L’analisi quantitativa del rischio riduce l’incertezza e ottimizza gli investimenti

Ott 02, 2023 Approfondimenti, RSS

La maggior parte dei leader di cybersecurity segue un approccio qualitativo per l’analisi del rischio informatico. Questo approccio mettere in relazione la probabilità che si verifichi un incidente di sicurezza con l’impatto che avrà sull’organizzazione per classificare il rischio in categorie predefinite (basso, medio, alto, critico).

Come sottolinea Fawaz Rasheed di Security Week, è difficile definire con certezza questi limiti perché mancano delle misure oggettive a corredo. Il confine tra rischio “alto” e “critico” è molto sottile e non è facile distinguere quando finisce una categoria e comincia l’altra.

In secondo luogo, nel compilare queste matrici spesso le imprese non considerano la tolleranza al rischio per le diverse aree operative: alcuni reparti hanno livelli di tolleranza più alti di altri, e se non si tiene in considerazione questa differenza la descrizione del rischio aziendale rimane incompleta e imprecisa.

Un altro errore è quello di non prendere in considerazione l’impatto finanziario del rischio: le imprese tendono a valutare le conseguenze sull’operatività dei sistemi e la disponibilità dei servizi, ma usano indicatori precisi per la perdita economica. Misurare l’impatto finanziario serve a dare la giusta priorità agli interventi di sicurezza e a programmare gli investimenti in modo da ridurre al massimo le perdite.

Analisi del rischio: dalla qualitativa alla quantitativa

L’analisi quantitativa consente di misurare gli impatti del rischio in maniera più precisa. In questo approccio si utilizza una scala di valori da associare al rischio che prendono in considerazione il valore di ogni risorsa, la frequenza delle minacce e la probabilità di una perdita in seguito a un incidente.

Le aziende sono ancora riluttanti a fare questo passo perché l’approccio viene considerato troppo complesso, soprattutto nella fase iniziale di misurazione. In molti casi c’è anche un problema di comfort zone: i CIO non vogliono rinnovare i metodi di valutazione del rischio perché hanno familiarità con i vecchi approcci e non vedono il bisogno di cambiare.

I leader di sicurezza continuano a basarsi sulla propria esperienza e sull’intuizione per definire i livelli di rischio e gli impatti, ma con questo metodo si rischia di commettere sempre gli stessi errori e di non avere un metro di paragone oggettivo.

Migrare da un approccio qualitativo a uno quantitativo non è semplice e può rivelarsi un processo anche molto lungo, ma non si possono ignorare i benefici che ne derivano. L’analisi quantitativa del rischio informatico è più accurata rispetto a metodi più tradizionali, e può aiutare le aziende a migliorare la sicurezza dei sistemi e ottimizzare gli investimenti.

• analisi del rischio, analisi qualitativa, analisi quantitativa, CIO, minacce informatiche, rischio informatico