C'è un momento di panico ricorrente in molti reparti IT: l'uscita di un nuovo bollettino di sicurezza con una vulnerabilità classificata come CVSS 9.8 (Critical). Immediatamente, si fermano i lavori e si corre a patchare. Ma da IT Security Manager, la domanda che mi pongo è un'altra: quella vulnerabilità rappresenta davvero un rischio per il nostro business?

1. Il punteggio CVSS non è il rischio

Il Common Vulnerability Scoring System (CVSS) misura la severità tecnica di una falla. Ci dice quanto è facile sfruttarla e che tipo di impatto tecnico ha sul sistema isolato. Non ci dice nulla sul contesto aziendale. Il rischio, per definizione, è l'intersezione tra la Probabilità che una minaccia sfrutti una vulnerabilità e l'Impatto (che abbiamo calcolato nel BIA) che questo evento avrebbe sull'asset.

2. Il Potere del Contesto

Facciamo un esempio pratico. Abbiamo la stessa vulnerabilità CVSS 9.8 (Remote Code Execution) su due macchine diverse:

• Server A: Una macchina di test isolata in una VLAN senza accesso a Internet e senza dati reali.
• Server B: Il web server esposto su Internet che gestisce l'e-commerce aziendale.

La vulnerabilità è identica, ma il Rischio è abissalmente diverso. Fermare la produzione per patchare urgentemente il Server A è un errore manageriale. Il rischio sul Server A è basso, quasi nullo. Il rischio sul Server B è estremo e richiede un'azione immediata (Risk Mitigation).

3. La Matrice del Rischio per prioritizzare

Una gestione matura della sicurezza non punta a risolvere tutte le vulnerabilità (è impossibile e costoso). Punta a prioritizzare. Utilizzando i dati del Business Impact Assessment, possiamo mappare le vulnerabilità scoperte su una Matrice del Rischio, concentrando il budget e il tempo dei sistemisti solo sulle falle che minacciano i processi critici o i dati sensibili. Il resto può attendere la normale finestra di manutenzione o, in casi estremi, essere gestito tramite Risk Acceptance.

Indice della Serie: The Risk Matrix Series

• Ep. 1: The Risk Matrix Series - Dal BIA alla matematica del rischio
• Ep. 2: The Risk Matrix Series - Vulnerability vs. Risk [Tu sei qui]
• Ep. 3: The Risk Matrix Series - Governare il rischio: Tradurre le metriche in conformità ISO 27001 e NIS 2
• Ep. 4: The Risk Matrix Series - Third-Party Risk: Come gestire (e trasferire) il rischio dei fornitori IT
• Ep. 5: The Risk Matrix Series - Oltre la Mitigazione: DFIR, & Business Continuity e l'arte di sopravvivere