Trattamento del rischio: accettare, trasferire, mitigare, evitare

Dopo aver identificato e analizzato i rischi, le organizzazioni devono decidere come gestirli. Il trattamento del rischio è il processo di selezione e implementazione di una risposta a ciascun rischio sulla base della probabilità, dell'impatto e del costo della relativa correzione. Esistono quattro opzioni di trattamento universalmente riconosciute: accettare, trasferire, mitigare ed evitare. Nessuna opzione è sempre corretta: la scelta dipende dal contesto aziendale, dalla propensione al rischio e dalle risorse disponibili.

La mitigazione del rischio riduce la probabilità o l'impatto di un rischio implementando controlli di sicurezza. È l'opzione di trattamento più comune. Tra gli esempi figurano l'implementazione di un firewall per ridurre la probabilità di un'intrusione di rete, l'applicazione di patch al software per chiudere vulnerabilità note o l'implementazione dell'MFA per ridurre l'impatto del furto di credenziali. La mitigazione non elimina completamente il rischio: produce un rischio residuo, che deve essere rivalutato dopo l'applicazione dei controlli.

Il trasferimento del rischio sposta su una terza parte le conseguenze finanziarie di un rischio. La cyber insurance è l'esempio più comune: l'organizzazione paga un premio e l'assicuratore copre le perdite derivanti dagli incidenti coperti. Il rischio può essere trasferito anche contrattualmente: gli service level agreement (SLA) con i provider cloud possono attribuire al fornitore la responsabilità per le violazioni dei dati e le clausole di indennizzo nei contratti possono trasferire la responsabilità ai partner commerciali. È importante sottolineare che il trasferimento non elimina il rischio in sé, ma solo l'onere finanziario.

L'accettazione del rischio consiste nel tollerare consapevolmente un rischio senza implementare ulteriori controlli, perché il costo della mitigazione supera la perdita prevista o perché il rischio è inferiore alla soglia di rischio dell'organizzazione. L'accettazione deve essere una decisione documentata e deliberata, presa da un'autorità competente, in genere il responsabile del rischio o un dirigente. L'accettazione non documentata e implicita, ovvero ignorare un rischio perché nessuno ha provveduto a risolverlo, non equivale all'accettazione formale e genera rilievi di audit.

L'evitamento del rischio elimina completamente il rischio evitando di svolgere l'attività che lo genera. Ad esempio, un'organizzazione potrebbe decidere di non archiviare direttamente i dati delle carte di pagamento, evitando così completamente l'ambito di applicazione del PCI-DSS delegando l'elaborazione delle carte a un servizio di tokenizzazione di terze parti. L'evitamento è appropriato quando il rischio è inaccettabilmente elevato e non esiste un'opzione conveniente di mitigazione o trasferimento, ma può anche comportare la rinuncia a un'opportunità commerciale.

La selezione di un'opzione di trattamento richiede il confronto tra l'esposizione al rischio e i costi della risposta. Se l'ALE è pari a $50,000 e la mitigazione costa $10,000 all'anno, la mitigazione è chiaramente conveniente. Se l'ALE è pari a $5,000 e la mitigazione costa $30,000 all'anno, l'accettazione o il trasferimento potrebbero essere più sensati. Le organizzazioni considerano inoltre la propensione al rischio, ossia la quantità di rischio che la dirigenza è disposta a tollerare, e la tolleranza al rischio, ossia la deviazione accettabile dalla propensione al rischio per specifiche categorie di rischio.

La propensione al rischio è il livello ampio e strategico di rischio che un'organizzazione è disposta ad accettare per perseguire i propri obiettivi, spesso definito dal consiglio di amministrazione. La tolleranza al rischio è la variazione accettabile relativa a specifiche categorie di rischio. Un'organizzazione potrebbe avere una propensione complessiva al rischio bassa, ma una tolleranza più elevata per i rischi reputazionali in una particolare linea di prodotto. Queste soglie determinano quando sia appropriata l'accettazione del rischio e quando sia invece necessaria un'escalation.

Quando non è possibile implementare il controllo di mitigazione ideale, a causa dei costi, di vincoli tecnici o di sistemi legacy, un controllo compensativo fornisce una riduzione alternativa del rischio. Ad esempio, se un sistema obsoleto non supporta l'MFA, un monitoraggio più intenso, l'isolamento della rete e un logging aggiuntivo possono compensare tale mancanza. I controlli compensativi sono formalmente riconosciuti in PCI-DSS e in altri framework come trattamento del rischio valido, purché siano documentati con una motivazione e approvati dall'autorità competente.

Dopo l'applicazione di qualsiasi trattamento del rischio, rimane quasi sempre una parte di rischio. Il rischio residuo è ciò che resta dopo l'implementazione dei controlli. Deve essere formalmente riconosciuto e accettato dal responsabile del rischio. Se il rischio residuo è ancora superiore alla soglia accettabile, sono necessari ulteriori controlli. Le decisioni relative al trattamento del rischio e i livelli di rischio residuo devono essere registrati nel registro dei rischi e riesaminati a intervalli definiti, soprattutto quando cambia il panorama delle minacce.

I framework di conformità limitano le opzioni accettabili per il trattamento del rischio. HIPAA non consente di evitare il trattamento di informazioni sanitarie protette: le organizzazioni devono mitigarne il rischio o trasferirlo. PCI-DSS impone controlli specifici indipendentemente dall'analisi costi-benefici. Comprendere questi vincoli evita situazioni in cui l'opzione di trattamento preferita da un'organizzazione, come accettare una lacuna nei controlli, viola un requisito normativo che può comportare sanzioni o la perdita dei privilegi di elaborazione dei pagamenti con carta.

Il trattamento del rischio si applica anche al rischio di terze parti e della catena di approvvigionamento. Quando fornitori o partner hanno accesso ai sistemi o ai dati, il loro livello di sicurezza diventa parte del profilo di rischio dell'organizzazione. Le opzioni di trattamento includono: controlli contrattuali (trasferimento), valutazioni della sicurezza dei fornitori (mitigazione), scelta di fornitori alternativi (evitamento) oppure l'accettazione formale del rischio con revisioni periodiche. Le compromissioni della catena di approvvigionamento, come SolarWinds e XZ Utils, dimostrano perché la gestione del rischio di terze parti sia una priorità nell'esame Security+.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha appreso che la mitigazione del rischio riduce la probabilità o l'impatto mediante controlli, il trasferimento del rischio sposta le conseguenze finanziarie a terze parti come gli assicuratori, l'accettazione del rischio è una decisione documentata di tollerare un rischio e l'evitamento del rischio elimina il rischio non svolgendo l'attività. Prossimamente esamineremo i principali framework di sicurezza: NIST RMF, ISO 27001 e CIS Controls.