Articolo Pubblicazioni
ISO/IEC 27005:2008: la gestione del rischio entra nella famiglia ISO 27000
di Vincenzo Calabrò · Pubblicato il 14 luglio 2008
Abstract
A giugno 2008 ISO e IEC hanno pubblicato la norma 27005, una linea guida per la gestione del rischio nella sicurezza delle informazioni che sostituisce le parti 3 e 4 della ISO/IEC TR 13335. L’articolo descrive il processo proposto, le attività di identificazione, stima e ponderazione, le quattro opzioni di trattamento e il collegamento con i requisiti della ISO/IEC 27001, con indicazioni per scegliere un metodo adatto alla propria organizzazione.
Perché una norma sul rischio
La ISO/IEC 27001 del 2005 chiede alle organizzazioni di valutare i rischi e di scegliere i controlli in base ai risultati, senza però indicare come farlo. Le aziende hanno usato metodi diversi, alcuni nazionali come EBIOS in Francia o MAGERIT in Spagna, altri sviluppati da consulenti o costruiti in casa, con risultati spesso difficili da confrontare. La ISO/IEC 27005, pubblicata a giugno 2008, offre un riferimento comune. Non è una norma certificabile e non impone un metodo. Descrive un processo e le attività che ogni metodo dovrebbe comprendere.
La nuova norma sostituisce le parti 3 e 4 del rapporto tecnico ISO/IEC 13335, che trattavano le tecniche di gestione della sicurezza e la scelta delle salvaguardie.
Il processo
Il processo proposto si articola in queste attività:
- definizione del contesto, cioè criteri di base, campo di applicazione, limiti e organizzazione della gestione del rischio;
- valutazione del rischio, composta da identificazione, stima e ponderazione;
- trattamento del rischio, con la scelta delle opzioni e la definizione di un piano;
- accettazione del rischio, cioè la decisione formale di accettare i rischi residui;
- comunicazione del rischio, che accompagna tutto il processo;
- monitoraggio e riesame, per mantenere aggiornati rischi e decisioni.
Il processo è iterativo. Se una prima valutazione ad alto livello non fornisce elementi sufficienti per decidere, si ripete con un livello di dettaglio maggiore sulle aree più critiche. Lo stesso vale per il trattamento, se i rischi residui non risultano accettabili.
I criteri di base
Prima di valutare i rischi bisogna decidere come misurarli. La norma chiede di definire tre insiemi di criteri. I criteri di valutazione stabiliscono come confrontare i rischi, tenendo conto per esempio del valore strategico dei processi, della criticità degli asset, degli obblighi di legge e delle aspettative dei clienti. I criteri di impatto indicano come misurare le conseguenze di un incidente. I criteri di accettazione indicano quali livelli di rischio l’organizzazione è disposta a sostenere, e possono variare per tipo di rischio o di attività.
Identificazione, stima e ponderazione
L’identificazione procede per passi. Si individuano gli asset, distinguendo quelli primari, come processi e informazioni, da quelli di supporto, come hardware, software, reti, persone e sedi. Per ciascuno si individuano le minacce, i controlli già esistenti, le vulnerabilità e le conseguenze di un incidente. La stima assegna valori alle conseguenze e alla probabilità degli scenari, con approcci qualitativi, semi quantitativi o quantitativi. La ponderazione confronta i rischi stimati con i criteri e produce un elenco ordinato per priorità.
Le opzioni di trattamento
Per ciascun rischio la norma prevede quattro opzioni, che possono anche essere combinate:
- riduzione, con controlli che diminuiscono probabilità o conseguenze;
- mantenimento, cioè l’accettazione consapevole di un rischio che rientra nei criteri;
- evitamento, cioè la rinuncia all’attività o alla condizione che genera il rischio;
- trasferimento, cioè la condivisione del rischio con terzi, per esempio con un’assicurazione o un contratto di servizio.
La scelta tiene conto dei costi dei controlli rispetto ai benefici, ma anche di vincoli di tempo, budget, tecnica, cultura organizzativa e legge. I rischi rari e gravi vanno considerati anche quando un’analisi puramente economica suggerirebbe di trascurarli.
Comunicazione e monitoraggio
Due attività accompagnano l’intero processo. La comunicazione del rischio serve a condividere informazioni tra chi decide e chi è coinvolto, a ottenere i dati necessari per la valutazione, a far conoscere le decisioni prese e a creare una consapevolezza comune. Un piano di comunicazione dovrebbe indicare che cosa comunicare, a chi, quando e con quali mezzi, distinguendo per esempio la direzione, i responsabili dei processi e il personale tecnico.
Il monitoraggio parte da un presupposto semplice. I rischi cambiano perché cambiano gli asset, le minacce, le vulnerabilità e le attività dell’organizzazione. Nuovi servizi, nuovi fornitori, una riorganizzazione o la pubblicazione di una vulnerabilità diffusa sono eventi che richiedono di riesaminare la valutazione. La norma chiede di monitorare anche il processo stesso, verificando che criteri, metodi e risorse restino adeguati.
Il rapporto con la ISO/IEC 27001
La 27005 è costruita per sostenere i requisiti della 27001. Il contesto corrisponde alla definizione del campo di applicazione e della politica del sistema di gestione, la valutazione e il trattamento corrispondono alla fase Plan, l’attuazione dei controlli alla fase Do, monitoraggio e riesame alla fase Check, il miglioramento alla fase Act. Un’organizzazione che segue la 27005 produce in modo naturale i documenti che i valutatori della 27001 chiedono, cioè metodo, rapporto di valutazione, piano di trattamento e accettazione formale dei rischi residui.
Gli allegati
Gli allegati sono la parte più pratica della norma. Contengono esempi di definizione del campo di applicazione, di identificazione e valutazione degli asset, di stima degli impatti, cataloghi di minacce e vulnerabilità tipiche, e diversi approcci alla valutazione, tra cui matrici che combinano valore degli asset, probabilità della minaccia e facilità di sfruttamento della vulnerabilità. Sono un buon punto di partenza per chi deve costruire il proprio metodo.
Come iniziare
Per un’organizzazione che si avvicina alla 27001 il consiglio è partire in modo semplice. Una prima valutazione ad alto livello sui processi principali, con una scala qualitativa a tre o cinque livelli, permette di individuare le aree critiche. Su queste si può poi svolgere un’analisi più dettagliata. Il metodo va documentato in modo che un’altra persona possa ripeterlo e ottenere risultati confrontabili, come chiede la 27001. Il registro dei rischi che ne risulta va aggiornato a ogni cambiamento rilevante e riesaminato almeno una volta l’anno.
Vedi anche: l’articolo del 2005 ISO/IEC 27001:2005, l’articolo del 2012 Calcolo del rischio informatico e l’articolo del 2026 Metodologie di analisi del rischio a confronto.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn