Risk Assessment
Analisi dei rischi in stile ISO 27005, con piano di trattamento e rischio residuo. Il catalogo delle minacce è già dentro: si parte dalla valutazione, non dal foglio bianco.
L'analisi dei rischi che non si rifà ogni anno in un foglio di calcolo
L'analisi dei rischi è il documento su cui si regge tutto il resto di un sistema di gestione della sicurezza. È anche quello che più spesso viene ricostruito a mano, in un foglio di calcolo, ogni volta che arriva un audit o una richiesta di un cliente.
Il Risk Assessment di Dottor Box segue l'impostazione della ISO/IEC 27005 e delle clausole 6.1 e 8.2 della ISO/IEC 27001. Parte da un catalogo di minacce già organizzato per categoria, ti fa valutare probabilità e impatto, ti fa scrivere come intendi trattare ogni rischio e misura quanto ne resta dopo le contromisure.
Ogni ciclo di analisi si chiude e resta agli atti con la sua data. L'anno dopo si riparte dal confronto, non da zero. E ciò che valuti qui diventa evidenza nel modulo Compliance per le norme che la richiedono.
Il confronto fra rischio inerente e rischio residuo è l'output che gli auditor chiedono, e che quasi nessuno ha pronto.
Cosa ottieni
Catalogo precaricato
Le minacce sono già presenti su ogni nuovo Dottor Box, divise in categorie e sottocategorie. Tu valuti, non compili.
Una misura leggibile
Probabilità per impatto, da 1 a 25, in cinque fasce colorate da Molto Basso a Molto Alto.
Prima e dopo
Piano di trattamento e rischio residuo: vedi quanto rischio tolgono davvero le contromisure.
Fotografie datate
Ogni ciclo di analisi si conclude e resta come fotografia di quel periodo, confrontabile con i successivi.
Le categorie di minacce già pronte
Il catalogo copre gli scenari che una norma come la ISO/IEC 27001 si aspetta di trovare in un'analisi dei rischi. Ogni minaccia si può marcare come non applicabile o da completare: niente finisce nel registro per inerzia, e nulla sparisce senza una decisione.
- Minacce ambientali
- Malfunzionamenti tecnici
- Compromissione dolosa delle informazioni
- Errori umani e carenze organizzative
- Incidenti e problemi di fornitura
- Dipendenza da fornitori e competenze
Dalla valutazione del rischio inerente al rischio residuo
Per ogni minaccia del catalogo il percorso è lo stesso, e ogni passaggio resta registrato.
Valuti il rischio inerente
Probabilità da 1 a 5 per impatto da 1 a 5. L'impatto si qualifica su riservatezza, integrità, disponibilità e sul piano legale e reputazionale.
Scegli il responsabile
Lo prendi dall'anagrafica della squadra di risposta, la stessa usata dagli altri moduli: si compila una volta.
Scrivi il piano di trattamento
Strategia, azioni, risorse, tempi e criteri di valutazione: cosa farai, con chi e entro quando.
Misuri il rischio residuo
Probabilità e impatto dopo il trattamento. Il confronto con il valore inerente dice quanto vale il lavoro fatto.
Ogni rischio ha un Responsabile
Un registro dei rischi elenca problemi. Una gestione dei rischi assegna a qualcuno il compito di risolverli. Per questo ogni rischio identificato ha un Responsabile: non chi esegue le azioni, ma chi risponde del risultato.
È la persona che segue il rischio dalla valutazione fino al trattamento e che verifica che le azioni correttive vengano fatte davvero, supervisionando chi le esegue.
Il singolo punto di riferimento che detiene la responsabilità ultima sulla gestione del rischio, dalla sua valutazione fino al suo trattamento.
Un ciclo chiuso è un documento, non una bozza
- Ogni ciclo di analisi è un evento con la sua data, selezionabile dallo storico
- Quando lo concludi diventa la fotografia di quel periodo
- L'anno successivo riparti dal confronto con il ciclo precedente
- Gli esiti finiscono nel report PDF
- Il modulo Compliance li mostra come evidenza sulle clausole che li richiedono
- Nessun ricaricamento a mano di dati che la piattaforma possiede già
A quali norme contribuisce
La valutazione e il trattamento del rischio sono richiesti, con parole diverse, da quasi ogni framework di sicurezza: dalla NIS2 alla ISO/IEC 27001, fino al GDPR per i rischi sui dati personali.
Spesso attivati insieme
Compliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più GovernareContinuità operativa
Business Impact Analysis, piano di continuità e verifica dei backup, guidati da questionari.
Scopri di più VedereVulnerability Assessment
Sei controlli dall'interno e dall'esterno, con severità CVSS, storico e avvisi sulle novità.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.