Primo piano di mani che tengono un tablet che mostra del testo.

Che cos'è una valutazione del rischio di cybersecurity?

Scopri cosa comporta una valutazione del rischio di cybersecurity e in che modo aiuta le organizzazioni a mettere in atto misure di sicurezza proattive e resilienti.

Esplora la piattaforma unificata per le SecOps basata su intelligenza artificiale

Informazioni su una valutazione del rischio di cybersecurity

Una valutazione del rischio di cybersecurity offre un modo strutturato per identificare, valutare e affrontare le vulnerabilità che potrebbero mettere a rischio l'organizzazione. Anziché reagire agli incidenti, questo approccio proattivo supporta decisioni più intelligenti e una resilienza a lungo termine. Fornisce ai team una comprensione più chiara delle potenziali minacce e aiuta a definire le priorità dei passaggi necessari per rafforzare le difese, proteggere i dati sensibili e soddisfare i requisiti normativi.

Punti chiave

Una valutazione del rischio di cybersecurity aiuta le organizzazioni a identificare, valutare e ridurre in modo proattivo le vulnerabilità nei sistemi, tra le persone e nei processi.
Valutazioni regolari supportano la conformità, riducono al minimo le interruzioni e guidano investimenti più intelligenti nei controlli di sicurezza.
I passaggi principali includono la definizione dell'ambito, l'identificazione delle risorse, la valutazione delle minacce e delle vulnerabilità, la valutazione dei controlli e la definizione delle priorità dei rischi.
L'uso di framework comuni come NIST e MITRE ATT&CK® garantisce valutazioni coerenti, scalabili e fruibili.
Le valutazioni del rischio devono essere continue, con i risultati integrati nella pianificazione aziendale e aggiornati costantemente man mano che sistemi e rischi cambiano.

L'importanza di una valutazione del rischio di cybersecurity

Con la carenza di competenze in ambito sicurezza e l'aumento delle minacce basate sul cloud e sull'IA, una valutazione del rischio di cybersecurity offre alle organizzazioni una visione più chiara della situazione attuale e di ciò che richiede attenzione prima che si verifichi un incidente.

Ecco perché è importante:

Favorisce una sicurezza proattiva. Identificare i rischi in anticipo aiuta a evitare costosi tempi di inattività, perdita di dati e interruzioni operative.
Protegge i dati sensibili. Sapendo dove si trovano le informazioni sensibili e come potrebbero essere esposte, puoi mettere in atto le protezioni giuste prima che si verifichi un incidente.
Supporta la conformità. Molte normative, come il Regolamento generale sulla protezione dei dati (GDPR), l'Health Insurance Portability and Accountability Act (HIPAA) e il Sarbanes-Oxley Act (SOX), richiedono valutazioni del rischio nell'ambito delle attività di conformità continue.
Guida investimenti intelligenti. Mostra alle organizzazioni dove concentrare tempo e risorse, invece di tirare a indovinare o reagire dopo un attacco.
Riduce gli errori umani e di sistema. Individuando le lacune in criteri, processi e formazione, aiuta a ridurre al minimo gli errori che portano alle violazioni.
Rafforza resilienza e fiducia. Valutazioni regolari rafforzano la capacità di risposta e ripristino e mostrano a clienti, partner e autorità di controllo che prendi la sicurezza sul serio.

Componenti chiave di una valutazione del rischio di cybersecurity

Una valutazione completa del rischio di cybersecurity esamina più livelli della postura di sicurezza di un'organizzazione, dall'infrastruttura tecnica ai fattori umani. Questo consente alle organizzazioni di identificare i rischi in modo sistematico e sviluppare strategie mirate per ridurli.

Elementi fondamentali di una valutazione del rischio di cybersecurity

Una valutazione del rischio ben strutturata include diversi passaggi essenziali:

1. Definire l'ambito

Una valutazione del rischio di cybersecurity inizia con la definizione dell'ambito. Questo significa identificare con precisione quale parte dell'organizzazione verrà valutata, che si tratti di una specifica unità aziendale, di un'applicazione o dell'intero ambiente IT aziendale. Un ambito chiaro evita zone d'ombra e aiuta a mantenere la concentrazione. Deve includere:

Infrastruttura fisica come server, desktop, dispositivi mobili ed endpoint IoT.
Sistemi software come strumenti interni, piattaforme cloud, applicazioni di terze parti e database.
Livello di rete, inclusi segmentazione, accesso remoto e servizi esposti su Internet.
Persone, inclusi ruoli utente, livelli di accesso e attività digitali di dipendenti, collaboratori esterni e fornitori.

2. Identificare le risorse

Una volta definito l'ambito, il passaggio successivo è identificare le risorse. Questo comporta il censimento di tutto ciò che ha valore nell'ambito definito e supporta le attività aziendali. Le risorse includono:

Hardware fisico come portatili, server, router e dispositivi di archiviazione.
Sistemi software come sistemi operativi, applicazioni line-of-business, strumenti di sicurezza e codice personalizzato.
Infrastruttura di rete, inclusi punti di accesso wireless, VPN, firewall e sistemi DNS.
Persone, come membri del personale, amministratori, utenti di terze parti e le relative credenziali di identità e accesso.

Ogni risorsa deve essere classificata in base alla sua importanza per l'azienda.

3. Individuare le minacce

Una minaccia è qualsiasi evento, attore o condizione potenziale che potrebbe causare danni sfruttando una vulnerabilità in un sistema, una rete, un'applicazione o un processo. È la parte del "cosa potrebbe andare storto" di uno scenario di rischio.

Le minacce possono essere:

Intenzionali, come un criminale informatico che lancia un attacco di phishing o un insider che usa impropriamente il proprio accesso.
Accidentali, ad esempio un firewall configurato in modo errato o un dipendente che invia dati sensibili alla persona sbagliata.
Ambientali, inclusi incendi, alluvioni o interruzioni di corrente che bloccano le operazioni o danneggiano le apparecchiature.

Possono prendere di mira l'hardware (ad esempio rubando un portatile), il software (sfruttando un difetto in un'applicazione), le reti (intercettando traffico non crittografato) o le persone (inducendo gli utenti a condividere le password).

4. Valutare le vulnerabilità

Una vulnerabilità è una debolezza in un sistema, un'applicazione, un processo o nel comportamento umano che una minaccia potrebbe sfruttare per causare danni o risultati non autorizzati. È la parte del "come le cose potrebbero andare storto" di uno scenario di rischio.

Le vulnerabilità possono manifestarsi in molti modi:

Hardware. Portatili non crittografati, firmware obsoleto o porte non protette.
Software. Applicazioni non aggiornate, credenziali predefinite o codice non sicuro.
Reti. Porte aperte, crittografia debole o segmentazione insufficiente.
Fattori umani. Password riutilizzate, mancanza di formazione o privilegi di accesso eccessivi.

Una vulnerabilità non porta automaticamente a un incidente, ma se combinata con una minaccia pertinente, apre la porta al rischio. Ad esempio, un server Web che esegue software non aggiornato è vulnerabile. Se un attore di minacce individua tale vulnerabilità e la sfrutta, l'organizzazione potrebbe trovarsi ad affrontare una violazione dei dati.

5. Valutare i controlli esistenti

Una volta identificate minacce e vulnerabilità, è il momento di valutare i controlli attualmente in atto per mitigarle. I controlli rientrano in tre categorie principali:

Preventivi. Come firewall, software antivirus e autenticazione a più fattori.
Investigativi. Inclusi sistemi di rilevamento delle intrusioni e strumenti SIEM (Security Information and Event Management).
Correttivi. Ad esempio, backup e piani di ripristino di emergenza.

È importante valutare la copertura in queste aree:

Hardware. Ci sono misure di sicurezza fisica come l'accesso con badge, la crittografia dei dispositivi o procedure di smaltimento sicuro?
Software. Sono in atto la gestione delle patch e pratiche di sviluppo sicuro?
Reti. Si sta segmentando il traffico, registrando gli eventi in modo appropriato e usando TLS per le comunicazioni crittografate?
Persone. Il personale è formato per riconoscere le minacce di phishing? I criteri di accesso seguono il principio del privilegio minimo?

Questa valutazione offre indicazioni su quanto siano efficaci le difese attuali e su dove restino i punti deboli.

6. Identificare probabilità e impatto

Per ogni scenario di rischio identificato, stimare:

Probabilità. Quanto è probabile la minaccia, considerando i controlli attuali?
Impatto. Cosa succederebbe se avesse successo: perdite finanziarie, esposizione dei dati, tempi di inattività?

Considerare l'interruzione dell'attività, le sanzioni normative, il danno reputazionale e i costi operativi. Ad esempio, guasti hardware o di rete potrebbero causare interruzioni diffuse, mentre un attacco di phishing potrebbe portare alla perdita di dati tramite credenziali compromesse.

