La ISO/IEC 27005 è la norma internazionale che fornisce le linee guida per la gestione del rischio di sicurezza delle informazioni. Non è certificabile per le organizzazioni, ma lo è per le persone: la certificazione PECB Risk Manager La qualifica a guidare la gestione del rischio in conformità alla norma. E qui sta il punto chiave: la ISO/IEC 27005 è l'elemento che collega la ISO 27001, la NIS 2 e il DORA. Chi padroneggia la 27005 possiede una competenza trasversale, apprezzata in tutti e tre gli ambiti. In questo articolo spiego che cosa copre la norma, che cosa imparerà nel corso e perché è uno degli investimenti più utili nel campo GRC.
Che cos'è la ISO/IEC 27005 e perché conta
La ISO/IEC 27005 è la norma internazionale che fornisce le linee guida per la gestione del rischio di sicurezza delle informazioni. La versione in vigore è la ISO/IEC 27005:2022, allineata alla ISO/IEC 27001:2022 e al quadro generale di gestione del rischio ISO 31000.
A differenza della ISO/IEC 27001 (certificabile per le organizzazioni) o della ISO/IEC 27002 (un codice di buone pratiche), la ISO/IEC 27005 è una norma orientata al processo: Le indica come condurre una gestione del rischio rigorosa, ripetibile e compatibile con qualsiasi SGSI.
Il suo legame con la 27001, la NIS 2 e il DORA
Ecco la chiave di lettura che molti professionisti non colgono fino in fondo: la ISO/IEC 27005 è il motore che fa girare la ruota su tre fronti:
Con la ISO/IEC 27001: il punto 6.1.2 della norma richiede una valutazione formale del rischio. La ISO 27005 fornisce la metodologia dettagliata per eseguirla (la 27001 dice che cosa, la 27005 dice come).
Con la NIS 2: l'articolo 21 della direttiva richiede "politiche di analisi dei rischi e di sicurezza dei sistemi informatici" come primo blocco di misure obbligatorie. Una metodologia 27005 è il modo naturale di soddisfare questo requisito.
Con il DORA: il pilastro 1 del regolamento è la gestione del rischio informatico, con un quadro di gestione del rischio definito formalmente. La ISO 27005 vi si integra direttamente.
Di conseguenza, certificarsi nella 27005 apre non una porta, ma tre contemporaneamente.
Se desidera vedere questo ciclo applicato, la nostra guida gratuita alla ISO 27005 con matrice 5x5 e registro ne ripercorre ogni fase.
La metodologia, passo dopo passo
La ISO/IEC 27005 definisce un ciclo di gestione del rischio in sei fasi. Vale la pena conoscerle, perché sono ciò che struttura il corso:
- Definizione del contesto. Criteri di valutazione, di accettazione e di impatto. Senza di questi, valutare il rischio è un esercizio soggettivo.
- Identificazione del rischio. Asset, minacce, vulnerabilità e controlli esistenti.
- Analisi del rischio. Stima di probabilità e impatto, con metodi qualitativi o quantitativi.
- Ponderazione del rischio. Confronto con i criteri stabiliti per definire le priorità.
- Trattamento del rischio. Accettazione, mitigazione, trasferimento o eliminazione, con un piano di trattamento documentato.
- Comunicazione, monitoraggio e riesame. Un rischio vivo, non un rapporto che resta in fondo a un cassetto.
Desidera certificarsi come ISO/IEC 27005 Risk Manager?
Formazione ufficiale PECB con un consulente in attività, in autoapprendimento o con accompagnamento individuale.
Che cosa copre il corso Risk Manager
Il corso PECB Certified ISO/IEC 27005 Risk Manager è una formazione di tre giorni (categoria C di PECB). Il programma copre:
- Giorno 1: introduzione, contesto, identificazione del rischio, casi pratici.
- Giorno 2: analisi, ponderazione, trattamento del rischio e comunicazione.
- Giorno 3: riesame, simulazioni ed esame ufficiale PECB.
L'approccio è pratico: si lavora con modelli reali (registro degli asset, matrici delle minacce, piano di trattamento del rischio, dichiarazione di applicabilità). Non se ne esce con la sola teoria, ma con i deliverable che produrrà fin dal Suo primo progetto.
Risk Manager o Lead Risk Manager: quale scegliere
PECB offre due certificazioni sulla 27005: Risk Manager (3 giorni) e Lead Risk Manager (5 giorni). La differenza è di portata:
Risk Manager La qualifica a eseguire la metodologia su un progetto specifico. È la certificazione naturale per un consulente o per un professionista che lavorerà all'interno di un SGSI già esistente.
Lead Risk Manager aggiunge il governo del programma di gestione del rischio a livello di organizzazione, l'integrazione con altri quadri di riferimento (ISO 31000, COSO ERM) e la gestione del team. È la certificazione naturale per un risk manager o per un CRO.
Se lavora come consulente o guida un progetto, inizi con Risk Manager. Se gestisce un programma o guida un team, passi direttamente a Lead Risk Manager.
L'esame e la certificazione
L'esame Risk Manager dura due ore e copre i cinque domini di competenza (contesto, identificazione, analisi, ponderazione, trattamento). Il corso attribuisce 21 crediti CPD e, come per il resto del catalogo PECB, l'esame comprende due tentativi.
La certificazione è valida per mantenere lo status di professionista certificato in CISA, CISM, CISSP, CRISC e in altre certificazioni che richiedono crediti CPD.
Chi padroneggia la ISO/IEC 27005 possiede una competenza trasversale: la stessa metodologia serve per la ISO 27001, la NIS 2 e il DORA. È una delle poche certificazioni GRC che si ripaga su tre regolamentazioni diverse con un'unica formazione.
Formarsi e certificarsi
Se desidera fare il passo verso la certificazione ufficiale PECB, il corso ISO/IEC 27005 Risk Manager è la via diretta: autoapprendimento ufficiale PECB per avanzare al Suo ritmo, oppure con accompagnamento individuale fino a quando non sarà pronto per l'esame, nelle norme che insegno come PECB Certified Trainer. Le sessioni di accompagnamento si svolgono in inglese.