Quadro di gestione dei rischi informatici · Maturità
Un quadro di gestione dei rischi cyber misurato per capacità, tradotto in una roadmap prioritizzata.
10 ambiti, 159 domande, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Quadro di gestione dei rischi informatici · Maturità
10 ambiti, 159 domande, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Quadro di gestione dei rischi informatici (approccio per capacità, ispirato al NIST Cybersecurity Framework e a ISO 31000) avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, il livello superiore, e l’azione che collega i due) a trasformare una constatazione in una traiettoria.
I rischi cyber sono valutati secondo un metodo stabile e collegati a decisioni tracciate?
- N1
Nessuna valutazione formalizzata. I temi emergono in occasione di un incidente o di una richiesta esterna.
- N2
Esistono analisi su alcuni perimetri, condotte con approcci diversi, senza decisione tracciata al termine.
- N3
Un metodo comune è documentato e applicato ai perimetri critici. I rischi principali sono arbitrati in comitato e le decisioni registrate.
- N4
La valutazione copre l’intero perimetro, compresi i terzi. I rischi residui sono accettati al livello gerarchico appropriato e monitorati nel tempo.
- N5
Il metodo viene rivisto in base agli incidenti, alle esercitazioni e all’evoluzione delle attività, con uno storico delle revisioni e un confronto dei livelli tra entità.
Azione per passare da N2 a N3
Adottare un metodo di valutazione unico, applicarlo prima ai processi critici identificati insieme alle funzioni di business, e inserire all’ordine del giorno del comitato sicurezza trimestrale l’arbitraggio dei rischi principali con registrazione delle decisioni.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazione
Di cosa parla questo quadro di riferimento
Un quadro di gestione dei rischi informatici descrive le capacità che un’organizzazione deve possedere per governare la propria esposizione digitale: gestire il tema a livello di governance, conoscere i propri asset e le proprie dipendenze, valutare i rischi secondo un metodo stabile, scegliere le misure di protezione, rilevare gli eventi, reagire e poi ripristinarsi. I quadri di riferimento più utilizzati, dal Cybersecurity Framework ai principi di ISO 31000, condividono questa logica per funzioni. Non impongono un elenco di requisiti vincolanti: descrivono un dispositivo, e lasciano a ciascuna organizzazione il compito di adattarlo al proprio profilo di rischio.
Ecco cosa rende il quadro difficile da governare. Tutti ne rivendicano l’uso, pochi sanno collocare il proprio livello reale. L’inventario degli asset copre il cloud, gli ambienti industriali e i fornitori, o solo il parco gestito dall’IT? La valutazione dei rischi sfocia in decisioni arbitrate, o in un registro che nessuno riapre tra un comitato e l’altro? Il rilevamento si basa su procedure scritte, o su tre persone che sanno dove guardare? Queste domande non si risolvono con un sì o un no, si collocano su una scala.
Torna spesso una confusione: il quadro di gestione dei rischi non è una norma certificabile, e non sostituisce un sistema di gestione della sicurezza delle informazioni. Si colloca a monte. Struttura le capacità, alimenta il dispositivo di gestione, e funge da base comune quando più testi si applicano allo stesso perimetro, ad esempio una direttiva settoriale e un referenziale cliente. Le organizzazioni che l’hanno adottato come linguaggio comune tra sicurezza, rischi e funzioni di business guadagnano soprattutto in comparabilità tra entità.
La diagnosi di maturità risponde a una domanda diversa da quella dell’audit. L’audit si conclude con uno scostamento o una conformità. La diagnosi colloca ogni capacità su una scala progressiva, espone lo scostamento rispetto all’obiettivo che fissate, e indica l’azione che fa passare al livello successivo. In Pilot, lo scostamento tra punteggio e obiettivo genera il piano d’azione, e l’IA lo raggruppa in una roadmap prioritizzata. Il benchmark confronta le business unit tra loro e ogni entità con il proprio passato, il che permette di misurare la traiettoria di un programma di trasformazione, non solo il suo punto di partenza.
Il referenziale è pronto all’uso e vi appartiene. Potete modificare gli ambiti, le domande e i livelli: l’IA affina le formulazioni secondo il metodo CMMI, oppure costruisce una declinazione a partire dalla vostra politica di sicurezza e dai vostri documenti di governance.
