La due diligence del fornitore è il processo con cui si valutano la sicurezza, l’affidabilità e le condizioni contrattuali di un fornitore prima di acquistare i suoi prodotti o servizi. Aiuta un’organizzazione a comprendere i rischi legati alla dipendenza da una parte esterna, soprattutto quando il fornitore potrebbe gestire dati sensibili, avvisi di sicurezza o sistemi operativi.
Negli acquisti in ambito cybersecurity, le verifiche possono includere l’esame dei controlli di sicurezza e delle certificazioni, la richiesta di informazioni sulla risposta agli incidenti e sui diritti di audit, il chiarimento delle procedure di escalation e dell’accesso ai log, nonché la pianificazione di come concludere il rapporto in sicurezza. Una certificazione può contribuire alla valutazione, ma non dimostra che un fornitore saprà operare bene in ogni incidente. La due diligence dovrebbe essere adeguata al servizio e al profilo di rischio dell’organizzazione, e proseguire man mano che il rapporto evolve.