TaniumChe cos’è la gestione del rischio? Panoramica semplificata |

Risk La gestione dei rischi è un sistema volto a raccogliere, classificare, analizzare e intervenire sui rischi sulla base di una propensione al rischio definita, compreso lo sviluppo di strategie concrete di mitigazione e di piani di emergenza per affrontare potenziali problemi e ridurre la gravità e l’impatto delle minacce.

La gestione dei rischi comporta il monitoraggio costante delle condizioni e la valutazione dell’efficacia delle misure adottate per ridurre al minimo i danni e gli errori, attraverso lo svolgimento di valutazioni approfondite dei rischi e la comprensione della probabilità e della gravità degli stessi. Ciò rafforza la capacità di un’organizzazione di prendere decisioni informate, quali gli investimenti in strumenti, risorse umane e processi, al fine di attuare adeguamenti tempestivi e misure proattive.

Tuttavia, la gestione del rischio non ha lo stesso significato per ogni organizzazione, poiché ciascuna deve stabilire le proprie priorità in materia di rischi in modo diverso a seconda del settore di appartenenza, delle dimensioni operative e delle priorità strategiche.
Ad esempio, un istituto finanziario potrebbe dare priorità ai rischi legati alla sicurezza informatica a causa della natura sensibile dei propri dati, mentre un’azienda manifatturiera potrebbe concentrarsi maggiormente sui rischi operativi relativi ai macchinari e ai processi produttivi.
Questo articolo semplificherà la gestione del rischio spiegandone la definizione e l’importanza. Illustreremo inoltre gli elementi chiave del processo, tra cui l’identificazione, la valutazione e la definizione delle priorità dei rischi, seguite dalle azioni di risposta e dal monitoraggio.
Discuteremo l’importanza di una gestione efficace dei rischi per il raggiungimento degli obiettivi organizzativi, prendendo in esame alcuni dei rischi ad alta priorità che molte organizzazioni si troveranno ad affrontare, quali le minacce alla sicurezza informatica, le questioni di conformità e i rischi introdotti dalle nuove tecnologie di intelligenza artificiale.
Inoltre, esploreremo le pratiche e le strategie comuni di gestione dei rischi, tra cui l’accettazione, la mitigazione, la riduzione e il trasferimento dei rischi, nonché l’implementazione di quadri di riferimento per la gestione dei rischi, le valutazioni dei rischi di terze parti, la pianificazione di emergenza e l’analisi delle cause profonde.
Infine, metteremo a confronto la gestione tradizionale del rischio con la gestione del rischio aziendale (ERM) ed esamineremo l’evoluzione dell’ERM per la gestione dei rischi di nuova generazione e la conformità alle norme « ».
Comprendendo la gestione del rischio e come adattare i processi alle esigenze aziendali specifiche, le organizzazioni possono attuare valutazioni più efficaci, sviluppare strategie mirate e prepararsi meglio ad affrontare i rischi più rilevanti.

Risk definizione di gestione

Le linee guida dell’Organizzazione internazionale per la normazione ( ISO'), ISO 31000 , relative alla gestione del rischio, definiscono il rischio come «l’effetto dell’incertezza sugli obiettivi». L’incertezza significa che qualcosa non è esente da dubbi. Se un’organizzazione è assolutamente certa che i propri server non subiranno mai un’interruzione, ad esempio, non li prenderà in considerazione nell’effettuare l’analisi dei rischi, poiché non vi è alcun dubbio che continueranno a funzionare. Nel mondo reale, le incertezze sono numerose e spesso sfuggono al vostro controllo, compreso il rischio che i server smettano di funzionare.

Il vero lavoro della gestione del rischio si concentra sulle incertezze che contano, ovvero quelle che possono influire sugli obiettivi di un’organizzazione. Di seguito sono riportati alcuni obiettivi fondamentali che rivestono importanza per quasi tutte le organizzazioni, comprese le imprese commerciali e gli enti pubblici:

Riservatezza, integrità e disponibilità dei dati: Garantire la sicurezza dei dati e la loro disponibilità per gli utenti autorizzati
Continuità operativa: Mantenimento delle attività operative per adempiere alla missione dell’organizzazione
Conformità normativa: Rispetto di tutte le leggi, i regolamenti e gli standard applicabili

Partendo da questa comprensione dei rischi, dell’incertezza e degli obiettivi, possiamo proporre una definizione più chiara di gestione del rischio che ne tenga conto dello scopo e dei metodi: La gestione del rischio ( Risk ) è un approccio globale che aiuta un’organizzazione ad affrontare i rischi potenziali e a raggiungere i propri obiettivi attraverso il monitoraggio continuo delle attività e delle infrastrutture, garantendo stabilità e successo a lungo termine.

Ora che abbiamo definito la gestione del rischio, esaminiamo la sua importanza. Comprendere la sua importanza è fondamentale per le organizzazioni, poiché le aiuta ad anticipare potenziali difficoltà, a ridurre al minimo le perdite e a garantire il successo a lungo termine. La sezione seguente illustra perché una gestione efficace del rischio sia essenziale e in che modo essa contribuisca al raggiungimento degli obiettivi strategici e al mantenimento di una resilienza informatica .

L'importanza di una gestione efficace dei rischi

Risk La gestione è importante perché i rischi non gestiti e non mitigati possono causare interruzioni che impediscono a un’organizzazione di raggiungere i propri obiettivi.

Si considerino alcuni dei rischi di massima priorità che oggi ogni organizzazione deve affrontare:

Rischi legati alla sicurezza informatica: Gli attacchi informatici stanno diventando sempre più sofisticati e frequenti, e i costi derivanti da tali attacchi continuano ad aumentare. Alcuni costi derivano dall’intervento dei team informatici e di sicurezza incaricati di individuare e contenere la violazione. Tra le altre attività figurano l’allestimento di call center e la comunicazione con i clienti e le autorità di regolamentazione. Tra i costi aggiuntivi figura il danno d'immagine.
Rischi di non conformità: La mancata osservanza delle normative può comportare ingenti sanzioni amministrative, pubblicità negativa, tensioni nei rapporti con i clienti, perdita di affari e altro ancora. Con l'inasprirsi delle normative in materia di protezione dei dati e di altro tipo, garantire la conformità diventa sempre più complesso.
Rischi legati alle nuove tecnologie di intelligenza artificiale: Negli ultimi anni, l’intelligenza artificiale è diventata una tecnologia presente nelle app di riconoscimento vocale e nei chatbot senza essere considerata un investimento strategico. Il lancio e la rapida diffusione di ChatGPT hanno cambiato la situazione.

Tuttavia, tale adozione comporta dei rischi, poiché le applicazioni di intelligenza artificiale più utili devono operare sui dati più preziosi di un’organizzazione, tra cui le comunicazioni con i clienti, i documenti finanziari e altro ancora. I dipendenti possono facilmente divulgare inavvertitamente informazioni riservate tramite chatbot pubblici. Pertanto, le moderne strategie di prevenzione dei rischi devono tenere conto dell’intelligenza artificiale.
Alla luce di tali rischi, è più che mai fondamentale che le organizzazioni implementino processi volti a ridurre e mitigare i rischi, anche mentre adottano rapidamente nuove tecnologie in grado di rivoluzionare il mercato.

Comprendere un processo standard di gestione del rischio

Risk La gestione consiste, in ultima analisi, nel comprendere e ridurre le incertezze relative agli obiettivi di un’organizzazione. Il processo prevede diverse fasi volte a confrontare i rischi e non si esaurisce con una singola applicazione.

Risk La gestione costituisce un ciclo di vita di attività che comprende le seguenti cinque componenti chiave:

L’identificazione dei rischi associati agli obiettivi strategici
Risk La gestione inizia con l’identificazione dei rischi legali, ambientali, di mercato, normativi e tecnologici dell’organizzazione, per poi allineare il modo in cui le persone, i processi e la tecnologia sostengono il perseguimento degli obiettivi aziendali.
Si consideri questo lavoro come un’analisi della catena di fornitura. I team addetti alla conformità tracciano il flusso di dati, persone e operazioni, partendo da un obiettivo di alto livello fino ad arrivare ai sistemi e ai processi informatici specifici che aiutano l’organizzazione a raggiungere tale obiettivo. Tali sistemi e processi fungono da catena di approvvigionamento per gli obiettivi stessi.
Per misurare il rischio, è necessario identificare le dipendenze nella catena di approvvigionamento e tracciarle nella misura in cui ciò sia ragionevole in relazione agli obiettivi e alle capacità dell’organizzazione. Per confrontare i rischi, è necessario assegnare a ogni elemento della catena di fornitura un punteggio di rischio informatico .
Una volta identificati tali obiettivi, il passo successivo consiste nell’analizzare la portata e le interconnessioni tra i rischi e altri fattori organizzativi, al fine di comprendere la gravità e il potenziale impatto che il rischio potrebbe avere.
Assegnazione delle priorità ai rischi mediante la creazione di una scala ponderata
I rischi devono essere classificati e ordinati in base alla loro gravità e probabilità. Questa fase consente all’organizzazione di ottenere una visione d’insieme della propria esposizione al rischio e di concentrarsi sui rischi più critici, assegnando loro un punteggio su una scala da uno a dieci. Anche gli obiettivi strategici stessi devono essere confrontati e valutati. È raro che un’organizzazione attribuisca la stessa importanza a tutti i propri obiettivi strategici.
Ad esempio, sulla base delle conversazioni con il team esecutivo, i dirigenti potrebbero assegnare un punteggio di dieci alla crescita continua del fatturato con un tasso di crescita annuale composto (CAGR) di almeno il 10% e un punteggio di sette alla conformità normativa.
Successivamente, si identifichino le persone, i processi e la tecnologia a supporto di ciascun obiettivo strategico e si classifichi l’importanza di ciascun fattore di supporto.
Per fornire ulteriori sfumature, gli stakeholder aziendali e IT dovrebbero collaborare per stimare la probabilità che si verifichi un particolare tipo di fallimento. Ad esempio, si immagini un’organizzazione dotata di un server web che supporta un’ App mobile di importanza strategica per l’azienda. La probabilità che quel server presenti prestazioni inaccettabilmente lente durante i picchi di utilizzo è probabilmente superiore alla probabilità che subisca un’interruzione di corrente che metta fuori uso sia il sistema di alimentazione principale che quello di riserva.
Moltiplicando un punteggio relativo all’importanza strategica del server (ad esempio, sette su dieci) per la probabilità di un rischio specifico (ad esempio, 50% o 0,5), i team possono iniziare a classificare i rischi e a identificare quelli che richiedono un intervento più immediato.
Ad esempio, il server che presenta prestazioni lente potrebbe avere una probabilità del 40%, mentre il server che si blocca a causa di un’interruzione di corrente catastrofica potrebbe avere una probabilità del 2%. Se l’importanza del server è pari a sette su dieci, il punteggio di rischio per lo scenario di prestazioni ridotte sarebbe pari a sette moltiplicato per 0,40 (il che dà 2,8).
Il punteggio di rischio per lo scenario di interruzione di corrente sarebbe pari a sette moltiplicato per 0,02 (il che dà 0,14). Lo scenario di rendimento scarso, che presenta il punteggio di rischio più elevato, è quello che richiede maggiore attenzione.

Centralizzazione dei dati relativi alla gestione dei rischi in un registro dei rischi
Una volta raccolte e tabulate le informazioni relative ai rischi identificati, queste devono essere archiviate in un registro dei rischi, ovvero un archivio centralizzato contenente informazioni sui rischi e sulle relative strategie.
Il registro dei rischi fornisce una panoramica completa delle potenziali minacce per l’organizzazione, garantendo che nessun rischio venga trascurato e che ciascuno di essi venga valutato in modo sistematico. Tale centralizzazione migliora la comunicazione e la collaborazione tra i reparti e le parti interessate, facilitando il monitoraggio e la segnalazione dei rischi. Favorisce un processo decisionale informato fornendo informazioni accurate e aggiornate e contribuisce a stabilire le priorità nelle attività di gestione dei rischi in base alle minacce più critiche.
Poiché un registro dei rischi conserva una documentazione dei rischi e della loro gestione, come spesso richiesto dai quadri normativi, può contribuire a garantire la conformità normativa. Un registro dei rischi può inoltre fungere da archivio storico, consentendo l’analisi delle tendenze e l’apprendimento dalle esperienze passate al fine di migliorare le future pratiche di gestione dei rischi.
Grazie a una visione chiara di tutti i rischi, le organizzazioni possono allocare le risorse in modo più efficace, garantendo che i rischi ad alta priorità ricevano l’attenzione e le risorse necessarie per la loro mitigazione.
La centralizzazione dei dati relativi alla gestione dei rischi in un registro dei rischi porta a una mitigazione più efficace e a una strategia complessiva di gestione dei rischi più solida. I soggetti autorizzati all’interno dell’organizzazione dovrebbero poter accedere al registro dei rischi e utilizzarlo come guida per le loro attività quotidiane.
Elaborazione di una strategia per ciascun rischio
Questa fase prevede l’attuazione di soluzioni volte a mitigare o eliminare i rischi, fornendo una tabella di marcia chiara che riduca l’incertezza e migliori la qualità delle decisioni. Ciò comprende lo sviluppo di strategie, azioni e un approccio strutturato per gestire ciascun rischio in modo coerente e sistematico, promuovendo una gestione proattiva che anticipi potenziali problemi e contribuisca a stabilire le priorità dei rischi in base alla loro gravità e probabilità, consentendo un’allocazione più efficiente delle risorse. Questo approccio preventivo può ridurre in modo significativo l'impatto dei rischi ed evitare che questi si trasformino in problemi gravi.

L'adozione di una strategia di gestione del rischio garantisce inoltre la responsabilizzazione, attribuendo azioni specifiche a singoli individui o a gruppi di lavoro. Ciò garantisce una chiara attribuzione delle responsabilità relative alle attività di gestione dei rischi e contribuisce a monitorare i progressi, assicurando che i rischi vengano effettivamente gestiti. Ciò è particolarmente importante in situazioni di grande importanza che richiedono risposte rapide ed efficaci. Le organizzazioni possono anticipare potenziali problemi e adottare misure preventive definendo una strategia chiara e promuovendo un approccio gestionale proattivo.

Inoltre, favorisce il miglioramento continuo consentendo alle organizzazioni di trarre insegnamento dalle proprie esperienze, perfezionare le proprie strategie e mitigare efficacemente le minacce attraverso la creazione di un quadro di gestione dei rischi più resiliente, che favorisca il successo a lungo termine nell’affrontare i rischi considerati più rilevanti e potenzialmente dannosi per l’organizzazione.

Monitoraggio dei rischi e dei risultati nel tempo
La fase finale consiste nel monitorare e riesaminare costantemente i rischi, compresa l’efficacia delle strategie di gestione dei rischi, al fine di garantire che il contesto di rischio sia ben compreso, che i rischi identificati siano gestiti in modo efficace e che eventuali nuovi rischi vengano individuati e gestiti tempestivamente.
Le organizzazioni che monitorano regolarmente i rischi possono creare un grafico lineare che illustra come il rischio e la conformità diminuiscano o aumentino nel tempo; ciò fornisce dati fondamentali ai team che svolgono altre attività di gestione del rischio e ai dirigenti di alto livello che desiderano monitorare i progressi, comprendere l’impatto dei rischi a vari livelli man mano che si verificano cambiamenti, nonché altri fattori che influenzano il costo della gestione del rischio.
Tali attività di monitoraggio dovrebbero inoltre includere il monitoraggio dei controlli e delle strategie implementati, lo studio dei loro effetti sull’organizzazione e la comprensione del rischio residuo che ne deriva. Monitorando costantemente i rischi e l’impatto delle strategie di gestione del rischio, le organizzazioni possono individuare più facilmente e in temp Detect e le potenziali minacce. Ciò consente di adottare misure correttive tempestive prima che i problemi si aggravino, utilizzando dati in tempo reale per orientare il processo decisionale, garantire la conformità normativa ed evitare sanzioni legali.

Esaminiamo un esempio pratico che utilizzi questi cinque elementi essenziali del processo di gestione del rischio, per vedere in che modo un’azienda generica di e-commerce potrebbe affrontare tali fasi, gestire i rischi comuni che potrebbe incontrare e illustrare come tali principi vengano applicati in un contesto reale.

Esempio di processo di gestione del rischio

Immagini un’azienda di e-commerce con una presenza online globale e attività di spedizione e gestione degli ordini in tutto il mondo. Seguendo questi cinque passaggi, vediamo come potrebbe articolarsi il processo di gestione del rischio.

Identificazione: Nel corso della fase uno dedicata all’identificazione dei rischi, un’azienda di e-commerce potrebbe considerare il proprio sito web e l’infrastruttura IT che lo supporta come elementi di fondamentale importanza e tra i rischi a cui potrebbe andare incontro.
Esempi di rischi per tale sito web potrebbero includere attacchi informatici, bug software, interruzioni di servizio dei data center, errori umani nelle configurazioni o nei controlli operativi e così via.
Stabilire le priorità: L’azienda di e-commerce dovrebbe quindi classificare in ordine di probabilità il verificarsi di ciascun rischio e valutare le possibili ripercussioni di tali rischi sull’attività aziendale.
Ad esempio, l’azienda di e-commerce dovrebbe determinare con quale probabilità un attacco informatico possa causare un’interruzione del servizio, poiché l’indisponibilità del sito web per molti giorni avrebbe conseguenze catastrofiche per l’attività dell’organizzazione. L’azienda dovrebbe inoltre valutare se sta seguendo le migliori pratiche in materia di sicurezza informatica per proteggere il sito web. In tal caso, il rischio complessivo che si verifichi tale esito è diminuito e, nella fase successiva, potrà essere classificato come una priorità di livello inferiore.
Centralize: Poiché l’azienda di e-commerce è consapevole di tutti i rischi, ora è in grado di identificare più facilmente quale sia il rischio più probabile e quello con le conseguenze più devastanti, grazie alla visione d’insieme dei dati consolidati sui rischi, il che le consente di stabilire le priorità di conseguenza.
Ad esempio, che dire del rischio che il sito web smetta di funzionare a causa di un’interruzione di servizio nel data center? Si supponga che l’azienda disponga di un’architettura di failover per trasferire le operazioni a un altro data center e a un altro fornitore di servizi. In tal caso, anche tale rischio potrebbe essere ridotto. Tuttavia, qualora l’azienda non abbia predisposto un sistema di failover, il rischio di tale tipo di interruzione rimane elevato e dovrebbe essere considerato prioritario nelle sue strategie di gestione del rischio.
Definizione della strategia: L’azienda di e-commerce dispone di una comprensione approfondita dei propri rischi attuali e potenziali e di un sistema di definizione delle priorità in linea con i propri obiettivi. Le parti interessate possono ora adoperarsi per sviluppare e attuare strategie specifiche su misura per ciascun rischio individuato.
In risposta alle interruzioni di servizio dei data center, l’azienda di e-commerce può valutare l’implementazione di sistemi di ridondanza, quali generatori di riserva e gruppi di continuità (UPS), al fine di garantire la continuità operativa in caso di interruzioni di corrente. Anche soluzioni avanzate di resilienza, quali software in grado di reindirizzare automaticamente il traffico di rete e i carichi di lavoro in caso di interruzione del servizio, rappresentano possibili soluzioni, così come lo svolgimento di test e simulazioni periodiche volte a riprodurre le interruzioni dei data center, al fine di prepararsi a incidenti reali e formare i dipendenti alla gestione di tali situazioni. L’implementazione di sistemi di monitoraggio e allerta per Detect individuare potenziali problemi prima che si aggravino può inoltre prevenire le interruzioni di servizio.
Adottando queste strategie, l’azienda può gestire efficacemente il rischio di interruzioni di servizio nei data center e garantire la continuità operativa.
Monitoraggio: Infine, l’azienda di e-commerce deve monitorare costantemente i rischi e i risultati per mantenere alta la vigilanza e reagire prontamente ai rischi nuovi e in continua evoluzione. Valutando regolarmente l’efficacia delle strategie di gestione del rischio, l’azienda può individuare eventuali lacune o punti deboli nel proprio approccio. Ciò consente all’azienda di apportare gli adeguamenti e i miglioramenti necessari, garantendo che le misure di mitigazione dei rischi rimangano efficaci e pertinenti.
Il monitoraggio dei risultati aiuta l’azienda a trarre insegnamento dalle esperienze passate, sia dai successi che dai fallimenti, e ad applicare tali insegnamenti alle future iniziative di gestione dei rischi, promuovendo al contempo una cultura proattiva della gestione dei rischi all’interno dell’organizzazione.
Questo approccio proattivo rafforza la resilienza dell’azienda e consolida la fiducia dei clienti, degli stakeholder e dei partner, i quali possono essere certi che l’azienda sia impegnata a garantire un funzionamento sicuro e affidabile.

