Cybersecurity e supply chain: cosa insegna il caso CEVA Logistics

09 Set Cybersecurity e supply chain: cosa insegna il caso CEVA Logistics

Quanto può essere sicura un’azienda, se non lo sono altrettanto i soggetti a cui affida i propri dati e parte dei propri processi?

È una domanda che il recente attacco informatico a CEVA Logistics, uno dei maggiori operatori logistici internazionali, rende particolarmente concreta.

Tra la fine di luglio e l’inizio di agosto 2026, CEVA Logistics è stata colpita da un cyberattacco che ha interessato parte delle proprie attività europee. Secondo quanto comunicato dall’azienda, l’impatto operativo ha riguardato otto magazzini in Europa. Ma gli effetti dell’incidente non si sono fermati all’interno di CEVA.

Diverse organizzazioni che utilizzavano CEVA come partner logistico hanno infatti comunicato possibili compromissioni dei dati dei propri clienti, utilizzati per la spedizione dei prodotti hardware che erano stati coinvolti nell’incidente.

Nome, indirizzo, numero di telefono, email e informazioni relative agli ordini: dati appartenenti ai clienti di un’azienda, ma presenti nei sistemi di un suo fornitore.

Ed è proprio qui che il caso diventa interessante.

Il perimetro aziendale non finisce più alle porte dell’azienda

Cloud provider, software house, partner logistici, consulenti, servizi gestiti, piattaforme SaaS: ogni organizzazione opera all’interno di una rete di soggetti con cui condivide dati, sistemi o processi. Affidare un’attività a un fornitore, però, non significa trasferire anche il rischio.

Un incidente che colpisce un soggetto esterno può determinare perdita o esposizione di dati, indisponibilità di un servizio, rallentamenti operativi e conseguenze reputazionali per tutte le organizzazioni che dipendono da quel soggetto.
Il caso CEVA lo mostra bene: un unico incidente ha prodotto conseguenze su aziende appartenenti a settori molto diversi e, indirettamente, sui loro clienti.

La domanda quindi non è più soltanto:

“Quanto sono protetti i nostri sistemi?”

ma anche:

“Da quali soggetti esterni dipendiamo e quale rischio introducono nella nostra organizzazione?”

Supply chain security: da tema tecnico a rischio aziendale

Gestire la sicurezza della supply chain non significa pretendere che ogni fornitore sia immune dagli attacchi. Significa conoscere e governare le proprie dipendenze.

Alcune domande diventano quindi essenziali:

• quali fornitori hanno accesso ai nostri dati o ai nostri sistemi?
• quali servizi esterni sono indispensabili per garantire la continuità dell’attività?
• quali informazioni vengono condivise e per quanto tempo vengono conservate?
• quali misure di sicurezza vengono adottate dai fornitori più critici?
• cosa prevedono i contratti in caso di incidente?
• quanto rapidamente il fornitore deve informarci?
• abbiamo alternative o procedure di continuità nel caso in cui un servizio esterno diventi indisponibile?

Non tutti i fornitori presentano naturalmente lo stesso livello di rischio. Proprio per questo il primo passo è identificare quelli realmente critici e valutarli in funzione dell’accesso a dati, sistemi e processi aziendali.

L’importanza di NIS2 e ISO 27001 per la catena dei fornitori

La Direttiva NIS2 include espressamente la sicurezza della supply chain tra le misure di gestione del rischio cyber, chiedendo alle organizzazioni interessate di considerare anche gli aspetti di sicurezza relativi ai rapporti con fornitori e service provider.
Lo stesso approccio è presente nella ISO/IEC 27001, che attraverso i controlli dedicati alle relazioni con i fornitori porta le organizzazioni a identificare e gestire i rischi di sicurezza associati a prodotti e servizi forniti da soggetti esterni.

Non si tratta quindi semplicemente di “controllare i fornitori”, ma di costruire un processo: identificarli, classificarli in base al rischio, definire requisiti di sicurezza, monitorare nel tempo le relazioni più critiche e stabilire preventivamente come gestire eventuali incidenti.

Conclusioni

Il caso CEVA Logistics lascia un insegnamento particolarmente utile: possiamo investire nella protezione degli endpoint, delle reti, delle identità e dei dati aziendali. Ma una parte del nostro rischio continuerà inevitabilmente a trovarsi al di fuori del nostro perimetro diretto.

L’obiettivo quindi diventa sapere da chi dipendiamo, quali informazioni gli stiamo affidando e cosa accadrebbe alla nostra organizzazione se quel soggetto subisse un incidente. Perché oggi conoscere la propria supply chain significa conoscere anche una parte del proprio rischio cyber.

_______________________________

Fonti:
TechCrunch
ISO
Eur-Lex