Piattaforma · Gestione dei rischi

NIS2 art. 21.2(a): rischi valutati, trattati e collegati ai controlli che li riducono.

La NIS2 (art. 21.2(a)) e la ISO/IEC 27001 chiedono un'analisi dei rischi che orienti la scelta delle misure; la DORA (art. 5) attribuisce all'organo di gestione la responsabilità del rischio ICT. In EVIDEVO ogni rischio ha probabilità e impatto su una scala condivisa, un responsabile, un piano di trattamento e i controlli che lo riducono, con l'esito dei loro test. Il rischio residuo viene accettato con un'approvazione registrata.

Parliamone Valutazione di partenza

Dati puramente a scopo illustrativo e non reali

Il problema

01

Analisi dei rischi annuale

Un documento scritto per l'audit e poi archiviato, che non segue i cambiamenti di sistemi e fornitori.

02

Rischi scollegati dalle misure

Non risulta quale controllo riduce quale rischio, né se quel controllo funziona.

03

Accettazioni non documentate

I rischi residui vengono accettati a voce, senza data né firmatario.

Cosa fa

Registro dei rischi con valutazione, trattamento, responsabili e accettazione registrata.

  • Registro dei rischi

    Minacce, asset coinvolti, probabilità e impatto, su una scala condivisa.

  • Collegamento ai controlli

    Ogni rischio mostra i controlli che lo riducono e l'esito dei loro test.

  • Piani di trattamento

    Azioni con responsabile e scadenza, seguite fino alla chiusura.

  • Accettazione formale

    Il rischio residuo si accetta con un'approvazione registrata: chi, quando, con quale livello di rischio.

  • Riesame periodico

    Promemoria di riesame e confronto con la valutazione precedente.

  • Vista per l'organo di amministrazione

    Rischi principali e andamento, nel formato dei report per l'organo di amministrazione.

Il risultato

  • Un registro dei rischi con responsabile, livello e piano di trattamento per ciascuno
  • Per ogni rischio, i controlli collegati e l'esito dei loro test
  • Le accettazioni del rischio residuo, con data e approvatore

Framework collegati

Le altre funzionalità

Una presentazione di trenta minuti sul perimetro dell'organizzazione.

Si parte dalle norme da rispettare e da come il lavoro è organizzato oggi. In trenta minuti si vede EVIDEVO applicato a quel contesto.

Parliamone