Rischi di terze parti e verifica dei partner

1) Perché e per chi

Obiettivo: ridurre la possibilità di guasti, perdite e violazioni regolatorie che si verificano attraverso fornitori e partner esterni.
Copertura: PSP/gateway di pagamento, CUS/sanzioni/RER, antifrode, provider di giochi e studi, reti di affiliazione e tracking, cloud/CDN/hosting, BI/analisi, attrezzi di riscossione/marketing-SDK, call center e subprocessori dei nostri venditori.

2) Categorie di rischio (scheda di dominio)

Infobbe e privacy: fuoriuscite PII/KYC/token di pagamento, TOMs deboli, nessun controllo WORM.
Compagine: GDPR/UK GDPR/ePrivacy, AML/KYC, area PCI, requisiti pubblicitari/di gioco delle giurisdizioni.
Operativi: disponibilità/SLA, dipendenza da un singolo fornitore (concertation), BCP/DR debole.
Finanziari: sostenibilità del fornitore, rischi di credito, «chargeback shock».
Sanzioni/geopolitiche: restrizioni all'esportazione/importazione, localizzazione dei data center, RER/sanzioni nelle strutture di proprietà.
Reputazione e giurisprudenza: violazioni della pubblicità/gioco responsabile, diritti IP.
Tecnico: vulnerabilità SDK/API, assenza di versioning e ambienti di test.

3) Mappatura della catena di approvvigionamento

1. Inventory è un unico registro di tutti i vendor/partner/subprocessori con proprietario (business owner).
2. Data Map: quali dati/giurisdizione/quantità passano attraverso chi; bandiere PII/Finanze/Categorie Speciali.
3. Critical: classificato in base all'impatto sul denaro/PII/farmacia.

4) Tiring fornitore (esempio di criteri)

5) Rischio-screening e scorrimento

Fattori: sicurezza (policy, certificazione), privacy (DPA/SCCS/DTIA), compilazione (AML/PCI/ISO), stabilità operativa (SLA/BCP/DR), finanza (auditing/report), giurisdizione/sanzioni, storia di incidenti, maturità tecnologica (SDLC/DevSecOps)

Skoring (esempio): 0-5 per ciascun fattore (W) zona verde/giallo/rosso.

• Il contratto standard.
• Amber: controllo/rimediamento per Go-Live.
• Red: guasto o pilota con misure aggiuntive (segmentazione, throttling, read-only, escrow, limiti ridotti).

6) Due diligence (cosa richiedere all'ingresso)

• Politica di sicurezza/privacy, RoPA, registro dei sottoprocessori.
• Rapporti di verifica/certificazione (ISO 27001/SOC2 tipo II/PCI se applicabile), pentestelle recenti.
• BCP/DR e risultati dei test, RPO/RTO.
• Procedure di incidente (72 ore di notifica), registro degli incidenti in 12-24 mes.
• DPA/meccanismo di transfrontaliera (SCCS/IDTA) + DTIA, localizzazione dei dati/chiavi.
• Protezione delle integrazioni: mTLS/OIDC, webhook firmati, rotazione delle chiavi, allow-list IP.
• Registri di accesso/esportazione, copie WORM, catene hash.
• Criteri di rimozione e rimozione, conferma di cancellazione dei backup in offboarding.
• Finstability (report/referenze pubbliche), struttura di proprietà (controllo sanzionatorio/RER).

Questionario light per Tier 2-3: sIG/CAIQ-livello (20-60 domande).

7) Requisiti contrattuali (punti chiave)

SLA/SLO farmacia (ad esempio 99. 9%), latitanza P95, tempo di risposta agli incidenti, servizio credits.
Sicurezza/Privacy addendum: crittografia at rest/in transit, chiavi/geo, registrazione, occultamento, proibizione dell'uso secondario dei dati.
DPA + sottoprocessori: obbligo di notifica dell'estensione della catena diritto di obiezione/controllo.
Invio & Notifica: finestra di notifica di 72 ore; Accesso ai fogli/manufatti war-room condivisa.
BCP/DR: test N obbligatori una volta all'anno, RPO/RTO.
Pen-test/Audit rights: accesso ai report almeno 1 volta all'anno (remote/onsite).
Cambio control - Notifica delle modifiche maggiori (SDK/API/architettura/geografia).
Termini & Exit: esporta i dati (formati), rimuove/restituisce, escrow per le integrazioni critiche, supporta la migrazione in X giorni.
Liability/Indemnity: cap/cublimits, garanzie IP, multe per violazioni SLA/perdite.

8) Onboarding Monitoring d'Offboarding (ciclo di vita)

8. 1 Onboarding

1. La giustificazione aziendale e l'owner un sondaggio/manufatti.
2. Risk review (Security/Privacy/Compliance/Legal/Finance).
3. Controlli fino a Go-Live: segmentazione (VPC/tenant), carichi/limiti, occultamento/tornizzazione, feature-flags, banco di prova.
4. Contratto/integrazione → → Go/No-Go.

8. 2 Continuous Monitoring

Farmacia, errori, latitanza, budget dei rischi.
Sicurezza: alert SIEM (esporti/accessi anomali senza «purpose»), rapporti vendor, vulnerabilità SDK.
Privacy/compilation: modifiche ai sottoprocessori, alle posizioni, alla retensione; Compatibilità DSAR.
Finanza: KPI per conversione/refund/marceback, multe SLA.
Riview trimestrale per Tier 1-2 e annuale re-due-diligence.

