Articolo Pubblicazioni

IRAM2: valutare il rischio informatico con il metodo dell’Information Security Forum

di · Pubblicato il 30 novembre 2020 - Aggiornato il 14 novembre 2026 · Tratto da «IRAM2: Information Risk Assessment Methodology 2»

Abstract

L’articolo riprende la lezione «IRAM2: Information Risk Assessment Methodology 2» tenuta nel novembre 2020 alla Scuola Nazionale dell’Amministrazione. Spiega perché gli approcci tradizionali faticano a tradurre le vulnerabilità tecniche in impatti di business, come IRAM2 scompone probabilità e impatto in grandezze misurabili e come si svolgono le sue sei fasi. Chiude con il confronto con ISO/IEC 27005 e NIST SP 800-30, l’integrazione con l’analisi costi-benefici e il collegamento con la gestione del rischio d’impresa.

Vincenzo Calabrò | IRAM2: valutare il rischio informatico con il metodo dell’Information Security Forum
 

Il limite degli approcci tradizionali

Molti metodi di analisi del rischio informatico partono dai difetti tecnici e si fermano lì. Producono elenchi di vulnerabilità che i vertici aziendali non riescono a collegare agli obiettivi dell’organizzazione, e le valutazioni restano qualitative, spesso affidate all’intuito di chi le compila. Il risultato è un budget di sicurezza speso male e un rischio comunicato in un linguaggio che il consiglio di amministrazione non usa.
IRAM2 (Information Risk Assessment Methodology 2) è la metodologia sviluppata dall’Information Security Forum, l’associazione internazionale che pubblica anche lo Standard of Good Practice for Information Security. Sposta il centro della valutazione dall’infrastruttura al business, con un’architettura strutturata e pensata per integrarsi con la gestione del rischio d’impresa (ERM).

L’equazione espansa del rischio

La formula di partenza resta probabilità per impatto. IRAM2 scompone però le due variabili in sotto-componenti misurabili per ridurre la soggettività. La probabilità di successo di un attacco dipende dalla forza della minaccia e dalla forza dei controlli che le si oppongono. L’impatto si valuta su due scenari, quello realistico, atteso, e quello peggiore, estremo. Dalla combinazione si ricavano l’impatto residuo e infine il rischio residuo.

Le sei fasi

  1. Definizione dell’ambito (scoping). Si parte dai servizi di business e si scende ai processi e ai servizi tecnologici che li sostengono, fino a ottenere il profilo ambientale e il perimetro della valutazione;
  2. Business impact assessment. Si valutano gli impatti su riservatezza, integrità e disponibilità distinguendo l’interruzione attesa da quella catastrofica, con una tabella di riferimento (BIRT) che rende il rating confrontabile;
  3. Profilazione delle minacce. Le minacce, antagonistiche, accidentali o ambientali, si misurano per capacità, intento e storico, e una seconda tabella di riferimento (TPRT) ne restituisce la forza;
  4. Valutazione delle vulnerabilità. I controlli dell’ISF passano due filtri, la pertinenza rispetto alla minaccia e la qualità dell’attuazione, distinguendo il controllo progettato da quello che funziona davvero, e se ne ricava la forza del controllo;
  5. Valutazione del rischio. Forza della minaccia e forza del controllo danno la probabilità di successo, che incrociata con l’impatto residuo produce un rating unico del rischio residuo, da trascurabile a critico;
  6. Trattamento del rischio. Il rischio residuo si confronta con la propensione al rischio dell’organizzazione. Se la supera si sceglie fra mitigare, trasferire o evitare, altrimenti lo si accetta, con una responsabilità esecutiva esplicita, e lo si monitora.

IRAM2 accanto a ISO/IEC 27005 e NIST SP 800-30

La lezione metteva a confronto tre riferimenti. IRAM2 combina un approccio dall’alto e dal basso, ha un rigore strutturato e un focus sul business, ed è prescrittivo, perché dice come fare. La ISO/IEC 27005 parte dal vertice, è legata al sistema di gestione della sicurezza delle informazioni (ISMS) della ISO/IEC 27001 e offre linee guida generali su cosa fare. Il NIST SP 800-30 lavora dal basso, con un forte dettaglio tecnico, ed è nato per i sistemi governativi e IT.

Un esempio

Si consideri il servizio di vendita online di un’azienda di medie dimensioni. Nella fase di scoping il servizio si scompone nel sito di e-commerce, nel sistema di pagamento affidato a un fornitore esterno, nel gestionale degli ordini e nella banca dati dei clienti. Il business impact assessment mostra che una perdita di riservatezza della banca dati ha un impatto realistico alto, per le notifiche e il danno reputazionale, e uno peggiore molto alto, se i dati finiscono in vendita. Un’interruzione del sito di un giorno ha un impatto realistico medio.
Nella profilazione delle minacce emergono i gruppi criminali interessati ai dati di pagamento, con capacità elevata e intento chiaro, e l’errore di configurazione da parte del personale interno. La valutazione dei controlli rivela che l’autenticazione a più fattori è prevista dalla policy ma non applicata agli account amministrativi del sito. La probabilità di successo dell’attacco risulta quindi alta e il rischio residuo sulla riservatezza supera la propensione al rischio.
Il trattamento prevede l’estensione dell’autenticazione a più fattori, una revisione delle configurazioni ogni trimestre e il monitoraggio degli accessi amministrativi, con un responsabile e una scadenza. Rivalutato dopo l’intervento, il rischio scende entro la soglia accettata dalla direzione. Il valore dell’esercizio sta nella tracciabilità del ragionamento, che permette a chiunque di vedere da quali valutazioni nasce il rating.

Costi, benefici e consiglio di amministrazione

Nelle fasi di valutazione e trattamento IRAM2 si presta a un’integrazione con l’analisi costi-benefici. L’investimento in un controllo si confronta con la riduzione economica del rischio residuo che produce, e ogni decisione riceve un responsabile e una data. È il passaggio che trasforma la valutazione del rischio in un ritorno sull’investimento in sicurezza.
L’obiettivo finale è una tassonomia del rischio cyber che il consiglio di amministrazione possa pesare accanto ai rischi finanziari e operativi. La lezione chiudeva su tre risultati, cioè la traduzione del rischio IT in impatto sul business, metriche derivate e difendibili al posto delle stime soggettive e investimenti giustificati attraverso la gestione del rischio d’impresa e l’analisi costi-benefici.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn