EBIOS RM e ISO 27005: il confronto.

Come funziona realmente ciascun metodo in un progetto

La divisione tra i due metodi non è una questione di qualità; è una questione di punto di partenza. ISO 27005 parte dagli asset e dalle minacce e procede verso l'esterno fino a un registro dei rischi completo. EBIOS RM parte da ciò che l'organizzazione teme di perdere e procede a ritroso attraverso l'attaccante che causerebbe quella perdita. I due producono artefatti diversi perché pongono domande di partenza diverse, e quella differenza è ciò che percepiranno il tuo auditor, il tuo consiglio e il tuo piano di progetto.

Il lavoro con ISO 27005 è iterativo ed esaustivo per progettazione. Stabilisci il contesto, identifichi i rischi su tutto il perimetro, analizzi probabilità e conseguenza, valuti rispetto ai criteri di accettazione, poi tratti. L'output è un registro vivo che riesegui a cadenza ciclica. È il motore di rischio naturale per un ISMS di ISO 27001 perché parla la stessa lingua del sistema di gestione: perimetro, criteri, piano di trattamento, rischio residuo, approvazione.

EBIOS RM si svolge in cinque workshop con una sequenza definita: inquadramento e fondamenti di sicurezza, origini del rischio, scenari strategici, scenari operativi e trattamento del rischio. Il metodo ti obbliga a nominare prima gli eventi temuti, poi le fonti di rischio (chi attaccherebbe e perché), poi i percorsi di attacco ad alto livello, prima ancora di toccare un controllo. Il corso EBIOS Risk Manager percorre ogni workshop con deliverable reali, così esci capace di facilitare la sequenza, non solo di descriverla.

EBIOS RM e ISO 27005 a colpo d'occhio

La tabella seguente è il confronto di cui la maggior parte dei team ha bisogno nella stanza: non la filosofia, ma su cosa si concentra ciascun metodo, cosa ti consegna alla fine e dove è effettivamente atteso.

Come entrambi si raccordano a ISO 27001

ISO 27001 richiede un processo definito di valutazione e trattamento del rischio della sicurezza delle informazioni, ma non impone un metodo specifico. È proprio questo fatto a giustificare l'esistenza di questo confronto. Il Clause 6.1.2 ti dice di valutare il rischio e di produrre uno Statement of Applicability; non ti dice di usare ISO 27005 o altro. Gli auditor verificano che il tuo processo sia coerente, ripetibile e produca decisioni di trattamento difendibili. Il metodo è una tua scelta.

ISO 27005 è qui la via di minor resistenza perché è stato scritto per essere il livello metodologico sotto lo standard. La sua terminologia, la sua logica dei criteri di accettazione e la sua struttura del piano di trattamento si inseriscono direttamente nell'ISMS senza traduzioni. Se stai costruendo o gestendo il sistema di gestione, impara il motore che gli si adatta: il corso ISO/IEC 27005 Risk Manager copre l'intero ciclo di valutazione e trattamento, mentre il corso ISO/IEC 27005 Foundation è il giusto punto d'ingresso se hai bisogno dei concetti prima di facilitare.

EBIOS RM si raccorda allo stesso clause da un'angolazione diversa. Non sostituisce il registro; ne affina la parte superiore. Gli scenari strategici diventano il piccolo insieme di rischi che giustifica il massimo scrutinio nella SoA e nel dossier per il consiglio. I team che hanno bisogno di padroneggiare la metodologia dall'inizio alla fine, inclusi la governance della valutazione e il ruolo di lead a livello di organizzazione, seguono il corso ISO/IEC 27005 Lead Risk Manager.

La decisione: quale dei due, e quando entrambi

La maggior parte dei team imposta la cosa come un aut-aut e poi se ne pente. La risposta onesta è che la domanda ha due livelli: cosa richiedono il tuo audit o il tuo settore, e cosa serve davvero al tuo quadro di rischio. Risolvili in quest'ordine.

1. Se è in gioco un acquirente di influenza ANSSI, un contratto pubblico francese o un obbligo OIV/OES, EBIOS RM è il linguaggio atteso. Mettilo in primo piano per il livello strategico.
2. Se la tua assicurazione deriva da un certificato ISO 27001 internazionale o da audit di clienti multinazionali, ISO 27005 è l'impostazione predefinita che l'auditor legge con scioltezza.
3. Se hai un problema reale di avversari (un bersaglio di alto valore, un servizio critico regolamentato, un rischio cyber a livello di consiglio), esegui EBIOS RM sopra il registro per far emergere gli scenari che meritano un'escalation.
4. Se non hai né un mandato del settore francese né un profilo di avversari acuto, ISO 27005 da sola è sufficiente e più economica da gestire.

Eseguire entrambi non è ridondante se ne definisci correttamente il perimetro. ISO 27005 ti dà ampiezza: ogni rischio nel registro, trattato e monitorato. EBIOS RM ti dà profondità sui pochi scenari che farebbero davvero male. L'errore è eseguire entrambi alla stessa granularità, il che raddoppia il lavoro e produce due registri che nessuno riconcilia. Usa EBIOS RM per selezionare e narrare; usa ISO 27005 per enumerare e monitorare.

Errori comuni e la realtà della stanza dell'audit

I fallimenti sono prevedibili, e raramente riguardano il metodo in sé.

• Scegliere il metodo per preferenza anziché per pubblico. La domanda giusta è chi legge l'output: un acquirente pubblico francese si aspetta il vocabolario di EBIOS RM, un auditor di certificazione internazionale si aspetta un registro nella forma di ISO 27005. Scegli in base al lettore.
• Trattare gli scenari di EBIOS RM come un sostituto di un registro completo. Gli scenari strategici sono volutamente pochi. Un auditor che verifica la copertura di ISO 27001 chiederà dove sia documentato il resto del panorama di rischio, e una manciata di narrazioni non è una risposta.
• Eseguire ISO 27005 come un foglio di calcolo una tantum. Lo standard è iterativo. Un registro datato diciotto mesi fa senza una cadenza di revisione è un rilievo pronto a verificarsi.
• Confondere le credenziali. Non esiste un Lead Auditor né un Lead Risk Manager per EBIOS RM, e l'unica credenziale Lead Risk Manager rientra sotto ISO 31000, non ISO 27005. Pianifica il percorso di certificazione del tuo team in base a ciò che esiste realmente.

Nella stanza dell'audit, la realtà è più semplice di quanto suggerisca il dibattito. L'auditor di certificazione non valuta il tuo metodo contro un rivale; verifica se il processo che hai scelto è documentato, applicato in modo coerente e tracciabile dal rischio al trattamento fino all'accettazione del residuo. EBIOS RM ti aiuta a spiegare perché rischi specifici ad alto impatto hanno ricevuto un'attenzione specifica. ISO 27005 ti aiuta a dimostrare che nulla è sfuggito attraverso le falle. La postura più forte, per le organizzazioni che hanno genuinamente bisogno di entrambi, è un registro ISO 27005 come sistema di registrazione, con gli scenari di EBIOS RM stratificati sopra per giustificare le decisioni che hanno contato di più.