Modelli e registrazioni · ISO 27001 · Punto 6.1.2
Modello di valutazione dei rischi di sicurezza ISO 27001
L’analisi che individua che cosa può compromettere la riservatezza, l’integrità o la disponibilità delle informazioni, chi risponde di ciascun rischio e quanto pesa.
In una frase
La valutazione dei rischi per la sicurezza delle informazioni individua i rischi per la riservatezza, l’integrità e la disponibilità, assegna a ciascuno un titolare, ne stima la probabilità e le conseguenze e li confronta con criteri di accettazione fissati in anticipo; la ISO/IEC 27001 richiede di documentare il processo (6.1.2) e di conservarne i risultati (8.2).
- Dove lo richiede la norma
- ISO 27001 · Punto 6.1.2 I punti seguono la ISO/IEC 27001:2022; quelli che iniziano con «A.» sono controlli dell’Appendice A, richiesti nella misura in cui la dichiarazione di applicabilità li include.
- Tipo di informazione
- Registrazione obbligatoria Processo documentato (6.1.2) e risultati da conservare (8.2)
- Chi lo compila
- Responsabile della sicurezza con i titolari dei rischi Ogni rischio ha un titolare con l’autorità per deciderne il trattamento
- Quando
- Almeno una volta l’anno E in caso di cambiamenti rilevanti: un nuovo servizio, un fornitore critico, un incidente grave
- Per quanto tempo si conserva
- Lo stabilisce l’organizzazione La ISO/IEC 27001 non fissa termini: chiede di decidere la conservazione e l’eliminazione delle informazioni documentate (7.5.3). Coprire il ciclo di certificazione di tre anni permette di mostrare lo storico al rinnovo.
Che cosa richiede la norma
Che cosa impone la norma ISO 27001 e che cosa lascia alla sua discrezione
La norma chiede di definire un processo di valutazione con criteri di accettazione del rischio e criteri per svolgerla, in modo che, ripetuta, dia risultati coerenti e confrontabili. All’interno di questo processo bisogna identificare i rischi, nominarne il titolare, stimare conseguenze e probabilità, determinare il livello e stabilire le priorità.
Non impone un metodo. Dal 2013 non richiede di partire dagli asset: si può lavorare per scenari, per processi o per asset. La ISO/IEC 27005 offre una guida, ma non è certificabile né obbligatoria.
La valutazione si ripete a intervalli pianificati e quando ci sono cambiamenti significativi (8.2). Si conservano i risultati di ogni esecuzione, non solo la versione più recente.
Struttura
Campi che il modello deve contenere
- Criteri di accettazione e scale di probabilità e impatto
- Identificativo e descrizione del rischio (minaccia e vulnerabilità o scenario)
- Asset, processo o servizio coinvolto
- Dimensione colpita: riservatezza, integrità o disponibilità
- Titolare del rischio
- Controlli esistenti
- Probabilità, impatto e livello di rischio
- Decisione: accettare o trattare
- Data della valutazione e versione
Esempio
Esempio: un rischio della valutazione annuale
Azienda, persone e cifre inventate: l’esempio mostra soltanto come si presenta una registrazione compilata correttamente.
| Campo | Contenuto |
|---|---|
| Rischio | R-07 · Interruzione prolungata del fornitore di hosting della piattaforma |
| Servizio coinvolto | Piattaforma SaaS di Nubeta (fittizia) |
| Dimensione | Disponibilità |
| Titolare | Direttrice delle operazioni |
| Controlli esistenti | Backup giornalieri in un’altra regione; contratto con livello di servizio del 99,9 % |
| Stima | Probabilità 2 su 5 · Impatto 5 su 5 · Livello 10, alto |
| Criterio di accettazione | Si accettano rischi di livello 6 o inferiore |
| Decisione | Trattare · passa al piano di trattamento come azione T-07 |
| Data | Valutazione annuale, 2 settembre 2026 |
In audit
Errori che gli auditor rilevano più spesso
- Non ci sono criteri di accettazione scritti, oppure si fissano dopo aver visto i risultati.
- Rischi senza titolare, o con «Informatica» come titolare di tutti.
- La valutazione non si ripete dopo un incidente grave o un cambio di fornitore.
- Aggiornando si cancella la versione precedente: non resta alcun risultato da conservare.
- Le scale cambiano da un anno all’altro e i risultati smettono di essere confrontabili.
In Kimobox
Come si gestisce questa registrazione in Kimobox
- 1Ogni rischio si registra con il suo asset, il suo trattamento e il suo titolare.
- 2Il titolare di ogni rischio e di ogni asset si assegna direttamente nel sistema.
- 3Ogni versione della valutazione resta archiviata e, dopo un incidente rilevante, si aggiorna dalla stessa azione correttiva.
Domande frequenti
Cosa ci chiedono prima di iniziare
Bisogna partire dall’inventario degli asset?
Non è obbligatorio dall’edizione 2013, anche se molte aziende continuano a farlo perché aiuta a non dimenticare nulla. Si può analizzare per scenari o per processi, purché i risultati siano coerenti e confrontabili.
Che cos’è il titolare del rischio?
La persona con l’autorità e la responsabilità per gestire un rischio. È chi approva il piano di trattamento e accetta il rischio residuo, e di solito è un responsabile del business, non il tecnico dei sistemi.
Gestisca le registrazioni ISO 27001 senza modelli sparsi
Le mostriamo il modulo in funzione con dati simili ai suoi.
Continua a esplorare
Pagine correlate
Pianificazione
Pianificare nella ISO 27001 significa analizzare il rischio di ogni asset e decidere, con criterio, quali…
Modello di dichiarazione di applicabilità ISO 27001
Che cosa deve riportare la dichiarazione di applicabilità della ISO 27001 (6.1.3 d): controlli necessari…
Modello di piano di trattamento dei rischi ISO 27001
Che cosa deve includere il piano di trattamento dei rischi della ISO 27001 (6.1.3 e): opzione scelta…
Modello di inventario degli asset informativi ISO 27001
Come costruire l’inventario degli asset informativi richiesto dal controllo 5.9 della ISO 27001: tipo…
Fonti
Da dove arriva ogni dato
Riferimenti al testo ufficiale in vigore. Se una norma viene revisionata, questa pagina si aggiorna e la data di revisione lo indica.
- ISO/IEC 27001:2022 — Sistemi di gestione per la sicurezza delle informazioni. Requisiti ISO/IEC · 25 ottobre 2022
- ISO/IEC 27005:2022 — Guida alla gestione dei rischi per la sicurezza delle informazioni ISO/IEC · Ottobre 2022