Metodologia
Numeri difendibili, non numeri magici.
Una stima di rischio è utile solo se chi la legge può capirla, metterla in discussione e ripeterla. Per questo input, fattori, ipotesi e limiti fanno parte del risultato.
La logica
Come nasce una stima.
Il modello è deterministico e riproducibile per impostazione predefinita: stessi input, stesso risultato.
Formula sintetica. Fatturato annuo × tasso di perdita calibrato, in funzione di minaccia, settore, controlli, esposizione e asset.
- Fatturato annuale normalizzato in euro
- Moltiplicatori di severità e di settore
- Profilo specifico della minaccia
- Criticità e quantità degli asset coinvolti
- Esposizione e maturità dei controlli
- Probabilità annualizzata dello scenario
- Parametri di paese, continuità e conformità
Leggere i risultati
Che cosa significa ogni numero.
Risk score
Indice da 0 a 100 classificato come Info, Low, Medium, High o Critical. Serve a prioritizzare gli scenari: non è la probabilità matematica che l'incidente avvenga.
Probabilità annualizzata
Stima di quanto è plausibile che lo scenario si manifesti in un anno, nel contesto indicato.
Perdita annualizzata attesa (ALE)
Perdita media attesa su base annua, combinando probabilità e impatto.
Scenario contenuto
Limite inferiore di pianificazione: la perdita più contenuta tra quelle considerate.
Scenario centrale
La perdita probabile del modello, il riferimento per la discussione.
Scenario severo
Limite superiore di pianificazione, per dimensionare coperture e continuità.
Confidence score. Indica quanto sono completi e specifici gli input forniti. Non è una garanzia di accuratezza assoluta: più il contesto è dettagliato, più la stima è informata.
Governance e calibrazione
Un modello che si può verificare nel tempo.
Il profilo di governance registra identificativo e versione, stato di approvazione, data dell'ultima calibrazione, sorgente dei dati, limitazioni dichiarate e soglie di accettazione.
Backtesting
Il workflow accetta dataset JSON o CSV controllati dall'operatore con perdite previste e osservate. Calcola numerosità del campione, MAE, RMSE, MAPE, errore medio normalizzato e bias normalizzato. L'evidenza prodotta contiene solo metriche aggregate, con provenienza dichiarata e hash SHA-256 del dataset per la ripetibilità, senza replicare le osservazioni.
- Approvazione formale da parte di un owner autorizzato
- Modalità fail-closed: blocca l'avvio in produzione se approvazione o calibrazione risultano assenti o scadute
- Il profilo predefinito resta dichiaratamente non approvato finché non è validato con dati reali
| Soglia predefinita | Valore |
|---|---|
| Osservazioni minime | 30 |
| MAPE massimo | 35% |
| MAE normalizzato massimo | 25% |
| Bias assoluto normalizzato massimo | 15% |
Policy iniziali configurabili, non certificazioni di accuratezza universale.
Usi corretti e limiti
Uno strumento di supporto, non un oracolo.
- Per confrontare scenari, ordinare priorità e motivare investimenti
- Per comunicare il rischio con un linguaggio comune a tecnici e direzione
- Da interpretare insieme al contesto dell'organizzazione e validare con dati interni, storico incidenti, informazioni assicurative, benchmark di settore e threat intelligence aggiornata
Le stime sono direzionali e dipendono dagli input e dalle assunzioni del modello. Non costituiscono perizia forense, parere legale, previsione certa, certificazione di conformità o rendicontazione finanziaria. Le decisioni normative, legali, assicurative o finanziarie richiedono professionisti qualificati.
Domande frequenti
Domande sul modello.
Exploit2Impact prevede se un attacco avverrà?
No. Stima probabilità e impatto per supportare il confronto tra scenari. Non predice con certezza eventi futuri.
Le cifre sono perdite garantite?
No. Sono stime direzionali basate sugli input e sulle assunzioni del modello e non sostituiscono una perizia forense o una valutazione finanziaria certificata.
In cosa differisce da CVSS?
CVSS descrive la severità tecnica di una vulnerabilità. Exploit2Impact aggiunge il contesto aziendale e traduce lo scenario in possibili conseguenze sul business.
L'AI è obbligatoria?
No. È un'estensione opzionale per narrazioni e raccomandazioni. Il motore di rischio funziona senza servizi LLM.
Supporta GDPR e NIS2?
Produce indicatori e scenari orientati a questi contesti. Non certifica la conformità e non sostituisce consulenza legale o assessment normativi formali.
È possibile calibrare il modello?
Sì. Il backtesting verifica soglie configurabili su dati controllati dall'operatore. Per l'uso produttivo i moltiplicatori vanno confrontati con dati di incidente, assicurativi e benchmark pertinenti, con approvazione formale di un owner autorizzato.