Cybersecurity: la Supply Chain è l’ultimo miglio della fiducia digitale

C’è un’idea che per anni ha guidato la cybersecurity: l’esistenza di un confine chiaro tra ciò che appartiene all’organizzazione e ciò che ne resta fuori. Un dentro da proteggere, un fuori da controllare.

Quella distinzione oggi non regge più.

Non è stata una rottura improvvisa. Il cambiamento è avvenuto in modo progressivo, quasi silenzioso, attraverso una somma di trasformazioni strutturali: cloud, outsourcing, integrazioni applicative, accessi remoti, piattaforme condivise e supply chain sempre più interconnesse. Ogni scelta ha aumentato efficienza e velocità del business, ma ha anche eroso, passo dopo passo, l’idea stessa di confine,

Nel 2026 le imprese non operano più come sistemi chiusi, ma come nodi all’interno di ecosistemi digitali distribuiti, in cui fornitori, partner tecnologici, service provider e infrastrutture condivise partecipano direttamente ai processi critici del business

Il risultato è un cambiamento strutturale: il perimetro non è stato violato, si è dissolto nella trama delle interdipendenze operative che sostengono la continuità operativa.

È proprio qui che si colloca il cambio di paradigma più rilevante. Una quota crescente degli attacchi cyber non punta più ai sistemi core, ma si sviluppa lungo le connessioni della filiera, sfruttando vulnerabilità periferiche, accessi terzi e componenti software integrati per muoversi lateralmente all’interno dell’ecosistema.

La Supply Chain diventa così il punto in cui il rischio non solo entra, ma si amplifica e si propaga.

In questo nuovo scenario, la sicurezza non è più una questione di protezione del perimetro, ma di governo di un sistema esteso di relazioni digitali. E la fiducia, per anni elemento implicito e abilitante del business, si trasforma oggi nella principale infrastruttura invisibile del rischio.

Per il management, la questione non riguarda più il livello di sicurezza interno, ma la reale capacità di governare l’insieme delle connessioni da cui dipende la continuità e la sopravvivenza del business.

Non sono i sistemi più forti ad essere colpiti per primi. Sono quelli più interconnessi.

Tra la fine del 2025 e l’inizio del 2026, una sequenza di incidenti cyber ha reso questa dinamica particolarmente evidente: la Supply Chain non è più soltanto un’estensione operativa, ma il vero ambiente in cui il rischio si propaga, si amplifica e si trasforma in crisi sistemica. Non attraverso un unico punto di rottura, ma lungo le connessioni — spesso invisibili — che tengono insieme fornitori, partner e piattaforme condivise.

È in questo spazio che la fiducia, da elemento funzionale del business, diventa anche il principale vettore di esposizione.

Tre episodi, avvenuti tra agosto e dicembre 2025, lo mostrano con chiarezza.

Nell’agosto 2025, il caso Jaguar Land Rover ha coinvolto uno dei principali gruppi automotive globali, inserito in una filiera produttiva altamente digitalizzata e distribuita su scala internazionale. In un ecosistema in cui stabilimenti, fornitori e sistemi software operano in stretta integrazione, la presenza di vulnerabilità note in componenti SAP NetWeaver ha rappresentato il punto di innesco di un effetto domino esteso. L’incidente non si è limitato a un singolo ambiente IT: ha attraversato la catena del valore, impattando produzione, logistica e partner industriali. Il risultato è stato un blocco operativo che ha evidenziato quanto la fiducia nei sistemi enterprise condivisi possa tradursi in un moltiplicatore di rischio sistemico.

Nell’ottobre 2025, il caso di un distributore di prodotti ittici surgelati si è sviluppato invece lungo la dimensione meno visibile della Supply Chain: quella delle relazioni tra organizzazioni. Inserito in una rete di fornitori internazionali e flussi logistici continui, il contesto è stato colpito da una campagna di Business Email Compromise che non ha richiesto alcuna violazione infrastrutturale. L’attacco ha agito sulla comunicazione tra le parti, intercettando lo scambio con un fornitore estero e modificando le coordinate bancarie di un pagamento. In questo scenario, il punto debole non è stato tecnologico, ma relazionale: la fiducia nei processi di interazione operativa.

Nel dicembre 2025, Fiorucci, tra i principali player italiani del settore alimentare, è stata colpito da un attacco ransomware nel pieno della stagione produttiva più sensibile. L’incidente ha interessato i sistemi di gestione degli ordini, con impatti immediati su logistica e distribuzione. In assenza di dettagli ufficiali sul punto di ingresso, la dinamica si colloca nel perimetro tipico degli attacchi che colpiscono supply chain industriali integrate, dove sistemi applicativi critici e accessi indiretti rappresentano superfici di attacco sempre più rilevanti.

Tre contesti differenti – automotive globale, distribuzione alimentare, industria food – e una stessa traiettoria: la Supply Chain come ambiente naturale di propagazione del rischio.

In tutti i casi, il punto di ingresso non coincide con il punto di impatto. A determinare la portata dell’incidente non è soltanto la vulnerabilità iniziale, ma la densità delle connessioni e il livello di fiducia incorporato nei flussi che tengono insieme l’ecosistema digitale e operativo.

