Collegare minacce tecniche e conseguenze per il business.
Il cyber risk management permette di decidere dove intervenire, quale rischio accettare e come verificare che le misure producano il risultato atteso. L'analisi parte da processi, asset, dati, dipendenze e scenari, evitando punteggi privi di contesto.
Processo
- definizione di perimetro, obiettivi e criteri;
- inventario e classificazione di processi, asset e informazioni;
- identificazione di minacce, vulnerabilità e dipendenze;
- costruzione di scenari con probabilità e impatto;
- valutazione dei controlli esistenti e del rischio residuo;
- scelta tra mitigazione, accettazione, trasferimento o evitamento;
- assegnazione di owner, azioni, scadenze e metriche;
- riesame dopo incidenti, cambiamenti e verifiche.
Decisioni e reporting
I risultati vengono presentati con livelli di dettaglio diversi: il management riceve scenari, trend e decisioni richieste; i team tecnici ricevono controlli, evidenze e attività. Le eccezioni vengono formalizzate con motivazione, durata e controlli compensativi.
Output
- metodologia e criteri di rischio;
- registro dei rischi e mappa delle dipendenze;
- piano di trattamento con responsabilità;
- dashboard e indicatori di rischio;
- calendario di riesame e verifica dell'efficacia.