Sintesi Tecnica: Valutazione del ROI della Cyber Threat Intelligence

1. Definizione del Problema

La quantificazione del Ritorno sull'Investimento (ROI) per i programmi di Cyber Threat Intelligence (CTI) affronta un problema fondamentale di misurazione: la prevenzione efficace produce "non-eventi" che non lasciano segnali finanziabili osservabili. Di conseguenza, la spesa per la CTI resiste alle analisi tradizionali costi-benefici. Inoltre, il valore della CTI è spesso indiretto, agendo come moltiplicatore di forza per i controlli a valle (ad esempio, firewall, EDR, analisti) piuttosto che come controllo tecnico autonomo. Ciò complica l'attribuzione causale e la definizione del perimetro dell'investimento. I modelli economici tradizionali, come il modello Gordon–Loeb (GL), sono progettati per controlli tecnici indipendenti e non riescono a catturare l'effetto di riduzione del rischio probabilistico e di leva inerente ai flussi di lavoro guidati dall'intelligence. Senza un modello difendibile, i programmi CTI rischiano di essere percepiti come centri di costo, portando a un sottofinanziamento e a una cattiva allocazione delle risorse.

2. Metodologia

Il documento propone un framework multi-livello che combina metriche quantitative, indicatori qualitativi e un approccio specifico di modellazione finanziaria per colmare il divario di misurazione.

2.1 L'Indice di Efficacia della Threat Intelligence (TIEI)

Per operazionalizzare la maturità della CTI, gli autori introducono il Threat Intelligence Effectiveness Index (TIEI). A differenza delle medie aritmetiche ponderate tradizionali, che assumono la linearità e permettono a punteggi elevati in un'area di compensare i fallimenti in un'altra, il TIEI utilizza una media geometrica ponderata. Questa formulazione penalizza gli anelli deboli, riflettendo la realtà secondo cui una carenza in una dimensione (ad esempio, una scarsa integrazione) può annullare il valore delle altre.

Il TIEI aggrega quattro dimensioni:

1. Qualità dell'Intelligence: Accuratezza, tempestività, rilevanza e completezza.
2. Arricchimento: Mappatura sui TTP (ATT&CK), correlazione interna, collegamento di entità e azionabilità.
3. Integrazione e Automazione: Copertura dei controlli, successo della consegna, tassi di automazione e aderenza agli SLA.
4. Impatto Operativo: Riduzioni del Mean Time to Detect (MTTD) e del Mean Time to Respond (MTTR), riduzione dei falsi positivi e incremento della copertura.

I punteggi sono normalizzati su una scala [1, 100] utilizzando target definiti o normalizzazione multi-ancora (livelli inaccettabili, di riferimento, ambiziosi) per garantire la riproducibilità.

2.2 Framework Finanziario: Approccio "Breakeven-First"

Il documento si sposta dalla previsione di specifici valori di ROI alla definizione di una frontiera di fattibilità del punto di pareggio (breakeven). Questo approccio riconosce che la probabilità annuale specifica dell'organizzazione di un evento di perdita materiale ($p_0$) e la frazione di mitigazione attribuibile alla CTI ($M$) sono incognite che non possono essere stimati in modo affidabile tramite report di prevalenza del settore.

Il modello definisce il Total Cost of Ownership (TCO) per la CTI ($TCO_{CTI}$) includendo non solo i costi delle piattaforme e dei feed, ma anche i costi incrementali a valle necessari per operazionalizzare l'intelligence (integrazione, ingegneria, automazione).

La condizione per un ROI positivo è derivata come:
$$p_0 \times M > \kappa$$
Dove $\kappa = \frac{TCO_{CTI}}{L_M}$, e $L_M$ è l'entità della perdita condizionale dell'evento.

Ciò crea una frontiera a due incognite: un'organizzazione deve dimostrare che il prodotto della sua specifica probabilità di evento e della sua specifica capacità di mitigazione superi il rapporto costo-perdita.

