Factor Analysis of Information Risk (FAIR)

Il 25 maggio 2025 Vincenzo Calabrò ha tenuto presso l'Università di Reggio Calabria un seminario dal titolo «Factor Analysis of Information Risk (FAIR)», dedicato al modello FAIR per l'analisi quantitativa del rischio informatico.

Il seminario, presentato come una masterclass sull'analisi quantitativa, l'ontologia del rischio e la modellazione finanziaria per CISO, risk manager e IT auditor, parte dal cambio di paradigma dall'approccio qualitativo, basato su scale ordinali e mappe di calore, a quello quantitativo, basato su valori monetari, frequenze e intervalli di confidenza. Viene poi illustrata l'ontologia FAIR, che scompone il rischio lungo l'asse della frequenza, con la Loss Event Frequency e le dinamiche della vulnerabilità, e l'asse dell'impatto, con la tassonomia delle perdite. Seguono la stima BetaPERT, la simulazione Monte Carlo e l'interpretazione degli output in termini di ALE e LEC. La parte finale presenta l'ecosistema FAIR integrato, con FAIR-CAM per i controlli e FAIR-MAM per la materialità rispetto a SEC e NIS2, e le quattro fasi dell'analisi. Il seminario si collega al corso «Corso sul Rischio cyber e la sua Gestione», tenuto nello stesso anno presso lo stesso ateneo.

Le slide del seminario, 15 pagine in PDF, seguono il percorso dall'ontologia del rischio alla simulazione Monte Carlo e alle estensioni FAIR-CAM e FAIR-MAM.