Uno degli aspetti più rilevanti della NIS2 è il richiamo a una gestione del rischio coerente con il ruolo, le dimensioni, la complessità e l’esposizione dell’organizzazione.

Questo significa che la sicurezza informatica non può essere trattata come un insieme indistinto di controlli tecnici da applicare in modo uniforme, né come una semplice risposta documentale alla normativa.

Indice degli argomenti

• Dal rischio astratto al rischio contestualizzato
• Il limite delle valutazioni generiche
• Dal business al rischio
• Vulnerabilità e contesto
• Proporzionalità delle misure
• Dal rischio al piano di trattamento
• Le prime 3 guide pratiche per la conformità NIS2
• Conclusione

Dal rischio astratto al rischio contestualizzato

Il rischio deve essere compreso, valutato, trattato e monitorato in relazione al contesto reale dell’organizzazione. Per questo il risk assessment, se svolto correttamente, non è un documento isolato.

È il punto in cui convergono le informazioni su attività, servizi IT e asset, fornitori, minacce, vulnerabilità, impatti e misure già in essere. Ed è anche il punto da cui derivano le priorità di trattamento e gli investimenti più coerenti.

Il problema non è, quindi, fare una valutazione del rischio. Il problema è farla in modo utile.

Il limite delle valutazioni generiche

Molte valutazioni del rischio cyber restano troppo generiche. Identificano minacce ampie, scenari ricorrenti, vulnerabilità note e livelli di rischio calcolati con matrici standard, ma faticano a collegare quei risultati al funzionamento concreto dell’organizzazione.

Il rischio, però, non esiste in astratto. Un ransomware non ha lo stesso impatto su tutti gli asset. Una vulnerabilità critica assume significati diversi se interessa un sistema esposto, un ambiente isolato o un asset che supporta un’attività essenziale. Anche la compromissione di un fornitore produce effetti diversi se quel fornitore gestisce un servizio accessorio o un sistema centrale per produzione, logistica, fatturazione o continuità operativa.

Una valutazione realmente utile deve quindi superare l’elenco generico delle minacce e chiedersi: quale attività viene impattata? Quale servizio IT è coinvolto? Quale asset è esposto? Quali dati sono trattati? Quali fornitori intervengono? Quale sarebbe l’effetto sulla capacità dell’organizzazione di operare?

Dal business al rischio

Un approccio maturo parte dalle attività aziendali e dai servizi che le supportano.

Le attività più rilevanti devono essere identificate e comprese in termini di impatto operativo, economico, regolatorio e reputazionale. I servizi IT che le abilitano devono essere mappati. Gli asset che erogano quei servizi devono essere conosciuti. I fornitori che li gestiscono o vi accedono devono essere valutati. Solo a quel punto ha senso analizzare minacce, vulnerabilità e scenari di rischio.

In questo modo il rischio cyber smette di essere un esercizio tecnico e diventa una valutazione collegata al business.

Una compromissione della posta elettronica può essere rilevante per quasi tutte le organizzazioni, ma il suo impatto dipende dai processi che la utilizzano. Un’indisponibilità dell’ERP può essere critica se blocca produzione, ordini, magazzino o fatturazione. Una manipolazione dei dati in un sistema qualità o in un sistema di tracciabilità può avere effetti molto più gravi della semplice indisponibilità temporanea del servizio.

La gestione del rischio deve quindi considerare disponibilità, integrità e riservatezza. In molti settori, l’alterazione di un dato può essere più pericolosa della sua indisponibilità.

Vulnerabilità e contesto

La gestione delle vulnerabilità è un esempio evidente della necessità di contestualizzare il rischio. Non tutte le vulnerabilità con lo stesso punteggio tecnico hanno la stessa priorità di intervento.

Il valore di una vulnerabilità dipende anche dall’asset su cui è presente, dall’esposizione, dalla possibilità di sfruttamento, dalle misure compensative, dai privilegi ottenibili, dai dati trattati e dalle attività supportate.

Una vulnerabilità critica su un asset marginale può avere una priorità inferiore rispetto a una vulnerabilità apparentemente meno grave su un sistema che sostiene attività ad alto impatto. Questo non significa ignorare le vulnerabilità tecniche, ma inserirle dentro una logica di rischio aziendale.

La priorità di remediation dovrebbe quindi derivare dall’unione tra gravità tecnica, esposizione e criticità dell’asset per il business. La NIS2 spinge proprio in questa direzione: non una sicurezza guidata solo dalla gravità tecnica, ma una sicurezza guidata dalla combinazione tra esposizione, probabilità, vulnerabilità, impatto e capacità di risposta.

Il concetto centrale è la proporzionalità. Le misure di sicurezza devono essere adeguate al rischio. Questo implica una conseguenza pratica: non tutto richiede lo stesso livello di protezione, monitoraggio, backup, logging, segmentazione, controllo accessi o presidio operativo.

Gli asset che supportano attività ad alto impatto dovranno avere misure più robuste e verificabili. I fornitori che gestiscono sistemi critici dovranno essere governati con maggiore attenzione. I servizi più rilevanti dovranno essere associati a requisiti più stringenti di disponibilità, tracciabilità, controllo e ripristino. Le vulnerabilità su sistemi critici dovranno essere trattate con priorità più alta.

La proporzionalità non è un modo per fare meno sicurezza. È un modo per fare sicurezza in modo più razionale.

Applicare misure elevate ovunque può essere inefficiente e difficilmente sostenibile. Applicarle dove l’impatto è chiaro e documentato consente invece di usare meglio budget, risorse tecniche e capacità organizzativa.

Dal rischio al piano di trattamento

Una valutazione del rischio è utile solo se produce decisioni. Il piano di trattamento dovrebbe indicare quali rischi devono essere ridotti, quali possono essere accettati, quali richiedono trasferimento, quali necessitano di misure compensative e quali devono essere monitorati nel tempo.

Anche qui il collegamento con il business è essenziale. Le azioni di trattamento non dovrebbero essere una lista generica di controlli, ma interventi coerenti con gli impatti e con le priorità dell’organizzazione: rafforzamento degli accessi, segmentazione, backup, hardening, vulnerability management, monitoraggio, formazione, revisione dei fornitori, test di ripristino, miglioramento delle procedure di incident response.

Ogni misura dovrebbe rispondere a una domanda precisa: quale rischio riduce e su quale attività, servizio o asset produce valore?

Conclusione

La valutazione del rischio, in ottica NIS2, non può essere ridotta a una matrice o a un esercizio formale. Deve essere il punto di raccordo tra ciò che l’organizzazione fa, le tecnologie che utilizza, i fornitori da cui dipende, le vulnerabilità a cui è esposta e gli impatti che una compromissione potrebbe generare.

Il valore del risk assessment non sta nella sua esistenza documentale, ma nella capacità di orientare decisioni, priorità e misure proporzionate.

Una gestione matura del rischio consente di proteggere meglio ciò che conta davvero, evitare investimenti dispersivi, rafforzare gli asset più rilevanti, governare i fornitori critici e collegare la sicurezza informatica alla responsabilità aziendale.

La valutazione del rischio trova poi una delle sue applicazioni più concrete nella continuità operativa, dove impatti e criticità devono tradursi in priorità, tempi di ripristino e perdita dati tollerabile.