Passiamo ora ad esaminare l ultimo passo che è quello della misurazione del rischio. Nelle misurazione del rischio si verificano alcune esigenze

Transcript

1 La metodologia per la valutazione del rischio consta dei seguenti passi: 1) Individuazione delle minacce e delle vulnerabilità; 2) prima valutazione dell incidenza delle minacce rispetto ai requisiti di sicurezza; 3) Associazione delle minacce e vulnerabilità rispetto alle risorse/asset di interesse; 4) misurazione del rischio. Si è proceduto poi ad effettuare una prima valutazione dell incidenza delle minacce mediante la valutazione di impatto di una minaccia rispetto ai requisiti di sicurezza. Nello specifico si è passati ad esaminare l individuazione di minacce/vulnerabilità di interesse, successivamente la definizione dei requisiti di sicurezza per il sistema ed infine una prima valutazione dell impatto delle singole minacce rispetto ai requisiti di sicurezza sopra definiti. Si veda la seguente tabella: Passiamo ora ad esaminare in dettaglio il terzo passo e cioè l associazione minacce, vulnerabilità. Asset. L associazione minacce-asset è fondamentale sia per la stima dei danni sia per la stima della probabilità che i danni intrinsechi di una minaccia possono verificarsi rispetto ad una risorsa. In questo caso si verifica l esigenza di individuazione delle risorse di interesse che sono classificate in risorse non sensibili per la sicurezza e risorse sensibili per la sicurezza. Le risorse sensibili per la sicurezza possono avere livelli diversi di criticità, più è alta è la criticità (importanza) di una risorsa tanto più alti possono essere i danni derivanti da una sua compromissione. In base ai suoi livelli di sicurezza già adottati, il rischio per danni associati può variare da risorsa a risorsa. Invece il livello di criticità di una risorsa è legato al livello dei trattamenti in cui essa è utilizzata (a seconda della tipologia del trattamento e della risorsa informativa oggetto del trattamento), al costo della risorsa stessa inteso come costo economico, disponibilità della risorsa ( risorse tecnologiche altamente innovative, materiale tecnologico obsoleto e difficilmente reperibile, informazioni difficilmente riacquistabili, etc.), tempo di approvvigionamento. Ma come facciamo ad identificare le risorse di interesse per la sicurezza e, quindi di interesse per la gestione del rischio? Si effettua l identificazione dei trattamenti sensibili per la sicurezza e successiva identificazione delle risorse di interesse per ogni singolo trattamento. Inoltre si analizzano i costi sostenuti solo per gli ambiti di interessi, la visone di insieme delle risorse e dei rapporti e modalità di interazione tra le stesse e l identificazione più precisa delle risorse di interesse per la sicurezza. Si passa poi ad effettuare la definizione degli obietti di sicurezza mediante un analisi di tipo Top_Down (dall alto verso il basso) del sistema composta dalle seguenti fasi: 1) Prima presentazione del sistema e delle iterazioni con il mondo esterno; 2) Descrizione di dettaglio del sistema per livelli (macroprocessi, processi, attività, asset: nell ambito di un attività/processo, può essere utilizzata anche la metodologia Botton-up cioè dal basso verso l alto).

2 Ma che cos è un asset? Un asset è una risorsa elementare utile alla realizzazione di un processo. Gli asset sono classificati in asset di interesse per la sicurezza che sono costituiti da: a) informazioni: b) reti; c) infrastrutture; d) hardware; e) software; f) risorse umane. Facciamo ora degli esempi di individuazioni di asset che cosi raffigurati nelle seguenti tabelle: Esaminiamo ora il livello di criticità degli asset/trattamenti. Il livello di criticità delle risorse è legato al livello di criticità dei trattamenti in cui essa è utilizzata. Si hanno, infatti, delle esigenze di valutazione della criticità dei trattamenti cosi suddivise : - Valutazione dei costi di interruzione; - Valutazione della disponibilità di soluzioni alternative per effettuare i medesimi trattamenti (per esempio con altre soluzioni tecnologiche, con modalità manuali, etc.); - Valutazione dei tempi di riattivazione a seguito di ripristino. Inoltre la criticità dei trattamenti è a sua volta influenzata dai costi degli asset (costo economico, disponibilità delle risorsa, tempi di approvvigionamento). Facciamo ora un esempio di classificazione delle criticità dei trattamento cosi raffigurate nelle seguenti tabelle:

3 Passiamo ora ad esaminare l ultimo passo che è quello della misurazione del rischio. Nelle misurazione del rischio si verificano alcune esigenze quali quella in cui la misurazione del rischio deve essere oggettiva rispettando i requisiti di ripetibilità e riproducibilità e quella in cui i valori ottenuti devono essere confrontabili. Inoltre la misurazione del rischio si fonda su un approccio base costituito da una definizione di scala dei valori, da una definizione del metodo, procedura e formula di calcolo del rischio. Facciamo ora un esempio dei misurazione del rischio cosi come si evince dalle seguenti tabelle:

4 Con la fase inerente la misurazione dl rischio si genera ed individua una metodologia di analisi da un punto di vista prettamente tecnico che consta di tre fasi e cioè la valutazione del rischio, l individuazione dei trattamenti e la valutazione dei singoli trattamenti. Passiamo ora a definire che cos è un piano di sicurezza. Un piano di sicurezza è un piano di intervento mirato alla riduzione del livello di rischio, o al suo mantenimento se considerato residuo. Inoltre è un documento dinamico che deve essere aggiornato al variare della struttura organizzativa, al variare del contesto di riferimento, al variare delle soluzioni tecnologiche utilizzate ed al livello di sicurezza delle stesse, al variare delle minacce e della vulnerabilità. Data la sua importanza è un documento altamente riservato. Gli obiettivi che un piano di sicurezza si prefigge di raggiungere sono:

5 1) Definizione di un sistema di gestione in sicurezze che permette di tenere sotto controllo nel tempo i processi legati alla sicurezza tramite la definizione di ruoli, responsabilità di procedure formali e di canali di comunicazione: 2) Salvaguardia delle informazioni. Infatti è fondamentale individuare quali informazioni proteggere e quale livello di protezione assegnare a ciascuna di esse. E necessario ora anche stabilire quali sono gli obiettivi dell analisi costi-benefici del trattamento del rischio che consistono nel valutare i trattamenti da attuare, massimizzando, rispetto alle risorse disponibili, la sicurezza di un sistema ovvero la riduzione del rischio nel suo complesso. Esiste una relazione tra l analisi costi benefici del trattamento del rischio intesa come metodologia per individuare e valutare i trattamenti che andrebbero attuati per il raggiungimento degli obiettivi di sicurezza (riduzione del rischio) previsti e il piano di sicurezza inteso come strumento atto al raggiungimento degli obiettivi di sicurezza preposti, tramite la definizione, l attuazione, la gestione ed il controllo dei trattamenti di interesse. Dottor Antonio Guzzo Responsabile CED del Comune di Praia a Mare