💻 computer science

SECAdvisor: a Tool for Cybersecurity Planning using Economic Models

Questo articolo presenta SECAdvisor, uno strumento che supporta la pianificazione della cybersecurity utilizzando modelli economici per valutare i rischi, calcolare investimenti ottimali e fornire raccomandazioni di protezione basate sul budget.

Autori originali: Muriel Figueredo Franco, Christian Omlin, Oliver Kamer, Eder John Scheid, Burkhard Stiller

Pubblicato 2026-04-17

📖 4 min di lettura☕ Lettura da pausa caffè

CC BY 4.0

Autori originali: Muriel Figueredo Franco, Christian Omlin, Oliver Kamer, Eder John Scheid, Burkhard Stiller

Articolo originale sotto licenza CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

🛡️ Il Dilemma del "Troppo o Poco"

Immagina di possedere una casa. Vuoi proteggerla dai ladri, ma hai un budget limitato.

Se compri solo una serratura economica, rischi che ti rubino tutto.
Se compri un sistema di sicurezza militare con guardie armate, ti rovini economicamente spendendo più di quanto varrebbe la casa stessa.

Il problema per le aziende (specialmente quelle piccole e medie) è proprio questo: come trovare il punto perfetto? Quanto spendere in cybersecurity senza esagerare, ma senza sottovalutare i rischi? Spesso le aziende spendono troppo per paura o troppo poco per ignoranza, finendo per subire danni enormi.

💡 La Soluzione: SECAdvisor, il "Nutrizionista" Digitale

Gli autori del paper hanno creato SECAdvisor, uno strumento che funziona come un nutrizionista esperto per la sicurezza informatica.

Invece di darti una dieta generica, SECAdvisor analizza la tua "dieta aziendale" per dirti esattamente:

Quali sono i tuoi "organi vitali" (i dati più importanti).
Quanto sono "deboli" (quanto è probabile che vengano attaccati).
Qual è la dose esatta di "vitamine" (investimenti) necessaria per proteggerli.

🍕 L'Analogia della Pizzeria (Come funziona SECAdvisor)

Per capire come lavora SECAdvisor, immagina una pizzeria che vuole proteggersi dai furti.

1. Segmentazione: Non tutte le pizze sono uguali
La pizzeria ha:

Il Forno (dove cuoci la pizza).
Il Cassetto dei contanti (dove tieni i soldi).
Il Registro dei clienti VIP (dove ci sono i numeri di carta di credito).

Un ladro potrebbe rubare i soldi, ma se ruba il forno, la pizzeria si ferma. Se ruba i dati dei clienti, perde la reputazione.
SECAdvisor ti dice: "Non puoi trattare tutto allo stesso modo! Il registro dei clienti VIP vale molto di più del forno. Devi investire di più lì." Questo si chiama segmentazione delle informazioni.

2. Il Calcolo Matematico (Il Modello Gordon-Loeb)
SECAdvisor usa una formula matematica intelligente (chiamata modello Gordon-Loeb) che funziona come una bilancia:

Se investi troppo poco, il rischio di perdere soldi è alto.
Se investi troppo, stai buttando via soldi che non ti servono.
Il segreto: La formula scopre che non serve mai spendere più del 37% del valore potenziale che potresti perdere. È come dire: "Non comprare un'armatura da 1 milione di euro per proteggere un portafoglio da 100 euro, anche se il ladro è pericoloso."

3. Il Consigliere (ROSI)
Dopo aver calcolato quanto spendere, SECAdvisor ti propone delle soluzioni (come un antivirus, un firewall, ecc.). Ma come scegli?
Usa un indicatore chiamato ROSI (Ritorno sull'Investimento di Sicurezza).

Immagina due assicurazioni: una costa 100€ e ti salva da una perdita di 200€, l'altra costa 100€ e ti salva da una perdita di 1000€.
SECAdvisor ti dice: "Scegli la seconda! È più conveniente."
Se il ROSI è alto, l'investimento ne vale la pena. Se è basso, stai sprecando soldi.

🎓 È stato provato?

