Misure di sicurezza per fornitori

Le presenti Misure di sicurezza per fornitori si applicano al Fornitore quando fornisce beni, servizi o software a OpenAI e sono incorporate nell'accordo applicabile tra il Fornitore e OpenAI (“Accordo”). I termini utilizzati ma non definiti in questo documento sono definiti nell'Accordo.

Il Fornitore manterrà e gestirà un Programma di sicurezza informatica che sarà riesaminato almeno ogni anno, o prima, se ciò è richiesto da un Incidente di sicurezza o da una modifica sostanziale della normativa applicabile. La supervisione del Programma di sicurezza informatica sarà assegnata a personale dirigente adeguatamente qualificato. 

Al fine di soddisfare gli obblighi di sicurezza e privacy ai sensi del presente Accordo, il Programma di sicurezza informatica del Fornitore includerà quanto segue:

• Mantenere policy scritte in materia di sicurezza delle informazioni e privacy in linea con il Programma di sicurezza informatica e a tutte le normative sulla protezione dei dati applicabili. 
• Comunicare tali policy e informative e il Codice di condotta dei fornitori a tutto il personale interessato, richiedendo una conferma formale della ricezione.
• Monitorare la conformità e correzione della non conformità tramite procedure documentate; applicare sanzioni disciplinari commisurate in caso di violazioni delle policy.

• Mantenere e gestire un programma di gestione del rischio che includa valutazioni periodiche dei rischi e controlli per l'identificazione, l'analisi, il monitoraggio, la segnalazione e l'adozione di azioni correttive.
• Eseguire almeno annualmente valutazioni del rischio (internamente o avvalendosi di risorse indipendenti incaricate contrattualmente) per individuare i rischi per i Dati di OpenAI, i rischi per gli asset aziendali del Fornitore (ad es. l'infrastruttura tecnica), le minacce nei confronti di tali elementi (sia interne sia esterne), la probabilità che tali minacce si verifichino e l'impatto sull'organizzazione.
• Valutare i rischi per la sicurezza dei Dati di OpenAI e dare priorità alla loro risoluzione.

• Mantenere e applicare le pratiche standard del settore per la verifica, la formazione e la gestione del personale.
• Nella misura consentita dalla legge nella giurisdizione di ciascun lavoratore, condurre verifiche pre-assuntive su tutto il personale che avrà accesso ai Dati di OpenAI o supporterà l'esecuzione delle prestazioni del Fornitore.
• Fornire formazione annuale su sicurezza e privacy al Personale del Fornitore, nonché formazione supplementare sulla sicurezza laddove opportuno.
• “Richiedere al Personale del Fornitore, quale condizione di impiego o incarico, di sottoscrivere un accordo di riservatezza oppure garantire che sia soggetto a obblighi di riservatezza conformi a quelli cui il Fornitore è soggetto in relazione all'esecuzione delle proprie prestazioni per OpenAI, quale condizione di impiego o incarico, e che rispetti le policy sulla protezione dei dati dei clienti e di altri terzi.
• Verificare l'identità dei propri dipendenti e dei lavoratori temporanei.
• Non impiegare né reperire Personale del Fornitore che si trovi in alcun Paese o territorio: (a) designato come soggetto a sanzioni globali dall'Office of Foreign Assets Control (OFAC) degli Stati Uniti; (b) soggetto a un avviso di viaggio di Livello 4/Non viaggiare da parte del Dipartimento di Stato degli Stati Uniti; o (c) in regioni interessate da un conflitto armato attivo.
• Consentire a OpenAI di effettuare controlli di sicurezza ad hoc sul Personale del Fornitore e condividere tempestivamente qualsiasi informazione ragionevolmente richiesta da OpenAI a supporto di tali controlli.
• OpenAI potrebbe condurre ulteriori controlli di sicurezza sul Personale del Fornitore che lavora in remoto, a condizione che ciò non limiti né escluda l'obbligo del Fornitore di condurre i propri controlli dei precedenti e le verifiche dell'identità ai sensi delle presenti Misure di sicurezza o dell'Accordo.

