Punti chiave
- Le app di terze parti sono programmi di fornitori esterni che girano su un sistema operativo o su una piattaforma e possono accedere a risorse del dispositivo, identità o dati.
- Le app proprietarie e di sistema seguono il ciclo di vita di sicurezza e aggiornamento del fornitore della piattaforma, mentre le app di terze parti seguono le pratiche di ciascun fornitore.
- Tra i rischi più comuni ci sono vulnerabilità non corrette, permessi eccessivi, condivisione di dati con l’esterno ed esposizione della supply chain.
- Il rischio varia in base alla categoria e ogni categoria (app endpoint, app mobili, estensioni del browser, integrazioni SaaS, applicazioni SaaS e strumenti di AI) richiede visibilità e controlli diversi.
- La governance copre l’intero ciclo di vita, dall’approvazione alla revisione degli accessi fino ad aggiornamenti, patching e dismissione.
- Nel Verizon Data Breach Investigations Report 2026 il coinvolgimento di terze parti nelle violazioni ha raggiunto il 48%, in crescita rispetto al 30% dell’anno precedente.
- NinjaOne aiuta i team IT a inventariare le applicazioni installate, monitorare e distribuire le patch delle app di terze parti e applicare policy di installazione e rimozione da un’unica console.
Un’app di terze parti è un qualsiasi programma di un fornitore esterno che installi su un sistema operativo o su una piattaforma. Poiché ogni fornitore definisce le proprie pratiche di aggiornamento e sicurezza, i team IT hanno bisogno di un processo definito per approvare, revisionare, aggiornare e dismettere queste app. Questa guida è rivolta ai reparti IT interni e ai team di sicurezza e copre definizioni, rischi, categorie di app e governance del ciclo di vita.
In sintesi
| Attività | Scopo e valore |
| Che cosa si considera un’app di terze parti | Stabilisce quali applicazioni richiedono supervisione e governance specifiche. |
| In cosa le app di terze parti si differenziano da quelle proprietarie e di sistema | Chiarisce perché le app di terze parti richiedono controlli diversi rispetto al software integrato. |
| Perché le app di terze parti aumentano il rischio | Individua come le app esterne introducono rischi di sicurezza, di accesso e legati alla supply chain. |
| Le categorie di app di terze parti | Permette controlli basati sul rischio in funzione del tipo di app e del livello di integrazione. |
| Come governare le app di terze parti lungo tutto il ciclo di vita | Garantisce una supervisione coerente dall’installazione alla dismissione, riducendo l’esposizione nel lungo periodo. |
Che cosa si considera un’app di terze parti
Sapere che cosa rientra tra le app di terze parti ti dice quali richiedono una supervisione specifica. Alcuni esempi sono Adobe Reader, Google Chrome e Java sugli endpoint;, le app mobili installate da un app store;, le estensioni del browser;, gli assistenti AI;, e i servizi cloud collegati tramite API o OAuth
Un’app di terze parti è qualsiasi applicazione che sia:
- Sviluppata da un fornitore esterno: l’app è creata e mantenuta da un fornitore esterno, non dal fornitore del sistema operativo o della piattaforma.
- Installata su un sistema operativo o una piattaforma: l’app gira su un sistema operativo o una piattaforma esistente e non ne fa parte.
- Autorizzata ad accedere a risorse di sistema, identità o dati: per funzionare correttamente, queste applicazioni richiedono spesso permessi di accesso alle risorse del dispositivo, alle identità degli utenti o ai dati aziendali.
La governance degli accessi di terze parti è l’insieme dei controlli di approvazione, revisione dei permessi e rimozione che limitano ciò a cui le app di terze parti possono accedere.
In cosa le app di terze parti si differenziano da quelle proprietarie e di sistema
Per capire perché serve una supervisione specifica, è utile confrontare le app di terze parti con quelle integrate nel sistema operativo. Ecco che cosa sono le app proprietarie e di sistema:
- Le app proprietarie sono sviluppate dal fornitore della piattaforma e seguono il ciclo di vita di sicurezza e aggiornamento di quel fornitore.
- Le app di sistema sono componenti essenziali per il funzionamento dell’OS. Poiché hanno un ruolo integrante nel sistema operativo, gli utenti standard di norma non possono rimuoverle.
