Terze parti e gestione del rischio cyber

Nel contesto odierno, caratterizzato da una crescente interconnessione digitale e da filiere produttive sempre più distribuite a livello globale, la gestione del rischio cyber legato alle terze parti è diventata un elemento imprescindibile delle strategie di sicurezza delle organizzazioni. La stima secondo cui il 48% delle violazioni di dati nel 2024 sia stato causato da vulnerabilità derivanti da accessi o relazioni con fornitori esterni conferma come questi attori rappresentino un punto d’ingresso privilegiato per i cybercriminali. Di fronte a questo scenario, non è più sufficiente affidarsi a verifiche di conformità sporadiche o a valutazioni statiche dei partner: è necessario adottare soluzioni tecnologiche evolute e processi strutturati, capaci di garantire una gestione dinamica, continua e proattiva dell’intero ecosistema di terze parti.

Le organizzazioni più mature in ambito cyber hanno già integrato nelle proprie strategie strumenti avanzati che permettono di ottenere visibilità in tempo reale sul livello di rischio dei propri fornitori e partner. Tuttavia, queste piattaforme da sole non bastano a gestire la complessità crescente di una superficie d’attacco in continua espansione, che coinvolge ambienti cloud, dispositivi IoT/OT, sistemi legacy e applicazioni di terze parti. Per questo motivo, Grant Thornton propone un approccio olistico e integrato, capace di coniugare le più moderne tecnologie di monitoraggio e detection con servizi di governance, advisory e risposta operativa.

Al centro di questa proposta si colloca Cybersonar, una piattaforma proprietaria che unisce funzionalità di Threat Intelligence e Attack Surface Management, consentendo il monitoraggio continuo della superficie d’attacco esterna e l’identificazione tempestiva di vulnerabilità, configurazioni errate e minacce emergenti, non solo per l’organizzazione ma anche per le sue terze parti critiche. Cybersonar permette alle aziende di anticipare gli attacchi, rafforzare la resilienza dell’intero ecosistema digitale e garantire la conformità a normative quali la NIS2 e il regolamento DORA, sempre più rilevanti per molteplici settori. Questa piattaforma si integra perfettamente con altre soluzioni tecnologiche di punta come Cyberhunter, il sistema SIEM & SOAR proprietario che abilita l’automazione dei processi di detection e response, e Defprobe, soluzione NDR progettata per il rilevamento di anomalie e minacce su reti aziendali, cloud e ambienti IoT/OT. A completare l’ecosistema, Grant Thornton offre strumenti innovativi di brand protection predittiva, rimozione di siti e contenuti falsi, search riservate nel dark e deep web, oltre a chatbot AI personalizzabili per esigenze di sicurezza specifiche.

Tuttavia, la tecnologia da sola non basta: per garantire una protezione completa, Grant Thornton affianca alle piattaforme proprietarie un portafoglio completo di servizi professionali. In ambito Cybersecurity Governance, le aziende possono contare su attività di Cybersecurity Advisory, definizione di strategie e modelli di governo della sicurezza (Cybersecurity Strategies & Governance), supporto CISO as-a-Service, gestione di processi di compliance verso standard e leggi come ISO 27001, NIS2, DORA e GDPR, nonché sviluppo di Security Policies e procedure personalizzate. Particolare attenzione è rivolta alla fase di Security by Design, affinché la sicurezza sia integrata fin dalle prime fasi di sviluppo di prodotti, applicazioni e servizi. Sul fronte tecnico, Grant Thornton eroga servizi di Cyber Defence come vulnerability assessment, penetration testing su reti e applicazioni web, secure code review, attività forensi su ambienti digitali, mobili e IoT/OT, threat modelling, cyber threat intelligence mirata e assessment della postura di sicurezza in ambienti cloud complessi. In caso di incidente, le aziende sono supportate da team specializzati di Incident Response & Forensics in grado di intervenire rapidamente per contenere, analizzare e risolvere anche eventi sofisticati e su larga scala.

Tutte queste capacità confluiscono in un Security Operations Centre (SOC) all’avanguardia, dotato di funzioni di Managed Detection and Response (MDR) e Network Detection and Response (NDR), per una sorveglianza continua degli ambienti IT/OT, la gestione automatizzata degli alert e la risposta tempestiva agli incidenti. A supporto della protezione dei dati e degli accessi sono inoltre disponibili soluzioni di Identity and Access Management (IAM, IGA, PAM), Data Loss Prevention (DLP), Network Access Control (NAC) e Email Security Gateway, fondamentali per ridurre la superficie d’attacco interna e prevenire la perdita o l’esfiltrazione di informazioni sensibili. Infine, per mitigare uno dei rischi più rilevanti, il fattore umano, Grant Thornton propone programmi strutturati di Cyber Security Awareness personalizzati, per sensibilizzare e formare il personale su comportamenti sicuri, phishing simulation, gestione delle credenziali e risposta agli incidenti.