Il Fornitore metterà in sicurezza tutti i computer portatili aziendali, i dispositivi mobili, i server in loco e altro hardware che elabora i Dati di OpenAI mediante:

• La gestione centralizzata di ciascun endpoint e server (incluse le infrastrutture in loco) tramite una piattaforma approvata di gestione degli endpoint.
• L'applicazione automatica di configurazioni di sicurezza di base e di patch tempestive su sistemi operativi, applicazioni e firmware di postazioni di lavoro e server.
• La richiesta della crittografia a riposo: crittografia dell'intero disco su laptop e postazioni di lavoro e crittografia a livello di volume o di archiviazione su server e dispositivi di archiviazione.
• La disabilitazione o il controllo rigoroso dei supporti portatili e rimovibili su tutti gli asset.

• Mantenere e applicare pratiche standard del settore per il controllo dell'identità, dell'autenticazione e della gestione degli accessi.
• Documentare le policy e le procedure che regolano la gestione degli accessi per il Personale del Fornitore e gli account di servizio.
• Mantenere un elenco accurato e aggiornato di tutto il Personale del Fornitore con accesso ai Sistemi. 
• Disabilitare o revocare le credenziali entro un giorno lavorativo dal trasferimento o dalla cessazione del rapporto di lavoro.
• Utilizzare il single sign-on (SSO) per tutti gli accessi interattivi ai sistemi interni e ai servizi di terze parti che supportano l'erogazione dei Servizi.
• Applicare l'autenticazione a più fattori tramite il provider di identità nell'ambito del flusso di accesso SSO. 
• Implementare un controllo degli accessi basato sui ruoli (Role-Based Access Control, RBAC) secondo i principi del privilegio minimo e della separazione delle funzioni.
• Utilizzare account privilegiati (“root”/“amministratore”) solo quando tecnicamente necessario nell'ambito di procedure approvate di controllo delle modifiche; vietare agli utenti non privilegiati di eseguire funzioni privilegiate.
• Richiedere una revisione e un'approvazione formali per qualsiasi richiesta di accesso ai sistemi che archiviano i Dati di OpenAI, oltre a audit periodici (con frequenza almeno trimestrale) per confermare l'idoneità dei privilegi.
• Stabilire procedure per segnalare e revocare le credenziali compromesse (ad es. password, chiavi API) e per verificare l'identità dell'utente prima di eseguire reimpostazioni o rilasciare credenziali temporanee.
• Per gli utenti finali di OpenAI, ricorrere a un servizio di gestione delle identità e degli accessi di terze parti; il Fornitore non archivia le password fornite dall'utente.

• Mantenere e gestire un piano di risposta agli incidenti di sicurezza per rispondere agli eventi che compromettono la riservatezza, la disponibilità o l'integrità delle prestazioni del Fornitore o dei Dati di OpenAI e per risolverli.
• Qualora il Fornitore venga a conoscenza di un Incidente di sicurezza effettivo o sospetto, fornire comunicazione scritta a OpenAI all'indirizzo security@openai.com senza indebito ritardo e, in ogni caso, entro 48 ore dal momento in cui ne è venuto a conoscenza. Laddove possibile, tale comunicazione dovrà includere tutti i dettagli disponibili richiesti ai sensi delle Leggi sulla protezione dei dati affinché OpenAI possa adempiere ai suoi obblighi di notifica alle autorità di regolamentazione o ai soggetti interessati dall'Incidente di sicurezza.
• Adottare misure ragionevoli per mitigare i rischi di ulteriori incidenti di sicurezza. Laddove l'Incidente di sicurezza sia dovuto alla violazione delle presenti Misure di sicurezza da parte del Fornitore, quest'ultimo rimborserà (fatte salve le limitazioni di responsabilità incluse nell'Accordo) OpenAI per gli effettivi costi vivi di correzione e spese sostenuti in seguito ad azioni necessarie, ai sensi delle Leggi in materia di protezione dei dati o concordate tra le parti, in relazione all'Incidente di sicurezza, inclusi, laddove pertinente: (i) la creazione e trasmissione di comunicazioni richieste per legge ai soggetti coinvolti; (ii) call center di assistenza per rispondere alle domande e (iii) servizi di monitoraggio del credito richiesti per legge per i soggetti coinvolti. OpenAI avrà la facoltà esclusiva di determinare i tempi, il contenuto e le modalità di qualsiasi comunicazione fornita ai sensi di questo paragrafo.