7. Calcolare il rischio

Ora combinare probabilità e impatto per determinare un livello di rischio per ogni scenario.

Ad esempio:

Scenario di rischio	Probabilità	Impatto	Livello di rischio
Ransomware su server obsoleti	Alto	Alto	Critico
Regola del firewall configurata in modo errato	Medio	Medio	Moderato
Email di phishing che aggira i filtri	Alto	Basso	Moderato

Questo aiuta a stabilire quali problemi richiedono attenzione urgente e quali sono accettabili o tollerabili.

8. Consigliare misure di mitigazione

Per ogni rischio alto o critico, suggerire azioni per ridurlo. Le raccomandazioni potrebbero includere:

Hardware. Applicare l'archiviazione crittografata, le impostazioni di avvio protetto e bloccare le porte inutilizzate.
Software. Implementare patch regolari e usare strumenti di scansione del codice nella pipeline di sviluppo.
Reti. Introdurre la segmentazione della rete e distribuire sistemi di prevenzione delle intrusioni.
Persone. Ampliare la formazione sulla consapevolezza della sicurezza e applicare controlli di accesso e verifica dell'identità più rigorosi.

Le raccomandazioni devono bilanciare la riduzione del rischio con costi, complessità e impatto sull'usabilità.

9. Documentare e segnalare

Una valutazione approfondita del rischio dovrebbe essere documentata in modo chiaro e condivisa con gli stakeholder a più livelli. Il report include in genere un riepilogo generale per i dirigenti, risultati tecnici dettagliati per i team IT e della sicurezza e attività classificate in ordine di priorità. Elementi visivi come mappe di calore, diagrammi dell'architettura e tabelle spesso aiutano a comunicare i rischi complessi in modo più efficace. La documentazione dovrebbe includere un inventario delle risorse, minacce e vulnerabilità identificate, controlli attuali, livelli di rischio e mitigazioni consigliate. Il report dovrebbe anche specificare chi è responsabile di ogni azione e quando sono previste le valutazioni di follow-up. Trasparenza e chiarezza aiuteranno a ottenere il consenso e ad allineare i team.

10. Rivedere e ripetere

Le valutazioni del rischio non si fanno una sola volta: fanno parte di un ciclo continuo. La tecnologia evolve, i processi aziendali cambiano e nuove minacce emergono continuamente. Ecco alcuni suggerimenti per mantenere la resilienza e la preparazione.

Pianificare valutazioni regolari (trimestrali, annuali o dopo cambiamenti importanti).
Automatizzare ovunque sia possibile (analisi continua delle vulnerabilità, monitoraggio degli endpoint).
Adattare i controlli man mano che emergono nuovi rischi, soprattutto per quanto riguarda il lavoro da remoto, le dipendenze della catena di approvvigionamento o gli strumenti di IA generativa.

Metodi per condurre una valutazione del rischio di cybersecurity

Le valutazioni del rischio di cybersecurity si basano su una combinazione di strumenti automatizzati e tecniche manuali per identificare e analizzare le vulnerabilità. Gli approcci più comuni includono:

Strumenti di analisi automatizzata che identificano le lacune di sicurezza in reti, endpoint e ambienti cloud.
Test di penetrazione che simulano cyberattacchi reali per testare le difese di sicurezza.
Audit di sicurezza che valutano criteri di sicurezza, conformità e controlli di governance.
Analisi comportamentale che monitora l'attività digitale delle persone per rilevare anomalie che potrebbero indicare minacce interne o account compromessi.

L'uso di più metodi aiuta a garantire una valutazione approfondita che considera sia i rischi tecnici sia quelli legati alle persone.

Framework e standard di settore

Per mantenere coerenza e conformità, le valutazioni del rischio di cybersecurity seguono spesso framework consolidati, come:

Il NIST Cybersecurity Framework è prodotto dal National Institute of Standards and Technology, un'agenzia governativa statunitense non regolatoria, e fornisce linee guida per identificare, proteggere, rilevare, rispondere e ripristinare in seguito alle minacce informatiche.
ISO/IEC 27001 definisce uno standard internazionale per i sistemi di gestione della sicurezza delle informazioni.
I CIS Controls delineano le procedure consigliate per proteggere gli ambienti IT.

Vantaggi e sfide di una valutazione del rischio di cybersecurity

Svolgere regolarmente valutazioni del rischio di cybersecurity è una mossa strategica che supporta sia gli obiettivi di sicurezza sia le priorità aziendali. Anche se il processo presenta delle sfide, i vantaggi superano di gran lunga le difficoltà.

Vantaggi

Se eseguite con costanza, le valutazioni del rischio di cybersecurity aiutano le organizzazioni a rafforzare le difese e a costruire resilienza a lungo termine. I principali vantaggi includono:

Miglioramento della postura di sicurezza. Valutazioni regolari aiutano a identificare e correggere i punti deboli prima che gli attaccanti possano sfruttarli. Questo porta a un framework di sicurezza più solido e reattivo.
Conformità normativa. Molti settori sono tenuti a rispettare gli standard di cybersecurity. Le valutazioni del rischio supportano la conformità a normative come il GDPR e l'HIPAA.
Protezione proattiva. Le valutazioni aiutano i team a individuare per tempo le vulnerabilità, prevenire le violazioni e ridurre al minimo i danni potenziali. Questo è più efficace e anche più conveniente rispetto a reagire dopo un incidente.
Gestione delle risorse e dei costi. Dando priorità ai rischi più critici, le organizzazioni possono usare in modo più intelligente budget, personale e strumenti. Le valutazioni del rischio aiutano a garantire che le risorse siano allocate alle aree che contano di più.

Sfide comuni

Nonostante il loro valore, le valutazioni del rischio di cybersecurity possono presentare difficoltà, soprattutto per le organizzazioni in crescita o per i team con esperienza limitata. Le sfide comuni includono:

Mancanza di competenze interne. Molti team non hanno la giusta combinazione di competenze per valutare ambienti complessi.
Vincoli di tempo e risorse. Le valutazioni approfondite richiedono impegno, coordinamento e un processo chiaro, il che può essere difficile senza un supporto dedicato.
Esecuzione incoerente. Senza un approccio o un framework standardizzato, le valutazioni possono variare per qualità e ambito.
Stare al passo con il cambiamento. Nuove tecnologie, ambienti cloud e modelli di lavoro ibrido introducono complessità continue.
Più strumenti di sicurezza diversi tra loro. Valutare il rischio può essere difficile per le organizzazioni che usano molti strumenti di sicurezza non ben integrati.

Affrontare queste sfide spesso richiede l'apporto di competenze esterne, l'adozione dell'automazione o l'uso di strumenti e framework standardizzati.

Il costo di saltare le valutazioni del rischio

Anche se può essere difficile, è importante iniziare a mettere in atto un processo efficace di valutazione del rischio di cybersecurity. Non effettuare valutazioni regolari può avere conseguenze gravi. Senza visibilità sui rischi in evoluzione, le organizzazioni corrono il rischio di:

Aumento del rischio di violazioni dei dati. Le vulnerabilità non corrette e le configurazioni errate diventano porte aperte per gli utenti malintenzionati.
Perdite finanziarie. Le violazioni comportano spesso costi elevati, tra cui calo della produttività, tempi di inattività e perdita di opportunità di business.
Sanzioni legali e normative. La mancata conformità alle normative sulla protezione dei dati e sulla privacy può comportare sanzioni o azioni legali.
Danni alla reputazione. Clienti e partner perdono rapidamente fiducia dopo un incidente di sicurezza.

Procedure consigliate per eseguire una valutazione dei rischi di cybersecurity

Una valutazione del rischio di cybersecurity è forte solo quanto il processo che la sostiene. Seguire le procedure consigliate aiuta a garantire che le valutazioni siano efficaci, ripetibili e allineate alle priorità aziendali.

Iniziare con obiettivi chiari

Prima di iniziare, è importante definire gli obiettivi che la valutazione deve raggiungere. Questo potrebbe significare identificare le risorse critiche e le minacce potenziali, soddisfare i requisiti di conformità, ridurre la probabilità di incidenti o orientare i futuri investimenti in sicurezza. Definire obiettivi chiari fin dall'inizio aiuta a garantire che la valutazione resti focalizzata, pertinente e operativa per tutto il processo.

Coinvolgere gli stakeholder corretti

Una valutazione del rischio non è solo un'attività IT: richiede il contributo di tutta l'organizzazione. I team di sicurezza e IT apportano le competenze tecniche, mentre quelli legali e di conformità offrono consulenza sui rischi normativi. I reparti operativi e delle risorse umane possono segnalare eventuali problemi relativi ai processi e al personale, mentre la dirigenza è responsabile dell'allineamento con gli obiettivi aziendali. Includere più punti di vista aiuta a garantire che la valutazione rilevi un'ampia gamma di rischi, dalle configurazioni errate del software al comportamento umano.

