{"id":199301,"date":"2026-08-19T19:08:01","date_gmt":"2026-08-19T17:08:01","guid":{"rendered":"https:\/\/factorialhr.com\/blog\/?p=199301"},"modified":"2026-08-19T19:08:01","modified_gmt":"2026-08-19T17:08:01","slug":"valutazione-dei-rischi-iso-27001","status":"publish","type":"post","link":"https:\/\/factorial.it\/blog\/valutazione-dei-rischi-iso-27001\/","title":{"rendered":"Valutazione dei rischi ISO 27001: cos’\u00e8 e come farla"},"content":{"rendered":"

La valutazione dei rischi \u00e8 il punto in cui quasi tutti i progetti ISO 27001 si arenano<\/strong>, ed \u00e8 anche il momento in cui si capisce se il sistema di gestione \u00e8 stato costruito davvero o solo sulla carta. Molte organizzazioni investono settimane nel compilare un foglio di calcolo enorme, con decine di minacce teoriche e punteggi assegnati a occhio, per poi presentarsi all’audit con un documento che nessuno usa e che non spiega perch\u00e9 siano stati scelti alcuni controlli e scartati altri.<\/p>\n

In questo articolo vediamo che cos’\u00e8 la valutazione dei rischi secondo la ISO 27001<\/strong>, perch\u00e9 condiziona il resto del sistema, quale metodo conviene adottare e come realizzarla passo dopo passo.<\/p>\n

Che cos’\u00e8 la valutazione dei rischi nella ISO 27001?<\/h2>\n

La valutazione dei rischi \u00e8 il processo con cui un’organizzazione identifica i rischi che minacciano la sicurezza delle proprie informazioni<\/strong> e ne determina probabilit\u00e0 e impatto. In altre parole: riconoscere che cosa pu\u00f2 andare storto, con quale probabilit\u00e0 accadrebbe e quali conseguenze avrebbe su riservatezza, integrit\u00e0 e disponibilit\u00e0 delle informazioni.<\/p>\n

La clausola 6.1.2 della ISO 27001<\/a> impone di definire un processo di valutazione dei rischi<\/strong>, applicarlo in modo coerente e conservare le informazioni documentate come evidenza. La norma non la presenta come un’attivit\u00e0 una tantum: richiede di ripeterla a intervalli pianificati e ogni volta che si verificano cambiamenti rilevanti nell’organizzazione o nel suo contesto.<\/p>\n

Conviene chiarire tre termini che spesso si usano come sinonimi pur non essendolo. L’analisi dei rischi<\/strong> \u00e8 la fase in cui si stimano probabilit\u00e0 e impatto di ciascun rischio. La valutazione dei rischi<\/strong> \u00e8 il processo completo, che comprende quell’analisi pi\u00f9 il confronto dei risultati con i criteri di accettazione per decidere quali rischi siano prioritari. Il trattamento dei rischi<\/strong>, invece, \u00e8 il passo successivo, in cui si decide cosa fare di ciascuno.<\/p>\n

Perch\u00e9 la valutazione dei rischi \u00e8 il punto di partenza del SGSI?<\/h2>\n

La ISO 27001 \u00e8 una norma basata sul rischio. Questo significa che i controlli adottati da un’azienda non derivano da un elenco standard n\u00e9 dall’imitare la concorrenza, ma dalla propria esposizione<\/strong>. Due organizzazioni dello stesso settore possono arrivare a sistemi di controllo molto diversi, semplicemente perch\u00e9 i loro rischi sono diversi.<\/p>\n

Questa logica colloca la valutazione alla base del sistema di gestione della sicurezza delle informazioni (SGSI)<\/a>. Dai suoi risultati dipende quali controlli dell’Allegato A verranno applicati e quali si motiver\u00e0 per iscritto di scartare. Senza una valutazione solida, quella decisione resta priva di fondamento, e l’auditor se ne accorge subito.<\/p>\n

C’\u00e8 inoltre una dipendenza preliminare da tenere presente: non si possono valutare rischi su asset che non si conoscono<\/strong>.<\/p>\n

Approccio qualitativo o quantitativo: quale scegliere?<\/h2>\n

La ISO 27001 non impone un metodo specifico. Richiede che sia coerente, riproducibile e che generi risultati confrontabili, ma lascia a ciascuna organizzazione la scelta di come applicarlo. Nella pratica esistono due grandi approcci<\/strong>, e la maggior parte ne combina elementi di entrambi.<\/p>\n