Modelli e registrazioni · ISO 27001 · Punto 6.1.3
Modello di piano di trattamento dei rischi ISO 27001
Che cosa si farà per ogni rischio non accettato: con quali controlli, chi, entro quando e quale rischio resta dopo, con l’approvazione del suo titolare.
In una frase
Il piano di trattamento dei rischi riporta, per ogni rischio non accettato, l’opzione scelta —mitigare, evitare, trasferire o accettare—, i controlli che saranno applicati, il responsabile e la scadenza, e l’approvazione del titolare insieme alla sua accettazione del rischio residuo, che è quanto richiede il punto 6.1.3 e) e f) della ISO/IEC 27001.
- Dove lo richiede la norma
- ISO 27001 · Punto 6.1.3 I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.
- Tipo di informazione
- Registrazione obbligatoria Processo documentato (6.1.3) e risultati da conservare (8.3)
- Chi lo compila
- Responsabile della sicurezza e titolari dei rischi Il titolare approva il piano e firma l’accettazione del rischio residuo
- Quando
- Dopo ogni valutazione dei rischi Il suo avanzamento si esamina nel comitato sicurezza e nel riesame della direzione
- Per quanto tempo si conserva
- Lo stabilisce l’organizzazione La ISO/IEC 27001 non fissa termini: chiede di decidere la conservazione e l’eliminazione delle informazioni documentate (7.5.3). Coprire il ciclo di certificazione di tre anni permette di mostrare lo storico al rinnovo.
Che cosa richiede la norma
Che cosa impone la norma ISO 27001 e che cosa lascia alla sua discrezione
Con i rischi stimati, la norma chiede di scegliere le opzioni di trattamento, determinare i controlli necessari, formulare un piano e ottenere dai titolari l’approvazione del piano e l’accettazione del rischio residuo.
Il piano non è la dichiarazione di applicabilità: la SoA dice quali controlli esistono e perché; il piano dice che cosa si fa, chi e quando per arrivare a quello stato. Entrambi si alimentano della stessa valutazione.
L’esecuzione del piano si segue nel capitolo 8: va attuato e se ne conservano i risultati, così che in audit si veda che cosa è stato fatto, che cosa è in sospeso e perché.
Struttura
Campi che il modello deve contenere
- Rischio trattato e livello prima del trattamento
- Opzione di trattamento: mitigare, evitare, trasferire o accettare
- Controlli o azioni previsti (con il riferimento all’Appendice A, se esiste)
- Responsabile e data prevista
- Risorse necessarie
- Livello di rischio residuo atteso
- Approvazione del titolare e accettazione del rischio residuo
- Stato e data di chiusura
Esempio
Esempio: trattamento del rischio di interruzione del fornitore
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Rischio | R-07 · Livello 10, alto |
| Opzione | Mitigare |
| Azione T-07 | Replica della piattaforma in una seconda regione con failover collaudato (controlli 5.30 e 8.14) |
| Responsabile e scadenza | Responsabile dell’infrastruttura · 31 gennaio 2027 |
| Risorse | Budget approvato di 18.000 € l’anno |
| Rischio residuo atteso | Livello 5, accettabile |
| Approvazione | Direttrice delle operazioni, 10 settembre 2026; accetta il rischio residuo |
| Stato | In corso · 60 % |
In audit
Errori che gli auditor rilevano più spesso
- Il piano non ha scadenze né responsabili: è un elenco di buone intenzioni.
- Non risulta l’accettazione del rischio residuo da parte del titolare.
- Rischi «trasferiti» a un’assicurazione o a un fornitore senza verificare che cosa copre il contratto.
- Azioni chiuse nel piano che non si riflettono nella dichiarazione di applicabilità.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1Ogni azione del piano si assegna a un responsabile con una scadenza, e il sistema avvisa se è in ritardo.
- 2Il trattamento resta registrato accanto al rischio e al suo titolare, con la relativa approvazione.
- 3Il riesame della direzione parte da un modello con gli incidenti di sicurezza e i rischi già aggregati.
Domande frequenti
Cosa ci chiedono prima di iniziare
Si può accettare un rischio alto?
Sì, se il suo titolare lo accetta consapevolmente e resta registrato. La norma non vieta di accettare rischi oltre il criterio; chiede che la decisione sia esplicita e presa da chi ha l’autorità per farlo.
Piano di trattamento e SoA possono essere lo stesso documento?
Possono convivere nello stesso strumento, ma rispondono a domande diverse. Fonderli di solito porta a perdere il monitoraggio delle azioni o la giustificazione dei controlli.
Gestisca le registrazioni ISO 27001 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Pianificazione
Pianificare nella ISO 27001 significa analizzare il rischio di ogni asset e decidere, con criterio, quali…
Modello di dichiarazione di applicabilità ISO 27001
Che cosa deve riportare la dichiarazione di applicabilità della ISO 27001 (6.1.3 d): controlli necessari…
Modello di valutazione dei rischi di sicurezza ISO 27001
Come documentare la valutazione dei rischi di sicurezza della ISO 27001: criteri di accettazione, titolare…
Modello di inventario degli asset informativi ISO 27001
Come costruire l’inventario degli asset informativi richiesto dal controllo 5.9 della ISO 27001: tipo…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni. Requisiti ISO/IEC · 25 ottobre 2022
- ISO/IEC 27005:2022 — Guida alla gestione dei rischi per la sicurezza delle informazioni ISO/IEC · Ottobre 2022