• Creare e mantenere registri di audit per tutti i sistemi, le reti e le infrastrutture di supporto utilizzati per erogare i Servizi, consentendo il monitoraggio, l'analisi, l'indagine e la segnalazione di attività illegali o non autorizzate.
• Registrare tutte le azioni privilegiate in modo da collegare ciascun evento a una persona nominativamente identificata.
• Registrare e monitorare continuamente le attività privilegiate su endpoint, server e infrastrutture di supporto per individuare modifiche non autorizzate o violazioni delle policy.
• Monitorare costantemente sicurezza e disponibilità, inclusi il traffico di rete e i log del servizio, e intervenire tempestivamente in caso di eventuali avvisi. 
• Esaminare e analizzare regolarmente i registri di sicurezza e operativi per rilevare attività sospette, violazioni delle policy o eventi che potrebbero compromettere la riservatezza, l'integrità o la disponibilità dei Dati di OpenAI.
• Presentare su richiesta a OpenAi i registri di audit.

• Mantenere e gestire un processo documentato di Sviluppo sicuro/Security-by-Design che copra la pianificazione, la codifica, i test, la distribuzione e la manutenzione di software o servizi forniti a OpenAI.
• L'SDLC deve includere la modellazione delle minacce, la revisione del codice, la scansione automatizzata delle vulnerabilità delle dipendenze e i test di sicurezza (scansione statica, dinamica e dei container o dell'IaC) prima che il codice venga promosso in produzione. 
• I risultati di queste attività, insieme alle evidenze di correzione relative ai rilievi ad alto rischio, dovranno essere conservati per almeno 12 mesi e resi disponibili a OpenAI su richiesta.

• Segregare gli ambienti: mantenere separati gli ambienti di produzione e non di produzione e assicurarsi che i Dati di OpenAI risiedano solo negli ambienti di produzione.
• Separare logicamente i Dati di OpenAI da tutti gli altri dati dei clienti e garantire, all'interno di ciascuna organizzazione cliente di OpenAI, distinte separazioni a livello di utente.
• Assicurarsi che le risorse backend primarie siano implementate dietro controlli di rete privata (VPN, Private Link o un'architettura zero trust equivalente).
• Le policy di sicurezza della rete e i firewall sono configurati secondo il principio del privilegio minimo, in base a un insieme prestabilito di flussi di traffico consentiti. 
• I flussi di traffico non consentiti vengono bloccati.

• Mantenere e amministrare un programma di gestione della vulnerabilità secondo gli standard di settore, progettato per assicurare la rapida correzione di vulnerabilità che riguardano i servizi prestati dal Fornitore.
• Mantenere e amministrare un programma di gestione della vulnerabilità che esegua regolarmente la ricerca di vulnerabilità, si iscriva a un servizio di notifica delle vulnerabilità, dia la priorità alla correzione in base al rischio e stabilisca delle tempistiche di correzione basate sulla classificazione del rischio.
• Una volta rilasciata una patch e riesaminata e valutata la relativa vulnerabilità di sicurezza quanto ad applicabilità e importanza, la patch viene applicata e verificata secondo tempistiche commisurate al rischio posto per i Sistemi.
• Distribuire una soluzione di gestione dei log e mantenimento dei log prodotti dai sistemi di individuazione degli intrusi per un periodo minimo di un anno.

