ICT risk management: come valutare e ridurre i rischi IT aziendali
Le infrastrutture ICT sono esposte, per loro stessa natura, a una molteplicità di rischi i quali possono compromettere l’operatività aziendale, causando disservizi e perdite economiche.
L’ICT risk management agisce sia in chiave preventiva che proattiva, permettendo di individuare, valutare e gestire tali criticità, attraverso un approccio strutturato. Vediamo in cosa consiste e quali misure adottare a vari livelli.
Cos’è l’ICT risk management
Una definizione particolarmente chiara su cos’è il risk management è quella consultabile sul portale di IBM, per questo la riportiamo di seguito:
“Il Risk Management è il processo di identificazione, valutazione e gestione di qualsiasi rischio finanziario, legale, strategico e di sicurezza per un’organizzazione.”
Tale definizione si applica anche all’ambito ICT, in cui i rischi riguardano soprattutto la possibilità che un evento comprometta il funzionamento delle tecnologie e dei servizi aziendali.
Un approccio nel segno dell’ICT risk agisce quindi nell’identificare i possibili eventi critici, valutarne le conseguenze e definire misure adeguate per ridurre i rischi o limitarne gli effetti.
Quali rischi ICT deve valutare un’azienda
Vediamo dunque nel dettaglio (e molto concretamente) quali sono i rischi a cui è esposta un’infrastruttura ICT: ci interessano perché un approccio di ICT risk management dà modo di fronteggiarli pienamente.
Guasti, indisponibilità e obsolescenza
Tra i principali rischi ICT di natura tecnica rientrano tre criticità, ovvero:
- guasti: si tratta di malfunzionamenti di componenti hardware o software che possono interrompere il funzionamento dei sistemi;
- indisponibilità: si fa riferimento all’impossibilità di accedere a dati, applicazioni o servizi necessari alle attività aziendali;
- obsolescenza: una situazione che contempla l’utilizzo di tecnologie datate o non più supportate, che possono perciò diventare meno affidabili e/o difficili da mantenere.
Per contenere queste criticità è importante valutare periodicamente lo stato dell’infrastruttura.
Connect Spa, sotto questo punto di vista, propone soluzioni pensate per server e datacenter aziendali che comprendono interventi sulle infrastrutture server e sulla virtualizzazione. Andrebbero sempre considerate nell’ambito della gestione e dell’evoluzione dei sistemi aziendali.
Dipendenze da sistemi e fornitori
Un altro elemento da considerare riguarda la dipendenza da fornitori e servizi tecnologici esterni. Tra questi figurano piattaforme in cloud, applicazioni software e servizi di assistenza.
La ragione principale, in termini di ICT risk, risiede nel fatto che un’interruzione o un malfunzionamento di queste risorse può avere ripercussioni sull’operatività aziendale, anche quando l’infrastruttura interna funziona correttamente.
Come valutare probabilità e impatto
La valutazione dei rischi ICT si basa su due parametri fondamentali: la probabilità che un evento si verifichi e l’impatto che potrebbe avere sull’azienda.
Per stabilire le priorità d’intervento occorre quindi considerare entrambi questi fattori. Ecco gli step da compiere:
- identificazione dei rischi: bisogna valutare le criticità delle infrastrutture ICT, comprese le dipendenze da sistemi e fornitori esterni;
- stima della probabilità di ogni rischio: è necessario conoscere quanto sia plausibile che ciascun evento si verifichi;
- misurazione dell’impatto dei rischi: è essenziale considerare le possibili conseguenze su attività, dati e servizi aziendali;
- definizione delle priorità: è buona prassi concentrare gli interventi sui rischi che presentano le conseguenze più rilevanti, tenendo conto della probabilità;
- individuazione delle misure più appropriate per ridurre i rischi: sono diverse in base al tipo di criticità. Ad esempio, in presenza di minacce informatiche, Connect Spa propone soluzioni di security e cybersecurity dedicate alla protezione delle infrastrutture e dei sistemi aziendali che risultano particolarmente efficaci, anche in chiave preventiva.
Continuità operativa, ridondanza e monitoring
Un altro aspetto fondamentale dell’ICT risk management riguarda la continuità operativa: la capacità di mantenere attive le funzioni aziendali essenziali anche in presenza di eventi critici.
In questo contesto, assumono particolare importanza due strumenti:
- ridondanza: consiste nel predisporre risorse alternative, come server o connessioni di rete, per limitare le interruzioni in caso di guasto;
- monitoring: permette di controllare il funzionamento delle infrastrutture ICT e individuare tempestivamente eventuali anomalie.
In merito a quest’ultimo aspetto i sistemi di monitoring IT di Connect Spa rappresentano un valido supporto per il controllo delle risorse tecnologiche, fornendo informazioni utili per intervenire prima che una criticità comprometta i servizi.
Perché il rischio ICT va gestito nel tempo
Non potevamo che menzionare, in conclusione, un concetto come quello di disaster recovery, il quale va distinto dalla continuità operativa in quanto riguarda il ripristino di sistemi, applicazioni e dati in seguito a un evento critico.
Conoscerlo permette di comprendere perché il rischio ICT va gestito nel tempo, in un contesto in cui minacce, tecnologia e core business cambiano continuamente, rendendo sovente obsolete le misure di cybersecurity adottate.
Un piano di disaster recovery definisce le procedure, le risorse e le responsabilità necessarie per recuperare le funzionalità compromesse, stabilendo anche tempi e priorità di ripristino. Consente quindi di supplire alle criticità strutturali del contesto di riferimento.
La gestione di questo aspetto è perciò essenziale in quanto permette di limitare le conseguenze delle interruzioni e favorire il ritorno alla normale operatività.
Attenzione, non vengono eliminati completamente i rischi tecnologici, cosa che sarebbe un’utopia alla luce della situazione attuale. L’ICT risk management, tuttavia, offre tutti gli strumenti per affrontare le varie minacce più serenamente, nel breve e nel lungo periodo, grazie anche a strumenti come il disaster recovery.