Decidere tra valutazione interna o esterna

Non esiste un unico approccio migliore per eseguire una valutazione del rischio. Le valutazioni interne tendono a essere più convenienti e beneficiano della conoscenza interna, ma possono non cogliere punti deboli o non disporre di strumenti specializzati. Le valutazioni esterne offrono una prospettiva nuova e imparziale e una competenza più approfondita, anche se possono essere più costose e le persone che eseguono la valutazione in genere hanno meno familiarità con i sistemi interni. Molte organizzazioni scelgono un approccio ibrido: usano team interni per le revisioni periodiche e coinvolgono esperti esterni per analisi più approfondite o quando la conformità lo richiede.

Scegliere la giusta strategia di trattamento del rischio

Una volta identificati i rischi, le organizzazioni devono decidere come intervenire. Alcuni rischi possono essere accettati se rientrano nella tolleranza dell'azienda. Altri potrebbero essere evitati del tutto eliminando il sistema o l'attività che li introduce. I rischi possono anche essere trasferiti a terzi, ad esempio tramite assicurazione o accordi contrattuali. Molto spesso, le organizzazioni scelgono di mitigare i rischi applicando controlli che riducono la probabilità o l'impatto a un livello accettabile. La strategia giusta dipende dagli obiettivi aziendali, dalla propensione al rischio e dalle risorse disponibili.

Documentare tutto

Mantenere una documentazione accurata è fondamentale sia per il successo a breve termine sia per quello a lungo termine. Aiuta le organizzazioni a rimanere conformi alle normative di settore, a tenere traccia di cambiamenti e trend nel tempo e a prendere decisioni più rapide e informate. Una buona documentazione semplifica anche gli audit, rende più semplici le revisioni di sicurezza e garantisce continuità anche quando i team o i sistemi evolvono.

Agire in base ai risultati

Il valore di una valutazione del rischio sta nel modo in cui vengono usati i risultati. Le vulnerabilità ad alto rischio devono essere affrontate per prime e le misure di correzione devono essere allineate agli obiettivi di sicurezza più ampi. Assegnare le responsabilità per ciascuna azione, monitorare i progressi e rivalutare regolarmente la situazione per garantire che i miglioramenti siano duraturi. Considerare i risultati come parte di un processo continuo, non come un'attività una tantum, e integrare il follow-through nella cultura della sicurezza.

Valutare con la giusta frequenza

La tecnologia evolve rapidamente, e lo stesso vale per l'attività delle minacce. Questo significa che le valutazioni del rischio devono essere eseguite più di una volta all'anno, soprattutto negli ambienti ad alto rischio. Settori come la finanza e il settore sanitario spesso rivalutano ogni trimestre o ogni sei mesi. Le aziende più piccole potrebbero farlo una volta all'anno o dopo importanti cambiamenti dell'infrastruttura. Le aziende cloud-first o in rapida crescita potrebbero avere bisogno di valutazioni ancora più frequenti per stare al passo con l'evoluzione delle superfici di attacco. È anche una buona idea rivalutare dopo eventi importanti come fusioni, violazioni o aggiornamenti normativi.

Tendenze emergenti nella valutazione del rischio di cybersecurity

Con il tempo, le valutazioni del rischio di cybersecurity diventeranno più veloci, più continue e più integrate con il processo decisionale aziendale. Le valutazioni tradizionali, manuali, periodiche e reattive, lasceranno spazio ad approcci più intelligenti e in tempo reale, in grado di adattarsi a minacce e ambienti in evoluzione.

Gli strumenti basati su intelligenza artificiale avranno un ruolo sempre più importante, automatizzando attività come l'individuazione delle risorse, l'analisi delle vulnerabilità e l'assegnazione dei punteggi di rischio. Queste tecnologie supportano le persone individuando i modelli e aiutando i team a rispondere più rapidamente.

Le valutazioni del rischio diventeranno anche più dinamiche. Anziché essere controlli annuali o trimestrali, funzioneranno come processi continui. Le organizzazioni monitoreranno in modo continuo la propria superficie di attacco, soprattutto in ambienti cloud-first, ibridi o altamente distribuiti, così da identificare e rivalutare i rischi man mano che i sistemi cambiano.

