Valutazione dei rischi ISO 27001: cosa deve contenere la matrice
Una matrice dei rischi ISO 27001 è lo strumento in cui un'organizzazione identifica i rischi per la riservatezza, l'integrità e la disponibilità delle proprie informazioni, assegna a ciascuno un responsabile (risk owner), stima impatto e probabilità, calcola un livello di rischio e lo confronta con criteri di accettazione definiti in anticipo. La norma (punto 6.1.2) non impone un formato: richiede un processo ripetibile e documentato; per la maggior parte delle PMI basta un file Excel ben progettato.
Cosa chiede la ISO/IEC 27001:2022 sulla valutazione del rischio
Il punto 6.1.2 chiede di definire e applicare un processo di valutazione del rischio relativo alla sicurezza delle informazioni. In sintesi, tale processo deve:
- Stabilire criteri di accettazione del rischio e criteri per svolgere le valutazioni.
- Produrre risultati coerenti e confrontabili quando viene ripetuto.
- Identificare i rischi di perdita di riservatezza, integrità e disponibilità nel campo di applicazione del SGSI.
- Assegnare un responsabile a ogni rischio.
- Analizzare le conseguenze e la probabilità realistica, e determinare il livello di rischio.
- Ponderare i rischi e stabilire le priorità per il trattamento.
Il punto 8.2 chiede inoltre di ripetere la valutazione a intervalli pianificati o in caso di cambiamenti significativi, e di conservarne i risultati come informazioni documentate. Il trattamento (punto 6.1.3) usa questi risultati per scegliere i controlli e compilare la Dichiarazione di Applicabilità.
Colonne minime di una matrice dei rischi del SGSI
| Colonna | A cosa serve |
|---|---|
| ID del rischio | Tracciabilità con il piano di trattamento e la Dichiarazione di Applicabilità |
| Processo o asset | Colloca il rischio nel campo di applicazione |
| Scenario di rischio | Descrive cosa può succedere (una minaccia sfrutta una vulnerabilità) |
| Minaccia e vulnerabilità | Permettono di giustificare l'analisi davanti all'auditor |
| Proprietà colpita (R, I, D) | Riservatezza, integrità o disponibilità |
| Controlli esistenti | L'analisi tiene conto di ciò che è già attuato |
| Impatto e probabilità | Scale definite nei criteri (ad esempio da 1 a 4) |
| Livello e categoria | Risultato del calcolo e confronto con i criteri di accettazione |
| Responsabile e trattamento | Chi decide e quale opzione si sceglie: mitigare, trasferire, evitare o accettare |
Come si calcola il livello di rischio?
Il metodo più usato nelle PMI è moltiplicare impatto per probabilità su scale da 1 a 4, ottenendo livelli da 1 a 16. I criteri dell'organizzazione stabiliscono da quale livello un rischio è medio, alto o critico; ad esempio medio da 6, alto da 9 e critico a 16. Non conta la formula esatta, ma che sia documentata, approvata e applicata allo stesso modo in ogni valutazione.
La mappa di calore riassume quanti rischi ci sono in ogni combinazione di impatto e probabilità, e aiuta la direzione a vedere a colpo d'occhio dove concentrare lo sforzo.
Approccio per scenari o per asset?
La ISO/IEC 27001:2022 non obbliga a partire da un inventario degli asset. Molte organizzazioni valutano scenari di rischio per processo, più rapidi e comprensibili; altre preferiscono l'approccio per asset, collegato direttamente all'inventario. Per i soggetti NIS2 il registro dei rischi è anche una base utile per le misure richieste dal D.Lgs. 138/2024. La cosa importante è sceglierne uno, descriverlo nella metodologia e mantenerlo.
Errori frequenti rilevati dagli auditor
- Rischi senza responsabile o con un responsabile generico come «l'IT».
- Scale di impatto e probabilità senza una definizione scritta.
- Rischi copiati da un'altra azienda senza adattarli al proprio contesto.
- Controlli esistenti non registrati, che gonfiano i livelli.
- Valutazione fatta una volta e non ripetuta dopo cambiamenti significativi.
Modello: la matrice dei rischi del kit NexoDocs
La matrice del kit NexoDocs in italiano è un file Excel senza macro con approccio per scenari e per asset, criteri configurabili, calcolo automatico di livello e categoria, mappa di calore, registro dei rischi del SGSI e delle eccezioni. Potete scaricare gratuitamente una versione ridotta (10 scenari, mappa di calore e criteri, in inglese) per provarla prima di acquistare il kit completo.
Domande frequenti
La ISO 27001 richiede una matrice dei rischi in Excel?
No. Richiede un processo di valutazione del rischio definito, applicato e documentato. Excel è un modo pratico per documentarlo, ma vanno bene anche altri strumenti.
Quale scala di impatto e probabilità conviene usare?
Nelle PMI la scala da 1 a 4 o da 1 a 5 è la più comune. L'essenziale è che ogni valore abbia una definizione scritta e approvata.
Ogni quanto va aggiornata la matrice?
A intervalli pianificati (ad esempio una volta l'anno) e ogni volta che ci sono cambiamenti significativi nell'organizzazione, nella tecnologia o nelle minacce.
Un modello basta per superare l'audit?
No. La certificazione dipende da come è attuato il SGSI e dall'audit di un organismo di certificazione; un buon modello ordina il lavoro e lascia evidenze chiare.
Guide correlate
- Cos'è un SGSI e come si implementa con la ISO 27001?
- Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
- Documenti obbligatori ISO 27001:2022: elenco per punto della norma
Aggiornato: 2026-10-20