Dopo aver compreso che ogni controllo è la faccia opposta di una minaccia, ci soffermiamo ora su un punto essenziale: il contesto.
Non tutti i controlli hanno lo stesso significato in ogni organizzazione, perché la loro efficacia dipende da fattori che cambiano di volta in volta.
La natura dell’organizzazione, le sue dimensioni, la tipologia di asset gestiti, le vulnerabilità presenti, le aspettative delle parti interessate e i vincoli normativi – dal GDPR alla NIS 2 – sono elementi che trasformano radicalmente il modo in cui si percepiscono la gravità e la probabilità di una minaccia.
Dalla ISO/IEC 27001 alle norme correlate, emerge una visione dinamica della sicurezza: non esiste un controllo valido sempre e per tutti, ma solo risposte proporzionate e calibrate sulla realtà concreta in cui vengono applicate.
Ecco il secondo capitolo di questa trilogia dedicata al rapporto tra controlli e minacce.
Indice degli argomenti
Il peso delle minacce: il contesto come chiave per dare senso ai controlli
Nel primo capitolo della trilogia abbiamo visto che i controlli non sono obblighi astratti, ma risposte vive e operative alle minacce che incombono sulle informazioni e sui sistemi che le trattano.
Questo ci ha permesso di riconoscere la logica speculare che unisce pericolo e protezione.
A questo punto sorge una domanda inevitabile: quanto è davvero pericolosa una minaccia? La risposta non è mai la stessa.
Ciò che per una realtà organizzativa rappresenta un rischio marginale per un’altra può trasformarsi in una catastrofe.
È proprio qui che la ISO/IEC 27001 invita a fare un passo ulteriore.
Infatti non basta conoscere i controlli: occorre collocarli dentro il contesto dell’organizzazione e dentro le aspettative delle parti interessate.
Sono i punti 4.1 e 4.2 della norma a ricordarci che senza questa analisi preliminare ogni valutazione rischia di essere cieca; e il punto 4.3 – che richiede di definire il campo di applicazione del sistema di gestione – traduce quell’analisi in confini concreti: quali sedi, quali processi, quali informazioni dobbiamo considerare?
Controlli e minacce: il ruolo del legislatore
Tra le parti interessate c’è anche il legislatore: è attraverso il punto 4.2 che gli obblighi del GDPR e della NIS 2 entrano nel sistema di gestione, come requisiti da soddisfare e non come adempimenti paralleli.
Il contesto diventa quindi la lente che permette di misurare gravità e probabilità in modo realistico e di dare ai controlli il giusto peso.
Solo così si riesce a capire quali minacce sono effettivamente critiche e quali invece restano sullo sfondo, evitando sprechi di risorse e garantendo risposte calibrate sulla realtà che si vuole proteggere.
Il contesto come chiave di lettura
Un’organizzazione non vive mai isolata; è sempre parte di un ambiente fatto di relazioni, regole, interessi e aspettative che la circondano e la condizionano in ogni scelta.
Capire il contesto porta a leggere questo intreccio e a riconoscere quali fattori possono rendere più probabili o più gravi le minacce che incombono.
Ciò che conta non è solo ciò che l’organizzazione fa al proprio interno, ma anche:
- il settore in cui opera;
- il valore dei dati che gestisce;
- la sua collocazione geografica;
- la posizione che occupa nella catena di fornitura – una posizione che la NIS 2 ha reso centrale.
Ogni elemento di questo scenario esterno cambia la percezione del rischio e, di conseguenza, il senso stesso dei controlli.
Senza questa analisi preliminare, i controlli restano gusci vuoti, formalità prive di radici, incapaci di produrre vera protezione.
Gravità e probabilità: le due dimensioni del rischio
Per dare sostanza alla sicurezza bisogna imparare a misurare i rischi lungo due dimensioni.
La ISO/IEC 27001 (punto 6.1.2) le chiama conseguenze e probabilità realistica di accadimento: quali danni potrebbe produrre un evento, e quanto è realistico che accada.
Il GDPR usa parole quasi identiche – probabilità e gravità – negli articoli 24, 25 e 32 e nei considerando 75 e 76.
La coincidenza lessicale, però, nasconde una differenza che chi si occupa di protezione dei dati non può ignorare: il rischio di cui parla la ISO/IEC 27001 è il rischio per l’organizzazione, per i suoi obiettivi e per la sua continuità; invece, il rischio di cui parla il GDPR è il rischio per i diritti e le libertà delle persone fisiche i cui dati vengono trattati.
Le due valutazioni spesso convergono, ma non sempre: una violazione può costare poco all’azienda e moltissimo agli interessati. Un sistema di gestione maturo, infatti, le tiene entrambe sul tavolo.
In entrambi i casi, gravità e probabilità non sono valori fissi come numeri scritti nella pietra, ma grandezze che cambiano con l’ambiente in cui l’organizzazione si muove – e con le vulnerabilità che quell’ambiente presenta.
Un esempio
Prendiamo lo stesso scenario, lo smarrimento o lo smaltimento incontrollato di un computer, e collochiamolo in due realtà diverse.
In uno studio tecnico che tratta soprattutto disegni e preventivi, con dischi cifrati e nessun dato appartenente a categorie particolari, si tratterà di un rischio limitato.
Invece, in una struttura sanitaria, anche piccola, dove quel computer conserva in chiaro referti e cartelle di migliaia di pazienti, lo stesso evento è potenzialmente devastante: per le persone coinvolte prima ancora che per l’organizzazione.
Si noti che a fare la differenza non è la dimensione dell’organizzazione, ma la natura dei dati e la presenza o l’assenza di controlli: il GDPR non prevede un’attenuazione del rischio per gli interessati solo perché il titolare è piccolo.
La logica che il legislatore europeo ha fatto propria
L’art. 32 del GDPR richiede misure adeguate al rischio, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento.
La NIS 2 (art. 21 della direttiva; art. 24 del D.Lgs. 138/2024) richiede misure adeguate e proporzionate, da valutare in base al grado di esposizione ai rischi, alle dimensioni del soggetto, alla probabilità che si verifichino incidenti e alla loro gravità, compreso l’impatto sociale ed economico.
Il parametro che orienta l’analisi del rischio è proprio questo: riconoscere che gravità e probabilità dipendono sempre dal contesto e dalla realtà concreta che deve essere protetta.
Il ruolo delle norme correlate
Quando si comprende che gravità e probabilità sono grandezze relative al contesto, diventa evidente che non esiste un catalogo di controlli valido per tutte le realtà.
La ISO/IEC 27001 offre un insieme di controlli raccolti nell’Annex A, che rappresentano la base comune per affrontare rischi trasversali.
Ma la stessa norma chiarisce che si tratta di un elenco di possibili controlli, da confrontare con quelli individuati a partire dai rischi e che controlli ulteriori possono essere progettati o tratti da qualsiasi fonte (punto 6.1.3, note 1 e 2).
Lo strumento che rende operativa questa relatività è la Dichiarazione di Applicabilità: il documento in cui l’organizzazione dichiara quali controlli ha ritenuto necessari e perché, e giustifica l’eventuale esclusione di controlli dell’Annex A.
Due organizzazioni certificate secondo la stessa norma possono così avere Dichiarazioni di Applicabilità molto diverse, ed è giusto che sia così.
Le differenze fra le varie ISO/IEC
Da qui nasce l’importanza delle norme correlate, che nascono per rispondere a minacce specifiche in contesti particolari.
La ISO/IEC 27002:2022 è la guida di riferimento per attuare i controlli dell’Annex A.
La ISO/IEC 27005:2022 guida la valutazione e il trattamento dei rischi.
ISO/IEC 27017:2015 aggiunge controlli e indicazioni per i servizi cloud, rivolgendosi sia ai fornitori sia ai clienti.
La ISO/IEC 27018:2019 si concentra sulla protezione dei dati personali nei cloud pubblici da parte dei fornitori che agiscono come responsabili del trattamento.
ISO/IEC 27701 estende la logica della sicurezza alla gestione della privacy e, nell’edizione pubblicata nell’ottobre 2025, è diventata una norma autonoma, con un proprio Annex A di controlli privacy e una mappatura esplicita verso il GDPR.
Esistono poi declinazioni settoriali, come la ISO/IEC 27019 per il settore dell’energia e la ISO 27799 per la sanità.
Controlli disegnati per scenari concreti
Ognuna di queste norme arricchisce la cassetta degli attrezzi a disposizione delle organizzazioni, aggiungendo controlli disegnati per scenari concreti.
È un meccanismo che rende il sistema normativo vivo e adattabile, capace di seguire l’evoluzione delle tecnologie e delle minacce.
Un sistema dinamico, non statico
Il rischio più grande è pensare agli standard come a regole scolpite una volta per tutte.
In realtà, il loro valore non sta nell’essere rigidi, ma nel funzionare come mappe che vanno lette e reinterpretate alla luce del contesto.
La sicurezza non è un insieme statico di misure ma è un processo in continua trasformazione che richiede di adattare i controlli a seconda delle condizioni.
Gravità e probabilità non sono coordinate fisse: cambiano con le persone, con i dati, con i luoghi e con il tempo – basti pensare a come il ransomware, gli attacchi alla catena di fornitura e l’intelligenza artificiale generativa abbiano riscritto in pochi anni la gerarchia delle minacce.
Chi applica le norme tecniche lo sa bene. La ISO/IEC 27001 richiede di ripetere la valutazione dei rischi a intervalli pianificati e ogni volta che si propongono o si verificano cambiamenti significativi (punto 8.2), di misurare l’efficacia dei controlli (punto 9.1) e di migliorare continuamente il sistema (punto 10).
La dinamicità che rende viva la gestione del rischio
Il GDPR, all’art. 32, par. 1, lett. d, richiede una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure.
La NIS 2 include tra le misure necessarie proprio le politiche e le procedure per valutare l’efficacia delle misure di gestione del rischio.
In tal modo, questa dinamicità rende la gestione del rischio qualcosa di vivo e profondamente legato alla realtà.
Il rapporto fra controlli e minacce: l’efficacia dei primi dipende dal contesto
Questo secondo capitolo della trilogia ci ha mostrato che i controlli non hanno lo stesso significato ovunque e per chiunque.
La loro efficacia dipende dal contesto, che diventa la lente con cui leggere la gravità e la probabilità delle minacce – per l’organizzazione e, quando sono in gioco dati personali, per le persone.
Senza questa prospettiva, il rischio non può essere valutato in concreto e le misure rischiano di trasformarsi in adempimenti vuoti.
Con questa consapevolezza si apre il passo successivo: nel terzo e ultimo capitolo, entreremo nel cuore della concretezza operativa, per capire come i controlli assumano sfumature diverse a seconda degli asset e delle sedi in cui vengono applicati.
È lì che la sicurezza si misura con i limiti della realtà e dove il compito non è inseguire il dettaglio assoluto, ma imparare l’arte di dare priorità.
Solo così la protezione diventa efficace, sostenibile e realmente utile all’organizzazione.
Partecipa alla community