Un risk assessment viene spesso percepito come un passaggio tecnico: compilare una matrice, attribuire punteggi, produrre un registro e aggiornare qualche documento. È una lettura riduttiva. Per un’azienda, il valore del lavoro sul rischio non sta nella tabella finale, ma nelle decisioni che quella tabella permette di prendere.

Nel percorso verso la ISO/IEC 27001:2022, valutare i rischi significa creare un collegamento disciplinato tra ciò che può compromettere informazioni, servizi e impegni dell’organizzazione e le azioni che meritano priorità. Se questo collegamento non è chiaro, il risultato può essere formalmente ordinato ma difficile da usare: molte voci, poche scelte e responsabilità non definite.

Un approccio efficace non richiede previsioni perfette. Richiede domande corrette, criteri comprensibili e la capacità di trasformare le risposte in un piano governabile.

Il punto di partenza: attività, informazioni e conseguenze

Il rischio non nasce da un elenco astratto di minacce. Nasce dal modo in cui l’azienda lavora. Per questo il primo passo utile è partire dalle attività che generano valore: erogare un servizio, sviluppare un prodotto, gestire una commessa, coordinare una filiera, assistere clienti o trattare informazioni riservate.

Per ciascuna attività, l’azienda può chiedersi quali informazioni sono essenziali, quali sistemi o persone le rendono disponibili e quale conseguenza avrebbe un’interruzione, un’alterazione o una divulgazione non autorizzata. Non occorre iniziare da decine di scenari. È più utile individuare quelli che possono incidere davvero su continuità operativa, obblighi contrattuali, rapporti con i clienti o capacità di decidere.

Questo passaggio evita un errore frequente: trattare il rischio come un tema esclusivamente IT. Dispositivi, applicazioni e account sono importanti, ma acquistano significato quando sono collegati a un processo, a un’informazione e a una conseguenza aziendale riconoscibile.

Costruire scenari che aiutano a scegliere

Uno scenario di rischio diventa utile quando è espresso in modo semplice e completo: che cosa potrebbe accadere, a quale attività o informazione, attraverso quale debolezza o dipendenza e con quale impatto plausibile.

Ad esempio, non basta annotare “ransomware” o “fornitore cloud”. Una formulazione più utile collega l’evento al contesto: l’indisponibilità della piattaforma che gestisce le commesse potrebbe ritardare l’erogazione del servizio; l’accesso non adeguatamente governato a un archivio condiviso potrebbe esporre documenti riservati; un fornitore non sostituibile potrebbe fermare un processo essenziale.

La qualità dello scenario non dipende dalla complessità della scrittura. Dipende dal fatto che direzione, responsabili di processo e IT possano leggerlo nello stesso modo e capire perché richiede attenzione. Quando gli scenari sono chiari, è più semplice evitare valutazioni basate soltanto su percezioni individuali.

Definire criteri coerenti prima dei punteggi

Probabilità e impatto aiutano a ordinare le priorità, ma funzionano solo se i criteri sono condivisi. Un valore numerico non rende oggettiva una valutazione che nessuno sa interpretare.

Prima di attribuire punteggi, conviene chiarire cosa significhi, per l’organizzazione, un impatto basso, medio o alto. Le conseguenze possono riguardare indisponibilità del servizio, perdita o alterazione di informazioni, effetti su clienti e fornitori, costi di ripristino, obblighi contrattuali, reputazione o capacità di rispettare tempi concordati. Anche la probabilità va riferita a elementi osservabili: esposizione, cambiamenti recenti, dipendenze, vulnerabilità note, frequenza di eventi o efficacia delle misure già presenti.

Non serve cercare una precisione artificiale. Serve applicare lo stesso criterio a scenari simili e rendere leggibile la ragione della valutazione. Questo permette di discutere le priorità, aggiornarle quando cambia il contesto e spiegare perché un’azione è stata scelta prima di un’altra.

Dal registro al trattamento: chi fa cosa e quando

Un registro dei rischi è solo un punto di partenza. La domanda decisiva è: quale scelta facciamo rispetto a questo scenario? In alcuni casi l’azienda può ridurre il rischio con misure tecniche o organizzative; in altri può modificare il processo, introdurre una verifica, trasferire una parte del rischio attraverso rapporti contrattuali o accettarlo consapevolmente entro criteri definiti.

La ISO/IEC 27002:2022 offre indicazioni utili sui controlli che possono supportare il trattamento del rischio; non sostituisce però la decisione organizzativa. La scelta deve restare collegata allo scenario, al livello di rischio valutato e alla capacità reale di applicare e mantenere la misura nel tempo.

Ogni azione prioritaria dovrebbe avere almeno un responsabile, una scadenza realistica, le risorse necessarie e un modo per verificare l’avanzamento. Dire “migliorare la sicurezza degli accessi” non è un piano. Dire chi verifica gli account, quale processo viene aggiornato, entro quando e con quale evidenza rende invece l’azione gestibile.

Coinvolgere la direzione senza trasformare tutto in tecnica

La direzione non deve entrare nel dettaglio di ogni configurazione, ma deve poter scegliere sulle questioni che richiedono priorità, investimenti, responsabilità o compromessi tra continuità, tempi e risorse. Un risk assessment ben progettato rende queste decisioni più semplici perché traduce i temi tecnici in effetti sul business.

Un confronto utile può concentrarsi su poche domande: quali rischi non sono accettabili per i servizi offerti? Quali dipendenze non possono restare senza un piano alternativo? Quali azioni richiedono una decisione interfunzionale? Quali rischi vengono accettati e con quali motivazioni?

Questo livello di confronto è diverso dalla mera approvazione di un documento. Rende visibile la responsabilità di governo e consente di rimuovere ostacoli che un team tecnico da solo non può gestire: priorità concorrenti, contratti, ruoli non definiti o mancanza di risorse.

Riesaminare il rischio quando cambiano le condizioni

La valutazione del rischio non è utile se resta immutata mentre cambiano servizi, persone, tecnologie e fornitori. Un nuovo cliente strategico, una piattaforma cloud, un’acquisizione, un incidente, una nuova sede o un cambiamento nei flussi informativi possono modificare sia gli scenari sia le priorità.

Per questo è utile stabilire quando riesaminare il registro: con una cadenza programmata e ogni volta che si verifica un cambiamento significativo. Il riesame non richiede di ricominciare da zero. Richiede di verificare se gli scenari principali sono ancora validi, se le misure adottate hanno prodotto l’effetto previsto e se esistono nuove dipendenze da portare all’attenzione.

Conclusione: il rischio vale per le decisioni che rende possibili

Un buon risk assessment non misura la maturità di un’azienda dal numero di righe compilate. La misura dalla capacità di collegare attività, informazioni, scenari, priorità e decisioni verificabili.

Quando il processo è comprensibile, la ISO/IEC 27001:2022 smette di apparire come un insieme di documenti da produrre e diventa una struttura per decidere meglio: dove intervenire, chi coinvolgere, quali evidenze mantenere e quando rivedere le scelte. È questo passaggio dal registro al governo che rende il rischio davvero operativo.