Il linguaggio tradizionale del rischio informatico (matrici di probabilità e impatto, semafori rosso-giallo-verde, livelli di gravità da 1 a 5) ha un limite strutturale: non parla il linguaggio del management. Un CISO che presenta al CdA i risultati di un Cyber Risk Assessment con una heat map con venti rischi colorati di rosso ottiene attenzione, ma raramente ottiene il budget necessario per mitigarli.La domanda che il management si pone (Quanto ci costa un incidente? Quanto spendiamo per evitarlo? Conviene?) rimane senza risposta quantitativa, lasciando le decisioni di investimento in sicurezza nel territorio delle opinioni e delle pressioni commerciali piuttosto che in quello dell’analisi razionale.Perché il rischio cyber va misurato in euro, non solo in livelli di gravitàIl Cyber Risk Assessment economico, ossia la disciplina che quantifica il rischio cyber in termini finanziari, risponde a questa lacuna con strumenti metodologici consolidati.Non si tratta di produrre previsioni precise al centesimo: il rischio, per sua natura, non si presta a certezze numeriche. Si tratta di produrre stime ragionate, basate su dati storici, benchmark di settore e modelli probabilistici, che consentano al management di confrontare il costo atteso di un incidente con il costo di prevenirlo e di prendere decisioni informate sull’allocazione del budget IT.Una stima imperfetta ma strutturata è infinitamente più utile di nessuna stima.La pressione verso la quantificazione economica del rischio cyber non è solo metodologica, ma è diventata anche normativa.La Direttiva NIS2 richiede che le misure di sicurezza siano proporzionate al rischio, il che presuppone una valutazione del rischio che includa la dimensione economica dell’impatto. DORA chiede esplicitamente la valutazione dell’impatto economico potenziale degli incidenti ICT come parte del processo di gestione del rischio. Il GDPR, nel suo principio di accountability, richiede che le misure di sicurezza siano adeguate: un concetto che implica proporzionalità e quindi valutazione del costo del rischio rispetto al costo della protezione.Indice degli argomenti