ISO 27005: cos'è e come si usa per gestire il rischio

La ISO/IEC 27005 è la norma internazionale che spiega come gestire il rischio relativo alla sicurezza delle informazioni. Non contiene requisiti e non si certifica: è una guida per svolgere la valutazione e il trattamento del rischio che la ISO/IEC 27001 chiede nei punti 6.1.2 e 6.1.3. L'edizione in vigore è la ISO/IEC 27005:2022, pubblicata in Italia come UNI CEI EN ISO/IEC 27005:2025.

Qui trovi cosa dice la norma, cosa è cambiato rispetto all'edizione 2018, come si collega alla ISO/IEC 27001 e come si costruisce, passo dopo passo, un processo di gestione del rischio che regga all'audit e serva anche fuori dall'audit.

Cos'è la ISO/IEC 27005

Il titolo dell'edizione italiana è Sicurezza delle informazioni, cybersecurity e protezione della privacy - Guida alla gestione del rischio relativo alla sicurezza delle informazioni. La parola che conta è guida. Nel suo scopo (punto 1) la norma dichiara due obiettivi: aiutare le organizzazioni a soddisfare i requisiti della ISO/IEC 27001 sulle azioni per affrontare il rischio, e a svolgere le attività di gestione del rischio, in particolare valutazione e trattamento. Vale per qualsiasi organizzazione, indipendentemente da tipo, dimensioni o settore.

L'introduzione indica tre tipi di lettori:

• le organizzazioni che vogliono stabilire un sistema di gestione per la sicurezza delle informazioni (SGSI) conforme alla ISO/IEC 27001;
• le persone che svolgono la gestione del rischio o ne sono coinvolte, come i professionisti del SGSI e i responsabili dei rischi;
• le organizzazioni che vogliono migliorare un processo di gestione del rischio che hanno già.

Per un mid-market italiano la lettura pratica è questa: la 27001 dice cosa deve esistere, la 27005 suggerisce come farlo funzionare.

Edizione in vigore: 2022, recepita in Italia nel 2025

La ISO/IEC 27005:2022 è la quarta edizione e sostituisce la terza, la ISO/IEC 27005:2018. CEN-CENELEC l'ha approvata senza modifiche come norma europea EN ISO/IEC 27005:2024, e UNI l'ha pubblicata come UNI CEI EN ISO/IEC 27005:2025, disponibile anche in italiano. Entrambe le schede risultano in vigore sul catalogo UNI Store.

La premessa ISO elenca le modifiche principali rispetto al 2018:

• il testo è allineato alla ISO/IEC 27001:2022 e alla ISO 31000:2018, la norma generale sulla gestione del rischio;
• la terminologia riprende quella della ISO 31000:2018;
• la struttura segue quella della ISO/IEC 27001:2022;
• sono introdotti i concetti relativi agli scenari di rischio;
• per identificare i rischi, all'approccio basato sugli asset si affianca un approccio alternativo basato sugli eventi;
• le appendici sono state riviste e riunite in una sola.

Chi ha costruito il proprio metodo sull'edizione 2018 non deve buttarlo: l'approccio per asset resta valido. Conviene però riallinearne il vocabolario alla ISO 31000 e verificare che il processo segua l'ordine dei punti della 27001:2022, che è quello su cui ragiona l'auditor.

Il rapporto con la ISO/IEC 27001

Nel suo scopo la ISO/IEC 27001 dichiara di includere i requisiti per la valutazione e il trattamento dei rischi relativi alla sicurezza delle informazioni, adattati alle necessità dell'organizzazione. Quei requisiti stanno in quattro punti:

• 6.1.2, Valutazione del rischio relativo alla sicurezza delle informazioni, nella pianificazione;
• 6.1.3, Trattamento del rischio relativo alla sicurezza delle informazioni, nella pianificazione;
• 8.2 e 8.3, con gli stessi titoli, nelle attività operative: la valutazione e il trattamento vanno eseguiti davvero, non solo progettati.

La 27005 nella sua introduzione rinvia proprio al punto 6.1 e al punto 8 della ISO/IEC 27001:2022. La 27001, a sua volta, la cita nell'introduzione fra le norme della famiglia. Il rapporto è quindi di supporto, non di obbligo: chi si certifica deve rispettare la 27001, e l'organismo di certificazione verifica quello, non l'adozione della 27005. Usarla però aiuta, perché offre un processo già allineato ai punti che verranno controllati. La struttura completa della norma certificabile è nella guida completa alla ISO 27001.

Il processo, passo dopo passo

L'indice della ISO/IEC 27005:2022 è già una scaletta di lavoro. Sotto, i passaggi in ordine, con i titoli dei punti della norma e quello che significano in un progetto reale.

1. Definire il contesto e i criteri (punto 6)

Prima di elencare un solo rischio servono le regole del gioco: i requisiti delle parti interessate (clienti, autorità, gruppo, fornitori), i criteri di rischio, i criteri di accettazione del rischio e la scelta di un metodo appropriato. In pratica: che cosa vuol dire impatto alto per questa azienda, chi può accettare un rischio e fino a che livello. Se questi criteri non sono scritti e approvati dalla direzione, tutto quello che segue è un'opinione.

2. Identificare i rischi e i responsabili (punto 7.2)

Si identificano e si descrivono i rischi, e per ciascuno si nomina un responsabile del rischio, cioè la persona che ha l'autorità per decidere come trattarlo. Spesso non è l'IT: il rischio di fermo di una linea produttiva appartiene a chi governa la produzione.

3. Analizzare: conseguenze e verosimiglianza (punto 7.3)

Per ogni rischio si valutano le potenziali conseguenze e la verosimiglianza, e se ne ricava un livello di rischio. Le scale vanno definite a parole prima di usarle: un livello di impatto senza una descrizione concreta viene letto in modo diverso da ogni persona che compila il registro.

4. Valutare e dare priorità (punto 7.4)

I risultati dell'analisi si confrontano con i criteri del passo 1 e si ordina cosa trattare per primo. È il momento in cui il registro dei rischi diventa una lista di decisioni.

5. Scegliere il trattamento e i controlli (punti 8.2-8.5)

Per ogni rischio si sceglie un'opzione di trattamento, si determinano i controlli necessari e li si confronta con quelli dell'Appendice A della ISO/IEC 27001:2022. Da qui nasce la Dichiarazione di Applicabilità. L'ordine conta: prima i rischi, poi i controlli. Una Dichiarazione di Applicabilità compilata partendo dall'elenco dei controlli è il difetto che un auditor riconosce per primo. Il merito dei controlli è spiegato nell'articolo sui requisiti dell'Allegato A.

6. Piano di trattamento e rischi residui (punto 8.6)

Il piano di trattamento dice chi fa cosa e quando. Va approvato dai responsabili dei rischi, e i rischi residui, cioè quello che resta dopo i controlli, vanno accettati in modo esplicito. Un rischio residuo che nessuno ha accettato per iscritto non è accettato: è solo ignorato.

Dopo il primo giro (punti 9 e 10)

La norma dedica un punto alle attività operative, cioè a eseguire i processi di valutazione e di trattamento, e uno a far leva sui processi del SGSI: contesto, leadership, comunicazione e consultazione, informazioni documentate, monitoraggio e riesame, riesame di direzione, azioni correttive, miglioramento continuo. Già dai titoli si capisce che la gestione del rischio non è un documento a parte, ma un processo che si appoggia a quelli che il sistema di gestione ha già.

Approccio per asset o per eventi

L'edizione 2022 riconosce due modi di identificare i rischi, alternativi fra loro.