Dopo aver esaminato un esempio pratico del processo di gestione del rischio dal punto di vista di un’azienda generica di e-commerce e delle varie sfide che potrebbe dover affrontare, possiamo spostare la nostra attenzione sulle tipologie più comuni di pratiche di gestione del rischio. Tali pratiche comprendono l’accettazione, la mitigazione, la riduzione e il trasferimento del rischio, ciascuna delle quali offre strategie distinte per la gestione dei potenziali rischi. Approfondiamo questi approcci per comprendere in che modo possano essere applicati efficacemente in diversi scenari.

Tipi di misure di gestione del rischio

Le organizzazioni dispongono di diverse opzioni per far fronte ai rischi individuati attraverso le pratiche di gestione del rischio. Tali opzioni comprendono:

Risk L’accettazione si verifica quando un’organizzazione decide di accettare il rischio senza investire in strategie di riduzione o mitigazione dello stesso. Talvolta, un’organizzazione potrebbe decidere che un rischio è accettabile poiché il suo impatto è limitato, la probabilità che si verifichi è minima, oppure per entrambi i motivi.
Si consideri un’azienda del settore della vendita al dettaglio che individua un potenziale rischio nel sistema di pagamento dei propri punti vendita, ma ritiene che il costo di una revisione completa del sistema per eliminare tale vulnerabilità sia molto elevato e che la probabilità che essa venga sfruttata sia bassa.
In questo scenario, l’azienda potrebbe decidere che l’impatto potenziale sia gestibile e che la probabilità di sfruttamento sia sufficientemente bassa da giustificare la mancata investimento in costose strategie di mitigazione. Potrebbe invece concentrare le proprie risorse sul potenziamento di altri aspetti della propria infrastruttura di sicurezza.
Risk La mitigazione comporta la pianificazione e lo sviluppo di strategie volte a ridurre le minacce agli obiettivi di progetto che un’organizzazione si trova spesso a dover affrontare.
Si supponga che un’azienda ritenga che, in una certa misura, le violazioni dei dati siano inevitabili. In tal caso, potrebbe decidere di implementare un’architettura zero-tr per limitare la capacità degli aggressori di spostarsi da un dispositivo compromesso a un altro.
Sebbene il rischio complessivo di una violazione dei dati possa rimanere invariato, il danno che ne potrebbe derivare risulterebbe ridotto, poiché gli aggressori non sarebbero in grado di muoversi liberamente all’interno della rete sfruttando autorizzazioni utente poco rigorose e porte di rete aperte.
Risk La riduzione consiste nell’investire in strumenti, risorse umane o processi al fine di ridurre la probabilità o la gravità di un esito rischioso.
Ad esempio, se un’organizzazione desidera ridurre il rischio di violazioni dei dati, potrebbe investire in soluzioni di gestione dell’ endpoint e per garantire che sugli endpoint (come computer fissi e portatili) siano installati tutti gli ultimi aggiornamenti di sicurezza.
Risk Il trasferimento consiste nel trasferire l’onere del rischio a un’altra organizzazione, come ad esempio una compagnia di assicurazioni contro gli attacchi informatici o un altro tipo di partner commerciale.
Ad esempio, i dirigenti aziendali potrebbero stipulare un’assicurazione di trasferimento per coprire alcuni dei rischi legati a un attacco ransomware presso una compagnia assicurativa che promette di coprire la maggior parte o la totalità dei costi di ripristino a seguito di tale attacco.
Prima di emettere la polizza, la compagnia assicurativa, a sua volta, potrebbe richiedere all’organizzazione di implementare rigorosi controlli di sicurezza e di presentare certificazioni di conformità IT ai quadri normativi di sicurezza informatica, quali SOC 2, relativi alle pratiche di sicurezza dei dati. In entrambi i casi, l’organizzazione ha trasferito parte del proprio rischio a un’altra parte stipulando un’assicurazione.

Dopo aver esaminato le varie tipologie di pratiche di gestione del rischio, possiamo ora concentrarci sulle strategie di gestione del rischio comunemente adottate dalle organizzazioni. Tali strategie comprendono l’implementazione di quadri di riferimento per la gestione dei rischi, lo svolgimento di valutazioni dei rischi condotte da soggetti terzi , l’elaborazione di piani di emergenza e l’esecuzione di analisi delle cause alla radice. Esaminiamo in che modo tali strategie vengono utilizzate per gestire e mitigare efficacemente i rischi all’interno di un’organizzazione.

Quali sono alcune delle strategie di gestione del rischio più comunemente utilizzate nelle organizzazioni?

Oltre al processo di gestione del rischio sopra descritto, quali altre strategie possono adottare le organizzazioni per garantire la conformità e ridurre il rischio di perdite? Di seguito sono riportate alcune strategie di gestione del rischio comunemente adottate da prendere in considerazione, oltre all’adozione di un processo di gestione semplificato.

