Articolo Pubblicazioni

OCTAVE Allegro: l’analisi del rischio in otto passi

di · Pubblicato il 31 ottobre 2021 - Aggiornato il 14 novembre 2026 · Tratto da «OCTAVE Allegro: Operationally Critical Threat, Asset, and Vulnerability Evaluation»

Abstract

L’articolo riprende il seminario «OCTAVE Allegro. Operationally Critical Threat, Asset, and Vulnerability Evaluation» del 2021. Spiega in che cosa il modello Allegro si distingue dalle valutazioni narrative tradizionali, come definisce il rischio a partire dalla minaccia e dall’impatto e come si sviluppano le sue otto fasi, dai criteri di misurazione agli asset informativi e ai loro contenitori, dagli scenari di minaccia al punteggio di rischio relativo e alla scelta della risposta.

Vincenzo Calabrò | OCTAVE Allegro: l’analisi del rischio in otto passi
 

Un metodo da compilare

OCTAVE (Operationally Critical Threat, Asset, and Vulnerability Evaluation) nasce al Software Engineering Institute della Carnegie Mellon University, e Allegro ne è la versione snella. Le valutazioni tradizionali hanno spesso un formato narrativo, flessibile ma incline alle incoerenze e costoso in termini di risorse, con un ambito di asset generico. Allegro adotta un formato strutturato, a schede da compilare, che privilegia la facilità d’uso e la ripetibilità, riduce l’impegno e la formazione richiesti e restringe l’ambito agli asset informativi.
Il rischio, in questa impostazione, nasce da una condizione, la minaccia che può colpire la resilienza operativa dell’organizzazione, e da una conseguenza, l’impatto che produrrebbe. La probabilità che la minaccia si concretizzi è il fattore di incertezza che le lega.

Le otto fasi

Le otto fasi si raggruppano in quattro momenti, cioè stabilire i driver, profilare gli asset, identificare le minacce, valutare e mitigare.
  1. Criteri di misurazione del rischio. La valutazione si basa su driver organizzativi oggettivi, come reputazione e fiducia dei clienti, vita e salute delle persone, sanzioni legali, impatto finanziario diretto e produttività, ordinati per importanza;
  2. Profilo dell’asset informativo, con la descrizione del dato, del suo proprietario e dei requisiti di sicurezza;
  3. Contenitori dell’asset, cioè dove risiedono le informazioni, chi vi accede e quali sistemi le elaborano;
  4. Aree di preoccupazione, le condizioni del mondo reale che minacciano la resilienza operativa;
  5. Scenari di minaccia, che legano un attore, un’azione o un motivo, un asset e un risultato;
  6. Identificazione dei rischi, con la descrizione dell’impatto;
  7. Analisi dei rischi, con il punteggio di rischio relativo;
  8. Scelta dell’approccio di risposta.

Dagli asset ai contenitori

Allegro ordina gli oggetti del rischio in una gerarchia. In cima ci sono i servizi che l’organizzazione eroga, sotto i processi di business che li sostengono, poi gli asset informativi generati o usati dai processi e infine i contenitori, cioè i sistemi, i supporti e le persone che custodiscono quelle informazioni. Il focus tecnico sta qui, perché i controlli si applicano ai contenitori.

Scenari, risultati e impact statement

Un’area di preoccupazione diventa uno scenario quando si precisa chi agisce, con quale motivo, su quale asset e con quale risultato. Per esempio un accesso deliberato da parte di un soggetto non autorizzato alle cartelle cliniche, con la loro modifica. I risultati possibili sono la divulgazione, la modifica, la perdita o distruzione e l’interruzione, e ciascuno corrisponde a un requisito di riservatezza, integrità o disponibilità. Se non si riesce a scrivere un impatto per un’area di preoccupazione, probabilmente l’area non è plausibile.
L’impact statement descrive in concreto come l’organizzazione viene colpita. L’esempio del seminario partiva da cartelle cliniche non disponibili, quindi dalla violazione della disponibilità, arrivava a un paziente che riceve un farmaco sbagliato e subisce un danno permanente e si chiudeva con una causa milionaria e una reputazione compromessa.

Punteggio e risposta

Il punteggio di rischio relativo combina l’importanza delle aree di impatto fissata nella prima fase con l’entità del danno descritto nell’impact statement. I rischi che colpiscono in modo grave le aree più importanti hanno la priorità. La risposta si sceglie fra quattro opzioni, cioè mitigare con controlli sui contenitori, accettare quando il punteggio rientra nella tolleranza, trasferire l’impatto con un’assicurazione o un’esternalizzazione, evitare cessando l’attività che genera il rischio. La decisione discende dai driver stabiliti all’inizio, ed è questo legame a rendere il metodo coerente.

Un esempio di scheda

Per capire come funziona il formato a schede si consideri l’asset informativo «anagrafica clienti» di una piccola società di servizi. Il profilo indica il proprietario, cioè il responsabile commerciale, i requisiti di sicurezza, con la riservatezza al primo posto, e la ragione per cui l’asset è critico. I contenitori sono il gestionale in cloud, i portatili dei commerciali che ne scaricano estratti e il fornitore che gestisce il gestionale. Fra le aree di preoccupazione emerge il furto di un portatile con un file esportato. Lo scenario diventa un ladro occasionale che sottrae un portatile non cifrato con l’elenco dei clienti, con un risultato di divulgazione. L’impact statement descrive la comunicazione al Garante, le lamentele dei clienti e la possibile perdita di contratti.

Dal punteggio alle misure

Con un’importanza alta assegnata alla reputazione e alle sanzioni, lo scenario ottiene un punteggio relativo elevato e viene mitigato. Le misure si applicano ai contenitori, cioè cifratura dei dischi dei portatili, limitazione delle esportazioni dal gestionale e verifica delle clausole contrattuali con il fornitore. Uno scenario sul fermo del gestionale per mezza giornata, con impatti limitati sulla produttività, ottiene invece un punteggio basso e può essere accettato. La differenza fra i due trattamenti discende dai criteri fissati nella prima fase, ed è questo che rende le scelte difendibili.

Quando usarlo

OCTAVE Allegro è adatto alle organizzazioni che non hanno un ufficio dedicato all’analisi del rischio e vogliono un metodo strutturato senza mesi di lavoro. Funziona bene in gruppi piccoli, con le persone che conoscono i processi e i dati, e produce risultati comprensibili anche a chi non è un tecnico. Il limite è la natura qualitativa, che rende difficile confrontare i risultati fra organizzazioni diverse o tradurli in valori economici.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn