Articolo Pubblicazioni

FAIR: quantificare il rischio cyber in euro

di · Pubblicato il 14 novembre 2026

Abstract

FAIR (Factor Analysis of Information Risk) è il modello più diffuso per misurare il rischio informatico in denaro. L’articolo spiega come scompone il rischio in frequenza degli eventi di perdita ed entità delle perdite, come si stimano i fattori con intervalli e simulazioni, propone un esempio numerico su un attacco ransomware e indica vantaggi e limiti del metodo.

Vincenzo Calabrò | FAIR: quantificare il rischio cyber in euro
 

Dal colore al numero

Molte valutazioni del rischio finiscono in una matrice colorata. Un rischio rosso e uno arancione dicono poco a chi deve decidere se spendere duecentomila euro in un nuovo sistema di backup. FAIR, sviluppato da Jack Jones e diventato uno standard di The Open Group con il nome di Open FAIR, esprime il rischio come la frequenza probabile e l’entità probabile delle perdite future, in euro e in un intervallo di tempo.

La scomposizione

Il modello divide il rischio in due rami. La frequenza degli eventi di perdita dipende da quante volte una minaccia agisce contro un asset, la frequenza degli eventi di minaccia, e dalla probabilità che l’azione riesca, chiamata vulnerabilità o suscettibilità. A sua volta la frequenza della minaccia dipende dalla frequenza dei contatti e dalla probabilità che l’attaccante decida di agire. L’entità delle perdite si divide in perdite primarie, sostenute direttamente dall’organizzazione, come fermo dell’attività, risposta all’incidente e sostituzione dei sistemi, e perdite secondarie, che arrivano dalle reazioni di altri soggetti, come sanzioni, risarcimenti e clienti persi.

Stimare con intervalli

Nessuno conosce il valore esatto di questi fattori. FAIR chiede quindi stime per intervalli, con un minimo, un valore più probabile e un massimo, ottenute da dati storici, report di settore e persone che conoscono a fondo il dominio, possibilmente allenate a calibrare le proprie stime. Le distribuzioni vengono combinate con una simulazione Monte Carlo, che ripete il calcolo migliaia di volte e restituisce una distribuzione delle perdite annue, da cui si leggono la perdita media e quella che si supera solo in un caso su dieci o su cento.

Un esempio

Si consideri uno scenario di ransomware che blocca il gestionale di un’azienda manifatturiera. Il gruppo di lavoro stima che un attacco riuscito di questo tipo si verifichi fra una volta ogni dieci anni e una volta ogni due anni, con valore più probabile una volta ogni cinque. Per le perdite primarie stima un fermo da tre a quindici giorni, con un costo da 40.000 a 90.000 euro al giorno fra produzione persa e straordinari, più 50.000-150.000 euro di risposta all’incidente e ripristino. Per le perdite secondarie stima con una probabilità del 30% penali contrattuali e clienti persi fra 100.000 e 600.000 euro. La simulazione restituisce una perdita annua attesa nell’ordine di 150.000-200.000 euro, con un valore estremo che supera il milione.
A questo punto si valuta un intervento, per esempio backup immutabili con un piano di ripristino provato che riduca il fermo a due-quattro giorni. Ripetendo la simulazione con i nuovi valori si ottiene la riduzione della perdita annua attesa, da confrontare con il costo annuo dell’intervento. I numeri dell’esempio sono illustrativi, ma il ragionamento è quello che un consiglio di amministrazione può seguire.

Vantaggi e limiti

  • Vantaggi. Rende confrontabili rischi diversi e investimenti diversi, obbliga a esplicitare le ipotesi e permette di aggiornare le stime quando arrivano nuovi dati;
  • Limiti. Richiede tempo e competenze, dipende dalla qualità delle stime e rischia di dare un’impressione di precisione che i dati non giustificano, se i risultati non vengono presentati come intervalli.
FAIR dà il meglio su pochi scenari importanti, scelti dopo una valutazione qualitativa di tutto il perimetro. Usato così, sposta la discussione con i vertici dal livello di colore al valore delle decisioni.

Le sei forme di perdita

Per stimare l’entità delle perdite FAIR suggerisce di ragionare su sei categorie, utili come lista di controllo. La produttività persa, cioè le attività che non si possono svolgere. I costi di risposta, come consulenti, ore straordinarie e comunicazioni. I costi di sostituzione di sistemi, dati o beni. Le multe e i giudizi, cioè sanzioni delle autorità e risarcimenti. Il vantaggio competitivo perso, quando escono informazioni riservate. Il danno reputazionale, che si traduce in clienti persi, maggiori costi di finanziamento o calo del valore dell’azienda. Le prime tre sono di solito perdite primarie, le ultime tre secondarie.

Come si calibrano le stime

Le persone tendono a dare intervalli troppo stretti, cioè a essere più sicure di quanto dovrebbero. Le tecniche di calibrazione insegnano a dare intervalli in cui si è davvero convinti al 90% che cada il valore reale, per esempio chiedendosi se si scommetterebbe del denaro sul fatto che il valore resti dentro i limiti indicati. Conviene confrontare le stime di più persone, partire da dati di riferimento esterni, come i report di settore sui costi degli incidenti, e correggerle con le informazioni interne. Una stima larga ma onesta è più utile di un numero preciso inventato.

Strumenti e primi passi

Per iniziare non serve un software dedicato. Un foglio di calcolo con una simulazione Monte Carlo semplice permette di applicare il modello a uno o due scenari, e i risultati si possono confrontare con le valutazioni qualitative già esistenti. Esistono anche strumenti open source e commerciali che guidano la raccolta dei dati e producono grafici pronti per il consiglio. Il consiglio pratico è scegliere uno scenario su cui c’è una decisione da prendere, applicare il metodo con un piccolo gruppo e presentare il risultato insieme alle ipotesi, in modo che chi decide possa discuterle.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn