Contenuto informativo basato su fonti istituzionali. L’applicazione concreta richiede una valutazione del contesto, del rischio e della normativa vigente.
Distinguere impedimento, scelta ed eccezione
Una patch può non essere disponibile, risultare incompatibile o richiedere un fermo non immediatamente sostenibile. In altri casi il sistema è prossimo alla sostituzione o il rischio della modifica supera temporaneamente il beneficio. Queste condizioni devono essere provate, non presunte.
L’eccezione descrive vulnerabilità, asset, servizio, causa, durata e decisione. Non modifica la gravità tecnica: documenta come l’organizzazione tratta l’esposizione fino alla correzione, alla sostituzione o a un nuovo riesame.
- Rilievo ed evidenza tecnica
- Asset, servizio, dati ed esposizione
- Motivo per cui la correzione è differita
- Durata richiesta e data di scadenza
- Responsabile tecnico e proprietario del rischio
Ridurre il rischio con controlli compensativi
Segmentazione, restrizione degli accessi, disattivazione di funzioni, virtual patching, maggiore logging o isolamento possono ridurre probabilità e impatto. Il controllo deve essere specifico, attivo e verificato: una misura generica non compensa automaticamente la vulnerabilità.
La presenza nel catalogo KEV, un servizio esposto o segnali di sfruttamento possono rendere inaccettabile il rinvio e richiedere isolamento o sospensione. Se il controllo compensativo dipende da un prodotto o da un team, disponibilità e capacità di risposta entrano nella valutazione.
- Percorsi di attacco realmente bloccati
- Regole e configurazioni conservate come evidenza
- Allarmi, log e responsabile del monitoraggio
- Procedura se il livello di minaccia cambia
- Test periodico dell’efficacia della misura
Approvare, riesaminare e chiudere
Il rischio residuo deve essere comprensibile a chi lo approva: scenario, conseguenze, probabilità, durata e alternative. Vulnerabilità su servizi critici o dati sensibili richiedono un livello decisionale coerente con l’impatto, non la sola approvazione dell’amministratore tecnico.
La scadenza attiva un riesame, non un rinnovo automatico. Nuovi exploit, incidenti, cambiamenti di esposizione o disponibilità della patch anticipano la revisione. La chiusura richiede correzione verificata, dismissione dell’asset o decisione aggiornata con nuove evidenze.
- Approvazione proporzionata all’impatto
- Scadenza breve e motivata
- Eventi che anticipano il riesame
- Piano di uscita da sistemi legacy
- Verifica finale e conservazione delle evidenze
Domande frequenti
Accettare il rischio significa ignorare la vulnerabilità?+
No. Significa assumere consapevolmente un rischio residuo documentato, dopo aver valutato alternative e controlli, con responsabile, durata e riesame.
Un firewall è sempre un controllo compensativo sufficiente?+
No. Dipende dal percorso di attacco, dalle regole, dall’esposizione e dalla capacità di monitoraggio. La sua efficacia deve essere verificata rispetto allo scenario concreto.
Le eccezioni possono essere rinnovate?+
Solo dopo un nuovo riesame basato su evidenze, minacce, stato del sistema e piano di uscita. Il rinnovo automatico rende permanente un rischio nato come temporaneo.