• Mantenere la sicurezza fisica in ogni sede in cui i Dati di OpenAI possano essere archiviati o consultati.
• Controllare l'accesso a uffici e data center mediante badge, dati biometrici o un metodo di autenticazione equivalente.
• Registrare e accompagnare tutti i visitatori.
• Gestire sistemi di videosorveglianza e di rilevamento delle intrusioni fisiche, operativi 24 ore su 24, sette giorni su sette.
• Gestire e smaltire i supporti fisici in modo sicuro, utilizzando spazi di conservazione chiusi a chiave, trasferimenti tracciati e distruzione certificata.

Il Fornitore salvaguarderà la riservatezza, l'integrità e la disponibilità dei Servizi e di qualsiasi Dato di OpenAI tramite:

• Gestione della disponibilità
  • Monitoraggio, analisi e valutazione continua delle prestazioni e della disponibilità del sistema.
  • Rilevamento e segnalazione tempestiva dei guasti e immediato ripristino dei servizi dopo un'interruzione.
  • Monitoraggio, autocertificazione e documentazione del tempo di attività del servizio, degli incidenti e del rispetto degli obiettivi di livello di servizio concordati.
  • Fornitura, su richiesta di OpenAI, di metriche di prestazione pertinenti che dimostrino la conformità ai livelli di servizio.
• Continuità operativa e disaster recovery (BC/DR)
  • Mantenimento di piani di BC/DR documentati che affrontino le emergenze o altri eventi in grado di interrompere i Servizi o compromettere i Dati di OpenAI.
  • Regolare esecuzione del backup dei sistemi critici e dei dati in conformità ai piani BC/DR.
  • Test dei piani di BC/DR almeno una volta all'anno e correzione delle eventuali lacune sostanziali individuate durante i test.
  • Ottenimento del consenso scritto di OpenAI prima di apportare qualsiasi modifica che possa ridurre in modo sostanziale la protezione fornita da tali piani; tale consenso non sarà irragionevolmente negato.

• Mantenere e amministrare un programma di gestione del rischio secondo gli standard di settore per tutti i sub-responsabili del trattamento, subappaltatori e sub-fornitori critici con accesso ai Dati di OpenAI e che supportano il software o i servizi
• Stipulare accordi scritti con ciascun soggetto terzo che richieda salvaguardie di sicurezza stringenti almeno quanto quelle indicate nelle Misure di sicurezza per fornitori.
• Applicare la procedura formale di valutazione della sicurezza del Fornitore a tutti i soggetti terzi, prima dell’onboarding e poi a intervalli regolari, conservando la documentazione risultante.
• Identificare, su richiesta di OpenAI, ogni sub-fornitore critico, il suo paese di origine e ogni dipendenza chiave pertinente per le prestazioni del Fornitore.
• Mantenere processi che valutino i rischi ICT e della filiera prodotto, e immediata comunicazione a OpenAI in caso di interruzione, vulnerabilità o minaccia emergente che possa compromettere la riservatezza, l’integrità o la disponibilità del software, dei servizi, delle prestazioni del Fornitore o dei Dati di OpenAI.

• Proteggere i Dati di OpenAI in transito su qualsiasi rete pubblica o privata utilizzando protocolli di crittografia robusti e riconosciuti nel settore (TLS 1.2 o superiore, SSH 2, IPsec o equivalenti). Protocolli obsoleti o non sicuri (ad es. SSL v3, TLS 1.0/1.1) devono essere disabilitati. 
• Crittografare tutti i Dati di OpenAI archiviati su qualsiasi supporto persistente, inclusi database, archivi di oggetti, file system, dispositivi endpoint e backup, utilizzando algoritmi robusti e riconosciuti nel settore (ad es. AES-256 o equivalenti) e moduli crittografici convalidati secondo FIPS 140-2/3, ISO/IEC 19790 o standard comparabili. 
• Gestire le chiavi di crittografia utilizzando un sistema dedicato di gestione delle chiavi; l'accesso alle chiavi deve essere limitato al personale autorizzato e le chiavi devono essere sottoposte a rotazione almeno una volta all'anno o in caso di sospetta compromissione. Il Fornitore dovrà assicurarsi che snapshot, repliche e backup offline siano sottoposti agli stessi controlli.

