Ci sono momenti, nella vita delle organizzazioni, nei quali la matematica cessa di essere quella disciplina severa, implacabile e sostanzialmente indifferente alle esigenze del trimestre che ci hanno insegnato a scuola, per trasformarsi in una forma particolarmente sofisticata di letteratura fantastica.

Accade di solito nelle sale riunioni prive di finestre, forse per impedire ai numeri di fuggire, quando un vendor munito di presentazione, un consulente generosamente remunerato e alcuni manager illuminati da aureole a LED si raccolgono attorno a un foglio Excel con lo stesso atteggiamento degli antichi aruspici davanti alle interiora dell’animale sacrificale.

Da quelle celle, opportunamente colorate, devono emergere presagi favorevoli.

Il prodotto deve risultare indispensabile, l’investimento deve apparire non soltanto ragionevole ma quasi doveroso, il consulente deve dimostrare che il proprio metodo proprietario sia l’unico argine fra l’azienda e l’estinzione, mentre il manager che ha sponsorizzato l’operazione deve potersi presentare al consiglio di amministrazione non come colui che chiede altri soldi, ma come un moderno alchimista capace di trasformare le licenze in margine operativo.

È in simili occasioni, a metà strada fra la governance e la seduta spiritica, che compare il ROSI a tre o quattro cifre.

Non un prudente 18 per cento, non un decoroso 70, non un già ragguardevole 150, ma un sontuoso 1.200, un imperiale 2.700 o persino un messianico 4.000 per cento, mostrato sullo schermo con caratteri sufficientemente grandi da impedire a chiunque di scorgere le ipotesi scritte sotto, qualora il buon Dio o il consulente abbiano ritenuto opportuno inserirle.

Il vendor sorride con la serenità di chi non sta semplicemente vendendo un prodotto, bensì consegnando all’azienda la chiave per liberarsi definitivamente dalle leggi dell’economia. Il consulente annuisce lentamente, con quella gravità liturgica che accompagna tanto le rivelazioni metafisiche quanto le parcelle già approvate. Il manager, infine, contempla il 4.000 per cento e comprende di non essere più un centro di costo, bensì il governatore di una piccola banca centrale.

Perché, secondo quel numero, ogni 100 euro investiti in sicurezza genererebbero un ritorno netto di 4.000 euro.

A questo punto, persino un consiglio di amministrazione particolarmente docile dovrebbe formulare una domanda semplice: se davvero acquistando tecnologia di sicurezza si ottengono rendimenti del 1.000, 2.000 o 4.000 per cento, per quale ragione l’azienda continua ostinatamente a produrre automobili, farmaci, polizze, componenti, software, servizi logistici, bulloni o tortellini?

Basterebbe chiudere gli stabilimenti, congedare con affetto i macchinari, riconvertire i magazzini in data center e investire l’intero capitale in firewall, EDR, NDR, XDR, SIEM, SOAR e in tutte le altre combinazioni alfabetiche con le quali il settore ama dimostrare che ventisei lettere possono generare una quantità pressoché infinita di fatture.

Se il modello fosse corretto nei termini in cui viene raccontato, il reparto Security potrebbe mantenere da solo l’intera impresa. Il CISO stabilirebbe i tassi d’interesse, il SOC stamperebbe moneta durante il turno di notte e ogni attacco bloccato verrebbe cartolarizzato, trasformato in un’obbligazione e venduto sui mercati internazionali.

Purtroppo, o forse per fortuna della civiltà industriale, il ROSI non funziona in questo modo.

Il problema, tuttavia, non è il ROSI in quanto tale. Sarebbe troppo facile, oltre che metodologicamente pigro, liquidarlo come una delle tante superstizioni prodotte dall’incontro fra cybersecurity, marketing e fogli di calcolo.

Il Return On Security Investment, se costruito con dati ragionevoli, ipotesi visibili e un minimo di rispetto per il principio di non contraddizione, può essere utile. Aiuta a confrontare alternative, a valutare la convenienza relativa di alcuni controlli e soprattutto a tradurre il rischio in una lingua che il management possa comprendere senza essere costretto a fingere interesse davanti a una slide contenente ottomila vulnerabilità, quattro teschi, tre fulmini e la scritta “CRITICAL” in rosso.

Il problema nasce quando una stima probabilistica viene presentata come denaro già guadagnato, quando la riduzione attesa di una perdita diventa un ricavo certo e quando il simbolo della percentuale viene utilizzato per nascondere il valore monetario sottostante.

Perché una percentuale, lasciata sola, possiede una straordinaria capacità di seduzione.

Il 2.400 per cento appare enorme, autorevole, quasi indiscutibile. Ma quando lo si traduce in euro, chiedendo esattamente quanti soldi rappresenti e da dove dovrebbero provenire, il numero può improvvisamente perdere l’aureola, la cravatta e qualche zero.

Ed è precisamente qui che comincia la nostra storia.

Donald Trump, gli sconti farmaceutici del 600 per cento e la farmacia come politica salariale

Per comprendere quanto una percentuale possa apparire magnificamente convincente finché nessuno la converte in denaro, possiamo partire da Donald Trump e dalle sue straordinarie riduzioni dei prezzi dei farmaci.

Nel corso del 2025 Trump ha parlato pubblicamente di prezzi destinati a diminuire del 100, del 400, del 600 e persino del 1.000 per cento; in un’altra occasione ha evocato riduzioni del 1.000, 1.100, 1.200, 1.300 e 1.400 per cento, numeri talmente ambiziosi da non limitarsi a sfidare l’industria farmaceutica, ma da rivolgere una vera e propria dichiarazione di guerra all’aritmetica.

La forza comunicativa è indiscutibile. Una riduzione del 10 per cento sembra una misura amministrativa; una del 20 per cento possiede già una certa dignità politica; una del 1.400 per cento evoca la liberazione definitiva del popolo dal costo dei medicinali, dalle malattie e, con ogni probabilità, anche dalla necessità di percepire uno stipendio.

Il problema è che un prezzo non può diminuire di più del 100 per cento senza diventare negativo.

Se un farmaco costa 100 dollari e il suo prezzo viene ridotto del 50 per cento, il cliente paga 50 dollari. Se la riduzione arriva al 100 per cento, il prezzo finale è zero e il farmacista consegna il medicinale gratuitamente, manifestando forse una certa mestizia ma senza violare le leggi dell’algebra.

Con uno sconto del 200 per cento, invece, il prezzo finale diventerebbe meno 100 dollari. Il cliente riceverebbe il farmaco e verrebbe pagato per portarselo via.

Con una riduzione del 600 per cento, il farmacista dovrebbe consegnare la confezione e aggiungere 500 dollari. Con uno sconto del 1.400 per cento, oltre al medicinale dovrebbe versarne 1.300, offrire un caffè, pagare il parcheggio e ringraziare il cliente per avere contribuito alla stabilità finanziaria della farmacia.

A quel punto non ci troveremmo più davanti a una politica sanitaria, bensì a una forma di reddito universale finanziata dall’acquisto di antistaminici. Non servirebbe più lavorare. Sarebbe sufficiente sviluppare una lieve allergia stagionale, presentarsi regolarmente al banco e costruire il proprio piano pensionistico attorno alla cetirizina.

Naturalmente è possibile che un prezzo iniziale sia molte volte superiore a quello finale. Un farmaco che passa da 1.000 a 100 dollari costava inizialmente il 900 per cento in più rispetto al nuovo prezzo; tuttavia la riduzione calcolata rispetto al prezzo iniziale è del 90 per cento, non del 900.

Le due percentuali utilizzano denominatori diversi e rispondono a domande diverse.

“Di quanto è diminuito il prezzo rispetto a quello precedente?” è una domanda. 

“Di quanto il vecchio prezzo era superiore a quello nuovo?” è un’altra.

Cambiare denominatore a metà del ragionamento non rappresenta un’interpretazione creativa della matematica, una differente scuola economica o un atto di sovranità nazionale. Significa cambiare la domanda conservando la risposta che fa maggiore impressione.

E questo ci riporta al ROSI.

Uno sconto del 600 per cento è matematicamente impossibile, salvo ipotizzare che il farmacista paghi il cliente. Un ritorno del 600 per cento, invece, può esistere, perché il beneficio di un investimento non è limitato al suo costo.

Se investo 100 euro e ottengo un beneficio netto di 600, il mio ritorno è del 600 per cento. La matematica non protesta, il farmacista non deve indebitarsi e nessun prezzo diventa negativo.

Il fatto che un ROSI a quattro cifre sia matematicamente possibile, però, non significa che sia automaticamente credibile.

Esattamente come per gli sconti trumpiani, bisogna prendere la percentuale, convertirla in denaro e domandarsi che cosa stia realmente affermando.

È in quel momento che iniziano i problemi.

Che cosa misura il ROSI, prima che il marketing lo trasformi in una rendita

ROSI significa Return On Security Investment, vale a dire ritorno dell’investimento in sicurezza. È un adattamento del ROI tradizionale, utilizzato per confrontare il beneficio economico di un investimento con il capitale impiegato.

La differenza fondamentale è che una misura di sicurezza, nella maggior parte dei casi, non genera direttamente fatturato.

Un firewall non vende automobili, un sistema di autenticazione multifattore non produce energia, un EDR non consegna pacchi e un SOC, salvo recenti innovazioni di cui non sono stato informato, non fattura agli attaccanti il tempo impiegato per bloccarli.

La sicurezza cerca soprattutto di prevenire o ridurre perdite. ENISA descrive infatti il ROSI come uno strumento destinato a valutare il beneficio finanziario derivante dalla prevenzione delle perdite, ricordando che la sicurezza non rappresenta normalmente un investimento produttivo capace di generare direttamente profitti.

Il ROSI confronta quindi il costo del controllo con il valore economico della riduzione attesa del rischio.

Una forma comune della formula è:

ROSI = [(beneficio economico annuo atteso meno costo annuo della sicurezza) diviso il costo annuo della sicurezza] moltiplicato per 100.

Il beneficio economico atteso corrisponde normalmente alla differenza fra la perdita annua prevista prima dell’introduzione del controllo e quella residua dopo la sua implementazione.

Possiamo quindi scrivere:

ROSI = [(ALE iniziale meno ALE residua meno costo della misura) diviso il costo della misura] moltiplicato per 100.

ALE significa Annual Loss Expectancy, perdita annua attesa, e indica il valore monetario medio della perdita che si ritiene possa derivare annualmente da un determinato scenario di rischio. Il concetto viene utilizzato nelle valutazioni economiche del rischio proprio per esprimere una perdita attesa in termini monetari.

Per esempio, se un incidente può produrre una perdita di 100.000 euro e si stima che possa verificarsi una volta ogni cinque anni, la perdita annua attesa sarà di 20.000 euro.

Ciò non significa che ogni anno l’azienda riceverà una fattura da 20.000 euro intestata “servizio ransomware in abbonamento”. Potrebbero trascorrere quattro anni senza incidenti e verificarsi una perdita da 100.000 euro nel quinto; potrebbero passare dieci anni senza che accada nulla oppure potrebbero manifestarsi due eventi nel medesimo esercizio.

L’ALE è una media probabilistica, non l’agenda personale dell’attaccante.

Il ROSI misura quindi il rapporto fra un beneficio monetario atteso e un costo monetario reale.

Ed è essenziale insistere sull’aggettivo “reale”, perché il costo della sicurezza viene pagato davvero, mentre il beneficio consiste spesso in una perdita futura che si ritiene di avere ridotto.

La licenza viene fatturata.

Il personale riceve uno stipendio.

Il progetto di integrazione viene pagato.

Il rischio evitato, invece, appartiene al mondo delle probabilità e dei controfattuali.

Questa asimmetria dovrebbe suggerire una certa prudenza.

La percentuale deve diventare denaro

Un ROSI espresso soltanto in termini percentuali è incompleto, perché non consente di capire quale valore economico concreto gli venga attribuito.

Supponiamo che un controllo costi 100.000 euro e che il modello presenti un ROSI del 100 per cento.

Questo significa che, dopo avere sottratto il costo, il beneficio netto atteso è pari ad altri 100.000 euro. Il beneficio lordo, cioè la riduzione complessiva delle perdite attese, deve essere pari a 200.000 euro.

Il controllo costa 100.000 euro.

Il modello sostiene che permetterà di evitare perdite per 200.000.

Sottraendo il costo, restano 100.000 euro di beneficio netto.

Un ROSI dello zero per cento indica invece che il beneficio lordo atteso coincide esattamente con il costo. Spendiamo 100.000 euro e stimiamo di evitare perdite per 100.000. Economicamente siamo al pareggio, almeno secondo le ipotesi utilizzate.

Un ROSI negativo del 20 per cento significa che spendiamo 100.000 euro per ottenere una riduzione attesa delle perdite pari a 80.000. Il controllo produce un beneficio, ma inferiore al proprio costo.

Un ROSI del 1.000 per cento significa invece che, dopo avere recuperato il costo, il beneficio netto atteso equivale a dieci volte l’investimento.

Con un costo di 100.000 euro, il beneficio netto dichiarato è di un milione e la riduzione lorda delle perdite attese deve essere pari a 1.100.000 euro.

Un ROSI del 4.000 per cento applicato allo stesso investimento significa che il beneficio netto atteso ammonta a quattro milioni e quello lordo a 4.100.000 euro.

A questo punto il numero smette di essere una percentuale astratta e diventa un’affermazione economica precisa:

“Spendendo 100.000 euro, riteniamo di evitare perdite per 4.100.000 euro.”

Scritta così, la frase appare molto meno innocente.

Non è più sufficiente sorridere, mostrare una freccia verde rivolta verso l’alto e dichiarare che il business case sia “molto positivo”. Bisogna spiegare quali perdite per oltre quattro milioni verrebbero evitate, con quale probabilità, grazie a quale efficacia e sulla base di quali dati.

La percentuale è il costume da scena.

Gli euro sono l’interrogatorio.

Primo limite: il ROSI non fa scomparire il costo della sicurezza

Il primo controllo di realtà riguarda il costo.

Un ROSI positivo non annulla la spesa sostenuta per la sicurezza.

Se l’azienda paga 100.000 euro per una soluzione, quei 100.000 euro sono usciti dal conto corrente, indipendentemente dal ROSI.

Possono essere giustificati da un beneficio atteso superiore, ma non cessano di essere un costo.

Questa distinzione sembra banale, e proprio per questo viene regolarmente dimenticata.

Talune presentazioni sostengono che una soluzione “si ripaghi da sola”, espressione suggestiva che evoca un firewall capace di svolgere qualche lavoro serale, mettere da parte il denaro e saldare autonomamente le proprie fatture. 

In realtà la soluzione non si ripaga.

L’azienda la paga.

Il modello sostiene che, grazie a quella spesa, si ridurranno perdite future per un valore superiore.

Se investiamo 500.000 euro e il ROSI dichiarato è del 300 per cento, il beneficio netto atteso è di 1.500.000 euro, mentre quello lordo è pari a due milioni.

I 500.000 euro, però, continuano a essere stati spesi.

Non si volatilizzano.

Non vengono cancellati dalla percentuale.

Non si trasferiscono in una dimensione contabile nella quale le fatture smettono di esistere perché il rischio evitato era più grande.

Il ROSI afferma che il costo dovrebbe risultare economicamente conveniente rispetto alla perdita attesa ridotta. Non afferma che il costo sia diventato zero.

La differenza è simile a quella esistente fra acquistare un’assicurazione conveniente e ricevere gratuitamente la polizza. Nel primo caso sosteniamo una spesa ritenuta giustificata; nel secondo il costo non esiste. Sono due concetti differenti, benché qualche presentazione commerciale li tratti come cugini stretti.

Quando qualcuno dichiara che una tecnologia “non costa nulla perché si ripaga”, sta usando il beneficio atteso per cancellare retoricamente una spesa reale.

È una forma di prestidigitazione contabile: la fattura viene mostrata, coperta con un fazzoletto chiamato “risk reduction” e fatta sparire davanti al consiglio di amministrazione.

Peccato che continui tranquillamente a trovarsi nel bilancio.

Secondo limite: il beneficio non può crescere fino a divorare l’azienda

Il secondo controllo di realtà consiste nel confrontare il valore monetario dichiarato con le dimensioni economiche dell’organizzazione, a partire dal fatturato, dai margini, dal valore degli asset e dalla capacità effettiva di subire una perdita.

Supponiamo che un’azienda fatturi dieci milioni di euro all’anno e investa 500.000 euro in una piattaforma di sicurezza.

Il modello presenta un ROSI del 3.000 per cento.

Traduciamo la percentuale.

Un ROSI del 3.000 per cento significa un beneficio netto atteso di quindici milioni di euro.

Poiché il costo è di 500.000 euro, la riduzione lorda delle perdite dichiarata dal modello è pari a 15.500.000 euro.

L’azienda fattura dieci milioni, ma il prodotto da mezzo milione dovrebbe evitare, in un solo anno, perdite per quindici milioni e mezzo.

A questo punto non è necessario avere studiato economia alla London School of Economics. È sufficiente conservare una moderata capacità di stupirsi.

Da dove arrivano quei quindici milioni e mezzo?

Il modello sta sostenendo che, senza la soluzione, l’azienda perderebbe annualmente una somma superiore all’intero fatturato, e che continuerebbe nondimeno a operare abbastanza a lungo da poter acquistare il prodotto.

Forse esiste una spiegazione.

Le perdite potrebbero comprendere danni patrimoniali, responsabilità verso terzi, sanzioni, costi di ricostruzione, perdita di proprietà intellettuale o effetti distribuiti su più anni. Un incidente catastrofico può certamente produrre conseguenze superiori al fatturato di un singolo esercizio, soprattutto quando vengono coinvolti asset, obblighi o flussi futuri.

Il fatturato non costituisce quindi un limite matematico assoluto alla perdita possibile.

Costituisce però un formidabile controllo di plausibilità.

Se un modello annuale, riferito alla normale operatività aziendale, dichiara che una singola misura eviterà ogni anno perdite superiori all’intero fatturato, chi lo presenta deve spiegare con estrema chiarezza quali componenti eccedano i ricavi, perché siano state incluse, quale sia il loro orizzonte temporale e quale rapporto causale abbiano con il controllo proposto.

Se non riesce a farlo, probabilmente non abbiamo scoperto una tecnologia straordinaria.

Abbiamo sommato cose incompatibili.

Forse il modello ha cumulato cinque anni di benefici e li ha confrontati con il costo del primo anno.

Forse ha sommato perdita di fatturato e perdita di valore aziendale, contando due volte lo stesso effetto.

Forse ha inserito la sanzione massima teorica come se fosse certa.

Forse ha trattato ogni tentativo di attacco come un incidente riuscito.

Forse ha attribuito alla soluzione l’intera capacità di riduzione del rischio prodotta da dieci controlli differenti.

O forse, più semplicemente, qualcuno aveva bisogno di un numero abbastanza grande da fare approvare il budget prima di pranzo.

Il fatturato non è una benedizione matematica, ma un ottimo rilevatore di fumo

Occorre evitare un equivoco opposto.

Non possiamo affermare in modo assoluto che una perdita non possa mai superare il fatturato.

Un’impresa che fattura dieci milioni può possedere asset per cinquanta, assumere obblighi verso clienti per somme superiori, provocare danni a terzi, subire una responsabilità pluriennale o perdere una proprietà intellettuale il cui valore ecceda i ricavi annuali.

Un incidente può compromettere più esercizi, non soltanto quello in corso.

Il confronto con il fatturato deve quindi essere utilizzato come test di coerenza, non come dogma scolpito sulle tavole della governance.

Il principio corretto è questo: quanto più il beneficio monetario dichiarato supera le dimensioni economiche osservabili dell’organizzazione, tanto maggiore deve essere la qualità della spiegazione.

Un beneficio atteso pari al 10 per cento del fatturato può essere facilmente plausibile.

Un beneficio pari all’intero fatturato richiede dati robusti.

Un beneficio pari a tre volte il fatturato richiede una spiegazione analitica, un orizzonte temporale esplicito e l’assenza di doppi conteggi.

Un beneficio pari a dieci volte il fatturato, ottenuto acquistando una licenza annuale, richiede probabilmente anche la presenza di un sacerdote, di un notaio e di qualcuno incaricato di controllare che Excel non sia posseduto.

Il fatturato funziona quindi come il rilevatore di fumo dell’analisi.

Non dimostra automaticamente che vi sia un incendio metodologico, ma suggerisce che sarebbe prudente smettere di applaudire e controllare da dove provenga quell’odore.

Il ROSI non può evitare più perdita di quella realmente esposta al controllo

Esiste poi un limite ancora più elementare, benché frequentemente violato: il beneficio attribuito a un controllo non può superare la perdita associata allo scenario che quel controllo può effettivamente mitigare.

Se il rischio annuo di compromissione degli account amministrativi è stimato in 500.000 euro, un sistema di autenticazione destinato esclusivamente a quello scenario non può essere accreditato di una riduzione annuale di due milioni, a meno che non venga dimostrato che agisce anche su altri rischi quantificati.

Sembra ovvio, ma nel meraviglioso regno dei business case la stessa perdita viene spesso assegnata a più prodotti.

Il gateway email evita il phishing.

L’awareness evita lo stesso phishing.

L’MFA evita lo stesso phishing.

L’EDR evita lo stesso phishing.

Il SOC evita lo stesso phishing.

La threat intelligence, non volendo essere esclusa dalla festa, evita anch’essa il medesimo phishing.

Lo stesso incidente, pur non essendo mai avvenuto, viene impedito sei volte e produce sei benefici economici distinti.

Se il rischio iniziale era pari a un milione di euro, il portafoglio dei controlli può dichiarare di averne eliminati quattro o cinque, ottenendo il raro risultato di ridurre più rischio di quanto l’azienda ne possedesse.

A quel punto l’organizzazione non soltanto è protetta, ma comincia probabilmente a generare sicurezza in eccesso da vendere alle imprese confinanti.

In realtà ogni nuovo controllo interviene sul rischio residuo lasciato dagli altri. Se il gateway ha già ridotto del 70 per cento la probabilità di un determinato attacco, il beneficio dell’MFA deve essere calcolato sulla porzione di rischio ancora esistente, non sull’intero valore iniziale.

I controlli possono sovrapporsi, rafforzarsi o dipendere l’uno dall’altro. Attribuire a ciascuno il cento per cento del beneficio complessivo non è difesa in profondità.

È contabilità creativa in profondità.

L’esperimento dei 100 euro e il miracolo del denominatore

Torniamo ora alla domanda che ha originato questa riflessione: è davvero possibile che 100 euro investiti in sicurezza producano un ROSI del 1.000 per cento?

Sì, è possibile.

Supponiamo che un incidente produca una perdita media di 1.200 euro e si verifichi una volta all’anno. Una misura da 100 euro riduce il rischio del 90 per cento.

La riduzione lorda attesa della perdita è pari a 1.080 euro.

Sottraendo il costo di 100 euro, otteniamo un beneficio netto di 980.

Il ROSI è quindi del 980 per cento.

La formula è corretta e nessuna legge matematica è stata maltrattata.

Tuttavia il risultato dipende interamente da quattro affermazioni: l’incidente costa davvero 1.200 euro, si verifica davvero ogni anno, la misura riduce davvero il rischio del 90 per cento e il suo costo complessivo è davvero limitato a 100 euro.

Modifichiamo una sola ipotesi.

L’incidente non avviene annualmente, ma presenta una probabilità del 10 per cento.

La perdita annua attesa scende da 1.200 a 120 euro. La riduzione del 90 per cento produce un beneficio lordo di 108 euro. Sottraendo il costo di 100, restano otto euro.

Il ROSI passa dal 980 all’8 per cento.

Il prodotto non è cambiato.

Il prezzo non è cambiato.

L’impatto dell’incidente non è cambiato.

È cambiata soltanto la frequenza stimata.

Questo dimostra quanto la percentuale sia sensibile alle ipotesi e quanto sia irresponsabile presentarla senza rendere visibili i dati sottostanti.

Un ROSI del 980 per cento può essere un risultato eccellente oppure un castello costruito sulla convinzione che un evento raro accada ogni dodici mesi con la puntualità dell’abbonamento ferroviario.

Il firewall da 200.000 euro che salva cinque milioni prima ancora di essere configurato

Immaginiamo ora un business case più vicino a quelli che talvolta compaiono nelle presentazioni commerciali.

Un’azienda valuta una nuova piattaforma di sicurezza. Il consulente stima che un incidente grave costerebbe dieci milioni di euro e assegna all’evento una probabilità annuale del 50 per cento. La perdita annua attesa è quindi pari a cinque milioni.

Alla piattaforma viene attribuita un’efficacia del 95 per cento, con una riduzione del rischio pari a 4.750.000 euro.

Il costo indicato è di 200.000 euro.

Il ROSI risultante è:

(4.750.000 meno 200.000) diviso 200.000, moltiplicato per 100, uguale 2.275 per cento.

Tradotto in termini monetari, il modello dichiara che una spesa di 200.000 euro produrrà un beneficio netto atteso di 4.550.000 euro.

La piattaforma, prima ancora di essere configurata, ha già finanziato una parte considerevole dell’azienda.

La sala applaude, il commerciale verifica mentalmente la commissione e il consulente aggiunge una slide con la scritta “compelling business case”.

Esaminiamo però le ipotesi.

Il costo di dieci milioni rappresentava il massimo osservato in un campione molto ampio, non la perdita media plausibile per quella specifica organizzazione.

La probabilità del 50 per cento derivava da un’indagine nella quale metà delle aziende aveva dichiarato di avere rilevato almeno un evento, non necessariamente un incidente comparabile.

L’efficacia del 95 per cento proveniva da un test tecnico condotto su campioni noti, non dalla riduzione osservata delle perdite economiche.

Il costo di 200.000 euro comprendeva soltanto la licenza del primo anno, lasciando fuori servizi, personale, infrastruttura, formazione, tuning, gestione e rinnovi.

I dati non erano necessariamente falsi. Erano semplicemente estratti da contesti differenti, promossi al grado di verità universale e fatti convivere nel foglio Excel come coinquilini che non si erano mai incontrati prima.

Ricalcoliamo il modello utilizzando una perdita plausibile compresa fra uno e sei milioni, una frequenza annuale fra il 3 e il 15 per cento, un’efficacia economica fra il 15 e il 40 per cento e un costo complessivo di 450.000 euro.

Il numero unico e trionfale scompare.

Otteniamo una gamma di risultati, alcuni positivi e altri negativi, la cui convenienza dipende da poche variabili molto incerte.

La realtà non è diventata meno professionale perché ha prodotto un intervallo anziché una profezia.

È diventata soltanto meno adatta alla brochure.

Il costo totale, quella voce che rovina sempre le feste

Uno dei metodi più efficaci per ottenere un ROSI elevato consiste nel ridurre artificialmente il costo della misura.

La perdita potenziale viene gonfiata fino a comprendere il collasso dell’azienda, la reputazione, le sanzioni, la fuga dei clienti e forse anche la tristezza dei dipendenti.

L’efficacia del prodotto viene elevata a livelli taumaturgici.

Il costo, invece, viene sottoposto a una dieta draconiana.

Nel modello compare la licenza.

Tutto il resto prende un taxi e lascia la città.

Scompaiono la progettazione, l’integrazione, la migrazione, la formazione, il personale, il supporto, la manutenzione, i rinnovi, l’infrastruttura, la raccolta dei log, il tuning, i falsi positivi, il tempo degli utenti, la gestione degli alert, le attività di audit, la dismissione della soluzione precedente e il costo opportunità delle risorse sottratte ad altri progetti.

Il prodotto viene rappresentato come una creatura autosufficiente che arriva in azienda, comprende spontaneamente l’architettura, si configura per istinto, analizza gli eventi durante la notte e rinnova gratuitamente la licenza per gratitudine.

Supponiamo che il beneficio lordo atteso sia pari a un milione di euro.

Con un costo totale di 500.000 euro, il ROSI è del 100 per cento, perché il beneficio netto è pari a 500.000.

Se nel business case inseriamo soltanto una licenza da 100.000 euro, ignorando gli altri 400.000 di costo, il ROSI sale al 900 per cento.

Il prodotto non è diventato nove volte migliore.

È semplicemente sparita una parte del conto.

La percentuale è cresciuta non perché sia aumentata la sicurezza, ma perché è diminuita la sincerità del denominatore.

Il fatturato, il margine e la strana abitudine di confonderli

Il confronto con il fatturato richiede inoltre una precisazione, perché il fatturato non coincide con il profitto e neppure con la perdita economica evitabile.

Un’azienda che fattura dieci milioni potrebbe avere un margine di 500.000 euro. Se un incidente impedisce vendite per un milione, non è necessariamente corretto dichiarare una perdita economica di un milione, perché parte dei costi variabili potrebbe non essere sostenuta.

Allo stesso modo, una perdita di fatturato non dovrebbe essere sommata automaticamente alla perdita di profitto derivante dalla stessa mancata vendita, perché si rischierebbe di contare due volte il medesimo effetto.

Questo è un altro luogo nel quale i modelli creativi prosperano.

L’incidente impedisce vendite per due milioni.

Il modello inserisce due milioni di fatturato perso.

Poi aggiunge il margine non realizzato.

Poi aggiunge il danno reputazionale calcolato come vendite future perse.

Poi inserisce una riduzione del valore aziendale derivante dalle aspettative di minori vendite.

La stessa perdita viene contabilizzata in quattro forme differenti, con baffi, cappello e documento falso.

Quando il beneficio evitato supera il fatturato, una delle prime verifiche dovrebbe quindi riguardare i doppi conteggi.

Stiamo sommando ricavi e margini?

Stiamo includendo sia la perdita operativa sia la conseguente riduzione del valore aziendale?

Stiamo aggiungendo cinque anni di vendite future a un calcolo dichiarato annuale?

Stiamo trattando una sanzione massima e il danno reputazionale come conseguenze certe e indipendenti?

Il ROSI può essere espresso in percentuale, ma la percentuale deve essere riconciliata con il conto economico, con il patrimonio e con l’effettiva esposizione al rischio.

Altrimenti non stiamo quantificando il rischio.

Stiamo facendo fan fiction finanziaria.

La perdita attesa non è la perdita massima con un abito più elegante

Un altro espediente diffuso consiste nel trasformare la perdita massima teorica in perdita attesa.

La normativa prevede una sanzione fino a venti milioni?

Il modello inserisce venti milioni.

L’incidente più grave osservato nel settore è costato cinquanta milioni?

Il modello inserisce cinquanta milioni.

Una grande multinazionale ha perso il 7 per cento del valore di borsa dopo una violazione?

Il modello applica la medesima percentuale all’azienda cliente, indipendentemente dalle differenze di settore, dimensione, mercato e struttura finanziaria.

Il massimo teorico può essere utile per costruire uno scenario estremo. Non dovrebbe essere trattato come il costo medio dell’incidente.

La perdita attesa richiede di combinare l’entità delle conseguenze con la probabilità che si realizzino. Una perdita da cento milioni con probabilità dello 0,1 per cento non produce un’ALE di cento milioni, ma di centomila.

Questo non significa che il rischio sia irrilevante. Un evento raro può distruggere l’azienda e richiedere un trattamento anche quando il ROSI appare negativo.

Significa però che non possiamo utilizzare il massimo come valore annuo soltanto perché rende più gradevole il business case.

Altrimenti potremmo calcolare il costo medio di un viaggio in automobile utilizzando come riferimento la distruzione completa del veicolo, un ricovero di sei mesi e la caduta di un meteorite sul garage.

Sono eventi possibili.

Non sono necessariamente la perdita attesa di ogni tragitto.

Dal tentativo all’incidente, dall’incidente alla fine del mondo

Anche la frequenza degli eventi offre ampie opportunità di moltiplicazione.

Un’organizzazione può ricevere milioni di messaggi malevoli, scansioni, richieste anomale e tentativi di autenticazione.

Questo non significa che subisca milioni di incidenti.

Un tentativo di attacco non è una compromissione. Una compromissione non produce sempre un incidente grave. Un incidente non genera automaticamente la perdita massima teorica.

Se un prodotto blocca centomila email malevole, non possiamo moltiplicare quel numero per il costo medio di un data breach e dichiarare di avere salvato il prodotto interno lordo di una nazione europea.

Molti messaggi non sarebbero stati aperti.

Alcuni sarebbero stati intercettati da altri controlli.

Alcuni erano duplicati.

Altri erano tecnicamente malevoli ma privi di qualsiasi possibilità concreta di successo.

Confondere tentativi, eventi, incidenti e perdite equivale a sostenere che, poiché mille persone sono passate davanti a una gioielleria, la porta blindata abbia evitato mille rapine.

Con lo stesso metodo, il semaforo davanti alla stazione salva ogni giorno il valore economico di tutti gli incidenti teoricamente possibili e dovrebbe ricevere un premio produttività superiore a quello dell’amministratore delegato.

Il vendor, il calcolatore e l’oracolo commissionabile

I dati dei vendor possono essere utili e metodologicamente seri, ma devono essere utilizzati ricordando un fatto che alcune presentazioni trattano come un’eresia: il vendor trae un vantaggio economico dalla vendita.

Questo interesse non rende automaticamente falsi i dati, ma rende indispensabile comprenderne origine, campione, definizioni e limiti.

Che cosa viene chiamato incidente?

Il campione comprende aziende comparabili?

Vengono mostrati media e mediana?

Pochi casi estremi influenzano il risultato?

I dati riguardano perdite effettive o semplici eventi rilevati?

La riduzione del rischio è stata osservata presso clienti reali o dedotta da test tecnici?

In assenza di queste informazioni, non abbiamo una base statistica.

Abbiamo una brochure con due decimali.

Ancora più affascinanti sono i calcolatori online del ROSI. L’utente inserisce il numero dei dipendenti, il fatturato, il settore e gli endpoint; il sistema riflette per circa due secondi e scopre invariabilmente che il prodotto del vendor è indispensabile.

Non accade mai che il calcolatore risponda:

“Nel vostro caso la soluzione non sembra conveniente.”

Oppure:

“Avete già controlli sufficienti.”

Oppure:

“Prima di acquistare il nostro prodotto dovreste sistemare il patch management.”

Qualunque combinazione di dati conduce verso il pulsante “Contatta le vendite”.

Non è un modello economico.

È un oracolo con un piano commissionale.

Un calcolatore serio dovrebbe mostrare formule, fonti, ipotesi e valori monetari, consentendo all’utente di modificarli e di osservare come cambi il risultato.

Se il modello resta nascosto e la conclusione è sempre “comprare”, non stiamo valutando un investimento.

Stiamo utilizzando l’algebra come decorazione della landing page.

