Il Programma di gestione del rischio per le infrastrutture critiche (CIRMP) è il quadro australiano che impone agli enti responsabili di individuare e gestire i rischi significativi per le attività di infrastruttura critica soggette alla normativa. Richiede valutazioni documentate e controlli ragionevolmente praticabili. Gli obblighi variano in base alla categoria di un’attività, perciò gli operatori devono adeguare il proprio programma ai requisiti applicabili a ciascuna attività.
La sicurezza informatica è una componente del CIRMP, insieme alla resilienza operativa e della catena di approvvigionamento. Un fornitore può generare rischi attraverso l’accesso privilegiato, gli aggiornamenti software, i servizi di manutenzione o la dipendenza da un sistema a monte. In pratica, gli operatori mappano queste connessioni, valutano come i guasti potrebbero incidere sui servizi essenziali e documentano perché i controlli selezionati affrontano i rischi. Il CIRMP è un quadro di gestione del rischio, non un rapporto sugli incidenti né uno specifico prodotto di sicurezza.