Nota Metodologica - CIS Risk Assessment Method (CIS RAM v2.1) - Profilo IG3
La CIS RAM è la metodologia ufficiale del CIS per la valutazione e prioritizzazione dei controlli CIS CSC v8.1, riconosciuti da ACN come riferimento per il Framework Nazionale di Cybersecurity e per l'allineamento alla L. 90/2024 e al D.Lgs. 138/2024. È altresì compatibile con ISO/IEC 27005, NIST SP 800-30 e RISK IT, favorendo l'allineamento multi-framework. L'organizzazione valutata, in base alla propria classificazione NIS2, rientra nel profilo Implementation Group corrispondente.
Probabilità Minaccia (L)
Frequenza attesa dell'evento minaccia in assenza di misure correttive. Scala 1–5: Raro → Quasi Certo. Derivata dallo score AS-IS (0→5, 2→3, 3→1).
Impatto sulla Missione (I)
Conseguenza sulla continuità dei servizi essenziali. Scala 1–5 mappata sulla classificazione ACN (R3→3, R4→4, R5→5).
Adeguatezza Salvaguardia (S)
Efficacia del controllo nell'abbattere la probabilità minaccia. Score 0 = 0%; Parziale = 40%; Implementato = 90%.
Rischio Inerente = L × I | Rischio Residuo = (L × I) × (1 − S) | Soglia di Tolleranza IG3 = 6 / 25
Dati Organizzazione Valutata (sola lettura - fonte: Assessment)
Dati Identificativi
Ragione Sociale
-
P.IVA / Codice Fiscale
-
Forma Giuridica
-
Codice ATECO
-
Sede Legale
-
Regione
-
Nazione
-
Classificazione NIS2
Settore NIS2
-
Sottosettore
-
Classificazione
-
Allegato
-
Dimensione e ACN
N. Dipendenti
-
Fatturato
-
Stato Patrimoniale
-
Cod. Registrazione ACN
-
Data Registrazione ACN
-
Data Notifica ACN
-
Referenti e Valutazione
Legale Rappresentante
-
CISO / Resp. Cybersecurity
-
Email Referente
-
Telefono
-
Data Valutazione
-
Consulente NIS2
-
Prossima Revisione
-
Rischio Inerente Medio
-
su scala 1–25 | soglia IG3: 6
-
Rischio Residuo Medio
-
dopo i controlli attuali
-
Controlli Fuori Tolleranza
-
su 43 controlli valutati
-
Controlli Conformi
-
score ≥ 3 | rischio residuo accettabile
Controlli conformi al target IG3
Matrice CIS RAM - Probabilità × Impatto · 43 controlli ACN
Ogni punto rappresenta un controllo ACN mappato su CIS CSC. La linea rossa verticale indica la soglia di tolleranza IG3 (score = 6). Asse X = Impatto (R3→3, R4→4, R5→5), Asse Y = Probabilità AS-IS.
← Probabilità Minaccia →
1 · Trascurabile
2 · Minore
3 · Moderato
4 · Maggiore
5 · Catastrofico
← Impatto sulla Missione →
Critico ≥20
Alto 12–19
Medio 6–11
Basso 1–5
Soglia tolleranza IG3
Score 0
Score 2 (parziale)
Score 3 (conforme)
Distribuzione Rischio Inerente
Rischio Residuo per Area CIS CSC
Score per Funzione NIST CSF 2.0 - Confronto score attuale / target IG3
La linea rossa indica la soglia minima di accettabilità per IG3 (1.50/4). Target di conformità NIS2: score ≥ 3.00/4 su tutte le funzioni.
Score per Funzione - Riepilogo
Radar - Maturità per Funzione NIST CSF 2.0
Score attuale organizzazione
Target IG3 (3.00/4)
Carica un file JSON per visualizzare l'analisi dinamica per funzione.
Registro Completo Controlli - CIS RAM Risk Register (43 controlli ACN - Allegato 2 Soggetti Essenziali)
| Controllo ACN ↕ | Nome Controllo ↕ | CIS CSC | IG | Score ↕ | Stato JSON | Responsabile | Probabilità | Impatto | R. Inerente ↕ | Adeg. Salv. | R. Residuo ↕ | Priorità |
|---|
P1 - Priorità Critica / Alta
Azioni Prioritarie
P2 - Priorità Media
Azioni di Secondo Livello
Roadmap di Remediation - 12 Mesi (Orizzonte Scadenza NIS2: Ottobre 2026)
Copertura Implementation Group (Profilo IG3)
In qualità di Soggetto classificato, l'organizzazione deve implementare tutti i controlli IG3 (che includono cumulativamente IG1 + IG2). La copertura attuale evidenzia gap nelle aree di governance e gestione del rischio.
Copertura IG3 per Area CIS CSC
Gap Analysis - Controlli Fuori Tolleranza per Funzione NIST
Requisiti CIS CSC v8.1 per Soggetti Essenziali (IG3)
L'Implementation Group 3 è destinato a organizzazioni che erogano servizi critici per la società o le infrastrutture nazionali. Richiede l'implementazione di tutti i 153 Safeguard dei CIS Controls v8.1 e presuppone un programma di cybersecurity maturo con capacità SOC, threat intelligence e gestione avanzata del rischio.
56
Safeguard IG1
74
Safeguard IG2
23
Safeguard IG3
Sintesi della Postura di Rischio dell'Organizzazione
Questa sezione fornisce una valutazione sintetica della postura di rischio complessiva dell'organizzazione, basata sui risultati dell'assessment NIS2 e sulla metodologia CIS RAM v2.1. La sintesi è calcolata dinamicamente in base allo stato di implementazione dei controlli di sicurezza valutati.
Analisi per Funzione NIST CSF 2.0
Controlli Critici - Azioni Immediate Richieste
Raccomandazioni Strategiche