L’esperienza maturata con numerosi clienti ci conferma che la vera sfida non è solo tecnica, ma anche di governance: la sicurezza informatica deve uscire dall’ambito strettamente IT per diventare un obiettivo di leadership, gestione e governo del rischio, cultura aziendale e awareness. In Italia, come evidenziato dal Rapporto CLUSIT 2025, cresce la consapevolezza, ma il gap rispetto ai livelli di maturità di altri Paesi europei resta ancora significativo. Le aziende italiane stanno iniziando a spostare il focus dagli strumenti tecnologici verso la governance, investendo in modelli organizzativi, formazione e valutazione dei rischi. Questo cambiamento è necessario per stare al passo con il contesto normativo europeo che è in continua evoluzione. La Direttiva NIS2 rappresenta, oggi, uno dei più importanti temi di sicurezza e conformità per tutte le organizzazioni che operano in settori strategici all’interno dell’Unione Europea. Tuttavia, i dati più recenti a nostra disposizione dimostrano che la piena conformità alla NIS2 è ancora un traguardo lontano per molte imprese italiane: infatti, solo il 61% di quelle che hanno avviato un’iniziativa strutturata risulta in linea con i requisiti[1].

Troppo spesso riscontriamo in azienda modelli frammentati, ruoli poco chiari e una sottovalutazione dell’impatto della supply chain: aspetti che la NIS2 rende oggi prioritari. In questa fase, molte organizzazioni stanno avviando attività di assessment e gap analysis, spesso affiancate da percorsi di certificazione ISO/IEC 27001:2022 per strutturare processi efficaci e misurabili. Grant Thornton, grazie alla propria esperienza multidisciplinare e alla presenza capillare sul territorio, ha già supportato con successo alcune aziende italiane nell’avvio del percorso di adeguamento alla NIS2. In particolare, i nostri team hanno condotto assessment approfonditi su vari livelli organizzativi, dalla governance alla supply chain, identificando con precisione i gap rispetto ai requisiti normativi e proponendo piani di azione concreti, sostenibili e calibrati sul contesto specifico di ciascuna impresa. Questi interventi si sono successivamente tradotti in roadmap operative che hanno permesso ai clienti di arrivare preparati e di anticipare le scadenze regolatorie, aumentare la propria resilienza informatica e rafforzare la fiducia degli stakeholder interni ed esterni.

Un ulteriore riconoscimento del nostro impegno e della nostra competenza nel settore è rappresentato dall’ottenimento della certificazione ISO/IEC 27001:2022, che attesta l’eccellenza del nostro sistema di gestione della sicurezza delle informazioni. Questo risultato non solo consolida la nostra leadership nel campo della cybersecurity, ma rappresenta anche una garanzia concreta per i nostri collaboratori: lavorare con un partner certificato significa affidarsi a professionisti che operano secondo i più alti standard internazionali. Inoltre, essere certificati ISO/IEC 27001:2022 ci consente di trasferire ai nostri clienti metodi collaudati, una governance strutturata e strumenti già testati, accelerando così il percorso di conformità (non solo verso la NIS2, ma anche verso altre recenti normative come DORA nel settore finanziario).

Il nostro obiettivo non è solo la compliance, ma la costruzione di un sistema di cybersecurity solido, capace di generare valore e proteggere il business nel lungo periodo. In un panorama normativo in rapida evoluzione, Grant Thornton si propone come partner affidabile per accompagnare le aziende italiane nel passaggio da un approccio reattivo a una visione strategica e proattiva della sicurezza informatica. Adeguarsi alla NIS2 non è solo un obbligo: è una scelta di responsabilità, che rafforza la resilienza operativa e la fiducia degli stakeholder.

Dal punto di vista del mercato, il settore della cybersecurity sta vivendo una fase di espansione senza precedenti. Il mercato globale è stato stimato a 245,62 miliardi di dollari nel 2024 e si prevede che raggiungerà i 500,70 miliardi di dollari entro il 2030, con un tasso di crescita annuale composto (CAGR) del 12,9%[2]. Anche in Italia il trend è molto positivo: nel 2024, il mercato nazionale ha toccato i 2,48 miliardi di euro, registrando un incremento del 15% rispetto al 2023. Tra i settori più dinamici si segnalano logistica, trasporti e servizi, che, favoriti dall’attuazione della Direttiva NIS2, hanno registrato incrementi superiori alla media, rispettivamente del 25% e del 24%[3].

Questi numeri testimoniano una trasformazione strutturale nella percezione e nella gestione del rischio digitale, alimentata non solo dalle nuove normative, ma anche da una maggiore consapevolezza dell’importanza strategica della sicurezza informatica. Le aziende che sapranno investire tempestivamente in soluzioni strutturate, integrate e orientate alla governance saranno in una posizione di vantaggio competitivo, potendo contare su maggiore resilienza operativa, miglior posizionamento di mercato e una più alta credibilità nei confronti di clienti, investitori e partner.

[1] ANGI – Associazione Nazionale Giovani Innovatori. Osservatorio sulla Cybersecurity: solo il 61% delle imprese che hanno intrapreso un cammino strutturato verso la NIS2 risulta conforme, 2024.
[2] Grand View Research, Cyber Security Market Report, 2024.
[3] Osservatorio Cybersecurity & Data Protection – Politecnico di Milano, Il mercato della cybersecurity in Italia: cresce del 15% nel 2024, 2024.