# REGISTRO DEI RISCHI (RISK REGISTER) **Documento:** Registro dei Rischi (Risk Register) **Organizzazione:** Forma Farm S.r.l. (Via Savona 10, Milano) **Standard di Riferimento:** ISO/IEC 27001:2022 / ISO/IEC 27005 **Ambito (Scope):** Sviluppo, gestione, manutenzione ed erogazione SaaS della piattaforma *Forma Cloud LMS*, plugin e servizi cloud correlati. --- ### 1. Metodologia e Formula di Calcolo Il calcolo del **Rischio Lordo ($R$)** e del **Rischio Residuo** viene effettuato moltiplicando la **Probabilità ($P$)** che una minaccia sfrutti una vulnerabilità dell'asset per l'**Impatto ($I$)** registrato su Confidenzialità, Integrità o Disponibilità: $$R = P \\times I$$ #### Scale di Valutazione: - **Probabilità ($P$):** `1` (Bassa), `2` (Media), `3` (Alta) - **Impatto ($I$):** `1` (Lieve), `2` (Moderato), `3` (Grave) #### Matrice di Rischio e Soglie di Trattamento: - **Rischio 1–2 (Basso):** Accettabile. Richiede monitoraggio ordinario. - **Rischio 3–4 (Medio):** Tollerabile. Richiede la pianificazione di contromisure nel Piano di Trattamento del Rischio (RTP). - **Rischio 6–9 (Alto / Critico):** Inaccettabile. Richiede interventi correttivi prioritari immediati tramite i controlli dell'Annex A (ISO/IEC 27001). --- ### 2. Tabella Inventario Minacce, Vulnerabilità e Rischi
ID RischioAsset CoinvoltoMinaccia (Threat)Vulnerabilità Sfruttata$P$$I$Rischio Lordo ($R$)Controlli ISO 27001 / Trattamento ConsigliatoRischio Residuo
**RSK-01**Codice sorgente (Forma Lms / Plugin)Iniezione di codice malevolo o sfruttamento di vulnerabilità (0-day / CVE) nei componenti Open Source o nei pluginPresenza di librerie di terze parti non aggiornate o difetti nel ciclo di sviluppo (Secure SDLC)33**9 (Critico)****A.8.8 Gestione delle vulnerabilità tecniche / A.8.25 Sviluppo sicuro:** Scansioni periodiche di codice (SAST/DAST), patch management tempestivo e isolamento ambienti.**2 (Basso)**
**RSK-02**Infrastruttura Cloud Hosting (AWS) & DatabaseAccesso non autorizzato ai server di produzione o esfiltrazione di dati dei corsisti/clientiCredenziali di accesso deboli, assenza di autenticazione a due fattori (MFA) o errata configurazione dei permessi IAM23**6 (Alto)****A.5.15 Controllo degli accessi / A.8.5 Autenticazione sicura:** Obbligo di MFA per tutti gli amministratori, principio del minimo privilegio e revoca immediata delle utenze cessate.**2 (Basso)**
**RSK-03**Piattaforma SaaS (Forma Cloud LMS)Interruzione prolungata del servizio (DDoS, guasto infrastrutturale del Cloud Provider)Mancanza di ridondanza geografica o procedure di disaster recovery non testate regolarmente23**6 (Alto)****A.5.30 Prontezza dell'ICT per la continuità operativa / A.8.14 Ridondanza:** Accordi di servizio (SLA) stringenti con il Cloud Provider, backup automatici e test di ripristino periodici (DRP).**2 (Basso)**
**RSK-04**Dati dei Clienti / AziendaliViolazione dei dati personali (Data Breach) o perdita di dati critici per errore umano o attacco ransomwareMancanza di cifratura dei dati a riposo/transito o errate policy di conservazione/cancellazione dei dati23**6 (Alto)****A.8.24 Uso della crittografia / A.5.12 Classificazione delle informazioni:** Cifratura end-to-end (HTTPS/TLS) e cifratura dei database cloud, sottoscrizione di DPA con i clienti.**2 (Basso)**
**RSK-05**Dispositivi dei dipendenti (Smart Working / Notebook)Perdita, furto o accesso abusivo a un dispositivo aziendale fuori sede (es. lavoro da remoto)Mancanza di cifratura del disco (BitLocker/FileVault) o assenza di blocchi schermo automatici22**4 (Medio)****A.7.9 Sicurezza dei dispositivi / A.8.1 Attrezzature degli utenti:** Cifratura obbligatoria dei dispositivi, blocco schermo automatico e policy di pulizia dello schermo (Clean Screen).**1 (Basso)**
**RSK-06**Supply Chain Software / Fornitori TerziCompromissione della catena di fornitura software o disservizio da parte di un fornitore criticoAssenza di verifiche preventive di sicurezza sui fornitori terzi o dipendenze software esterne22**4 (Medio)****A.5.19 Sicurezza nelle relazioni con i fornitori:** Due diligence preventiva sui fornitori cloud/servizi e inserimento di clausole di sicurezza nei contratti di fornitura.**1 (Basso)**
**RSK-07**Reputazione e Proprietà IntellettualePerdita o corruzione del codice sorgente proprietario (Forma Factory / Plugin)Mancanza di backup isolati (versioning sicuro) o permessi di scrittura non controllati sui repository13**3 (Medio)****A.8.12 Prevenzione della fuga di dati / A.8.28 Code signing:** Utilizzo di repository cloud sicuri (es. GitHub/GitLab Enterprise) con controllo accessi granulare e backup immutabili.**1 (Basso)**
**RSK-08**Personale interno e CollaboratoriErrori operativi o disattenzione nella gestione della sicurezza (es. phishing, condivisione credenziali)Bassa consapevolezza dei rischi informatici (*Security Awareness*) da parte del personale22**4 (Medio)****A.6.3 Formazione e consapevolezza sulla sicurezza:** Esecuzione di piani di formazione periodici sulla sicurezza e simulazioni di phishing per i dipendenti.**1 (Basso)**
--- ### 3. Riesame e Valutazione Continua Il presente Registro dei Rischi è soggetto a revisione periodica con cadenza almeno **semestrale** o in coincidenza con: 1. Rilasci di importanti aggiornamenti di versione della piattaforma *Forma Cloud LMS*. 2. Modifiche sostanziali all'infrastruttura cloud o all'architettura di rete. 3. Rilevazione di nuovi incidenti di sicurezza o vulnerabilità critiche (CVE/0-day).