Gestione del Rischio

Perché È Importante

Le risorse di sicurezza sono finite, le minacce no. La gestione del rischio è il framework che traduce minacce e vulnerabilità in decisioni di business: dove investire, cosa accettare, cosa escalare. Senza, i team rincorrono l'allarme più rumoroso anziché il rischio più rilevante.

I consigli di amministrazione attendono ora reporting cyber in termini di rischio allineato con obblighi di compliance come NIS2, DORA e regole SEC. Gli assicuratori richiedono programmi strutturati. I regolatori misurano la maturità sul rigore dei processi, non sul numero di controlli installati.

Il Ciclo di Gestione del Rischio

1. Identificare

Cataloga i rischi tramite inventari asset, threat modeling, valutazioni vulnerabilità, pentest, threat intelligence, audit, incidenti e revisioni di processo. Mantieni un registro centrale.

2. Valutare

Stima probabilità e impatto:

3. Prioritizzare

Classifica i rischi rispetto alle soglie di tolleranza. Una heat map incrocia probabilità e impatto; il quadrante in alto a destra ha priorità. I programmi FAIR prioritizzano per perdita annualizzata attesa.

4. Trattare

Evitare    - Cessare l'attivita
Mitigare   - Controlli per ridurre probabilita o impatto
Trasferire - Assicurazione, indennizzo contrattuale, outsourcing
Accettare  - Documentare l'approvazione e accettare il residuo

Ogni rischio trattato ha owner, piano, scadenza e budget.

5. Monitorare

I rischi cambiano con l'evoluzione di minacce, vulnerabilità, controlli e contesto di business. Rivedi a intervalli definiti, dopo incidenti e dopo cambiamenti rilevanti.

6. Comunicare

Tara il messaggio sull'audience: dettaglio tecnico per gli ingegneri, impatto finanziario per gli executive, esposizione regolatoria per il legale, implicazioni strategiche per il consiglio.

Framework Principali

• NIST RMF (SP 800-37): ciclo federale (Categorize, Select, Implement, Assess, Authorize, Monitor)
• NIST CSF 2.0: funzioni di alto livello
• ISO 31000: standard internazionale
• ISO 27005: gestione del rischio per la sicurezza delle informazioni
• FAIR: analisi quantitativa del rischio cyber

Quantitativo vs Qualitativo

Costruire un Programma

1. Definire l'appetito al rischio con la leadership.
2. Adottare un framework (NIST RMF o ISO 31000).
3. Stabilire governance con comitato e percorsi di escalation.
4. Mantenere un registro vivo integrato con vulnerabilità e incidenti.
5. Valutazioni regolari, almeno annuali per i sistemi critici.
6. Quantificare i rischi chiave con FAIR per budget e board.
7. Validare i controlli con pentest e red team.
8. Reportistica consistente in dashboard allineate al business.

Errori Comuni

• Trattare la gestione del rischio come una spunta di compliance
• Valutazioni soggettive senza definizioni coerenti
• Registri statici
• Confondere probabilità con frequenza
• Ignorare il rischio terze parti e supply chain
• Mancanza di owner o follow-through

Concetti Correlati

• Compliance
• Valutazione delle Vulnerabilità
• Threat Modeling
• Framework di Sicurezza