Risk quadri di riferimento gestionali

L’adozione di modelli di gestione del rischio già esistenti può rivelarsi utile in quanto fornisce una struttura e le migliori pratiche per l’analisi e la mitigazione dei rischi, nonché per le altre fasi dei flussi di lavoro relativi alla gestione del rischio e alla gestione della conformità.
Tra i modelli di gestione del rischio più diffusi figurano:

"Enterprise RiskManagement" (EM) del Committee of Sponsoring Organizations (COSO): le linee guida del COSO in materia di gestione del rischio aziendale sono state recentemente aggiornate per sottolineare l’importanza di tenere conto del rischio nel processo di definizione della strategia e di orientare le prestazioni
Analisi fattoriale dell’ Riske dell’informazione (FAIR™): un modello quantitativo standard internazionale per la sicurezza delle informazioni e il rischio operativo
ISO 31000: Le linee guida dell’ ISO sulla gestione del rischio definiscono i principi, un quadro di riferimento e un processo per la gestione del rischio che possono essere utilizzati da qualsiasi organizzazione, indipendentemente dalle sue dimensioni, dalla sua attività o dal settore di appartenenza

Istituto Nazionale di Standard e Tecnologia (NIST) Quadro di riferimento per la gestione della sicurezza informatica ( Risk Management Framework, RMF)

: Un processo in sette fasi completo, flessibile, ripetibile e misurabile che qualsiasi organizzazione può utilizzare per gestire i rischi relativi alla sicurezza delle informazioni e alla privacy a livello di organizzazioni e sistemi; tale processo fa riferimento a una serie di standard e linee guida dell’ NIST , al fine di supportare l’attuazione di programmi di gestione dei rischi volti a soddisfare i requisiti del

Legge federale sulla modernizzazione della sicurezza delle informazioni (FISMA)

[Legga anche: Cosa sono i quadri di riferimento per la sicurezza informatica? [Panoramica]

Valutazioni dei rischi di terze parti

I rischi possono derivare dalle risorse e dalle attività interne, nonché dalle risorse e dalle attività dei partner di un’organizzazione, inclusi fornitori, società di consulenza e altre forme di collaborazione. Il rischio legato alle terze parti riveste particolare importanza nel campo della sicurezza informatica.
L’implementazione di strumenti e processi per la valutazione e la gestione delle terze parti contribuisce a mitigare questo tipo di rischio.

[Legga anche: Che cos’è la gestione dei rischi di terze parti?]

Pianificazione delle emergenze

A volte capitano cose spiacevoli. Quando ciò accade, è meglio essere preparati. Se i team sanno come reagire a un’emergenza, possono evitare confusione e incertezze e intervenire in modo più rapido ed efficace.

La pianificazione di contingenza consiste nel predisporre misure per far fronte alle emergenze, tra cui attacchi informatici, gravi interruzioni dei servizi IT, calamità naturali quali terremoti o tempeste di grande entità e altri attacchi potenzialmente devastanti. Elaborando piani e simulando le risposte a tali emergenze, le organizzazioni possono ridurre i danni che potrebbero derivarne qualora tali emergenze si verificassero.

Analisi delle cause alla radice

Quando si manifesta un rischio grave o minore, è utile riunire un gruppo interfunzionale composto dalle parti interessate per comprendere cosa sia accaduto e perché, nonché risalire alla fonte dell’evento.
In genere, per individuare la causa principale, è necessario porsi e rispondere alle seguenti domande:

Qual è il problema legato a una formazione inadeguata dei dipendenti? In tal caso, potrebbe essere opportuno investire in nuovi moduli formativi.
Il problema era legato a una violazione dei dati? In tal caso, in quale punto della rete si è verificato? Per quanto tempo l’autore dell’attacco è riuscito a rimanere inosservato?
I sistemi erano aggiornati e configurati correttamente?
Tutte le parti interessate, quali i team DevOps, IT e di sicurezza, dispongono della visibilità centralizzata e dei dati in tempo reale relativi all’ endpoint , necessari per collaborare in modo efficace nell’individuare l’origine e la natura dell’attacco?
L’organizzazione ha accesso a tutti i propri dispositivi endpoint ?

Analizzando la causa principale del problema e individuando i punti deboli nell’infrastruttura IT, nella formazione del personale e in altri ambiti, le organizzazioni possono ridurre il rischio che un evento simile si ripeta e metta a repentaglio i propri obiettivi strategici.

Ora che abbiamo esaminato alcune strategie fondamentali di gestione del rischio, mettiamo a confronto gli approcci tradizionali e quelli aziendali alla gestione del rischio per determinare in che modo ciascuno di essi possa favorire o ostacolare tali iniziative.

Gestione tradizionale del rischio vs. gestione del rischio aziendale

Nei modelli convenzionali di gestione del rischio, la responsabilità di gestire i rischi ricade solitamente sui dirigenti aziendali che supervisionano le rispettive unità in cui tali rischi sono presenti. In alcune organizzazioni, la gestione dei rischi potrebbe rientrare nelle responsabilità di un responsabile della conformità (CCO), di un direttore operativo (COO), di un responsabile della revisione interna (CAO), di un direttore finanziario (CFO) o di altri dirigenti di livello C. Ad esempio, il Chief Information Officer (CIO) o il Chief Technology Officer (CTO) si occupa dei rischi legati all’IT, il CFO gestisce i rischi finanziari e il COO gestisce i rischi operativi.

Risk I manager rivestono un ruolo fondamentale anche nella gestione tradizionale del rischio. Essi tutelano gli obiettivi e le attività dell’organizzazione da potenziali danni e ripercussioni, valutando la probabilità che si verifichino determinati eventi, tra cui incidenti e calamità naturali, e sviluppando strategie volte a mitigare i rischi relativi a specifici reparti, in particolare quelli informatici, finanziari o operativi.