Gli autori hanno testato questo strumento in due modi:

Con studenti e consulenti: Hanno chiesto a persone di usare il programma per risolvere problemi finti. Risultato? La maggior parte è riuscita a trovare le risposte giuste e ha trovato lo strumento facile da usare (come usare un'app di navigazione).
In corsi reali: È stato usato in università e corsi di formazione per insegnare a futuri consulenti come pianificare la sicurezza senza impazzire con i numeri.

🚀 In Sintesi

SECAdvisor è uno strumento che trasforma la cybersecurity da un "mistero costoso" a un piano di spesa intelligente.

Non ti dice di spendere a caso.
Ti aiuta a dividere la tua azienda in "zone" (dati importanti vs. meno importanti).
Ti dice esattamente quanto investire per ogni zona.
Ti aiuta a scegliere le protezioni migliori per il tuo budget.

È come avere un consulente finanziario che ti dice: "Non comprare l'assicurazione più costosa del mondo, compra quella giusta per il tuo rischio, e risparmia i soldi per altre cose importanti."

Questo strumento è particolarmente utile per le piccole e medie imprese che spesso non hanno esperti di sicurezza in casa e devono prendere decisioni difficili con budget limitati.

1. Il Problema

La pianificazione della cybersecurity per le aziende, in particolare per le Piccole e Medie Imprese (PMI), presenta una sfida fondamentale: bilanciare l'adeguata protezione dei sistemi con la limitatezza del budget. Spesso le aziende soffrono di:

Mancanza di investimenti: Dovuta a incentivi economici perversi e scarsa consapevolezza dei rischi.
Difficoltà nella pianificazione: La mancanza di strumenti che integrino dimensioni tecniche ed economiche rende difficile determinare quanto investire senza sprecare risorse.
Complessità dei modelli esistenti: Modelli economici consolidati, come il modello di Gordon-Loeb (GL), sono teoricamente validi ma difficili da applicare nella pratica da parte di utenti non tecnici o senza una profonda conoscenza parametrica.
Necessità di segmentazione: Le aziende possiedono diverse aree informative con valori e rischi differenti, rendendo insufficiente un approccio "one-size-fits-all".

2. Metodologia e Architettura

Il paper introduce SECAdvisor, uno strumento open-source e visivo progettato per supportare la pianificazione della cybersecurity basandosi su modelli economici. L'approccio metodologico si fonda su tre pilastri teorici integrati in un'architettura a tre livelli:

A. Modelli Economici di Base

Modello Gordon-Loeb (GL) con Segmentazione:
- Il modello GL determina il livello ottimale di investimento ( $z$ ) massimizzando il Net Expected Benefit of Investment in Information Security (ENBIS).
- Una regola chiave del GL è che l'investimento ottimale non dovrebbe mai superare il 37% ( $1/e$ ) della perdita attesa senza investimenti.
- SECAdvisor estende il modello originale incorporando la segmentazione delle informazioni. Invece di calcolare un investimento globale, il sistema divide l'azienda in segmenti (es. database, server web, rete interna) e calcola l'investimento ottimale per ciascuno, considerando il valore specifico ( $L_i$ ) e la vulnerabilità ( $v_i$ ) di ogni segmento.
- Vengono utilizzate funzioni di probabilità di violazione (BPF - Breach Probability Function) per stimare la produttività dell'investimento.
ROSI (Return On Security Investment):
- Dopo aver calcolato l'investimento ottimale, lo strumento utilizza la metrica ROSI per valutare l'efficienza di specifiche soluzioni di protezione (es. firewall, antivirus).
- La formula è: $ROSI = \frac{(ALE \times MitigationRatio) - CostoSoluzione}{CostoSoluzione}$ .
- Un ROSI $\ge 1$ indica che la soluzione è economicamente conveniente (il beneficio supera il costo).