Nella pratica, i due approcci funzionano così:

• Per asset: si parte dall'inventario (applicazioni, server, dati, sedi, fornitori) e per ciascun elemento ci si chiede quali minacce e quali vulnerabilità lo riguardano. È granulare e ripetibile, ma su un perimetro ampio produce registri lunghi, difficili da portare in consiglio di amministrazione.
• Per eventi: si parte da scenari che contano per il business, per esempio un ransomware che ferma la produzione o una fuga di dati attraverso un fornitore, e si risale alle cause. È più vicino al linguaggio della direzione, ma richiede chi conosca bene come l'azienda lavora.

Nella pratica possono convivere: scenari per le decisioni della direzione, asset per il lavoro tecnico e per collegare i rischi ai controlli. Quello che conta per l'audit è che il metodo sia scritto e applicato in modo coerente.

Qualitativo o quantitativo

L'appendice della norma è informativa: contiene esempi di tecniche, come scale delle conseguenze e della verosimiglianza, un approccio qualitativo ai criteri di rischio, scale logaritmiche, una matrice di rischio, esempi di minacce e di vulnerabilità tipiche, esempi di scenari. Sono esempi, non prescrizioni.

Nella pratica un approccio qualitativo, con scale descritte a parole, è il punto di partenza più sostenibile per chi costruisce il primo registro. Un approccio quantitativo, che esprime il rischio in valore economico, serve quando la direzione chiede di confrontare il costo di un controllo con la perdita evitata. Si può passare dal primo al secondo nel tempo, sui rischi più rilevanti.

ISO 27005 e NIS2

Per i soggetti NIS2 l'art. 24 del D.Lgs. 138/2024 chiede misure di gestione dei rischi che comprendano almeno politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete (comma 2, lettera a), e che tengano conto, ove applicabile, delle pertinenti norme nazionali, europee e internazionali (comma 1, lettera a). Il decreto non nomina la ISO/IEC 27005, quindi adottarla non è un adempimento in sé. Un processo impostato secondo la norma è però un modo documentabile di dimostrare che l'analisi dei rischi esiste e ha un metodo. Dove i due percorsi si sovrappongono e dove no è spiegato in NIS2 e ISO 27001.

Gli errori che si vedono più spesso

• Registro fatto una volta per l'audit e mai riaperto: nella 27001 valutazione e trattamento compaiono anche nei punti 8.2 e 8.3, fra le attività operative: vanno eseguiti, non solo descritti.
• Criteri di accettazione mai approvati, o approvati da chi non ha l'autorità per accettare quel rischio.
• Controlli scelti prima dei rischi, con una Dichiarazione di Applicabilità che non si riesce a ricondurre al registro.
• Scale senza definizioni, per cui lo stesso evento vale medio per una persona e alto per un'altra.
• Nessun legame con quello che succede davvero: incidenti, segnalazioni, nuovi fornitori e vulnerabilità non tornano nel riesame del rischio.

Da dove partire

Se il processo di gestione del rischio non esiste ancora, o esiste solo come foglio di calcolo, il primo passo è misurare la distanza dai requisiti. Una gap analysis ISO 27001 dice se criteri, registro, piano di trattamento e Dichiarazione di Applicabilità ci sono e se sono collegati fra loro. Da lì si sceglie il metodo, si scrivono i criteri e si fa il primo giro completo.

In sintesi: la ISO/IEC 27005:2022 è la guida alla gestione del rischio relativo alla sicurezza delle informazioni. Non si certifica e non è obbligatoria, ma descrive in modo ordinato come soddisfare i punti 6.1.2, 6.1.3, 8.2 e 8.3 della ISO/IEC 27001: criteri approvati, rischi con un responsabile, analisi e valutazione, trattamento collegato ai controlli e rischi residui accettati da chi ne ha l'autorità.

Se stai preparando la certificazione e vuoi capire come impostare il processo di rischio nel tuo caso, trovi come lavoriamo nella pagina dedicata alla certificazione ISO 27001.