Ecco perché le app di terze parti sono diverse:
- Le pratiche di sviluppo variano molto da un fornitore all’altro
- La frequenza degli aggiornamenti è incostante o dipende dall’utente
- Il livello di sicurezza dipende dal fornitore
| Tipo di app | Chi la sviluppa | Ciclo di vita di aggiornamento e sicurezza | Chi può rimuoverla |
| App proprietaria | Il fornitore della piattaforma | Segue il ciclo di vita del fornitore della piattaforma | L’utente o un amministratore |
| App di sistema | Il fornitore della piattaforma | Di norma aggiornata insieme al sistema operativo | Di norma non rimovibile dagli utenti standard |
| App di terze parti | Un fornitore esterno | Definito da ciascun fornitore e spesso guidato dall’utente | L’utente o un amministratore, a seconda della policy |
Perché le app di terze parti aumentano il rischio
Come mostrato sopra, è l’assenza di un controllo uniforme a rendere il software di terze parti una sfida di governance a sé stante. Proprio per queste debolezze, le app di terze parti possono introdurre i rischi seguenti:
- Vulnerabilità non corrette: falle di sicurezza nelle app di terze parti che restano sfruttabili perché gli aggiornamenti sono in ritardo, mancanti o non applicati in modo centralizzato (vedi come applicare le patch alle applicazioni di terze parti).
- Permessi eccessivi: richieste di accesso che superano quanto serve all’app per funzionare, aumentando l’impatto potenziale in caso di compromissione o uso improprio.
- Condivisione di dati con servizi esterni: trasmissione o archiviazione di dati aziendali al di fuori della piattaforma principale, spesso regolata dalle pratiche di privacy e sicurezza del fornitore stesso.
- Integrazioni profonde: rischio introdotto dalle dipendenze dell’app, dai suoi meccanismi di aggiornamento o dai fornitori a monte, dove codice o aggiornamenti compromessi possono essere distribuiti ad ambienti considerati affidabili.
L’esposizione legata alle terze parti è in crescita. Il Verizon Data Breach Investigations Report 2026 ha rilevato che il 48% delle violazioni ha coinvolto una terza parte, in crescita rispetto al 30% dell’anno precedente. Verizon raggruppa questa esposizione in tre tipologie: un fornitore nella supply chain del software, un fornitore che ospita i dati e un fornitore collegato all’ambiente. In una campagna descritta nel report, gli attaccanti hanno sottratto i token OAuth di un’app collegata e li hanno usati per estrarre dati dei clienti da una piattaforma SaaS.
Verizon segnala inoltre lo sfruttamento delle vulnerabilità come principale via di accesso iniziale per gli attaccanti, davanti alle credenziali rubate: questo rende il patching tempestivo delle app di terze parti un controllo fondamentale.
Categorie di app di terze parti
Abbiamo visto che le app di terze parti possono introdurre vulnerabilità, ma non tutte comportano lo stesso livello di rischio: dipende dalla categoria. Le categorie più comuni sono:
- Applicazioni endpoint: software installato su desktop e laptop gestiti dall’organizzazione.
- App mobili: programmi che girano sui dispositivi mobili.
- Estensioni del browser: strumenti di supporto alla navigazione web, in grado di modificare contenuti e sessioni.
- Integrazioni SaaS: app cloud collegate tramite API o OAuth.
- Applicazioni SaaS: applicazioni che girano nel cloud e a cui accedi tramite browser.
- Strumenti e assistenti AI: assistenti di chat, estensioni AI per il browser e agenti AI adottati dai dipendenti, spesso con accesso ai dati dell’azienda.
Tieni presente che ogni categoria richiede livelli di visibilità, controlli e processi di revisione diversi. Esamina le app di terze parti presenti nel tuo sistema operativo o nella tua piattaforma: potrai così applicare policy di sicurezza in base alla categoria di appartenenza.
Come governare le app di terze parti lungo tutto il ciclo di vita
Una gestione efficace delle app di terze parti non si esaurisce in una decisione di approvazione iniziale. Richiede monitoraggio, valutazione e governance continui lungo l’intero ciclo di vita. Una gestione efficace richiede:
- Approvazione: criteri chiari per l’installazione e l’uso
- Revisione degli accessi: verifica di permessi e integrazioni, inclusi i consensi OAuth concessi
- Aggiornamenti e patching: valutazione continua degli aggiornamenti dei fornitori
- Dismissione: rimozione delle app che non servono più
Le impostazioni predefinite delle piattaforme ora supportano questo passaggio. Nei tenant che usano la policy di consenso gestita da Microsoft, Microsoft richiede l’approvazione di un amministratore per le app di terze parti che chiedono accesso a file, siti e ad alcuni dati di cassette postali e di Teams: inserisci quindi la revisione di queste richieste di consenso nel tuo processo di approvazione.