Alla scadenza o risoluzione dell'Accordo, il Fornitore dovrà, a scelta di OpenAI, eliminare o restituire tutti i Dati di OpenAI (esclusi backup o copie archiviate, che andranno eliminate in conformità al programma di conservazione dei dati del Fornitore), tranne qualora il Fornitore sia tenuto a conservare copie ai sensi delle normative vigenti; in tal caso, il Fornitore isolerà e proteggerà quei Dati di OpenAI da ulteriori trattamenti, fatto salvo quanto richiesto dalle normative applicabili. Il Fornitore offrirà a OpenAI la possibilità di configurare i periodi di conservazione dei dati all'interno del prodotto, se applicabile ai servizi offerti dal Fornitore.

• Implementare controlli progettati per garantire lo smaltimento sicuro dei Dati di OpenAI in conformità alla normativa vigente e considerando la tecnologia disponibile, in modo che i Dati di OpenAI non possano essere letti o ricostruiti. 
• Cancellare i supporti elettronici in sicurezza prima dello smaltimento, utilizzando i metodi descritti nello standard NIST SP 800-88 o equivalenti, tramite sovrascrizione, smagnetizzazione o distruzione fisica prima dello smaltimento o della riassegnazione a un altro sistema.

• Valutare regolarmente l’efficacia dei controlli di sicurezza (tramite scansione automatizzata, riesami manuali e controlli di conformità alle politiche) rispetto ai framework secondo gli standard di settore e alle proprie policy. 
• Comunicare in anticipo a OpenAI in caso qualsiasi modifica sostanziale alla sua infrastruttura, architettura, dipendenze da terzi, flussi di dati o assetto di sicurezza che possano ragionevolmente riguardare la riservatezza, l’integrità o la disponibilità dei Dati di OpenAI.

Almeno una volta all'anno, il Fornitore dovrà:

• Incaricare un auditor qualificato e indipendente di esaminare i propri controlli di sicurezza rispetto a uno standard di settore riconosciuto (ad es. SOC 2 Type 2 o sorveglianza/ricertificazione ISO 27001).  
• Fornire su richiesta a OpenAI un riepilogo o relazioni complete (laddove opportuno).

Se il Fornitore offre Servizi ospitati o servizi online, il Fornitore:

• Organizzerà annualmente test di penetrazione condotti da terzi che coprano: (i) i Servizi ospitati o i servizi; (ii) l'intero perimetro esposto a Internet; e (iii) la rete aziendale interna del Fornitore.
• Condividerà le evidenze dello svolgimento dei test e sintesi esecutive dei rilievi, ai sensi di un accordo di riservatezza. 
• Correggerà le vulnerabilità critiche e ad alta gravità che interessano i Dati di OpenAI entro 60 giorni dalla scoperta oppure informerà tempestivamente OpenAI dei controlli compensativi e del rischio residuo.

• Per la durata dell'Accordo e per l'anno successivo, OpenAI (o il suo auditor designato) può, con ragionevole preavviso, esaminare i libri, i registri e le strutture pertinenti per confermare la conformità alle presenti Misure di sicurezza per fornitori. I controlli saranno limitati alle informazioni ragionevolmente necessarie a tale scopo e condotti ai sensi degli obblighi di riservatezza. 
• Il Fornitore farà inoltre sforzi commercialmente ragionevoli per completare i questionari di sicurezza che OpenAI potrebbe inviare di volta in volta.

Il Fornitore prende atto che la Final Rule emanata dal Dipartimento di giustizia degli Stati Uniti che attua l'Ordine esecutivo 14117 proibisce o limita l'Accesso ai Dati protetti in massa da parte di Paesi che destano preoccupazione o a Soggetti coperti (tali termini e altri termini in maiuscolo utilizzati in questo paragrafo sono definiti nella Final Rule).

