La Sua valutazione dei rischi ISO 27005 passo dopo passo, pronta per l'audit.

Che cos'è davvero la ISO/IEC 27005

La ISO/IEC 27005 è la norma internazionale che fornisce le linee guida per la gestione dei rischi relativi alla sicurezza delle informazioni. Non sostituisce la ISO/IEC 27001: spiega come condurre la valutazione e il trattamento dei rischi che il requisito 6.1 della ISO/IEC 27001 impone. In pratica, la ISO/IEC 27001 Le dice che deve gestire il rischio per la sicurezza delle informazioni, e la ISO/IEC 27005 Le mostra un modo difendibile per farlo. L'edizione 2022 allinea il proprio vocabolario alla ISO/IEC 27001:2022 e ai principi generali di gestione del rischio della ISO 31000, quindi i termini che seguono sono quelli che un auditor si aspetta di sentire.

Il processo di gestione dei rischi ISO 27005, passo dopo passo

Il processo è un ciclo, non un esercizio una tantum. Queste sono le fasi, nell'ordine in cui conviene svolgerle.

1. Stabilire il contesto

Prima di valutare qualsiasi cosa, si fissano le regole dell'esercizio: il campo di applicazione, i fattori interni ed esterni, le persone coinvolte e, soprattutto, i criteri di rischio. I criteri di rischio sono il metro con cui deciderà quanto è grande un rischio e, aspetto decisivo, quali rischi è disposto ad accettare. Definire i criteri di accettazione alla fine, quando i risultati sono già noti, è il modo più comune di falsare una valutazione. Li decida prima, per iscritto.

2. Identificare i rischi

La ISO/IEC 27005:2022 ammette due approcci complementari. L'approccio basato sugli asset parte da ciò che si protegge (informazioni, sistemi, processi) e si chiede quali minacce e vulnerabilità si applicano a ciascuno. L'approccio basato sugli eventi parte dagli scenari che si temono (un attacco ransomware, una violazione presso un fornitore, un portatile smarrito) e risale agli asset che ne sarebbero colpiti. I programmi più maturi combinano i due approcci. Il risultato di questa fase è un elenco di scenari di rischio, ciascuno espresso come una minaccia che sfrutta una vulnerabilità con una conseguenza.

3. Analizzare i rischi

Per ogni scenario si stimano due cose: la verosimiglianza che si verifichi e la conseguenza nel caso in cui accada. Si può procedere in modo qualitativo (una scala, ad esempio da 1 a 5) o quantitativo (in denaro o in tempo). La combinazione dà un livello di rischio. Tenga la scala scelta per iscritto e la applichi allo stesso modo a ogni scenario, altrimenti i risultati non saranno confrontabili.

4. Ponderare i rischi

Ora si confronta ogni livello di rischio con i criteri fissati nella fase 1 e si mettono i rischi in ordine di priorità. La ponderazione è il momento in cui si decide che cosa richiede un trattamento e che cosa rientra già nella propensione al rischio. È una fase decisionale, non di calcolo, e spetta ai risk owner, non a chi ha compilato il foglio di calcolo.

5. Trattare i rischi

Per ogni rischio che supera i criteri si sceglie una di quattro opzioni: modificarlo aggiungendo o rafforzando i controlli (i controlli della ISO/IEC 27002 e dell'Allegato A della ISO/IEC 27001 sono il catalogo abituale), mantenerlo consapevolmente perché rientra nella propensione al rischio, evitare l'attività che lo genera, oppure condividerlo, ad esempio tramite un'assicurazione o un contratto. Il risultato è un piano di trattamento dei rischi, e i controlli che decide di applicare sono quelli che compongono la Sua Dichiarazione di applicabilità.

6. Accettare, monitorare e comunicare

Il rischio che rimane dopo il trattamento è il rischio residuo, e deve essere accettato esplicitamente dal risk owner, non lasciato implicito. Da lì il ciclo continua: monitorare se verosimiglianze e conseguenze stanno cambiando, riesaminare la valutazione con una cadenza definita e dopo ogni cambiamento significativo, e comunicare i risultati a chi prende le decisioni. Una valutazione fatta una volta e archiviata è una valutazione già superata.

La matrice di rischio 5x5

La matrice 5x5 è il modo più comune per trasformare verosimiglianza e conseguenza in un unico livello di rischio. Si legge individuando la riga della verosimiglianza e la colonna della conseguenza: la cella in cui si incontrano è il livello di rischio.

Le etichette contano meno della disciplina che c'è dietro. Due regole mantengono onesta una matrice. La prima: definire che cosa significa ogni numero prima di assegnare i punteggi, in modo che «3 Moderata» sia la stessa cosa per ogni scenario e per ogni valutatore. La seconda: decidere in anticipo quali livelli saranno accettati (ad esempio, Basso si accetta, Medio si monitora, Alto e Critico richiedono un trattamento), così che la matrice guidi le decisioni invece di limitarsi a colorarle.