Trattare le app di terze parti come asset permanenti, senza rivalutarle, aumenta l’esposizione nel lungo periodo, soprattutto quando cambiano le esigenze di business e il panorama delle minacce. Anche le app di fornitori affidabili comportano rischi legati a permessi, frequenza degli aggiornamenti e dipendenze. Governarle lungo tutto il ciclo di vita mantiene quel rischio visibile e gestibile.
A cosa prestare attenzione
Ecco alcuni aspetti da tenere a mente nella gestione delle app di terze parti:
- Persistenza: le app di terze parti restano spesso in uso anche dopo che è venuta meno l’esigenza di business iniziale.
- Shadow IT: lo shadow IT si manifesta spesso sotto forma di strumenti di terze parti non gestiti.
- Lacune nei controlli: le app mobili e SaaS possono aggirare i controlli tradizionali sugli endpoint.
- Verifica continua: la fiducia nel fornitore non sostituisce una verifica continua.
- Strumenti di AI non autorizzati: i dipendenti possono collegare assistenti AI ed estensioni del browser ai dati aziendali prima che l’IT li abbia esaminati.
Problemi comuni e come risolverli
Nella gestione delle app di terze parti puoi imbatterti in diverse difficoltà. Ecco i problemi più frequenti e le possibili soluzioni.
| Problemi | Possibili soluzioni |
|---|---|
| Comportamenti o accessi ai dati inattesi | Rivedi i permessi delle app di terze parti |
| Incidenti di sicurezza senza compromissione dell’OS | Indaga sul software e sulle integrazioni esterne |
| Patch mancanti | Verifica che le app di terze parti rientrino nell’ambito degli aggiornamenti |
| Strumenti installati dagli utenti | Rivedi i processi di approvazione e di rilevamento |
Come NinjaOne aiuta a gestire le app di terze parti
NinjaOne offre ai team IT un’unica console per individuare, aggiornare e controllare le applicazioni di terze parti sui dispositivi gestiti
- Inventario del software installato: NinjaOne Endpoint Management elenca il software installato sui dispositivi gestiti, così l’IT può individuare le applicazioni non autorizzate e obsolete.
- Patch per le app di terze parti supportate: NinjaOne Autonomous Patch Management analizza gli endpoint gestiti alla ricerca di software di terze parti obsoleto e applica gli aggiornamenti secondo le policy e le regole di approvazione che hai definito.
- Controllo di installazioni e rimozioni: NinjaOne Endpoint Management installa, disinstalla e aggiorna le applicazioni su endpoint Windows, macOS e Linux tramite automazione basata su policy.
- Policy per le app mobili: NinjaOne MDM gestisce le app sui dispositivi iOS e Android tramite policy.
- Gestione delle estensioni del browser: NinjaOne Browser Management applica policy per browser ed estensioni su tutti i dispositivi gestiti.
App di terze parti e necessità di una supervisione specifica
Le app di terze parti sono programmi che non sono integrati nel sistema operativo o nella piattaforma. Se ottenute da fonti affidabili queste app sono sicure, ma molte possono introdurre rischi in grado di esporre i tuoi ambienti IT a vulnerabilità. È qui che entra in gioco la governance degli accessi di terze parti, che garantisce il mantenimento della sicurezza durante l’uso delle app di terze parti.
Punti chiave:
- Le app di terze parti operano al di fuori dei confini di fiducia della piattaforma principale
- Il rischio dipende da permessi, accessi e comportamento degli aggiornamenti
- Una definizione chiara permette una governance coerente
- La gestione del ciclo di vita riduce l’esposizione nel lungo periodo
- La supervisione deve coprire endpoint, SaaS e ambienti mobili
Capire che cosa sono le app di terze parti, in cosa si differenziano dai programmi proprietari e quali rischi possono introdurre nel tuo ambiente IT ti permette di ridurre il software non gestito, limitare gli accessi non necessari e applicare una governance degli accessi di terze parti coerente.
Argomenti correlati:
- Patching delle applicazioni: come applicare le patch alle applicazioni di terze parti
- Come dare priorità alle patch di terze parti in base ai punteggi di rischio dei fornitori
- Come creare una policy di approvazione SaaS di terze parti per i clienti PMI
- Come creare una policy di approvazione SaaS di terze parti per i clienti PMI (video guida)
- Come standardizzare la titolarità delle applicazioni SaaS tra i reparti
