Articolo Pubblicazioni
Calcolo del rischio informatico: metodi qualitativi e quantitativi a confronto
di Vincenzo Calabrò · Pubblicato il 3 settembre 2012 - Aggiornato il 14 novembre 2026 · Tratto da «Calcolo del rischio informatico»
Abstract
L’articolo riprende il seminario «Calcolo del rischio informatico» del 3 settembre 2012. Distingue i metodi qualitativi da quelli quantitativi, descrive i passi per calcolare il rischio dei sistemi informatici, dalla ricerca degli asset alla scansione delle vulnerabilità, e presenta il metodo Frequency, che stima la probabilità di sfruttamento a partire dai punteggi CVSS, con il suo limite principale. Chiude con l’hardening, il monitoraggio continuo della sicurezza e il fattore umano.
SCARICA LE SLIDE: «Calcolo del rischio informatico» Calabrò V., 2012, PDF di 20 pagine
Qualitativo o quantitativo
Il rischio si può stimare in due modi. I metodi qualitativi collocano probabilità e impatto su scale ordinali, come basso, medio e alto, e producono una matrice che ordina le priorità. Sono rapidi e comprensibili, ma dipendono dal giudizio di chi valuta e rendono difficile confrontare rischi diversi. I metodi quantitativi assegnano numeri a probabilità e impatto, spesso economici. Permettono confronti e calcoli di convenienza, ma richiedono dati che non sempre esistono. Il seminario si concentrava su un approccio quantitativo applicato alle vulnerabilità tecniche dei sistemi.
I passi del calcolo
Il calcolo del rischio dei sistemi informatici segue una sequenza:
- la ricerca degli asset hardware e software presenti nell’infrastruttura;
- la scansione degli asset alla ricerca di vulnerabilità note;
- la scelta del metodo di calcolo;
- il calcolo del rischio per ogni asset, in base alle vulnerabilità trovate e al metodo scelto.
Il seminario partiva dall’idea di un monitoraggio proattivo, in cui inventario e scansioni sono continui e alimentano un cruscotto con l’andamento del rischio e delle vulnerabilità, le statistiche e l’elenco degli elementi più esposti.
Il metodo Frequency
Il metodo Frequency, descritto da Umesh e Chanchala in un lavoro sulla valutazione quantitativa del rischio con il CVSS, parte dai punteggi del Common Vulnerability Scoring System. Per ogni vulnerabilità si considerano il vettore base, che descrive le caratteristiche intrinseche della debolezza, e il punteggio temporale, che tiene conto della maturità degli strumenti di attacco e della disponibilità di correzioni.
Il Frequency Score stima quanto spesso una vulnerabilità sarà sfruttata, assumendo che la frequenza cresca con la facilità di sfruttamento. Si calcola combinando tre parametri del vettore base, cioè il vettore di accesso, la complessità di accesso e l’autenticazione richiesta, con il punteggio temporale. Il rischio risulta dalla combinazione della frequenza così stimata con la gravità della vulnerabilità.
Il limite del metodo è evidente. Non tiene conto del valore dell’asset. Il seminario lo diceva con un esempio. Una console per videogiochi e il server che comanda le paratoie di una diga, con la stessa vulnerabilità, avrebbero lo stesso rischio. Per questo il punteggio tecnico va sempre combinato con una valutazione dell’impatto sull’organizzazione.
Dal calcolo all’azione
Il rischio calcolato serve a decidere. La prima risposta è l’hardening, che riduce nel tempo le porte TCP e UDP aperte, i servizi attivi, gli account e i privilegi, aggiorna le password e applica le patch di sicurezza. Confrontando la situazione iniziale con quella finale si misura il rischio ridotto.
La seconda è il monitoraggio continuo della sicurezza delle informazioni, organizzato su tre livelli, quello dell’organizzazione, quello dei processi di business e quello dei sistemi informativi. Il monitoraggio trasforma il calcolo del rischio da fotografia periodica a misura costante.
Il fattore umano
Il seminario chiudeva con una frase attribuita a Kevin Mitnick. Un’azienda può spendere centinaia di migliaia di dollari in firewall, sistemi di rilevamento delle intrusioni e crittografia, ma se un attaccante convince una persona fidata a rivelare informazioni riservate quei soldi sono sprecati. Le truffe in cui il criminale prende il controllo di una casella di posta aziendale, studia la corrispondenza e chiede un bonifico urgente fingendosi un dirigente mostrano che nessun calcolo del rischio è completo senza formazione e consapevolezza del personale.
Un esempio di calcolo
Il metodo quantitativo classico ragiona sulla perdita attesa annua. Si stima il valore dell’asset, la percentuale di quel valore che andrebbe persa in un singolo evento, da cui la perdita per evento, e il numero atteso di eventi in un anno. Se un server che gestisce gli ordini vale 50.000 euro fra hardware, dati e lavoro necessario a ricostruirli, un guasto o un attacco ne distrugge il 40%, cioè 20.000 euro, e si stima un evento ogni quattro anni, la perdita attesa annua è di 5.000 euro. Una contromisura che costa 2.000 euro all’anno e riduce la frequenza a un evento ogni dieci anni porta la perdita attesa a 2.000 euro, con un beneficio netto di 1.000 euro.
Il metodo qualitativo con la matrice
Quando mancano dati per stimare valori e frequenze, si usano scale qualitative. La probabilità e l’impatto si classificano su tre o cinque livelli, da molto basso a molto alto, con descrizioni precise per ogni livello, e il rischio si legge nella matrice che li incrocia. Il vantaggio è la rapidità e la possibilità di coinvolgere chi conosce i processi senza chiedere numeri che nessuno ha. Il limite è la soggettività, che si riduce definendo bene i livelli e facendo valutare gli stessi scenari a più persone.
Aggiornare il calcolo
Il calcolo del rischio va ripetuto quando cambiano gli asset, le minacce o le contromisure, e comunque a intervalli regolari. Il seminario insisteva sul fatto che il valore del calcolo sta nella discussione che produce, perché costringe a chiedersi quanto vale davvero un sistema, quanto spesso potrebbe essere colpito e che cosa costerebbe proteggerlo. Il numero finale serve a confrontare alternative e a giustificare le spese, ed è utile solo se le ipotesi da cui nasce restano documentate.
Vedi anche: gli articoli del 2021 Cybersecurity Risk Assessment e Risk assessment.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn