Siamo giunti all'ultimo atto del nostro Playbook. Abbiamo scoperto gli asset, analizzato le minacce e scelto il framework di calcolo. Ora, tutti questi dati devono convergere in un unico documento vitale: il Risk Register (Registro dei Rischi). Questo non è un semplice adempimento burocratico, è il cruscotto direzionale dell'intero dipartimento IT.

1. L'anatomia del Risk Register

Che sia gestito su un foglio Excel avanzato o tramite una piattaforma GRC (Governance, Risk, and Compliance) dedicata, un Risk Register maturo deve contenere informazioni specifiche:

• Descrizione del Rischio: Cosa può succedere e a quale asset.
• Risk Owner: Chi è il responsabile aziendale di questo rischio (Spesso NON è l'IT, ma il direttore di business a cui appartiene l'asset!).
• Inherent Risk (Rischio Inerente): Il livello di rischio senza alcuna difesa attiva.
• Mitigazioni / Contromisure: I controlli attualmente in essere (es. Firewall, EDR, Backup immutabili).
• Residual Risk (Rischio Residuo): Il rischio che rimane dopo aver applicato le contromisure. È il numero che conta davvero.

2. La trappola della Heat Map

Per comunicare il rischio alla Direzione, si usano spesso le "Heat Map" (Matrici di rischio con i quadratini Verdi, Gialli e Rossi). Attenzione: una Heat Map basata solo su sensazioni ("Secondo me l'impatto è alto") è fuorviante. I colori della matrice devono riflettere i calcoli finanziari (ALE) e gli SLA concordati nel Business Impact Assessment (BIA).

3. Dalla valutazione alla Governance

Il Risk Register non è un documento che si compila una volta all'anno prima dell'audit ISO 27001 per poi dimenticarsene. È uno strumento vivo. Quando l'IT Manager si siede al tavolo con il Board per discutere il budget annuale, il Risk Register è l'unica documentazione necessaria: "Abbiamo 3 rischi in zona Rossa (Rischio inaccettabile). Per portarli in zona Gialla o Verde (Rischio accettato/mitigato), l'investimento richiesto per la tecnologia X è pari a Y".

Questo è il momento in cui la sicurezza informatica smette di essere percepita come un costo tecnico incomprensibile, e diventa valore strategico aziendale. Il cerchio del Risk Assessment è finalmente chiuso.

Indice: IT Risk Assessment Playbook

• Ep. 1: Visibilità degli Asset e Shadow IT
• Ep. 2: Threat Modeling: Conoscere l'avversario
• Ep. 3: Framework a confronto: NIST vs FAIR
• Ep. 4: Il Risk Register: Dalla teoria alla Governance [Tu sei qui]

Abbiamo gli asset e conosciamo le minacce. Ora è il momento di unire i puntini e calcolare il Rischio. Da IT Manager, la tentazione è quella di inventarsi un foglio di calcolo personalizzato, ma nel mondo aziendale (e per superare gli audit di compliance) devi affidarti a standard riconosciuti. Esploriamo i due framework più autorevoli.

1. L'approccio Qualitativo: NIST SP 800-30

La Special Publication 800-30 del NIST è lo standard de facto del governo USA. Offre un approccio rigoroso e testato. Si basa prevalentemente su valutazioni qualitative o semi-quantitative: la probabilità e l'impatto vengono classificati su scale come Molto Alto, Alto, Medio, Basso.

Il pro: È relativamente semplice da implementare e fornisce una base solida e inattaccabile per la compliance (es. ISO 27001).
Il contro: È soggettivo. Il "Rischio Alto" di un sistemista potrebbe essere un "Rischio Medio" per un altro, e soprattutto non dice al CFO quanti soldi rischia l'azienda.

2. L'approccio Quantitativo: FAIR

FAIR (Factor Analysis of Information Risk) capovolge il paradigma. Invece di usare colori e aggettivi, usa la statistica e i modelli finanziari (come le simulazioni Monte Carlo). Scompone il rischio nei suoi fattori matematici fondamentali: Frequenza dell'evento e Magnitudo della perdita finanziaria (ricorda molto i concetti di ARO e ALE che abbiamo visto in passato).

Il pro: Parla la lingua del Board. Invece di dire "C'è un rischio critico di ransomware", FAIR ti permette di dire: "C'è il 15% di probabilità di subire un ransomware quest'anno, con una perdita attesa tra i 50.000€ e i 250.000€".
Il contro: Richiede dati storici, misurazioni precise e un livello di maturità aziendale molto alto per essere implementato correttamente.

3. Quale scegliere?

Il consiglio strategico è un approccio ibrido: usa il NIST SP 800-30 per lo screening iniziale e per scartare rapidamente i rischi minori, e applica l'analisi quantitativa di FAIR solo ai rischi considerati "Alti" o "Critici" per giustificare gli investimenti di sicurezza (ROI) al management.

Indice: IT Risk Assessment Playbook

• Ep. 1: Visibilità degli Asset e Shadow IT
• Ep. 2: Threat Modeling: Conoscere l'avversario
• Ep. 3: Framework a confronto: NIST vs FAIR [Tu sei qui]
• Ep. 4: Il Risk Register: Dalla teoria alla Governance

Nel primo episodio abbiamo mappato il nostro territorio, individuando gli asset e disinnescando lo Shadow IT. Ora che sappiamo cosa dobbiamo difendere, la domanda successiva è: chi ci attaccherà, e come lo farà? Questo passaggio logico prende il nome di Threat Modeling (Modellazione delle Minacce).

