Articolo Pubblicazioni
Metodologie di analisi del rischio a confronto: ISO 27005, NIST SP 800-30, OCTAVE, IRAM2, EBIOS RM, FAIR
di Vincenzo Calabrò · Pubblicato il 14 novembre 2026
Abstract
Le metodologie di analisi del rischio informatico sono molte e rispondono a esigenze diverse. L’articolo ne mette a confronto sei, ISO/IEC 27005, NIST SP 800-30, OCTAVE Allegro, IRAM2, EBIOS Risk Manager e FAIR, con una tabella che ne riassume approccio, punti di forza e limiti, e propone alcuni criteri per scegliere e combinare i metodi.
Perché esistono tanti metodi
Tutte le metodologie partono dalla stessa idea, cioè che il rischio dipende dalla probabilità che una minaccia sfrutti una vulnerabilità e dall’impatto che ne deriva. Cambiano il punto di partenza, il livello di dettaglio, il modo di misurare e il pubblico a cui si rivolgono. Un metodo pensato per un sistema di gestione certificato non si presta a dare al consiglio di amministrazione una stima in euro, e uno quantitativo richiede dati che una piccola organizzazione non ha.
Tabella 1. Sei metodologie di analisi del rischio a confronto.
| Metodo | Origine | Approccio | Punti di forza | Limiti | Quando usarlo |
|---|---|---|---|---|---|
| ISO/IEC 27005:2022 | ISO e IEC | Processo di gestione del rischio collegato all’ISMS, con approccio per eventi o per asset | Coerenza con ISO 27001, riconoscimento internazionale, flessibilità | Indica soprattutto che cosa fare e lascia la scelta del metodo operativo | Organizzazioni certificate o che puntano alla certificazione |
| NIST SP 800-30 Rev. 1 | NIST, Stati Uniti | Valutazione strutturata di minacce, vulnerabilità, probabilità e impatto su più livelli | Dettaglio tecnico, tabelle pronte, buona integrazione con il NIST CSF | Pensato per sistemi governativi, onerosa da applicare per intero | Analisi tecniche di sistemi specifici |
| OCTAVE Allegro | Software Engineering Institute, Carnegie Mellon | Centrato sugli asset informativi e sui loro contenitori, in otto fasi | Schede da compilare, poche risorse, coinvolge chi conosce i processi | Qualitativo, meno adatto a confronti fra organizzazioni | Organizzazioni medie che partono da zero |
| IRAM2 | Information Security Forum | Sei fasi dal perimetro al trattamento, con forza delle minacce e dei controlli | Collegamento con il business, rigore, integrazione con l’ERM | Riservato ai membri ISF, richiede formazione | Grandi organizzazioni con un ERM maturo |
| EBIOS Risk Manager | ANSSI, Francia | Cinque laboratori basati su scenari, dalla base di sicurezza ai percorsi di attacco | Scenari realistici, attenzione a partner e fornitori | Lavoro di gruppo lungo, documentazione in gran parte in francese | Analisi di sistemi critici e catene di fornitura |
| FAIR | The Open Group (Open FAIR) | Modello quantitativo di frequenza e entità delle perdite, con simulazioni | Risultati in euro, confronto fra investimenti, linguaggio del business | Richiede dati e competenze statistiche, stime soggettive da calibrare | Decisioni di investimento e dialogo con il consiglio |
Come scegliere
- Lo scopo. Per la conformità a ISO 27001 serve un processo coerente con la ISO 27005, per giustificare un investimento serve una stima economica come quella di FAIR, per capire come un attaccante potrebbe arrivare a un sistema servono gli scenari di EBIOS RM;
- Le risorse. OCTAVE Allegro è stato pensato per gruppi piccoli e tempi brevi, mentre IRAM2 ed EBIOS RM richiedono più persone e più settimane;
- I dati disponibili. I metodi quantitativi danno risultati utili solo se esistono dati storici sugli incidenti o stime calibrate da chi conosce bene il dominio;
- Il pubblico. Il risultato deve essere comprensibile a chi decide, e per un consiglio di amministrazione una mappa colorata con livelli alto, medio e basso dice meno di un intervallo di perdite attese.
Combinare i metodi
Nella pratica molte organizzazioni combinano due livelli. La ISO 27005 fornisce il processo, con ruoli, criteri di accettazione e cicli di revisione. Dentro quel processo si usa un metodo qualitativo come OCTAVE Allegro o IRAM2 per l’intero perimetro, e un metodo quantitativo come FAIR per i pochi scenari su cui bisogna decidere un investimento importante. EBIOS RM è utile quando i rischi principali passano dai fornitori o da attaccanti mirati. Quello che conta è che il metodo sia applicato con regolarità, che le stime siano motivate e che il risultato porti a decisioni.
EBIOS Risk Manager in breve
Fra i metodi della tabella, EBIOS Risk Manager è il meno conosciuto in Italia. Pubblicato dall’agenzia francese ANSSI nel 2018, si sviluppa in cinque laboratori. Il primo definisce il perimetro e la base di sicurezza, cioè le misure già richieste da norme e standard. Il secondo individua le fonti di rischio e i loro obiettivi, il terzo costruisce scenari strategici che passano anche per partner e fornitori, il quarto scende negli scenari operativi, con le tecniche di attacco, il quinto definisce il trattamento. La forza del metodo è il modo in cui obbliga a ragionare come un attaccante, ed è per questo adatto ai sistemi critici e alle catene di fornitura.
Un percorso per partire
- definire con la direzione criteri di impatto e di accettazione del rischio, coerenti con la ISO 27005;
- condurre una valutazione qualitativa su tutto il perimetro con un metodo leggero, come OCTAVE Allegro;
- approfondire con scenari di attacco, alla maniera di EBIOS RM, i sistemi più esposti e le dipendenze dai fornitori;
- quantificare con FAIR i due o tre scenari su cui si deve decidere un investimento;
- ripetere il ciclo ogni anno e ogni volta che cambiano in modo rilevante sistemi, minacce o norme.
Gli errori più comuni
Il primo è scegliere il metodo prima di aver chiarito a che cosa serve la valutazione. Il secondo è applicarlo in modo burocratico, compilando schede senza discutere con chi conosce i processi, con il risultato di una valutazione che nessuno legge. Il terzo è confondere la valutazione con il trattamento, cioè fermarsi all’elenco dei rischi senza decidere che cosa fare. Il quarto è non tenere traccia delle ipotesi, che rende impossibile capire l’anno successivo perché un rischio è cambiato. Qualunque metodo funziona meglio di una matrice compilata in fretta, se produce decisioni motivate e verificabili.
Vedi anche: l’articolo del 2020 IRAM2: valutare il rischio informatico con il metodo dell’Information Security Forum e l’articolo del 2021 OCTAVE Allegro: l’analisi del rischio in otto passi.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn