Siamo giunti all'ultimo atto del nostro Playbook. Abbiamo scoperto gli asset, analizzato le minacce e scelto il framework di calcolo. Ora, tutti questi dati devono convergere in un unico documento vitale: il Risk Register (Registro dei Rischi). Questo non è un semplice adempimento burocratico, è il cruscotto direzionale dell'intero dipartimento IT.

1. L'anatomia del Risk Register

Che sia gestito su un foglio Excel avanzato o tramite una piattaforma GRC (Governance, Risk, and Compliance) dedicata, un Risk Register maturo deve contenere informazioni specifiche:

• Descrizione del Rischio: Cosa può succedere e a quale asset.
• Risk Owner: Chi è il responsabile aziendale di questo rischio (Spesso NON è l'IT, ma il direttore di business a cui appartiene l'asset!).
• Inherent Risk (Rischio Inerente): Il livello di rischio senza alcuna difesa attiva.
• Mitigazioni / Contromisure: I controlli attualmente in essere (es. Firewall, EDR, Backup immutabili).
• Residual Risk (Rischio Residuo): Il rischio che rimane dopo aver applicato le contromisure. È il numero che conta davvero.

2. La trappola della Heat Map

Per comunicare il rischio alla Direzione, si usano spesso le "Heat Map" (Matrici di rischio con i quadratini Verdi, Gialli e Rossi). Attenzione: una Heat Map basata solo su sensazioni ("Secondo me l'impatto è alto") è fuorviante. I colori della matrice devono riflettere i calcoli finanziari (ALE) e gli SLA concordati nel Business Impact Assessment (BIA).

3. Dalla valutazione alla Governance

Il Risk Register non è un documento che si compila una volta all'anno prima dell'audit ISO 27001 per poi dimenticarsene. È uno strumento vivo. Quando l'IT Manager si siede al tavolo con il Board per discutere il budget annuale, il Risk Register è l'unica documentazione necessaria: "Abbiamo 3 rischi in zona Rossa (Rischio inaccettabile). Per portarli in zona Gialla o Verde (Rischio accettato/mitigato), l'investimento richiesto per la tecnologia X è pari a Y".

Questo è il momento in cui la sicurezza informatica smette di essere percepita come un costo tecnico incomprensibile, e diventa valore strategico aziendale. Il cerchio del Risk Assessment è finalmente chiuso.

Indice: IT Risk Assessment Playbook

• Ep. 1: Visibilità degli Asset e Shadow IT
• Ep. 2: Threat Modeling: Conoscere l'avversario
• Ep. 3: Framework a confronto: NIST vs FAIR
• Ep. 4: Il Risk Register: Dalla teoria alla Governance [Tu sei qui]