Fino a questo momento abbiamo parlato di gestione del rischio come strumento per ottimizzare il budget e proteggere il business. Ma c'è un'altra faccia della medaglia, altrettanto cruciale per un IT Security Manager: la conformità normativa (Compliance). Oggi, avere un approccio basato sul rischio non è più solo una "best practice", è un obbligo di legge.

1. ISO 27001 e l'approccio Risk-Based

Prendiamo il framework di sicurezza più famoso al mondo: la ISO/IEC 27001. Il cuore pulsante di questo standard è il capitolo 6.1.2, che richiede esplicitamente all'organizzazione di stabilire e mantenere un processo di valutazione del rischio per la sicurezza delle informazioni. Non ti dice quali firewall comprare, ma ti obbliga a dimostrare che hai scelto i tuoi controlli di sicurezza (Statement of Applicability) per mitigare rischi che hai precedentemente identificato e misurato. È l'esatta applicazione matematica dell'ALE e dell'ARO che abbiamo visto nel primo episodio.

2. La Direttiva NIS 2: La sicurezza diventa legge

Con l'entrata in vigore della Direttiva Europea NIS 2 (Network and Information Security), il gioco si è fatto ancora più duro per le organizzazioni critiche e importanti. L'Articolo 21 impone l'adozione di "misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi". La parola chiave è proporzionate.

Come dimostri a un ispettore governativo che la tua spesa in sicurezza è "proporzionata"? Lo fai mostrando la tua Matrice del Rischio, il tuo BIA e le valutazioni finanziarie degli asset. Se non hai questi documenti, sei automaticamente non conforme, esponendo l'azienda a sanzioni milionarie e i dirigenti a responsabilità personali.

3. La Compliance è un sottoprodotto della Sicurezza

Un errore comune è fare sicurezza "solo per passare l'audit" (il cosiddetto approccio check-box). Al contrario, se si costruisce un'infrastruttura solida basata su una reale gestione del rischio e su metriche chiare, la conformità a standard come ISO 27001, GDPR o NIS 2 diventa semplicemente un sottoprodotto naturale del nostro lavoro quotidiano.

Indice della Serie: The Risk Matrix Series

• Ep. 1: The Risk Matrix Series - Dal BIA alla matematica del rischio
• Ep. 2: The Risk Matrix Series - Vulnerability vs. Risk
• Ep. 3: The Risk Matrix Series - Governare il rischio: Tradurre le metriche in conformità ISO 27001 e NIS 2 [Tu sei qui]
• Ep. 4: The Risk Matrix Series - Third-Party Risk: Come gestire (e trasferire) il rischio dei fornitori IT
• Ep. 5: The Risk Matrix Series - Oltre la Mitigazione: DFIR, & Business Continuity e l'arte di sopravvivere