Il risk assessment cybersecurity, sui testi ufficiali.
Risk Assessment‑MCP accompagna Claude, e qualsiasi client compatibile con il Model Context Protocol, nella valutazione del rischio e nella conformità: FNCDP 2025, Misure Minime AgID, specifiche di base NIS2/ACN, metadata ISO/IEC 27001 e COBIT, template DPIA dell'EDPB. Tre profili di contesto su un'unica base dati, con un registro rischi privato per ogni utenza.
// dentro una conversazione Claude categorizza_attivita( macro_area="Logistica", soggetto_allegato1=true) → categoria di rilevanza pre-assegnata Determinazione ACN 155238/2026 crosswalk_control("ABSC 10.1.1", da_framework="misure-minime-agid") → controlli FNCDP 2025 collegati curatore, fonte, data dichiarato_da_fonte_ufficiale: sì / no
Tre clientele, una sola infrastruttura
Il profilo sceglie l'ancora normativa. Framework, controlli e strumenti sono gli stessi: cambia il punto di partenza.
Comuni sotto i 20.000 abitanti
FNCDP 2025 e Misure Minime ICT AgID: le 121 misure ABSC con livello Minimo, Standard o Alto, nel testo ufficiale della Circolare 2/2017.
Soggetti essenziali e importanti NIS2
116 misure di sicurezza di base dalla Determinazione ACN 379907/2025 e categorizzazione delle attività secondo la Determinazione 155238/2026.
Conformità su più standard
Crosswalk ISO/IEC 27001:2022 ↔ FNCDP 2025, con codice, titolo e sintesi originale dei controlli, e i 5 domini COBIT.
DPIA secondo il template EDPB
Struttura del template EDPB v1.0 (45 sezioni, versione di consultazione) e metodologia dpia-matrice-5x5 nel calcolo del rischio. I tool dedicati non sono ancora disponibili.
Nove tool, un router per categoria di operazione
Il server resta sotto la soglia dei 10 tool pubblici, oltre la quale Claude carica i tool in modo differito. cerca_controlli e crosswalk_control sono router: il framework si sceglie con un parametro, non con un tool per fonte.
Ogni fonte dichiara licenza e provenienza
I testi ufficiali sono letti dalla fonte primaria, non da riassunti di terzi. Gli standard a pagamento espongono solo ciò che la licenza consente, con il link per acquistare l'originale.
Testo integrale
Fonti pubbliche e a licenza aperta
- 1FNCDP 2025 v2.1 — 115 controlli, allineato a NIST CSF 2.0
- 2Misure Minime AgID — 121 misure ABSC, 8 classi
- 3ACN 379907/2025 — 116 misure di base, artt. 23-24
- 4EDPB DPIA Template v1.0 — 45 sezioni, riuso con attribuzione
Le versioni convivono: gli ID di controllo non si assumono stabili tra edizioni.
Solo metadata
Standard soggetti a copyright
- 1ISO/IEC 27001:2022 — codice, titolo e sintesi originale
- 2COBIT — i 5 domini di alto livello
- 3Crosswalk ISO ↔ FNCDP — 95 coppie da VERA (C. Gallotti, CC‑BY 4.0)
L'unico legame dichiarato da una fonte ufficiale è ACN → FNCDP. Gli altri crosswalk sono marcati come proprietari o di terzi, mai come mappatura ufficiale.
Pensato per documentare, non solo per cercare
Mai una mappatura spacciata per ufficiale
Ogni crosswalk riporta curatore, fonte, data e se è dichiarato dalla fonte ufficiale. Ogni riferimento ACN riporta numero e data della determinazione, perché soggetta a sostituzione.
Registro rischi persistente
Asset, minaccia, vulnerabilità, impatto e probabilità, con punteggio e livello calcolati. Lo stato di remediation si aggiorna nel tempo: aperta, in lavorazione, chiusa, accettata.
Esporta in Markdown o Excel
Lo stesso strumento che elenca i rischi produce un report Markdown o un workbook xlsx con copertina e sintesi per livello, pronto da condividere.
L'accettabilità è una decisione, non una fascia
Nel modello EDPB un rischio può essere non accettabile anche con probabilità bassa. Il server non la deriva dal livello: resta una valutazione motivata di chi decide.
Categorizzazione senza indovinare
La macro-area non viene dedotta da testo libero: sbagliarla ha conseguenze normative. Se manca, il server restituisce le 10 macro-aree e chiede di sceglierne una.
Si compone con il testo normativo
Il server copre lo strato tecnico: controlli, crosswalk, rischio. Affiancato a G2D_Legal, lo stesso agente legge anche il testo di decreti e determinazioni.
Dati dei clienti isolati
- OAAutenticazione OAuth2/OIDCVia Keycloak, con email verificata, federabile con i provider di identità aziendali.
- ABAbbonamento dedicatoUn elenco abbonati proprio, separato da quello degli altri server della famiglia.
- PRAssessment privati per utenzaOgni assessment appartiene a chi lo ha creato. Un id inesistente e uno di un altro utente ricevono la stessa risposta.
Uno strumento, non una certificazione
- !Non è un parere legaleNé un'attestazione di conformità NIS2: non sostituisce un organismo di certificazione accreditato o un Lead Auditor.
- ≈ISO 27005 non è implementataLa metodologia è registrata ma richiede testo a pagamento: il calcolo usa la matrice 5×5 FNCDP o DPIA.
- ↻Le determinazioni cambianoIl template EDPB è in versione di consultazione e le determinazioni ACN vengono sostituite: ricontrolla la fonte prima di una decisione.
Un risk assessment da impostare?
Per una demo, l'accesso di prova o per segnalare il framework che vorresti vedere coperto, contatta il team di Risk Assessment‑MCP.