Non siamo più di fronte a vulnerabilità concentrate nei sistemi core, ma a fratture che si generano lungo le giunzioni della Supply Chain. È lì, nei punti di connessione tra ambienti diversi, che il rischio prende forma.

Le vulnerabilità della filiera nascono spesso dall’attrito tra sistemi eterogenei, livelli di maturità differenti e modelli di sicurezza non allineati. È in queste “zone grigie” tra organizzazioni che la visibilità si assottiglia e il rischio si propaga in silenzio, trasformando un incidente locale in un fermo operativo esteso.

Quattro sono i vettori che oggi concentrano la maggior parte delle compromissioni:

• Software Supply Chain e dipendenze digitali: la filiera del software è diventata una componente strutturale dell’infrastruttura aziendale. Librerie open source, componenti di terze parti, aggiornamenti automatici e pipeline CI/CD costruiscono un ecosistema altamente efficiente ma profondamente interconnesso. Il rischio si materializza quando la fiducia si sposta a monte: una compromissione nel codice sorgente, nel repository o nei processi di build non rimane confinata, ma si propaga simultaneamente a tutte le organizzazioni che dipendono da quel componente.
• Identità e accessi esterni: gli accessi dei fornitori rappresentano oggi una delle estensioni più critiche del perimetro aziendale. Account privilegiati, VPN, strumenti di manutenzione e connessioni remote consentono l’accesso diretto ai sistemi interni, trasformando la Supply Chain in una superficie attiva di ingresso. In assenza di controlli granulari — autenticazione forte, segmentazione degli accessi, logiche just-in-time e modelli Zero Trust applicati ai terzi — questi canali possono diventare vie persistenti di compromissione difficili da rilevare.
• Comunicazioni e processi di fiducia: una quota crescente degli attacchi non colpisce l’infrastruttura, ma la relazione tra gli attori della filiera. Processi di approvazione, scambio documentale e gestione dei pagamenti diventano il terreno privilegiato per Business Email Compromise e tecniche di social engineering. L’evoluzione delle capacità di manipolazione digitale, incluse tecniche basate su intelligenza artificiale come deepfake e voice cloning, rende sempre più complessa la distinzione tra interazione autentica e frode strutturata.
• Supply Chain industriale e superficie OT estesa: negli ambienti produttivi la catena di fornitura si estende fino al livello fisico. Fornitori, integratori e manutentori operano direttamente su sistemi OT come PLC e SCADA, mentre componenti hardware e firmware possono essere compromessi già nelle fasi precedenti alla consegna. Questo tipo di esposizione è particolarmente critico perché si colloca a monte del perimetro digitale e si manifesta spesso come anomalia operativa, difficilmente distinguibile da un normale degrado funzionale. Nei contesti OT, inoltre, la priorità attribuita alla continuità produttiva limita frequentemente l’introduzione di controlli invasivi, ampliando la finestra di esposizione.

A questa evoluzione si sovrappone un ulteriore livello di trasformazione, questa volta normativo, che sta incidendo direttamente sulle priorità del top management.

L’art. 24, comma 2, lettera d) del D.Lgs. 138/2024 (Decreto NIS 2) introduce un cambiamento sostanziale: la gestione del rischio cyber legato a fornitori e terze parti diventa una responsabilità direzionale, non più una questione delegabile all’IT.

Il rischio della Supply Chain non riguarda più esclusivamente l’area tecnologica o la continuità operativa: entra nei processi decisionali del top management, influenzando priorità strategiche, allocazione delle risorse e modelli di accountability.

È un passaggio che ridefinisce anche i criteri con cui si misura la maturità organizzativa. Non basta più proteggere il perimetro interno: le organizzazioni devono dimostrare di conoscere, valutare e governare il rischio generato dalle proprie interdipendenze operative.

Le implicazioni operative sono concrete:

• formalizzazione di un modello strutturato di Vendor Risk Management integrato nei processi aziendali;
• definizione di criteri chiari e documentabili per valutazione, qualificazione e monitoraggio dei fornitori;
• introduzione di controlli continui, capaci di superare approcci basati su verifiche episodiche o puramente documentali;
• tracciabilità delle evidenze e delle responsabilità lungo tutto il ciclo di gestione del fornitore.

La Supply Chain diventa così un dominio da governare in modo sistematico e continuativo. E in questo contesto, la capacità di dimostrare controllo attraverso processi, evidenze e responsabilità si trasforma in un indicatore concreto di resilienza e maturità organizzativa.

Nel nuovo equilibrio della Supply Chain digitale, il rischio non è soltanto una variabile tecnica: è una derivazione diretta del livello di fiducia che un’organizzazione decide di estendere oltre i propri confini.

In questo scenario, la gestione dei fornitori non può più essere interpretata come un’attività amministrativa o di controllo periodico. Le filiere evolvono in modo e la fiducia che lega l’organizzazione ai propri fornitori non è più statica: è una variabile dinamica che cambia insieme all’infrastruttura che la sostiene.

