Politica di gestione del rischio

La Politica di gestione del rischio (P06) fornisce un quadro rigoroso, a livello di organizzazione, per l’identificazione, l’analisi, la valutazione e il Trattamento del rischio dei rischi per la sicurezza delle informazioni. Il suo scopo è rendere operativi i principi basati sul rischio per proteggere la Riservatezza, Integrità, Disponibilità dei Patrimoni informativi e integrare la Gestione dei rischi per la sicurezza delle informazioni in tutti i livelli del processo decisionale. La politica garantisce che siano soddisfatti sia gli obiettivi strategici interni sia i requisiti normativi esterni, rendendola un componente fondamentale del Sistema di gestione della sicurezza delle informazioni (SGSI). In particolare, la politica soddisfa i requisiti della ISO/IEC 27001:2022 Clausola 6.1, i principi della ISO 31000:2018 e corrisponde alle metodologie dettagliate della ISO/IEC 27005. Il campo di applicazione della politica è completo e si applica a tutte le unità aziendali, ai processi, al personale, ai Sistemi informativi (fisici, digitali e Sistemi ospitati nel cloud) e alle terze parti coinvolte con i Patrimoni informativi. Ogni fase in cui potrebbe essere introdotto un rischio, come nuovi progetti, implementazioni di sistemi, cambiamenti di architettura, onboarding dei fornitori, Risposta agli incidenti e riesami regolari, rientra nel dominio di questa politica. Questo approccio unificato garantisce che nessun rischio per la sicurezza delle informazioni venga trascurato, sia che emerga da cambiamenti di business, aggiornamenti tecnologici o partnership esterne. Le responsabilità sono chiaramente delineate. L’Alta Direzione definisce la Propensione al rischio e approva i trattamenti del rischio per i rischi residui oltre le Soglie di accettazione del rischio. I Responsabili del SGSI o i Responsabili del rischio sono titolari del quadro, garantendo l’allineamento della politica, guidando le Valutazioni del rischio e mantenendo il Registro dei rischi centrale e il Piano di trattamento del rischio. I Proprietari del rischio e il Team di sicurezza delle informazioni identificano, valutano e trattano i rischi per asset o processi specifici. L’Audit interno e i Team di conformità convalidano l’efficacia e la tracciabilità delle attività di gestione del rischio, attivando azioni correttive per lacune o violazioni. Questa chiara struttura di governance garantisce una vigilanza rigorosa e un’escalation efficace dei rischi inaccettabili. I requisiti di governance impongono il mantenimento di un Registro dei rischi centrale che documenti tutti i rischi noti, i relativi proprietari, i punteggi, i piani di trattamento e i collegamenti ai controlli. Le Valutazioni del rischio devono seguire metodologie documentate, inclusa la Classificazione degli asset, la mappatura delle minacce e la valutazione dei controlli. La Dichiarazione di Applicabilità (SoA) è mantenuta aggiornata per tracciare le decisioni di trattamento e lo stato dei controlli. Le opzioni di Trattamento del rischio (evitare, trasferire, accettare, ridurre) sono documentate formalmente e le eccezioni alle procedure sono strettamente controllate, richiedendo approvazioni di livello superiore con giustificazione e tempistiche. Il Monitoraggio regolare, gli Indicatori chiave di rischio e il Cruscotto dei rischi supportano una reportistica efficace verso l’Alta Direzione. L’applicazione è una caratteristica centrale: la non conformità è soggetta a misure disciplinari e il Responsabile del SGSI, insieme all’Audit, riesamina regolarmente completezza, tracciabilità e tempestività delle attività di gestione del rischio. La politica è riesaminata almeno annualmente o dopo incidenti significativi o cambiamenti organizzativi, garantendo che rimanga aggiornata rispetto all’evoluzione delle esigenze di business e dei contesti normativi. Questo approccio strutturato supporta direttamente responsabilità, trasparenza e Miglioramento continuo nella Gestione dei rischi per la sicurezza delle informazioni, rendendola parte integrante della resilienza complessiva dell’organizzazione.