Buongiorno. Oggi cercherò finalmente di mettere in pratica il vero proposito per cui è nato questo sito: affrontare la tematica della gestione del rischio IT non dal punto di vista del tecnico, ma dal punto di vista del Board of Directors. L'obiettivo? Motivare la scelta delle contromisure di sicurezza (o, in alternativa, l'accettazione del rischio) basandoci su precisi dati economici.
Per fare questo, l'unico punto di partenza logicamente valido è la BIA (Business Impact Assessment). Perché proprio la BIA? Perché prima di poter decidere come gestire un rischio, dobbiamo prima quantificare quanto ci costerebbe subirlo. La BIA è lo strumento che traduce il blocco di un sistema informatico o la perdita di un dato in un impatto economico, operativo o legale tangibile. Solo avendo in mano questo "cartellino del prezzo" possiamo compiere una scelta razionale tra quattro diverse strategie:
- Risk Acceptance (Accettazione): decidere consapevolmente di non fare nulla. Si opta per questa scelta quando la probabilità del rischio è molto bassa, i suoi effetti sono trascurabili, oppure quando i costi per implementare una contromisura superano di gran lunga il potenziale danno economico stimato.
- Risk Mitigation (Mitigazione): l'adozione di contromisure per ridurre la probabilità che l'incidente accada o per limitare l'entità del danno stesso.
- Risk Transfer (Trasferimento): spostare l'impatto economico su terzi (es. assicurazione Cyber o clausole SLA con i fornitori).
- Risk Avoidance (Evitamento): eliminare la causa del rischio alla radice, decidendo di non avviare o di interrompere un progetto.
La matematica del rischio: EV, ARO e ALE
Nel Risk Management quantitativo, ci affidiamo a tre acronimi fondamentali per giustificare il budget:
- EV (Expected Value / Single Loss Expectancy): La stima finanziaria della singola perdita in caso di incidente.
- ARO (Annualized Rate of Occurrence): La frequenza stimata con cui ci si aspetta che la minaccia si verifichi in un anno.
- ALE (Annualized Loss Expectancy): Il "costo annuale del rischio" (EV moltiplicato per ARO). Questo numero è il tuo budget massimo giustificabile per mitigare quel rischio.
Un caso di studio pratico: Il server gestionale
Valore Asset (Server + DB + Fermo Produzione) = € 100.000
Fattore di Esposizione (Ransomware, perdita totale) = 100%
EV = € 100.000
// 2. Frequenza dell'evento
Stima attacco ransomware a buon fine (1 volta ogni 5 anni)
ARO = 0.2
// 3. Perdita attesa annualizzata
ALE = EV * ARO
ALE = 100.000 * 0.2
ALE = € 20.000 / anno
Se come IT Manager propongo una soluzione di immutabilità dei backup da 8.000€ all'anno, la direzione capirà immediatamente il ROI: stiamo spendendo 8.000€ per azzerare un rischio da 20.000€. Affare fatto.
Indice della Serie: The Risk Matrix Series
- Ep. 1: The Risk Matrix Series - Dal BIA alla matematica del rischio (EV, ARO, ALE) [Tu sei qui]
- Ep. 2: The Risk Matrix Series - Vulnerability vs. Risk
- Ep. 3: The Risk Matrix Series - Governare il rischio: Tradurre le metriche in conformità ISO 27001 e NIS 2
- Ep. 4: The Risk Matrix Series - Third-Party Risk: Come gestire (e trasferire) il rischio dei fornitori IT
- Ep. 5: The Risk Matrix Series - Oltre la Mitigazione: DFIR, & Business Continuity e l'arte di sopravvivere