Articolo Pubblicazioni
ISO 31000:2009: i principi della gestione del rischio applicati alla sicurezza delle informazioni
di Vincenzo Calabrò · Pubblicato il 14 dicembre 2009
Abstract
A novembre 2009 ISO ha pubblicato la norma 31000, la prima linea guida internazionale sulla gestione del rischio valida per qualsiasi organizzazione e tipo di rischio, insieme alla nuova ISO Guide 73 sul vocabolario e alla IEC/ISO 31010 sulle tecniche di valutazione. L’articolo spiega la nuova definizione di rischio, i principi, la struttura di riferimento e il processo, e mostra come la norma si collega alla gestione del rischio nella sicurezza delle informazioni.
Una norma per tutti i rischi
Fino a oggi ogni settore ha avuto i propri riferimenti sulla gestione del rischio. Le banche seguono le regole di Basilea, la sicurezza delle informazioni la ISO/IEC 27005, l’ingegneria le norme sulla sicurezza funzionale, i progetti le guide di project management. Molte organizzazioni si sono ritrovate con metodi, scale e registri diversi per rischi che riguardano gli stessi obiettivi. La ISO 31000, pubblicata a novembre 2009 e derivata in larga parte dalla norma australiana e neozelandese AS/NZS 4360, propone un quadro comune.
Insieme alla 31000 sono stati pubblicati la ISO Guide 73:2009, che aggiorna il vocabolario della gestione del rischio, e la IEC/ISO 31010:2009, che descrive una trentina di tecniche di valutazione, dalle interviste strutturate all’analisi degli alberi di guasto. La 31000 non è certificabile. È una linea guida che ciascuna organizzazione adatta alla propria realtà.
Una nuova definizione
La norma definisce il rischio come l’effetto dell’incertezza sugli obiettivi. Un effetto è uno scostamento da quanto atteso, che può essere positivo o negativo. La definizione sposta l’attenzione dagli eventi agli obiettivi. Il punto di partenza diventa ciò che l’organizzazione vuole ottenere, e la domanda è che cosa possa impedirlo o favorirlo. Per la sicurezza delle informazioni questo significa collegare ogni rischio a un obiettivo dell’organizzazione, come la continuità di un servizio, la fiducia dei clienti o il rispetto di un obbligo di legge.
Gli undici principi
La norma elenca i principi che una gestione del rischio efficace dovrebbe rispettare. Tra i più rilevanti:
- crea e protegge valore, contribuendo al raggiungimento degli obiettivi;
- è parte integrante dei processi dell’organizzazione e del processo decisionale;
- tratta esplicitamente l’incertezza;
- è sistematica, strutturata e tempestiva;
- si basa sulle migliori informazioni disponibili, riconoscendone i limiti;
- è su misura dell’organizzazione e tiene conto dei fattori umani e culturali;
- è trasparente e inclusiva, dinamica e capace di reagire ai cambiamenti;
- favorisce il miglioramento continuo.
La struttura di riferimento
La norma distingue il processo di gestione del rischio dalla struttura che lo sostiene, chiamata framework. La struttura parte dal mandato e dall’impegno della direzione, prosegue con la progettazione, cioè politica, responsabilità, integrazione nei processi, risorse e comunicazione, poi con l’attuazione, il monitoraggio e il miglioramento continuo. È un ciclo simile a quello dei sistemi di gestione, ma riferito all’intera organizzazione.
Il processo
Il processo di gestione del rischio comprende queste attività:
- comunicazione e consultazione con le parti interessate, interne ed esterne, in tutte le fasi;
- definizione del contesto esterno e interno e dei criteri di rischio;
- identificazione dei rischi, delle loro fonti, cause e possibili conseguenze;
- analisi dei rischi, per comprenderne natura e livello;
- ponderazione dei rischi, per decidere quali trattare e con quale priorità;
- trattamento, con la scelta e l’attuazione delle opzioni;
- monitoraggio e riesame.
Chi conosce la ISO/IEC 27005 riconoscerà la stessa sequenza. La differenza sta nel livello. La 27005 si applica ai rischi per la sicurezza delle informazioni, la 31000 a qualunque rischio. Le due norme sono compatibili, e la 27005 potrà essere allineata alla 31000 nelle prossime revisioni.
Le opzioni di trattamento
La 31000 amplia le opzioni tradizionali. Oltre a evitare, ridurre, condividere o mantenere il rischio, prevede la possibilità di assumere o aumentare un rischio per cogliere un’opportunità e di rimuovere la fonte del rischio. È la conseguenza della definizione, che include gli effetti positivi.
Contesto e criteri
La norma insiste sulla definizione del contesto, spesso sbrigata in fretta. Il contesto esterno comprende l’ambiente legale, regolamentare, economico, tecnologico e competitivo e le aspettative delle parti interessate. Il contesto interno comprende governance, struttura, ruoli, politiche, capacità, sistemi informativi e cultura dell’organizzazione. Da qui discendono i criteri di rischio, cioè come definire probabilità e conseguenze, come combinarle per ottenere un livello di rischio e quale livello sia accettabile. Se i criteri sono definiti male, l’intera analisi produce numeri senza significato.
Un esempio
Si pensi a una società che offre un servizio di fatturazione online. Un approccio tradizionale parte dagli asset, cioè server, database, rete, e ne elenca minacce e vulnerabilità. Con la 31000 si parte dall’obiettivo, per esempio garantire ai clienti l’emissione delle fatture entro le scadenze fiscali. I rischi diventano allora l’indisponibilità del servizio nei giorni di scadenza, l’errore nei dati trasmessi, la perdita di fiducia dopo una violazione. Gli asset tecnici compaiono come cause, insieme a fornitori, personale e processi. L’analisi tecnica resta necessaria, ma è guidata da ciò che conta per l’organizzazione.
Che cosa cambia per la sicurezza delle informazioni
Per chi si occupa di sicurezza la norma offre soprattutto un linguaggio comune con il resto dell’organizzazione. I rischi informatici possono confluire nello stesso registro dei rischi operativi, finanziari e legali, con criteri confrontabili. La direzione può così decidere sapendo quanto pesa un rischio di sicurezza rispetto agli altri. Un modo pratico per iniziare è rivedere i criteri di impatto usati nell’analisi dei rischi informatici, esprimendoli in termini di obiettivi aziendali, e verificare che siano coerenti con quelli usati dalla funzione di risk management, dove esiste.
Nelle organizzazioni italiane questo collegamento è utile anche per il modello organizzativo previsto dal decreto legislativo 231 del 2001, che dal 2008 comprende i delitti informatici e richiede una valutazione dei rischi di reato integrata con gli altri controlli interni.
Vedi anche: l’articolo del 2008 ISO/IEC 27005:2008, l’articolo del 2012 Calcolo del rischio informatico e l’articolo del 2008 Reati informatici e D.Lgs. 231/2001.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn