Identificazione dei rischi e registro dei rischi

Il rischio è la possibilità di subire una perdita o un danno quando una minaccia sfrutta una vulnerabilità. Nella sicurezza delle informazioni, il rischio è espresso come combinazione di probabilità (quanto è probabile che si verifichi l'evento) e impatto (quanto sarebbero gravi i danni). Comprendere il rischio consente alle organizzazioni di prendere decisioni di sicurezza informate e convenienti, invece di cercare di eliminare ogni possibile minaccia.

L'identificazione del rischio inizia da tre elementi fondamentali. Un asset è qualsiasi cosa abbia valore: server, database, proprietà intellettuale o reputazione. Una minaccia è qualsiasi evento potenziale che potrebbe danneggiare un asset, come un attacco ransomware o un dipendente scontento. Una vulnerabilità è una debolezza che una minaccia può sfruttare, come un sistema senza patch o una policy per le password debole. Il rischio esiste quando le minacce incontrano asset non protetti.

L'identificazione sistematica del rischio segue un processo strutturato: innanzitutto, l'inventario degli asset cataloga tutto ciò che ha valore; quindi, la modellazione delle minacce identifica chi potrebbe attaccare e in che modo; infine, la valutazione delle vulnerabilità individua le debolezze nei sistemi e nei processi. Gli analisti associano poi le minacce alle vulnerabilità per determinare quali asset siano realmente esposti. Questo processo viene generalmente ripetuto ogni anno o dopo modifiche importanti.

L'assegnazione di un valore agli asset guida la definizione delle priorità. Gli asset tangibili (hardware, licenze software) hanno valori di mercato chiari. Gli asset intangibili (reputazione del marchio, dati dei clienti) richiedono una valutazione discrezionale: gli enti regolatori possono assegnare un valore per singolo record ai dati personali (PII). Il metodo del costo di sostituzione considera quanto costerebbe ricreare l'asset; la valutazione dell'impatto sul business considera quale perdita di ricavi si verificherebbe se l'asset non fosse disponibile per 1 ora, 1 giorno o 1 settimana.

Un registro dei rischi è un documento dinamico che raccoglie tutti i rischi identificati in un formato strutturato e consultabile. Ogni voce include generalmente: descrizione del rischio, asset interessati, origine della minaccia, vulnerabilità sfruttata, valutazione della probabilità, valutazione dell'impatto, punteggio del rischio, controlli attuali e responsabile del rischio assegnato. I registri dei rischi fungono da riferimento centrale per le attività di governance, audit e monitoraggio della remediation.

La colonna della probabilità valuta quanto sia probabile lo sfruttamento (da 1=Raro a 5=Quasi certo). La colonna dell'impatto valuta le conseguenze in termini di perdita finanziaria, sanzione normativa o indisponibilità operativa (da 1=Trascurabile a 5=Catastrofico). La moltiplicazione di questi valori produce un punteggio del rischio utilizzato per definire le priorità. Il campo rischio residuo registra il rischio rimanente dopo l'applicazione dei controlli, assicurando che non si presuma mai che arrivi a zero.

Ogni rischio nel registro deve avere un responsabile del rischio nominativo, generalmente un responsabile aziendale o del sistema, non il team di sicurezza. Il responsabile del rischio deve garantire l'implementazione dei controlli e il mantenimento del rischio residuo entro soglie accettabili. Il team di sicurezza fornisce consulenza e monitoraggio, ma non può essere responsabile di tutti i rischi, perché ciò creerebbe un unico punto di responsabilità impossibile da gestire su scala aziendale.

Diversi framework aiutano a strutturare l'identificazione delle minacce. STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) categorizza le minacce per ogni componente del sistema. PASTA (Process for Attack Simulation and Threat Analysis) è una metodologia incentrata sul rischio che associa gli obiettivi degli attaccanti. DREAD assegna un punteggio alle minacce in base a Damage, Reproducibility, Exploitability, Affected users e Discoverability, sebbene DREAD sia meno comune nelle pratiche moderne.

I rischi non possono essere identificati senza prima individuare le vulnerabilità. Le fonti principali includono: vulnerability scanner (Nessus, OpenVAS), che verificano i sistemi rispetto alle CVE note; report dei penetration test, che convalidano la sfruttabilità; audit delle configurazioni, che confrontano le impostazioni con i benchmark CIS; e feed di threat intelligence, che evidenziano le debolezze sfruttate attivamente. Anche i report di audit interno e le autovalutazioni fanno emergere vulnerabilità a livello di processo che le scansioni tecniche non rilevano.

I registri dei rischi devono tenere conto sia delle minacce interne (dipendenti, collaboratori, sistemi configurati in modo errato) sia delle minacce esterne (hacker, attori statali, compromissioni della supply chain). Le minacce interne hanno spesso un impatto maggiore perché gli insider dispongono già dell'accesso: un dipendente scontento può esfiltrare dati senza attivare i controlli perimetrali. I programmi contro le minacce interne, che monitorano le anomalie comportamentali, affrontano una categoria di rischio che i soli controlli tecnici non possono mitigare.

Un registro dei rischi non è un documento da produrre una sola volta: deve essere riesaminato e aggiornato ogni volta che si verificano cambiamenti significativi, come nuove implementazioni di sistemi, ristrutturazioni organizzative, nuove CVE rese note o risultati emersi dopo un incidente. La maggior parte delle organizzazioni collega i riesami formali del registro dei rischi ai riesami annuali della sicurezza, ai processi di gestione delle modifiche e agli audit di conformità. I registri dei rischi obsoleti creano un falso senso di sicurezza e possono lasciare esposizioni prive di risorse durante rapidi cambiamenti dell'infrastruttura.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha appreso che: il rischio combina probabilità e impatto per stabilire le priorità delle decisioni di sicurezza, i registri dei rischi documentano risorse, minacce, vulnerabilità, punteggi, responsabili e rischio residuo, e le tecniche di threat modeling come STRIDE aiutano a identificare sistematicamente ciò che potrebbe andare storto. Nel prossimo argomento esamineremo i metodi di analisi del rischio qualitativi e quantitativi.