Rischio residuo: definizione
Il rischio residuo è il livello di rischio che rimane dopo aver applicato le misure di trattamento. Non è mai zero: va misurato, confrontato con il livello che l'azienda è disposta ad accettare e approvato da chi ne è responsabile.
In breve
Nell'analisi dei rischi si parte dal rischio inerente: quanto è probabile una minaccia e quanto danno farebbe, senza considerare (o prima di aggiungere) le contromisure. Poi si decide come trattarlo. Ciò che resta dopo il trattamento è il rischio residuo. Il confronto fra i due numeri mostra quanto le misure adottate hanno funzionato.
Come funziona
Con un metodo semplice e diffuso, il rischio è il prodotto di probabilità e impatto, ciascuno su una scala da 1 a 5: il risultato va da 1 a 25 e si divide in fasce. Le opzioni di trattamento previste dalla ISO/IEC 27005 sono quattro:
- modificare il rischio con controlli che riducono probabilità o impatto;
- evitarlo, rinunciando all'attività che lo genera;
- condividerlo, per esempio con un'assicurazione o affidando l'attività a un fornitore;
- mantenerlo, accettandolo consapevolmente.
La ISO/IEC 27001 (clausola 6.1.3) chiede che i responsabili del rischio approvino il piano di trattamento e accettino formalmente i rischi residui. Un rischio residuo sopra la soglia di accettabilità stabilita dall'azienda richiede altre misure, oppure una decisione esplicita della direzione.
Perché è importante
Gli auditor chiedono proprio il confronto fra rischio inerente e residuo, perché dimostra che l'analisi non è un esercizio sulla carta. E nessuna misura elimina un rischio: chi dichiara "rischio zero" non ha capito il problema. Scrivere quanto rischio resta, e chi lo ha accettato, protegge l'azienda e le persone che decidono. Le scelte si riflettono nella Dichiarazione di applicabilità e vanno riviste a ogni ciclo, perché minacce e sistemi cambiano.
Esempio
Minaccia: ransomware sul server dei file. Rischio inerente: probabilità 4, impatto 5, totale 20, fascia molto alta. Trattamento: MFA sugli accessi remoti, patch management mensile, backup giornaliero con copia isolata e prova di ripristino trimestrale. Rischio residuo: probabilità 2 (l'attacco resta possibile), impatto 3 (i dati si recuperano, restano fermo e possibile furto di dati), totale 6, fascia media. Il responsabile del rischio, il direttore amministrativo, lo accetta e la decisione viene datata e riesaminata l'anno successivo.
Se l'anno dopo compaiono nuove tecniche d'attacco contro il software di backup usato, la probabilità va rivalutata: il rischio residuo non è un numero fisso, ma il risultato di una valutazione che va ripetuta.
Termini collegati
Dove lo trovi in Dottor Box
Il Risk Assessment calcola il rischio inerente come probabilità per impatto, da 1 a 25 su cinque fasce, e dopo il piano di trattamento il rischio residuo, con un responsabile per ogni rischio. Ogni ciclo di analisi si chiude e resta come fotografia datata, riusata come evidenza nel modulo Compliance.
Risk Assessment
Analisi dei rischi impostata su ISO/IEC 27005, con piano di trattamento e rischio residuo.
Scopri di più GovernareCompliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più ConformitàISO/IEC 27001
Il sistema di gestione della sicurezza delle informazioni, dalla SOA all'audit.
Scopri di più