Gestione del rischio
Identificare, valutare e gestire i rischi di cybersecurity.
Gestione del rischio è definito dagli esiti GV.RM-01 (Risk management objectives are established and agreed to by organizational stakeholders); GV.RM-02 (Risk appetite and risk tolerance statements are established, communicated, and maintained); GV.RM-03 (Cybersecurity risk management activities and outcomes are included in enterprise risk management processes); GV.RM-06 (A standardized method for calculating, documenting, categorizing, and prioritizing cybersecurity risks is established and communicated) di NIST CSF 2.0. Crosswalk Mappato tramite un crosswalk pubblicato in ISO 27001, PCI DSS, CMMC, 800-53 e NIS2. Redazione Mappato in modo editoriale in SOC 2, HIPAA, GDPR, DORA e CPS 234. Nessuna mappatura nei nostri dati Nessuna mappatura nei nostri dati per CIS v8.1, Essential Eight e Cyber Essentials.
| Framework | Requisito | Titolo | Collegamento | Fonte / motivo |
|---|---|---|---|---|
| NIST CSF 2.0 | GV.RM-01GV.RM-02GV.RM-03GV.RM-06 | Risk management objectives are established and agreed to by organizational stakeholders; Risk appetite and risk tolerance statements are established, communicated, and maintained; Cybersecurity risk management activities and outcomes are included in enterprise risk management processes… | Definizione dell'argomento | GV.RM-01 GV.RM-02 GV.RM-03 GV.RM-06 |
| ISO 27001 | Clause 6.1.1Clause 6.1.3 | General; Information security risk treatment | Crosswalk | Clause 6.1.1: via GV.RM-01; NIST 800-53 map: PM-9 Clause 6.1.3: via GV.RM-03; NIST 800-53 map: RA-7 |
| CIS v8.1 | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di CIS v8.1 è mappato su questo argomento nei nostri dati. |
| SOC 2 | CC3.1CC9.1CC5.1 | Objectives specified clearly enough to identify risks; Mitigating risks from business disruptions; Control activities that mitigate risks | Redazione | AICPA's TSC mappings are not openly licensed; ControlMapping editorial mapping (criterion summaries are ours, not AICPA text). |
| PCI DSS | 12.3.1 | Targeted risk analysis for flexible-frequency requirements | Crosswalk | 12.3.1: via GV.RM-06 |
| CMMC | RA.L2-3.11.1 | Risk Assessments | Crosswalk | RA.L2-3.11.1: via 800-171r3 03.11.01 ↔ GV.RM-06 |
| 800-53 | PM-9PM-28RA-7 | Risk Management Strategy; Risk Framing; Risk Response | Crosswalk | PM-9: via GV.RM-01; GV.RM-02; GV.RM-03; GV.RM-06 PM-28: via GV.RM-06 RA-7: via GV.RM-01; GV.RM-03 |
| HIPAA | §164.308(a)(1)(ii)(B) | Risk Management | Redazione | §164.308(a)(1)(ii)(B): HIPAA's Risk Management specification (implement measures to reduce risk); NIST maps it to RA-2/RA-3, which sit under risk assessment here. |
| GDPR | Art.24(1)Art.32(2) | Responsibility of the controller; Security of processing | Redazione | No official crosswalk exists for GDPR; ControlMapping editorial mapping. |
| NIS2 | 2.17.1 | Risk management framework; Policies and procedures to assess the effectiveness of cybersecurity risk-management measures | Crosswalk | 2.1: via GV.RM-01; GV.RM-03; GV.RM-06; ENISA ISO map: Clause 6.1.3 7.1: via GV.RM-06 |
| Essential Eight | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di Essential Eight è mappato su questo argomento nei nostri dati. |
| DORA | Art.6(1)Art.6(8)Art.5(2)(a)Art.24(1)Art.16(1) | ICT risk management framework; ICT risk management framework; Governance and organisation… | Redazione | Art.6(1): A sound, comprehensive and documented ICT risk management framework within the overall risk management system. Art.6(8): A digital operational resilience strategy, including the ICT risk tolerance and the impact tolerance for disruptions. Art.5(2)(a): The management body bears ultimate responsibility for managing ICT risk. Art.24(1): A digital operational resilience testing programme to find weaknesses, deficiencies and gaps. Art.16(1): Small and non-interconnected entities follow a simplified ICT risk management framework instead of Articles 5 to 15. |
| CPS 234 | Para 13Para 15Para 27Para 31 | Board ultimately responsible for information security; Maintain a capability commensurate with threats; Systematic testing programme for control effectiveness… | Redazione | Para 13: The Board ensures information security is commensurate with the threats to information assets. Para 15: An information security capability commensurate with the size and extent of threats. Para 27: Test the effectiveness of controls through a systematic testing programme. Para 31: Review the sufficiency of the testing programme at least annually. |
| Cyber Essentials | — | Nessun requisito | Nessuna mappatura nei nostri dati | Nessun requisito di Cyber Essentials è mappato su questo argomento nei nostri dati. |
Definizione dell'argomento Risultati CSF 2.0 che definiscono questo tema · Crosswalk almeno una scelta supportata da una tabella di corrispondenza pubblicata · Redazione Giudizio di ControlMapping, con la motivazione · non mappato, condivide solo gli esiti CSF di questo argomento · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. Metodologia.
ID e titoli dei requisiti sono riportati come ciascun framework li pubblica, in inglese.
Mappatura errata o mancante? Segnalalo
Informazioni su Gestione del rischio
Un programma strutturato di gestione del rischio consente alle organizzazioni di dare priorità agli investimenti in sicurezza, individuando sistematicamente le minacce, valutandone la probabilità e l'impatto e applicando le mitigazioni appropriate. Gli approcci più diffusi prevedono il mantenimento di un risk register, la conduzione di valutazioni periodiche del rischio utilizzando framework come NIST RMF o ISO 27005, e la definizione di criteri di accettazione del rischio approvati dalla alta direzione. Una gestione efficace del rischio richiede un monitoraggio continuo, poiché il panorama delle minacce, le operazioni aziendali e gli ambienti tecnologici evolvono costantemente.