Vedremo anche una maggiore integrazione tra cybersecurity e strategia aziendale. Man mano che consigli di amministrazione e dirigenti diventano più consapevoli dei rischi, il rischio di cybersecurity sarà trattato come un rischio finanziario o operativo, con metriche chiare, responsabilità definite e un posto al tavolo decisionale. Le valutazioni non influenzeranno solo la spesa per la sicurezza, ma anche la pianificazione aziendale, la progettazione dei prodotti e la trasformazione digitale.

Infine, i fattori umani riceveranno più attenzione. I controlli tecnici sono solo una parte del quadro: le organizzazioni valuteranno e gestiranno sempre di più i rischi legati al comportamento, alla cultura e alla resilienza della forza lavoro. Questo significa valutare non solo sistemi e software, ma anche il modo in cui le persone lavorano, come vengono prese le decisioni e con quanta efficacia i team si adattano sotto pressione.

Soluzioni per la valutazione del rischio di cybersecurity

Per restare al passo con le minacce emergenti e integrare la cybersecurity nelle decisioni aziendali complessive, inserire una valutazione regolare dei rischi di cybersecurity nelle operazioni di sicurezza. Alcune soluzioni possono aiutarti a creare un processo efficace. Le soluzioni Security information and event management (SIEM), come Microsoft Sentinel, aiutano a correlare gli eventi, identificare le anomalie e assegnare priorità agli avvisi con analisi integrate e intelligence sulle minacce. Le soluzioni con funzionalità di rilevamento e reazione estese (XDR) offrono una visibilità approfondita sui possibili percorsi di attacco attraverso endpoint, identità, email e app cloud. Combinare SIEM e XDR in un'unica soluzione SecOps unificata aiuta i difensori a vedere i rischi in tutto il proprio patrimonio digitale e ad agire in modo coordinato più rapidamente. Le soluzioni di intelligenza artificiale per la cybersecurity, come Microsoft Security Copilot, interpretano i segnali per individuare informazioni utili e consigliare i passaggi successivi.

RISORSE

Scopri di più sulle soluzioni di cybersecurity di Microsoft Security

Un uomo tiene un tablet e spiega qualcosa a una donna.

Soluzione

Operazioni per la sicurezza unificate e basate su intelligenza artificiale

Unifica le operazioni di sicurezza tra prevenzione, rilevamento e risposta per una protezione migliore e più adattiva.

Scopri di più

Persona seduta a una scrivania che usa un computer.

Portale di protezione dalle minacce

Notizie sulla cybersecurity e sull'intelligenza artificiale

Scopri le ultime tendenze e le procedure consigliate in materia di protezione dalle minacce informatiche e di IA per la cybersecurity.

Ottieni le risorse più recenti

Un uomo in giacca e cravatta seduto a una scrivania con un portatile.

Report

Report sulla difesa digitale Microsoft 2024

Resta al passo con un panorama delle minacce in continua evoluzione grazie a ricerche approfondite e informazioni utili da mettere in pratica.

Scarica il report

Una valutazione del rischio di cybersecurity in genere prevede l'identificazione delle risorse, l'individuazione di minacce e vulnerabilità potenziali, l'analisi della probabilità e dell'impatto di tali minacce, la determinazione dei livelli di rischio e la selezione dei trattamenti del rischio più appropriati. Il processo si conclude con la documentazione e l'implementazione di strategie di mitigazione del rischio, seguite dal monitoraggio continuo e da una rivalutazione periodica. Questo approccio strutturato aiuta le organizzazioni a gestire e ridurre l'esposizione complessiva al rischio.
Una valutazione dei rischi di sicurezza include un'analisi di hardware, software, reti, dati e comportamenti degli utenti per individuare potenziali vulnerabilità. Valuta anche i controlli di sicurezza esistenti, analizza il potenziale impatto delle varie minacce e raccomanda azioni per ridurre o gestire il rischio. L'obiettivo è ottenere visibilità sulle lacune di sicurezza e dare priorità alle risorse in modo efficace.
La valutazione dei rischi NIST si riferisce alla metodologia descritta dal National Institute of Standards and Technology nella pubblicazione speciale 800-30, revisione 1. Fornisce un framework per identificare, valutare e gestire i rischi di cybersecurity in tutte le agenzie federali e le organizzazioni del settore privato. Il modello NIST è ampiamente adottato per il suo approccio strutturato e ripetibile all'analisi del rischio.