Analisi del rischio qualitativa e quantitativa

Una volta identificati i rischi, le organizzazioni devono stabilire quanto rischio stanno affrontando. Esistono due approcci generali: l'analisi qualitativa utilizza scale descrittive (Alto, Medio, Basso) basate sul giudizio degli esperti, mentre l'analisi quantitativa utilizza calcoli numerici per esprimere il rischio in termini monetari. Entrambi gli approcci hanno un ruolo in un programma di sicurezza maturo: la scelta corretta dipende dai dati disponibili e dalle decisioni da prendere.

Nell'analisi qualitativa, gli analisti assegnano valutazioni descrittive alla probabilità e all'impatto, generalmente su una scala a 3 livelli (Basso/Medio/Alto) o a 5 livelli. Queste valutazioni vengono combinate in una matrice del rischio per determinare un livello di rischio complessivo. Il vantaggio principale è la rapidità e l'accessibilità: non sono necessari dati finanziari dettagliati e possono partecipare anche stakeholder senza una formazione contabile. Lo svantaggio è la soggettività: due analisti potrebbero valutare lo stesso rischio in modo diverso.

L'analisi quantitativa assegna valori monetari al rischio utilizzando formule. Termini chiave: Asset Value (AV) è il valore monetario della risorsa. Exposure Factor (EF) è la percentuale del valore della risorsa persa durante un incidente (ad esempio, il 40%). Single Loss Expectancy (SLE) = AV × EF. Annual Rate of Occurrence (ARO) indica quante volte si prevede che l'evento si verifichi ogni anno. Annual Loss Expectancy (ALE) = SLE × ARO. L'ALE orienta le decisioni costi-benefici relative ai controlli.

SLE rappresenta l'importo monetario che si prevede di perdere ogni volta che si verifica uno specifico evento di rischio. Si calcola come SLE = Asset Value × Exposure Factor. Se un file server del valore di $300,000 venisse distrutto per il 30% da un attacco ransomware, lo SLE sarebbe pari a $90,000. Lo SLE è un elemento fondamentale: da solo non tiene conto della frequenza dell'evento, motivo per cui è necessario anche l'ARO per calcolare un valore annuale significativo.

ARO esprime quante volte si prevede che un evento di rischio si verifichi nell'arco di 12 mesi. Un ARO pari a 1 indica che l'evento è previsto una volta all'anno. Un ARO pari a 0.1 indica che è previsto una volta ogni 10 anni. Un ARO pari a 4 indica che è previsto quattro volte all'anno. I valori ARO derivano generalmente dai dati storici sugli incidenti, dalle statistiche di settore, dalle informazioni sulle minacce o dalle stime attuariali degli assicuratori. Stime ARO inaccurate alterano direttamente i calcoli dell'ALE.

ALE è il fondamento dell'analisi quantitativa del rischio: ALE = SLE × ARO. Rappresenta la perdita finanziaria annuale prevista per un determinato rischio. L'ALE consente di confrontare direttamente i rischi e la spesa per la sicurezza. Se un controllo costa $50,000 all'anno e riduce l'ALE da $120,000 a $20,000, il risparmio netto di $50,000 giustifica l'investimento. Se il controllo costa più della riduzione dell'ALE, non è conveniente.

L'analisi quantitativa fornisce risultati obiettivi e riproducibili, che possono essere confrontati direttamente con la spesa per la sicurezza. I valori ALE si integrano naturalmente nell'analisi costi-benefici e nei calcoli del ROI, comprensibili ai dirigenti. I sottoscrittori assicurativi, gli auditor e i consigli di amministrazione reagiscono meglio a «il nostro ALE per il ransomware è di $500,000 all'anno» che a «il rischio ransomware è Alto». I modelli quantitativi supportano inoltre l'aggregazione dei rischi tra portafogli di risorse.

L'analisi quantitativa presenta limiti significativi. La qualità dei dati è la difficoltà principale: i valori ARO sono spesso supposizioni presentate come statistiche. Se i dati storici sugli incidenti sono scarsi, i calcoli dell'ALE non sono più affidabili di una valutazione qualitativa. Inoltre, alcuni impatti, come il danno alla reputazione, la fiducia dei clienti e le sanzioni normative, sono estremamente difficili da quantificare con precisione. I modelli quantitativi richiedono inoltre molto tempo e possono rendere necessari consulenti costosi o competenze attuariali.

L'analisi qualitativa è soggetta a soggettività e incoerenza. Analisti diversi che valutano lo stesso rischio possono produrre risultati differenti, rendendo inaffidabile il confronto tra team o organizzazioni. Inoltre, è difficile tradurre direttamente le valutazioni qualitative in decisioni di budget: un rischio «Alto» non specifica quanto spendere per i controlli. Può verificarsi un bias di ancoraggio quando gli analisti aumentano o riducono le valutazioni sulla base di incidenti recenti anziché di criteri oggettivi.

La maggior parte delle organizzazioni mature utilizza entrambi i metodi in modo complementare. L'analisi qualitativa viene utilizzata nel triage iniziale per stabilire quali rischi debbano essere analizzati più a fondo. L'analisi quantitativa viene quindi applicata ai rischi prioritari per i quali una modellazione finanziaria dettagliata giustifica lo sforzo. Questo approccio ibrido combina la rapidità della valutazione qualitativa con la precisione della modellazione quantitativa nei casi in cui è più importante.

L'esame Security+ richiede di riconoscere le formule: SLE = AV × EF e ALE = SLE × ARO. Le domande d'esame presentano spesso uno scenario con valore della risorsa, fattore di esposizione e tasso di occorrenza e chiedono di calcolare SLE o ALE, oppure di determinare se un controllo è conveniente. Deve inoltre essere in grado di distinguere gli approcci qualitativo e quantitativo e di individuare il metodo appropriato in base ai vincoli dello scenario.

Verifichi la Sua comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione ha appreso che: l'analisi qualitativa utilizza scale descrittive (Alto/Medio/Basso) ed è rapida ma soggettiva, l'analisi quantitativa utilizza formule (SLE = AV × EF; ALE = SLE × ARO) per esprimere il rischio in termini monetari e l'ALE orienta le decisioni costi-benefici relative ai controlli di sicurezza. Nel prossimo argomento esamineremo le quattro opzioni di trattamento del rischio: accettazione, trasferimento, mitigazione ed evitamento.