Valutazione del rischio informatico o cyber risk, come si esegue

La valutazione del rischio informatico è il processo con cui un’organizzazione identifica le minacce che incombono sui propri sistemi, stima la probabilità che si concretizzino e l’impatto che avrebbero, e decide su questa base dove investire in sicurezza. Per anni è stata una buona pratica; oggi è un obbligo che ricorre in tutte le principali normative: la NIS2 la pone alla base delle misure di gestione del rischio, il GDPR richiede misure “adeguate al rischio” — il che presuppone di averlo valutato — e la ISO 27001 ne fa il cuore del sistema di gestione.

In questo articolo vediamo come si esegue concretamente una valutazione del rischio informatico: le fasi del processo, le figure coinvolte e le metodologie tra cui scegliere.

1. Cos’è il rischio informatico
2. Chi gestisce il rischio informatico in azienda
3. Come si esegue: le cinque fasi
4. Le metodologie: qualitativa, quantitativa, semi-quantitativa

Cos’è il rischio informatico

Il rischio informatico è la probabilità che un’organizzazione subisca danni o perdite a causa di minacce che sfruttano vulnerabilità nei suoi sistemi. La formula concettuale è semplice: il rischio nasce dall’incontro tra una minaccia (un attaccante, un malware, un errore umano, un guasto), una vulnerabilità che le consente di agire e un impatto sugli asset colpiti. Nessuno dei tre elementi da solo costituisce un rischio: un sistema vulnerabile ma privo di valore è un problema teorico, una minaccia senza vulnerabilità da sfruttare resta fuori dalla porta.

L’obiettivo della valutazione non è azzerare il rischio — impossibile — ma conoscerlo e portarlo a un livello accettabile per l’organizzazione, scegliendo consapevolmente cosa mitigare, cosa trasferire (ad esempio con coperture assicurative), cosa accettare. È la differenza tra una sicurezza guidata dalle priorità e una guidata dall’emergenza.

Chi gestisce il rischio informatico in azienda

Nelle organizzazioni strutturate la gestione del rischio informatico è distribuita: il CISO (o il responsabile IT, nelle realtà più piccole) coordina l’analisi e propone le contromisure, i team tecnici le implementano e le monitorano, la direzione approva politiche e investimenti. Ma l’assetto delle responsabilità è cambiato con le normative recenti: come abbiamo visto parlando di governance, risk management e compliance, la NIS2 assegna agli organi di amministrazione la responsabilità diretta — e non delegabile — di approvare le modalità di gestione del rischio e di sovrintenderne l’attuazione. La valutazione del rischio non è più un documento tecnico che resta nell’IT: è la base informativa con cui i vertici rispondono delle proprie decisioni.

Come si esegue: le cinque fasi

La prima fase è il censimento degli asset: non si può proteggere ciò che non si conosce. Si mappa tutto ciò che ha valore per l’organizzazione — hardware, software, dati, reti, servizi cloud — e lo si classifica per criticità, distinguendo gli asset da cui dipendono le operazioni aziendali da quelli accessori. Un processo di asset management strutturato rende questa fase un aggiornamento anziché una ricostruzione da zero.

La seconda fase è l’identificazione delle minacce: per ciascun asset ci si chiede cosa potrebbe comprometterlo. Attacchi esterni, malware e ransomware, errori umani, abusi interni, guasti, eventi fisici — con un’attenzione particolare alle minacce tipiche del proprio settore, perché il profilo di rischio di un’azienda manifatturiera non è quello di uno studio professionale.

La terza fase è l’identificazione delle vulnerabilità: dove le minacce troverebbero varco. Software non aggiornato, configurazioni deboli, accessi mal governati, sistemi esposti. È la fase più tecnica del processo e quella in cui l’analisi documentale non basta: serve una verifica strumentale dei sistemi reali, tipicamente tramite vulnerability assessment, che restituisca le debolezze effettivamente presenti con la loro severity.

La quarta fase è la stima del rischio: si incrociano probabilità e impatto. Per ogni scenario si valuta quanto è plausibile (sulla base delle fonti di minaccia, dei dati storici, dell’esposizione) e quanto costerebbe (danni economici, perdita di dati, fermo operativo, danno reputazionale, sanzioni). Il risultato è una matrice che ordina i rischi e rende visibile, anche a chi non è tecnico, dove intervenire prima.

La quinta fase è il trattamento del rischio: per i rischi sopra la soglia di accettabilità si definiscono le contromisure — tecniche, organizzative, formative — con responsabili e scadenze, e le si implementa verificando poi che funzionino. E qui vale la regola che attraversa tutto il processo: la valutazione del rischio non è un evento ma un ciclo. Minacce, sistemi e business cambiano; l’analisi va aggiornata periodicamente e a ogni cambiamento rilevante, e l’efficacia delle misure va testata, non presunta.

Le metodologie: qualitativa, quantitativa, semi-quantitativa

Il modo in cui probabilità e impatto vengono misurati distingue le tre metodologie principali. Il metodo qualitativo si basa sul giudizio esperto: i rischi vengono classificati su scale descrittive (basso, medio, alto) senza pretesa di quantificazione numerica. È rapido, comprensibile e adatto a una prima mappatura, ma sconta la soggettività delle valutazioni.

Il metodo quantitativo assegna invece valori numerici: probabilità in percentuale, impatti in euro, rischio come perdita attesa. Produce risultati confrontabili e perfetti per giustificare gli investimenti davanti alla direzione, ma richiede dati storici e statistici che molte aziende non possiedono, e la sua precisione è illusoria se i dati in ingresso sono deboli.

Il metodo semi-quantitativo è il compromesso più diffuso nella pratica: scale numeriche semplici (ad esempio da 1 a 5) per probabilità e impatto, moltiplicate in un punteggio di rischio che consente di ordinare le priorità senza pretendere una precisione finanziaria. Qualunque sia il metodo scelto, ciò che conta è applicarlo con coerenza nel tempo: una valutazione ripetuta con criteri stabili permette di misurare se il rischio complessivo sta scendendo — che è, in fondo, l’unica domanda che interessa davvero.

Perché la valutazione del rischio è fondamentale

La valutazione del rischio informatico è il punto in cui la sicurezza smette di essere una lista di prodotti e diventa una strategia: protegge gli asset critici, orienta gli investimenti dove servono davvero, prepara l’organizzazione a rispondere agli incidenti e produce la documentazione che GDPR, NIS2 e standard come la ISO 27001 chiedono di esibire. Le aziende che la eseguono con metodo non spendono necessariamente di più in sicurezza: spendono meglio.