2.3 Simulazione Condizionale

Per illustrare come l'incertezza si propaghi, gli autori impiegano una simulazione PERT condizionata dal punteggio TIEI. Il fattore di mitigazione ($M$) è modellato come una distribuzione PERT in cui i limiti (pessimistico, più probabile, ottimistico) sono funzioni affini del punteggio TIEI. Ciò collega la maturità operativa direttamente all'intervallo di risultati finanziari plausibili senza asserire un singolo valore deterministico.

3. Contributi Principali

Il documento apporta due contributi primari:

1. L'Indice di Efficacia della Threat Intelligence (TIEI): Una misura di maturità strutturata, basata su media geometrica ponderata, che cattura la qualità dell'intelligence, l'arricchimento, l'integrazione e l'impatto operativo. Penalizza esplicitamente le prestazioni sbilanciate e fornisce una base riproducibile per monitorare l'evoluzione del programma.
2. Un Framework Decisionale Finanziario "Breakeven-First": Un metodo che tratta $p_0$ e $M$ come incognite, caratterizzando le combinazioni necessarie per un ROI positivo. Questo framework include una definizione completa del perimetro di investimento (TCO) e dimostra come derivare i requisiti di breakeven corrispondenti all'ambito senza fare affidamento su fuorvianti dati di prevalenza del settore.

4. Risultati e Applicazione

Il framework è stato applicato a scenari illustrativi nei settori dei servizi finanziari e della sanità.

• Servizi Finanziari: Utilizzando un costo stimato di violazione ($L_M$) di $5,82M e un investimento totale annuo ($TCO_{CTI}$) di $0,40M, la costante di fattibilità $\kappa$ è 6,87%. L'analisi mostra che affinché un programma CTI raggiunga il pareggio con una capacità di mitigazione del 20% ($M=0,20$), la probabilità annuale di un evento materiale specifica dell'organizzazione deve superare il 34,4%.
• Sanità: Con un costo di violazione stimato più elevato di \8,595M e un investimento di \0,60M, $\kappa$ è 6,98%. Allo stesso modo, una capacità di mitigazione del 20% richiede una probabilità di evento superiore al 34,9%.

Il documento sottolinea che queste non sono previsioni del rischio di settore, ma frontiere di fattibilità. Esse definiscono il livello minimo di evidenza che un'organizzazione deve fornire per giustificare l'investimento. La simulazione PERT condizionale illustra ulteriormente come, per un programma maturo (TIEI = 80), la probabilità di ottenere un ROI positivo aumenti significativamente al crescere della probabilità dell'evento ($p_0$), ma la simulazione dipende dal fatto che l'organizzazione fornisca una $p_0$ difendibile.

5. Significato e Rivendicazioni

Gli autori sostengono che questo framework fornisce una base riproducibile per le decisioni di investimento nella CTI, collegando la maturità operativa (TIEI) a un confine finanziario verificabile.

• Riformulazione del ROI: Il documento sostiene che il ROI debba essere visto come una misura della "fragilità evitata" piuttosto che del profitto guadagnato, affrontando il "paradosso della prevenzione" in cui la sicurezza efficace è invisibile.
• Coerenza Causale: Rifiutando di sostituire la prevalenza del settore con le probabilità specifiche dell'organizzazione, il framework evita l' "errore di categoria" di applicare i modelli tradizionali basati sui controlli agli asset informativi.
• Valutazione Olistica: L'approccio integra indicatori di performance quantitativi (MTTD, MTTR), valore strategico qualitativo (protezione del brand, conformità normativa) e modellazione finanziaria (riduzione del rischio basata su FAIR).
• Modestia nelle Rivendicazioni: Il documento dichiara esplicitamente di non stimare un ROI universale del settore. Le frontiere numeriche sono limiti di sensibilità deterministici basati su input di scenario, non intervalli di confidenza. La simulazione PERT condizionata dal TIEI è presentata come un'illustrazione secondaria e condizionata dalle assunzioni, piuttosto che come uno strumento predittivo.

Lo studio conclude che, sebbene esistano sfide significative di misurazione (attribuzione, sovraccarico di dati, intangibili), un approccio multi-livello che combina il TIEI con un modello finanziario "breakeven-first" consente ai leader della sicurezza di comunicare il valore della CTI come un investimento strategico difendibile piuttosto che come un centro di costo.