Per questo, i modelli tradizionali basati su assessment episodici risultano progressivamente insufficienti a rappresentare il rischio reale. Fotografano uno stato, ma non intercettano la sua evoluzione.

Il Vendor Risk Management si sposta così su un piano diverso: dal controllo del fornitore al governo della fiducia che quel fornitore abilita nel tempo.

Un processo strutturato, basato su un ciclo dinamico di valutazione, monitoraggio e aggiornamento coerente con la natura evolutiva del rischio cyber:

1. Identificazione e classificazione: mappatura completa dei fornitori e classificazione in base alla criticità, considerando accesso a dati, sistemi, processi e ambienti OT. Questa fase consente di definire priorità e livelli di controllo proporzionati all’esposizione reale.
2. Valutazione iniziale (due diligence): raccolta di evidenze tramite questionari strutturati, analisi documentale, assessment tecnici e verifica di certificazioni come ISO/IEC 27001. L’obiettivo è misurare il livello di maturità del fornitore sui principali domini di sicurezza.
3. Analisi del rischio: interpretazione delle evidenze raccolte per identificare vulnerabilità, gap di controllo e possibili impatti operativi. Per i fornitori più critici possono essere previsti audit approfonditi, anche onsite, o attività di verifica sugli accessi remoti e sulle modalità di integrazione ai sistemi aziendali.
4. Trattamento del rischio: definizione di azioni correttive e requisiti di sicurezza aggiuntivi, incluse clausole contrattuali, segmentazione degli accessi, MFA, limitazioni privilegiate e requisiti di monitoraggio.
5. Monitoraggio continuo: aggiornamento periodico della valutazione attraverso cyber rating, exposure intelligence, verifica delle superfici esposte e raccolta di indicatori di compromissione. È l’elemento che consente di passare da un controllo statico a una gestione realmente dinamica del rischio.
6. Revisione e miglioramento: riesame periodico del processo e dei fornitori critici, con l’obiettivo di adattare il modello di gestione all’evoluzione dello scenario di minaccia e del contesto operativo.

La sua efficacia non si misura nella singola valutazione, ma nella capacità di mantenere coerente, nel tempo, il rapporto tra fiducia estesa e rischio reale.

Garantire la sicurezza della Supply Chain richiede continuità operativa, capacità di correlazione e competenze specialistiche difficilmente sostenibili in modo autonomo, soprattutto in contesti distribuiti o caratterizzati da integrazioni IT-OT complesse.

In questo scenario, un modello basato su servizi gestiti consente di mantenere visibilità continua su accessi di terze parti, anomalie operative ed esposizioni emergenti lungo l’intera catena del valore.

Il ruolo di un Managed Security Service Provider (MSSP) non si limita al monitoraggio tecnico. L’obiettivo è ridurre il tempo di esposizione al rischio, correlando eventi, accessi e segnali di compromissione che, se analizzati separatamente, rischierebbero di apparire irrilevanti.

Negli ambienti industriali questa capacità assume particolare rilevanza. La correlazione tra eventi IT e OT, il controllo degli accessi remoti dei fornitori e il monitoraggio dei sistemi di controllo consentono di individuare anomalie che possono avere impatti diretti sulla continuità operativa e sulla safety industriale.

Un ulteriore elemento chiave è la componente consulenziale. Un MSSP supporta le organizzazioni nella definizione di policy, requisiti minimi e standard di sicurezza condivisi lungo la filiera, contribuendo a costruire modelli coerenti di governance del rischio. Questo consente di uniformare criteri di accesso, monitoraggio e gestione degli incidenti anche in ecosistemi caratterizzati da fornitori con livelli di maturità molto differenti.

A questo si aggiunge la dimensione normativa. Processi documentati, evidenze tracciabili e capacità di reporting continuo supportano le organizzazioni nel dimostrare un controllo effettivo del rischio, in linea con i requisiti introdotti dalla NIS2.

Il contributo dell’MSSP non è sostitutivo delle funzioni interne, ma abilitante: rafforza governance, continuità del presidio e capacità operative in contesti in cui il rischio evolve più rapidamente delle risorse disponibili.

La sicurezza della Supply Chain si sta affermando come una delle principali direttrici del rischio contemporaneo non solo per la frequenza degli attacchi, ma per la loro capacità di propagarsi lungo ecosistemi interconnessi, generando impatti non lineari e trasversali.

Il perimetro aziendale coincide ormai con l’insieme delle relazioni operative che sostengono il business. Governarlo significa sviluppare visibilità, coordinamento e responsabilità condivise lungo tutta la filiera.

Non si tratta soltanto di prevenire incidenti, ma di costruire un modello capace di assorbire le discontinuità senza compromettere continuità operativa, produzione e affidabilità.

Le organizzazioni che riescono in questo passaggio trasformano una potenziale fonte di esposizione in un elemento di stabilità competitiva.

Per questo motivo, oggi la resilienza non si misura più soltanto dai confini che un’organizzazione protegge, ma dalle dipendenze che è realmente in grado di governare.