Norma di riferimento: Quadro di gestione dei rischi informatici (approccio per capacità, ispirato al NIST Cybersecurity Framework e a ISO 31000)
Gli ambiti valutati
Governance del rischio cyber
Politica formalizzata, ruoli e responsabilità, comitati, articolazione con la governance aziendale, risorse allocate, propensione al rischio espressa dalla direzione.
Conoscenza degli asset e delle dipendenze
Inventario dei sistemi, dei dati e dei flussi, mappatura delle dipendenze interne ed esterne, criticità di business, copertura del cloud e degli ambienti industriali.
Valutazione e prioritizzazione dei rischi
Metodo adottato, scenari di rischio, valutazione della probabilità e dell’impatto, distinzione tra rischio inerente e residuo, frequenza delle revisioni.
Trattamento e misure di protezione
Opzioni di trattamento, selezione e monitoraggio delle misure, gestione delle identità e degli accessi, hardening, gestione delle vulnerabilità e delle patch.
Rischio legato a terze parti e alla catena di fornitura
Qualifica dei fornitori, clausole di sicurezza, valutazione periodica, dipendenze critiche, reversibilità e piani di uscita.
Rilevamento e monitoraggio
Fonti di log, casi d’uso di rilevamento, soglie di allerta, copertura oraria, sfruttamento del threat intelligence.
Reazione agli incidenti
Procedure di qualifica ed escalation, cellula di crisi, comunicazione interna ed esterna, notifica alle autorità e ai clienti, esercitazioni svolte.
Continuità e ripristino
Obiettivi di ripristino, backup e restore testati, piani di continuità operativa, scenari di ricostruzione del sistema informativo.
Cultura e competenze
Sensibilizzazione per popolazione, formazione dei team tecnici, integrazione della sicurezza nei progetti, dispositivi di segnalazione.
Misurazione e miglioramento continuo
Indicatori monitorati, riesame della direzione, lezioni apprese dopo incidenti o esercitazioni, confronto nel tempo e tra entità.
È disponibile una versione breve del quadro di riferimento, con 34 domande, per l’autovalutazione online. La versione completa comprende 10 ambiti e 159 domande.
Domande frequenti
Questo quadro è certificabile?
No. Un quadro di gestione dei rischi informatici descrive capacità, senza un ente di certificazione dietro. La certificazione riguarda ISO 27001 o SOC 2. La diagnosi misura il vostro livello di controllo e prepara questi percorsi, non rilascia alcuna attestazione.
Qual è la differenza con un audit di conformità?
L’audit verifica la presenza di requisiti e si conclude con uno scostamento o una conformità. La diagnosi colloca ogni capacità su una scala progressiva e indica l’azione che fa salire di un livello. La diagnosi prepara l’audit, l’audit convalida.
Quanto tempo richiede la valutazione?
La versione breve si compila in una singola sessione di lavoro. La versione completa, in modalità collaborativa con più contributori, si estende su una o due settimane, con la maggior parte del tempo dedicata alla raccolta presso i team coinvolti.
È possibile adattare il referenziale alla nostra organizzazione?
Sì. Potete modificare le domande, i livelli e gli ambiti, oppure partire dai vostri stessi documenti: l’IA costruisce allora una declinazione e affina i livelli secondo il metodo CMMI. Il referenziale resta sotto il vostro controllo.
Come confrontare più business unit?
Ogni entità conduce la propria valutazione sullo stesso referenziale, il che rende i punteggi comparabili per ambito. Il benchmark colloca le entità tra loro e ciascuna rispetto alle proprie valutazioni precedenti. Una roadmap trasversale consolida poi i piani d’azione.
Serve una competenza tecnica per rispondere?
Le domande riguardano le pratiche di gestione e governance, non le configurazioni. Un responsabile sicurezza o rischi può rispondere alla maggior parte. La modalità collaborativa permette di assegnare le domande tecniche al referente giusto.
Questa diagnosi è riutilizzabile per NIS 2 o DORA?
Sì, ampiamente. Questi testi si basano sulle stesse capacità: governance, valutazione dei rischi, gestione dei terzi, rilevamento, notifica, continuità. La base misurata qui si riutilizza, e la roadmap trasversale evita di duplicare le azioni da un referenziale all’altro.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra offerte europee.