• Se i servizi forniti dal Fornitore comportano l'accesso a Dati protetti di OpenAI o delle sue consociate, il Fornitore dichiara e garantisce che: (i) né il Fornitore né le sue consociate sono o saranno organizzati o costituiti in un Paese che desta preoccupazione, hanno o avranno la sede di attività principale in un Paese che desta preoccupazione, o sono o saranno, per almeno il 50%, di proprietà diretta o indiretta, individuale o aggregata, di uno o più Paesi che destano preoccupazione o di Soggetti coperti; e (ii) né il Fornitore, né le sue consociate, né alcun dipendente o appaltatore del Fornitore si trovano o si troveranno in un Paese che desta preoccupazione, sono stati designati dal Procuratore generale degli Stati Uniti come Soggetti coperti o altrimenti si qualificano o si qualificheranno come Soggetti coperti. Se la condizione (a) o (b) cambia, il Fornitore informerà immediatamente OpenAI.
• Il Fornitore e le sue consociate non parteciperanno a una Transazione di Dati protetti che riguardi i Dati protetti di OpenAI con un Paese che desta preoccupazione o un Soggetto coperto. Qualora il Fornitore effettui una Transazione soggetta a restrizioni relativa ai Dati protetti di OpenAI, il Fornitore fornirà a OpenAI tutte le informazioni necessarie affinché OpenAI possa conformarsi ai requisiti della Final Rule.

• Il termine Dati protetti indica grandi quantità di dati sensibili statunitensi o di dati relativi al governo statunitense, come eventualmente ulteriormente definiti ai sensi della norma finale di attuazione dell'Ordine esecutivo 14117 emanata dal Dipartimento di Giustizia degli Stati Uniti.
• Per Leggi in materia di protezione dei dati si intendono tutte le leggi sulla protezione dei dati applicabili alle prestazioni del Fornitore ai sensi dell'Accordo.
• Servizio ospitato indica software-as-a-service, platform-as-a-service o altri servizi online od ospitati simili che il Fornitore fornisca a OpenAI.
• Programma di sicurezza informatica indica un quadro strutturato di policy, procedure e controlli che include controlli amministrativi, tecnici e fisici in linea con gli standard di settore, tutti pensati per salvaguardare la riservatezza, l'integrità e la disponibilità dei Dati di OpenAI.
• Dati di OpenAI indica le informazioni che il Fornitore ha ricevuto o raccolto da o per conto di OpenAI in relazione alle prestazioni rese dal Fornitore a OpenAI. I Dati di OpenAI includono ma non si limitano ai Dati personali. 
• Dati personali ha il significato assegnato al termine “dati personali” o “informazioni personali” ai sensi delle leggi applicabili in materia di protezione dei dati.
• Trattamento indica qualsiasi operazione effettuata sui dati, con mezzi automatizzati o meno, tra cui la raccolta, la registrazione, l'organizzazione, la conservazione, l'utilizzo, la divulgazione o la distruzione degli stessi.
• Incidente di sicurezza indica qualsiasi evento effettivo o presunto che riguardi l'accesso, utilizzo, divulgazione, alterazione o distruzione non autorizzati dei Dati di OpenAI, o l'interruzione della loro disponibilità o integrità, all'interno dei Sistemi del Fornitore o del sub-responsabile.
• Codice di condotta dei fornitori indica il Codice di condotta dei fornitori di OpenAI disponibile all'indirizzo: https://openai.com/policies/supplier-code/.⁠
• Personale del Fornitore indica tutto il personale che svolge qualsiasi attività nell'ambito dell'esecuzione delle prestazioni del Fornitore nel quadro del suo rapporto con OpenAI e comprende dipendenti, appaltatori, lavoratori temporanei e subappaltatori.
• Sistemi indica i sistemi informatici utilizzati dal Fornitore o dai suoi sub-responsabili per trattare, trasmettere o archiviare i Dati di OpenAI. Sono compresi hardware integrato, software, personale e procedure a supporto di tali funzioni.