8. 3 Offboarding

Recensione delle chiavi/disponibilità, distruzione/restituzione dei dati e dei backup, atti, chiusura dei ticket, aggiornamento dei registri e mappe dei dati.

9) Procedure di verifica dei partner

9. 1 Piano e ambito

Attivazione: gestione delle disponibilità, crittografia/chiavi, registri, incidenti, BCP/DR, processi DSAR, sottoprocessori.

9. 2 Metodi

Interviste, riepilogo dei documenti/fogli, controlli selettivi, test tecnici (api-rate-limit/mTLS/firme), insegnamento tabletop.

9. 3 Report e CAPE

Classificazione delle scoperte (Critical/High/Medium/Low), timeout, controllo della chiusura e retest.

10) Incidenti al venditore: playbook

1. Un segnale del venditore, del nostro monitoraggio/comunità.
2. War-room: owners + Security + DPO + Legal + Product.
3. Containment: limitazione del traffico/disattivazione SDK/chiavi, limiti temporali/pool canarini.
4. Forenzica: registro chiamate, firme Web, conferma WORM, intervallo di record interessati.
5. Notifiche: regolatori/utenti/banche (se necessario), testi condivisi.
6. CAPA: fissaggio, tempistica, verifica dell'efficienza; rinegoziare l'inventario e i termini del contratto.

11) RACI (ingrandito)

12) Metriche (KPI/KRI)

Coverage:% dei fornitori attivi nel registro con una valutazione valida del 100%.
Assessment TTM - Tempo medio di due diligence Tier 1 per 15 giorni lavorativi.
Remediation SLA: scoperte critiche chiuse da 30 giorni ( 95%).
Notifica inviata - Percentuale di notifiche nella finestra 72 ore - 100%.
DPA/SCCS/DTIA Coverage: Tier 1-2 è aggiornato al 100%.
Concentration Risk: quota di traffico/fatturato per 1 PSP/provider X% (soglia).
BCP/DR Evidence:% Tier 1 con test confermati per 12 mes - 100%.
Export Logging: il 100% degli esportatori sono firmati e accesi.

13) Modelli e sezioni

13. 1 Miniclub (Tier 1-2, estratto)

Certificazione/verifiche (ISO/SOC2/PCI), data di scadenza.
Architettura dati: geo, sottoprocessori, chiavi/CMS, crittografia.
Incidenti in 24 mes (tipo/data/misura).
Disponibili e registri (RBAC/ABAC, break-glass, JIT, WORM).
BCP/DR (data dei test, RPO/RTO).
DSAR/ , , CMP/SDK.
Controllo API: mTLS/OIDC, firma webhoop, rotazione chiavi, rate-limit.

13. 2 SLA (sezione)

13. 3 Sicurezza & Privacy Addendum

"Non utilizzare i dati secondari; Accesso rigoroso a Need-to-Know; esportazione solo nei registri approvati"

"Registri invariati (WORM) con firma hash; verifiche su richiesta una volta all'anno"

Durante la sostituzione del subprocessore, notifica di 30 giorni, diritto di obiezione, piano alternativo.

"DTIA in qualsiasi trasferimento transfrontaliero al di fuori delle adeguate giurisdizioni; le chiavi sono in EC/UK (per accordi)"

14) Assegno fogli

Prima di Go-Live con il fornitore

• Owner assegnato, tiro definito
• Interrogatore/manufatti ricevuti e verificati
• DPA/SLA/Modifiche firmate, sottoprocessori dichiarati
• Segmentazione/limiti/maschera inclusi, chiavi separate
• Test di sabbia/tablet per l'incidente superato
• Piano di uscita/migrazione ed escrow

Trimestrale (Tier 1-2)

• Monitoraggio SLA/incidenti/vulnerabilità SDK
• Aggiorna certificati/report, registro dei sottoprocessori
• Test DR/BCP confermato
• Finn-screening (sostenibilità), controlli sanzionatori
• Invidia rischi di concentramento e alternative

Offboarding

• Chiavi/disponibilità revocate
• Esportazione dei dati completata, conferma rimozione/backup
• Atti di chiusura, aggiornato Data Mar/registri

15) Tipi di script e misure

A) Vulnerabilità nel marketing SDK

Disattivazione immediata, unità di raccolta PII, notifica DPO/regolatori se necessario, CAPA al venditore, retest.

B) PSP degradato da SLA

Routing automatico del traffico per PSP di riserva, riduzione dei limiti, attivazione del servizio credits, revisione del contratto/exit plan.

C) Fuga di notizie dal provider KYC

Isolamento dell'integrazione, ritocco dei token, mappatura dei record interessati, notifiche, KYC high-risk manuale, controllo del venditore, possibile sostituzione.

16) Road map per l'implementazione di TPRM

Settimane 1-2: inventario dei venditori, Data Map, tiring, sondaggio di base e registro.
Settimane 3-4: modelli SLA/DPA/integratori, processo onboarding/monitoring/offboarding, integrazione con SIEM/CMDB/IDP.
Mese 2: pilota Tier 1-2, avvio delle recensioni trimestrali, automazione dei controlli certificati/scadenze.
Mese 3 +: scalabilità, screening/dashboard, stress test BCP/DR, ottimizzazione dei rischi di concentrazione e percorsi alternativi.

TL; DR

Un forte TPRM = una mappa completa dei venditori e dei trattati rigidi (SLA/DPA/BCP/DTIA) la segmentazione e le integrazioni sicure, il monitoraggio continuo e l'ispezione un rapido exit/remediamento. Protegge denaro, dati e licenze e mantiene la resilienza aziendale anche quando i partner falliscono.