Tuttavia, tali ruoli non possono operare in modo isolato. Il loro successo dipende dalla condivisione delle informazioni e dalla collaborazione con gli altri soggetti interessati all’interno dell’organizzazione, tra cui i responsabili delle linee di business, i responsabili DevOps e i responsabili dei team di sicurezza informatica.

Sebbene i dipartimenti e le unità aziendali possano disporre di sistemi avanzati per gestire i propri rischi specifici, le organizzazioni possono trovarsi ad affrontare delle difficoltà qualora non riescano a riconoscere le interconnessioni tra i diversi rischi o il loro effetto combinato sulle operazioni complessive.

Per ovviare alle carenze della gestione tradizionale dei rischi nell'ambito di ciascun dipartimento, la gestione d e dei rischi aziendali è emersa nel documento 1990s come approccio olistico. A determinare questo approccio sono stati diversi fallimenti di grande risonanza, ingenti perdite che avrebbero potuto essere evitate e il ruolo sempre più rilevante dei modelli di valore per gli azionisti nella pianificazione strategica. Approfondiamo il tema dell’ERM e le sfide che esso comporta nell’affrontare i rischi moderni.

Che cos’è la gestione del rischio aziendale? È migliore rispetto alla gestione tradizionale del rischio?

Anziché adottare l’approccio più reattivo utilizzato dai programmi tradizionali di gestione del rischio, che prevedono di affrontare i rischi man mano che si presentano, l’ERM integra la gestione del rischio in tutti gli aspetti dei processi decisionali di un’organizzazione, con l’obiettivo di identificare, valutare e gestire i rischi a livello dell’intera organizzazione prima che si verifichino. Questo approccio proattivo aiuta le organizzazioni ad anticipare e mitigare i rischi prima che si trasformino in minacce gravi.

[Legga anche: Che cos’è il threat hunting? Panoramica con esempi concreti]

Tuttavia, l’ERM deve ancora affrontare diverse problematiche al giorno d’oggi. Una comunicazione inadeguata, una formazione insufficiente e la mancanza di un miglioramento continuo possono ostacolare in modo significativo l’efficacia dei programmi di ERM.
Molte organizzazioni hanno inoltre difficoltà a instaurare la cultura della consapevolezza del rischio necessaria a sostenere l’ERM, il che può derivare dal mancato stanziamento di risorse sufficienti o dalla mancata integrazione completa dell’ERM nella strategia aziendale.

La complessità dei modelli di ERM può inoltre risultare opprimente, determinando spesso un’azione frammentata, poiché le organizzazioni preferiscono continuare ad adottare un approccio reattivo alla gestione del rischio.

Si è mai chiesto cosa accada quando i programmi di gestione del rischio non sono all’altezza? Si considerino le recenti e ingenti sanzioni amministrative e gli accordi extragiudiziali imposti ad alcune delle organizzazioni di maggior successo e più all’avanguardia dal punto di vista tecnologico a livello mondiale:

Nel 2024, la Commissione per la protezione dei dati (DPC) irlandese ha inflitto a Meta Platform Ireland Limited (“Meta Ireland”) una sanzione di 91 milioni di euro (95,7 milioni di dollari) per aver violato il Regolamento generale sulla protezione dei dati (GDPR) conservando le password degli utenti senza crittografia.
La DPC ha osservato: «La presente decisione sottolinea l’obbligo per i titolari del trattamento di attuare misure di sicurezza adeguate nel trattamento dei dati personali, tenendo conto di fattori quali i rischi per gli utenti del servizio e la natura del trattamento dei dati».
Nel 2024, l’Autorità di vigilanza olandese (SA) ha inflitto a Uber una sanzione di 290 milioni di euro (305 milioni di dollari) per aver trasferito in modo improprio i dati personali di 170 autisti francesi negli Stati Uniti, in violazione dell’ GDPR, che impone norme rigorose in materia di conservazione e trasferimento dei dati personali.
Nel 2023, la DPC ha inflitto a Meta una sanzione complessiva di 390 milioni di euro (410 milioni di dollari) per aver violato il Regolamento generale sulla protezione dei dati ( GDPR ) “in relazione alla fornitura dei propri servizi Facebook e Instagram”. Meta Ireland è stata multata di 210 milioni di euro (225 milioni di dollari) per violazioni relative a Facebook e di 180 milioni di euro (193 milioni di dollari) per violazioni relative a Instagram.
Nel 2022, il colosso delle comunicazioni mobili T-Mobile ha accettato di versare un risarcimento pari a 500 milioni di dollari a seguito di una violazione dei dati verificatasi nel all’inizio del 2021 e che ha interessato quasi 77 milioni di clienti. L’incidente ha riguardato un accesso non autorizzato ai sistemi di T-Mobile, in seguito alla scoperta di una parte dei dati dei clienti messi in vendita su un noto forum di criminali informatici.
L’azienda ha raggiunto un accordo in merito a un’azione collettiva consolidata, accettando di versare un importo complessivo di 350 milioni di dollari a copertura delle richieste di risarcimento dei membri della classe, delle spese legali dei rappresentanti dei ricorrenti e dei costi di gestione dell’accordo. L'azienda ha inoltre promesso di investire 150 milioni di dollari nella sicurezza dei dati e nelle tecnologie correlate negli anni 2022 e 2023.

eBook gratuito: La gestione del rischio nell’era delle normative sulla protezione dei dati personali

Come dimostrano queste sanzioni e questi accordi extragiudiziali, le organizzazioni devono ancora impegnarsi maggiormente per dare priorità alla gestione della conformità e garantire che tutte le persone, gli strumenti e i processi sostengano gli obiettivi dei dirigenti aziendali in materia di sicurezza informatica e conformità.

