Cosa sono i KRI e in cosa si differenziano dai KPI?
I Key Risk Indicators (KRI) sono metriche che segnalano precocemente un rischio crescente, prima che si verifichi un incidente. A differenza dei KPI, che misurano le prestazioni, i KRI si concentrano sulle minacce potenziali. Nel contesto della sicurezza IT, sono un sistema di early warning che consente un'azione proattiva anziché reattiva.
KRI essenziali per la sicurezza IT
I KRI più importanti comprendono: percentuale di sistemi critici non aggiornati, tempo medio di correzione delle vulnerabilità (MTTR), numero di tentativi di accesso falliti, percentuale di dipendenti senza formazione sulla sicurezza completata, numero di incidenti al mese nel tempo e percentuale di sistemi senza backup aggiornati.
Definizione delle soglie
Ogni KRI necessita di soglie definite: verde (rischio accettabile), giallo (attenzione elevata, misure preventive), rosso (rischio inaccettabile, azione immediata). Le soglie devono essere basate su dati storici, standard di settore (NIST, ISO 27001) e la tolleranza al rischio dell'organizzazione.
Automazione della misurazione
La raccolta manuale dei KRI è soggetta a errori e dispendiosa in termini di tempo. L'automazione comprende: integrazione con scanner di vulnerabilità (conteggio automatico dei sistemi non aggiornati), correlazione SIEM (tentativi di accesso falliti, anomalie), gestione della configurazione (deviazioni dalla compliance) e integrazione con sistemi HR (stato della formazione).
Dashboard KRI e reporting
Un dashboard KRI efficace mostra: stato in tempo reale di tutti gli indicatori (codice colore), linee di tendenza (il rischio migliora o peggiora?), drill-down ai dettagli (quali sistemi sono interessati?) e raccomandazioni (cosa fare quando la soglia viene superata?).
Passi per l'implementazione
- Identificate i 10-15 KRI più importanti per la vostra organizzazione
- Definite le soglie sulla base dei dati storici
- Automatizzate la raccolta dati dai sistemi esistenti
- Configurate alert e regole di escalation
- Revisionate i KRI e le soglie trimestralmente