1. Pensare come un attaccante

Il Threat Modeling è l'esercizio strutturato di immedesimazione nell'avversario. Non si tratta di fare un elenco infinito di paure irrazionali, ma di identificare in modo sistematico le vulnerabilità architetturali e operative prima che vengano sfruttate. Significa smettere di configurare firewall "a sensazione" e iniziare a posizionare le difese dove l'attaccante ha più probabilità di colpire.

2. Due approcci a confronto: STRIDE e MITRE ATT&CK

Per non perdersi nella teoria, l'industria IT utilizza framework ben precisi:

• STRIDE (Microsoft): Nato in ambito di sviluppo software ma eccellente per l'architettura IT. Suddivide le minacce in sei categorie: Spoofing (fingersi un altro), Tampering (manomettere i dati), Repudiation (non tracciabilità delle azioni), Information Disclosure (fuga di dati), Denial of Service (bloccare i sistemi) e Elevation of Privilege. Ti costringe a guardare la tua rete e chiederti: "Qui, come possono falsificare un'identità?".
• MITRE ATT&CK: È la bibbia operativa dei Blue Team. È una matrice basata su dati reali che mappa le Tattiche (l'obiettivo dell'attaccante) e le Tecniche (come lo raggiunge). È perfetto per testare i propri sistemi EDR/XDR: "Se un ransomware usa la tecnica T1003 per rubare le credenziali dalla RAM, il nostro SOC se ne accorge?".

3. Mappare le minacce sugli asset

Il risultato del Threat Modeling deve intersecarsi con l'Asset Discovery. Se abbiamo scoperto un vecchio server PLC industriale (Asset), e sappiamo che il nostro settore è bersagliato da ransomware che sfruttano protocolli OT non cifrati (Threat), abbiamo appena identificato un Rischio critico da inserire nel nostro Assessment.

Indice: IT Risk Assessment Playbook

• Ep. 1: Visibilità degli Asset e Shadow IT
• Ep. 2: Threat Modeling: Conoscere l'avversario [Tu sei qui]
• Ep. 3: Framework a confronto: NIST vs FAIR
• Ep. 4: Il Risk Register: Dalla teoria alla Governance

Esiste un assioma fondamentale nella sicurezza informatica che ogni IT Manager dovrebbe scolpire sulla propria scrivania: "Non puoi proteggere ciò che non sai di avere". Qualsiasi attività di Risk Assessment che ignori la fase di Discovery è destinata a fallire, lasciando zone d'ombra dove i rischi proliferano indisturbati. Benvenuti al primo capitolo del nostro Playbook operativo.

1. Il nemico invisibile: Lo Shadow IT

Lo Shadow IT rappresenta l'insieme di dispositivi, software e servizi cloud utilizzati all'interno dell'azienda senza l'approvazione esplicita del dipartimento IT. Può trattarsi di un access point Wi-Fi installato da un dipendente per "prendere meglio", o di un intero database spostato su un account cloud personale per comodità. Dal punto di vista del rischio, lo Shadow IT è una mina antiuomo: non è patchato, non è monitorato e spesso espone dati critici su Internet.

2. Tecniche di Discovery: Attiva vs Passiva

Per mappare l'infrastruttura e stanare lo Shadow IT, dobbiamo adottare strategie di scansione che non impattino sulla business continuity, specialmente in ambienti industriali (OT) o medici:

• Active Discovery: Interrogazione diretta degli asset (ping, scansione porte). Molto precisa ma può essere "rumorosa" o bloccare dispositivi legacy sensibili.
• Passive Discovery: Ascolto del traffico di rete tramite porte SPAN/Mirror. Non invasiva, perfetta per individuare asset che "parlano" spontaneamente ma meno efficace per quelli silenti.

3. Il Toolset: Soluzioni Open e Commerciali

La scelta dello strumento dipende dalla scala della rete e dalla necessità di automazione. Ecco i riferimenti di mercato che ogni professionista dovrebbe conoscere:

• Soluzioni Open Source:
  • Nmap: Il "coltellino svizzero". Indispensabile per discovery puntuali e fingerprinting degli OS, ma richiede competenze tecniche elevate per essere scalato.
  • Netdisco: Eccellente per mappare la topologia di rete tramite SNMP, permettendo di vedere esattamente a quale porta dello switch è collegato ogni dispositivo.
• Soluzioni Commerciali:
  • runZero (ex Rumble): Probabilmente lo strumento più innovativo oggi. Esegue una discovery attiva "unauthenticated" (senza credenziali) e senza agenti, riuscendo a identificare asset IT, OT e IoT con una precisione chirurgica senza abbattere i sistemi.
  • Lansweeper: Una soluzione completa per l'IT Asset Management che combina scansioni di rete e agent-based per mantenere una CMDB sempre aggiornata.

4. Conclusione

Senza un inventario degli asset granulare e dinamico, il calcolo del rischio (ALE/ARO) visto nei post precedenti rimane un esercizio teorico basato su dati parziali. La visibilità è il prerequisito della sicurezza.

Indice: IT Risk Assessment Playbook

• Ep. 1: Visibilità degli Asset e Shadow IT [Tu sei qui]
• Ep. 2: Threat Modeling: Conoscere l'avversario
• Ep. 3: Framework a confronto: NIST vs FAIR
• Ep. 4: Il Risk Register: Dalla teoria alla Governance