Fortunatamente, le soluzioni per la gestione dei rischi si stanno evolvendo per diventare più complete e autonome, sfruttando le potenzialità dell’intelligenza artificiale, nonché la scalabilità e la flessibilità dell’architettura cloud, al fine di soddisfare i requisiti esigenti in materia di sicurezza e gestione delle imprese moderne.

Dopo aver acquisito una chiara comprensione dell’ERM e di come esso si distingua dalla gestione tradizionale del rischio, possiamo ora analizzarne l’evoluzione. La sezione seguente illustrerà in che modo l’ERM si sia adattato per affrontare le complessità della gestione dei rischi e della conformità di nuova generazione, mettendo in evidenza i progressi e le innovazioni che ne hanno plasmato le attuali prassi.

L'evoluzione dell'ERM per la gestione dei rischi e della conformità di nuova generazione

Risk in definitiva, riguarda l’attività. Si tratta di situazioni in cui tutto procede come al solito, finché non smette di essere così.
Per quanto riguarda le soluzioni in materia di rischio e conformità, l’integrazione dell’intelligenza artificiale e dell’apprendimento automatico consente alle organizzazioni di determinare rapidamente cosa sia normale, insolito e decisamente pericoloso — su larga scala e in tempo reale. Queste tecnologie possono essere utilizzate per eseguire analisi dei rischi, individuazione delle anomalie, individuazione delle minacce, generazione di report e risoluzione dei rischi con rapidità e precisione eccezionali, fornendo ai responsabili aziendali e informatici un livello di dettaglio senza precedenti sulle operazioni, sui rischi e sulle possibili soluzioni.

Insieme, l’apprendimento automatico e l’intelligenza artificiale possono:

Analisi dei dati: Dall’attività di accesso agli importi delle fatture dei fornitori, l’intelligenza artificiale e l’apprendimento automatico offrono un approccio rapido e scalabile per analizzare le operazioni nei minimi dettagli. Ciò fornisce ai responsabili aziendali e informatici i dati necessari per ottimizzare le strategie di gestione dei rischi e di conformità.
Individuazione di modelli: Il riconoscimento di modelli nei dati può aiutare le organizzazioni a stabilire linee di riferimento comportamentali — sia per le persone che per le macchine — al fine di individuare anomalie che potrebbero rappresentare una minaccia, come ad esempio una violazione dei dati.
Ad esempio, se il team contabile della Sua azienda lavora solitamente durante l’orario di lavoro nei giorni feriali e accede raramente al sistema nei fine settimana, rilevare che un computer portatile o un altro dispositivo endpoint assegnato a un contabile sta accedendo alla rete all’indirizzo 03:00 da una postazione remota può servire ad attivare un avviso e ad avviare azioni correttive.
Power Automation: Smart security automation sta plasmando il futuro della gestione endpoint, dalla generazione di report e riepiloghi a partire dai dati raccolti e archiviati in fonti disparate all’automazione della gestione delle patch, al rilevamento e alla risposta in tempo reale alle minacce e molto altro ancora.

L'intelligenza artificiale e l'apprendimento automatico sono in grado di consentire alle organizzazioni di affrontare con sicurezza e agilità le sfide sempre crescenti poste dalle minacce alla sicurezza informatica e dai requisiti normativi, rivoluzionando il loro approccio al rischio e alla conformità attraverso processi più efficaci e reattivi.

Tanium Risk & Conformità offre alle organizzazioni visibilità in tempo reale sugli endpoint, monitoraggio continuo degli exploit e una suite completa di strumenti per affrontare le vulnerabilità e riportare le risorse in uno stato di conformità, il tutto all’interno della piattaforma automatizzata Tanium.
Con Tanium, le organizzazioni beneficiano di una piattaforma unificata scalabile per la gestione dei rischi e della conformità, che fornisce una visibilità completa sui rischi endpoint e sugli incidenti di non conformità, oltre al contesto necessario affinché i team possano porre rimedio a tali esposizioni. Tanium consente inoltre ai team di sicurezza e operativi di consolidare soluzioni puntuali disparate in un unico agente e in un’unica soluzione.
Tanium Autonomous Endpoint Management (AEM) rappresenta una nuova evoluzione della piattaforma Tanium che introduce funzionalità avanzate di intelligenza artificiale e di apprendimento automatico. Tra queste figurano l’intelligenza cloud in tempo reale, che consente di analizzare e misurare anche le più piccole variazioni sugli endpoint per valutare con certezza il loro impatto; l’automazione e l’orchestrazione, che acquisiscono e progettano processi di automazione dinamici e riutilizzabili, coprendo vari casi d’uso relativi alle operazioni IT e di sicurezza; nonché i modelli e gli anelli di distribuzione, che riducono al minimo le interruzioni garantendo che le mod endpoint he vengano implementate in coordinamento con il ritmo dell’organizzazione.
Prenoti una demo personalizzata all’indirizzo per scoprire in che modo Tanium possa migliorare la gestione dei rischi e della conformità, nonché altre iniziative critiche in materia di sicurezza.

What is risk management? Simplified overview