B. Architettura Tecnica di SECAdvisor

L'applicazione è sviluppata con AngularJS (frontend) e NestJS (backend), utilizzando MongoDB per il database. L'architettura concettuale comprende:

Livello Interfaccia Web: Permette agli utenti (decision-maker) di definire il profilo aziendale e i segmenti di informazioni.
Livello Segmenti (Segment Layer): Gestisce la creazione dei segmenti, la stima del loro valore monetario (basata su report pubblici o input manuali), la definizione del rischio e della vulnerabilità. Calcola l'investimento ottimale per ogni segmento applicando le equazioni GL estese.
Livello Raccomandazione (Recommendation Layer): Si interfaccia con un motore di raccomandazione esterno chiamato MENTOR. Sulla base del budget ottimale calcolato e delle minacce selezionate, suggerisce misure di protezione specifiche e calcola il ROSI per ciascuna opzione.

3. Contributi Chiave

Primo strumento del genere: SECAdvisor è presentato come il primo tool open-source e visivo che integra modelli economici (GL e ROSI) in un processo di pianificazione della cybersecurity intuitivo.
Automazione della Segmentazione: Semplifica il calcolo complesso dell'investimento ottimale per segmenti specifici, rendendo accessibile la teoria economica a consulenti e studenti.
Flessibilità del BPF: Permette agli utenti di configurare o personalizzare la Breach Probability Function (BPF), adattando il modello alla realtà specifica dell'azienda o del settore, pur fornendo valori di default basati sulla letteratura.
Integrazione Educativa e Pratica: Lo strumento è stato progettato non solo per l'uso industriale, ma anche come supporto didattico per corsi di cybersecurity e formazione.

4. Risultati e Valutazioni

Il paper presenta due tipi di valutazioni:

A. Valutazione dell'Usabilità

Partecipanti: 13 utenti con background tecnico (livello da laureato a dottorato).
Task: Gli utenti hanno dovuto configurare segmenti, calcolare investimenti ottimali e selezionare protezioni basate sul ROSI.
Risultati:
- Tasso di successo complessivo delle task: 87,2%.
- Task critiche come la definizione della vulnerabilità e il calcolo della perdita attesa annuale hanno raggiunto il 92-100% di successo.
- Il punteggio SUS (System Usability Scale) è stato di 82,1, classificato come "eccellente" (sopra la soglia di 70).
- Gli utenti hanno trovato il sistema intuitivo, anche se alcune funzioni avanzate (come la modifica manuale della BPF) hanno richiesto più tempo.

B. Attività Pratiche nel Mondo Reale

SECAdvisor è stato utilizzato con successo in contesti educativi reali:

Corso "Becoming a Cybersecurity Consultant": Utilizzato in 4 edizioni (2020-2022) con circa 120 partecipanti per esercizi pratici di 90 minuti.
Università di Zurigo: Utilizzato in un corso per 20 studenti magistrali.
PhD School NeCS 2023: Utilizzato in un tutorial di 180 minuti per 30 dottorandi esperti.
Feedback: I partecipanti hanno apprezzato la capacità di visualizzare scenari economici, calcolare investimenti ottimali e confrontare soluzioni di protezione, definendo lo strumento come un ponte fondamentale tra teoria economica e pratica operativa.

5. Significato e Impatto

Il lavoro di SECAdvisor è significativo perché:

Democratizza l'Economia della Cybersecurity: Rende accessibili modelli matematici complessi (GL) a un pubblico più ampio, aiutando le PMI a prendere decisioni di investimento basate sui dati piuttosto che su intuizioni.
Ottimizzazione delle Risorse: Aiuta le aziende a evitare sia la sottoprotezione (rischio di perdite elevate) che la sovraprotezione (spreco di budget), identificando il punto di massimo rendimento economico.
Supporto Decisionale: Fornisce un framework strutturato per confrontare diverse soluzioni di sicurezza in termini di costo-efficacia (ROSI), supportando i decisori aziendali nella giustificazione degli investimenti in sicurezza.
Futuro: Il paper suggerisce sviluppi futuri come l'uso di simulazioni Monte Carlo, l'integrazione di dati reali di vulnerabilità e l'uso dell'Intelligenza Artificiale per inferire automaticamente i parametri di costo e rischio, rendendo lo strumento ancora più autonomo e preciso.

In sintesi, SECAdvisor rappresenta un passo avanti cruciale verso una gestione della cybersecurity più razionale, economica e sostenibile, colmando il divario tra la teoria economica e la pratica operativa quotidiana delle aziende.