La nostra analisi del rischio è un foglio di calcolo che nessuno usa
Centinaia di righe, punteggi, colori, e nessuna decisione. Un'analisi del rischio utile parte da quattro domande e finisce in scelte concrete.
Il problema
L'analisi del rischio è stata fatta con un modello standard: elenchi di minacce, vulnerabilità, probabilità e impatto da 1 a 5, una matrice colorata. Il risultato è un file enorme, compilato una volta e mai più aperto. Non ha cambiato nessuna decisione, perché non parla dei servizi dell'azienda.
Come capire se ti riguarda
- L'analisi elenca minacce generiche, non scenari legati ai vostri servizi.
- I punteggi sono stati assegnati "a sensazione", senza criteri scritti.
- Dall'analisi non è uscito nessun piano di trattamento con priorità e budget.
- Nessuno l'ha aggiornata dopo l'ultimo incidente o cambiamento.
Il primo passo
Ripartite dalle quattro domande: cosa fate (servizi), cosa usate per farlo (asset), dove sono e da chi dipendete (sedi e fornitori), cosa succede se manca (impatto).
Come risolverlo
- Prima l'impatto. Per ogni servizio critico, il danno di un fermo nel tempo, su più dimensioni: economica, legale, reputazionale, verso clienti e persone. *Evidenza: analisi d'impatto.*
- Poi gli scenari. Pochi e concreti: ransomware sul gestionale, fornitore cloud irraggiungibile, frode del bonifico, furto di dati dei clienti.
- Criteri scritti. Cosa significa "probabilità alta" o "impatto grave" per voi, in euro e in ore. Così i punteggi sono ripetibili.
- Trattamento con nomi e date. Per ogni rischio rilevante: ridurre, trasferire, evitare o accettare, con chi se ne occupa e quando. *Evidenza: piano di trattamento.*
- Accettazione esplicita. I rischi residui accettati li firma la direzione, non l'IT.
Come evitare che si ripeta
Aggiornate l'analisi a ritmo fisso (almeno annuale) e ogni volta che cambia qualcosa di rilevante: un servizio nuovo, un fornitore critico, un incidente.
Quando chiedere aiuto
Se volete passare a stime quantitative (euro di perdita attesa), uno strumento dedicato o un esperto possono aiutarvi a impostare il modello senza perdere semplicità.
Dal libro
«L'impatto non è mai una cosa sola.»
— *NIS2. La carta che guida*, capitolo 6
Uno spunto in più
Prendete la riga più rossa della vostra matrice e chiedete: "Cosa abbiamo deciso di fare, e chi l'ha firmato?". Se nessuno lo sa, l'analisi non sta ancora lavorando.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.