Un registro dei rischi compilato

Il registro dei rischi è il punto in cui il processo diventa un documento di lavoro. Non richiede un software particolare: un foglio di calcolo ben strutturato è sufficiente, ed è il modo in cui Le consigliamo di iniziare. Qui sotto trova due righe compilate come le terrebbe un valutatore.

Noti che cosa rende esplicito ogni riga: un responsabile con nome, un'opzione di trattamento (non un semplice commento) e una data di scadenza. Sono queste tre colonne a trasformare un elenco di preoccupazioni in qualcosa che un auditor accetta come evidenza.

Gli errori che gli auditor trovano di continuo

• Criteri di accettazione decisi troppo tardi. Se si decide che cosa è accettabile solo dopo aver visto i punteggi, i criteri si piegano alla risposta che si voleva ottenere.
• Un metodo non ripetibile. Senza scale scritte, due valutatori producono due numeri diversi per lo stesso rischio, e la valutazione dell'anno prossimo non potrà essere confrontata con questa.
• Nessun risk owner. Se nessuno è nominato, nessuno accetta il rischio residuo, e l'accettazione è un requisito, non una cortesia.
• La Dichiarazione di applicabilità non coincide con il piano di trattamento. Controlli segnati come applicabili che non compaiono da nessuna parte nel piano, o controlli pianificati assenti dalla SoA, sono tra le non conformità più frequenti.
• Rischio residuo mai accettato formalmente. Il trattamento viene pianificato, ma il rischio che rimane dopo non viene mai rivalutato né approvato.
• Valutato una volta, mai riesaminato. Un registro con una sola data, mesi dopo l'ultimo cambiamento importante, dice all'auditor che il processo non è vivo.
• Rischi generici copiati da un modello. Un registro che potrebbe appartenere a qualsiasi organizzazione non appartiene a nessuna. Gli scenari devono riflettere il Suo contesto reale.

Dove si colloca la certificazione

Condurre bene questo processo è una competenza, e per questa competenza esistono certificazioni riconosciute. La ISO/IEC 27005 Foundation copre i concetti e il vocabolario. La certificazione ISO/IEC 27005 Risk Manager attesta che è in grado di condurre l'intero processo di valutazione e trattamento, e la ISO/IEC 27005 Lead Risk Manager è rivolta a chi guida il programma di gestione dei rischi. Ogni corso è disponibile in autoapprendimento e in autoapprendimento con accompagnamento individuale. Se il Suo contesto è il settore pubblico francese o un requisito dell'ANSSI, il metodo EBIOS Risk Manager è la scelta abituale, e la nostra guida a EBIOS RM spiega quando preferirlo alla ISO/IEC 27005. Il percorso formativo sul rischio mostra la sequenza completa.

Domande frequenti

Qual è la differenza tra ISO 27005 e ISO 27001?

La ISO/IEC 27001 è la norma certificabile per un sistema di gestione della sicurezza delle informazioni, e richiede di valutare e trattare il rischio. La ISO/IEC 27005 è la linea guida che spiega come svolgere quella valutazione e quel trattamento. Ci si certifica rispetto alla 27001; si segue la 27005 per arrivarci.

ISO 27005 o ISO 31000: quale uso?

La ISO 31000 è il quadro generale per la gestione del rischio in qualsiasi disciplina. La ISO/IEC 27005 applica quegli stessi principi specificamente alla sicurezza delle informazioni e li collega alla ISO/IEC 27001. Se il Suo tema è la sicurezza delle informazioni, la 27005 è quella che parla la Sua lingua.

Serve un software per applicare la ISO 27005?

No. Né la ISO/IEC 27005 né alcun auditor prescrivono uno strumento. Un foglio di calcolo strutturato è sufficiente per una valutazione completa, ed è il modo giusto per cominciare. Un software dedicato diventa utile quando si mantengono molte valutazioni nel tempo, non per la prima.

Il modello di registro dei rischi è davvero gratuito?

Sì, senza alcuna condizione e senza carta di credito. L'intero processo descritto sopra è in questa pagina, da leggere liberamente. Il modulo aggiunge soltanto la possibilità di ricevere la versione PDF impaginata con il modello incluso.

Con quale certificazione conviene iniziare?

Se è nuovo al lavoro sul rischio, cominci con la Foundation per fissare il vocabolario, poi con la Risk Manager per esercitarsi sull'intero processo. Se conduce già valutazioni e deve guidare il programma, passi direttamente alla Lead Risk Manager.