cui la certificazione non risponde
Lo standard risponde alle domande di processo. Non risponde a ciò che le aziende regolamentate considerano prioritario: il vendor può leggere i nostri dati?
Un vendor certificato può comunque detenere chiavi lato server. La certificazione conferma che la gestione delle chiavi segue una politica. Non conferma che quella politica impedisca al vendor di accedere ai dati in chiaro.
Il design zero-knowledge risponde a ciò che lo standard lascia aperto. Le chiavi vengono generate lato client. Nessuna chiave risiede sul server. I dati vengono cifrati con AES-256-GCM prima di lasciare il client. Il vendor non può leggere i dati dei clienti. Questo è un fatto strutturale, non una scelta di policy.
Si tratta di due preoccupazioni distinte. La certificazione soddisfa i controlli di processo e organizzativi nei moduli di approvvigionamento. Il design zero-knowledge soddisfa la preoccupazione sull'accesso ai dati che le aziende regolamentate considerano prioritaria. Insieme superano i due principali ostacoli all'approvazione dei vendor cloud nei mercati sanitario, finanziario e legale.
Scopri come il design zero-knowledge risponde ai questionari di sicurezza e consulta la panoramica su sicurezza e conformità.
Come influisce sui tempi di revisione
Le revisioni vendor nei mercati regolamentati richiedono tempo, includono la compilazione di questionari, revisione documentale, revisione architetturale e spesso una chiamata con il team di sicurezza.
La certificazione riduce la revisione documentale. Il certificato e la Dichiarazione di Applicabilità fungono da prova. Un auditor ha già verificato i controlli; il team di approvvigionamento non deve ripetere quel lavoro.
Il design zero-knowledge riduce la revisione architetturale. La domanda sull'accesso ai dati ha una risposta strutturale chiara. Non c'è nulla da negoziare al di là dell'architettura stessa.
Entrambi i fattori eliminano i rimandi che prolungano le revisioni vendor. I team avanzano più rapidamente quando le domande difficili ricevono risposte dirette già alla prima presentazione. Meno cicli significano meno ritardi.
Per i vendor nei mercati regolamentati, questo è rilevante in ogni trattativa. Revisioni più brevi significano cicli di vendita più brevi. Alle dimensioni delle trattative enterprise, questa differenza ha un impatto significativo. I vendor in grado di rispondere alle domande più difficili fin dal primo giorno incontrano meno attrito in tutto il processo.
Per gli acquirenti enterprise, la combinazione significa una postura di rischio più solida. Un vendor che non può leggere i dati dei clienti e ha controlli organizzativi verificati offre una dimostrazione chiara del proprio impegno in materia di sicurezza. Approfondisci nell'hub FAQ.