IRAM2: Information Risk Assessment Methodology 2

 

Il 30 novembre 2020 Vincenzo Calabrò ha tenuto una lezione presso la Scuola Nazionale dell'Amministrazione della Presidenza del Consiglio dei Ministri dal titolo «IRAM2: Information Risk Assessment Methodology 2», dedicata alle definizioni, alle metodologie implementative e alle criticità operative del metodo di valutazione del rischio informatico sviluppato dall'Information Security Forum.

La lezione ha introdotto IRAM2 partendo dal fallimento degli approcci tradizionali, che faticano a tradurre le vulnerabilità tecniche in impatti di business, e dal cambio di paradigma del metodo, con la sua equazione espansa del rischio e l'architettura per obiettivi e passi. Vincenzo Calabrò ha poi percorso le sei fasi: definizione dell'ambito (scoping), Business Impact Assessment, profilazione delle minacce, valutazione delle vulnerabilità, valutazione del rischio e trattamento.

La parte finale ha collocato IRAM2 nel panorama dei framework per il rischio informatico, ha proposto un metodo ibrido con l'analisi costi-benefici e ha discusso l'integrazione nell'Enterprise Risk Management e l'imperativo della resilienza. La lezione si inserisce fra gli incontri del 2020 presso lo stesso ente, come «IT Risk Management. Strategie e strumenti per governare il rischio digitale», «IT Risk Management Lifecycle» e «La gestione del rischio informatico e la risoluzione degli incidenti».

Le slide della lezione, 15 pagine in PDF, descrivono l'equazione del rischio di IRAM2, le sei fasi del metodo e il confronto con gli altri framework.