Il consulente, il benchmark proprietario e la probabilità nata durante il workshop

Il consulente entra nella vicenda con un ruolo più solenne.

Deve trasformare la complessità in una metodologia, la metodologia in un progetto e il progetto in una sequenza di workshop fatturabili.

La complessità autentica richiede dati interni, conoscenza del business, confronto con gli stakeholder, analisi delle dipendenze e disponibilità ad ammettere che alcune variabili sono incerte.

La complessità teatrale richiede un foglio Excel protetto da password, un diagramma esagonale e una probabilità espressa con due decimali.

Quando qualcuno domanda perché la probabilità dell’incidente sia stata fissata al 37,42 per cento, la risposta è che deriva dal modello.

Quando chiede da dove il modello l’abbia ricavata, gli viene spiegato che si tratta di un benchmark proprietario.

Quando domanda chi abbia costruito il benchmark, viene invitato a un workshop di approfondimento.

Fatturabile, naturalmente.

Il problema non è ricorrere al giudizio degli esperti, che può essere necessario quando i dati sono scarsi. Il problema è trasformare l’opinione in dato oggettivo attraverso la semplice aggiunta di una virgola.

Dire “riteniamo plausibile una probabilità compresa fra il 20 e il 40 per cento” è metodologicamente onesto.

Scrivere “37,42 per cento” comunica una precisione che probabilmente non esiste.

I decimali funzionano come una cravatta: non rendono il contenuto più intelligente, ma lo fanno sembrare abbastanza presentabile da essere ammesso in consiglio.

Il manager illuminato e la distribuzione delle assoluzioni

Il management non è necessariamente una vittima del ROSI creativo.

Una percentuale spettacolare può essere molto comoda per tutti.

Il CISO dimostra di avere prodotto valore.

Il CIO dimostra di avere modernizzato l’azienda.

Il responsabile acquisti dimostra di avere negoziato un investimento straordinario.

Il consiglio di amministrazione può approvare una spesa presentandola come un guadagno.

Il modello distribuisce assoluzioni con grande efficienza.

Se dopo l’acquisto non accade nulla, il prodotto ha funzionato.

Se avviene un incidente, senza il prodotto sarebbe stato certamente peggiore.

Se i costi crescono, il panorama delle minacce è cambiato.

Se il ROSI promesso non può essere verificato, è perché i benefici appartengono al mondo controfattuale delle perdite evitate.

Il modello è quindi quasi impossibile da smentire, caratteristica che gli garantisce una brillante carriera aziendale.

Il rischio residuo, nel frattempo, continua tranquillamente a non leggere le slide.

Il ROSI non è obbligato a essere positivo

Un altro segnale di scarsa credibilità è rappresentato dai modelli che producono sempre un risultato positivo.

Un ROSI serio deve poter concludere che un investimento non sia conveniente, che il costo sia troppo elevato, che l’efficacia prevista sia insufficiente o che esistano alternative migliori.

Deve poter dire che assumere due persone sarebbe più utile che acquistare un’altra piattaforma.

Deve poter suggerire che il problema principale riguarda processi, configurazioni o responsabilità, non la mancanza di tecnologia.

Deve perfino poter ammettere che non esistano dati sufficienti per calcolare una percentuale credibile.

Un modello che conclude sempre “comprare” non è un modello.

È un venditore che ha imparato le formule.

Questo non significa che un ROSI negativo renda automaticamente inutile un controllo. Alcune misure sono necessarie per rispettare obblighi normativi, proteggere diritti, mantenere contratti o affrontare rischi esistenziali.

Una perdita rara ma capace di distruggere l’impresa può richiedere un trattamento anche quando il valore medio annuo non rende positivo il ROSI.

Il ROSI sostiene la decisione.

Non sostituisce la governance, la conformità, la tolleranza al rischio o il semplice buon senso.

Come rendere credibile il calcolo

Un ROSI credibile dovrebbe partire da uno scenario definito, non dall’intera nozione metafisica di cybersecurity.

Non ha senso chiedere “qual è il ROSI della nostra sicurezza?”, perché la sicurezza comprende persone, processi, tecnologie, obblighi e rischi profondamente differenti.

Ha invece senso chiedere quale sia il valore economico atteso dell’introduzione di un controllo specifico per ridurre un determinato scenario in un periodo definito.

Occorre rendere visibili la perdita iniziale, la frequenza, l’efficacia stimata, il rischio residuo e il costo totale.

La percentuale deve essere sempre accompagnata dal valore monetario.

Se il ROSI è del 500 per cento su un investimento di 200.000 euro, bisogna scrivere che il modello prevede un beneficio netto di un milione e una riduzione lorda delle perdite pari a 1.200.000 euro.

A quel punto il lettore può confrontare il risultato con il fatturato, con il margine, con la dimensione dello scenario e con la perdita effettivamente esposta al controllo.

È inoltre necessario indicare l’orizzonte temporale.

Un beneficio di cinque milioni distribuito su cinque anni non può essere confrontato con il costo del solo primo anno senza dichiararlo.

I rinnovi, il personale e la manutenzione devono essere inclusi.

Le perdite future devono essere trattate in modo coerente.

Gli effetti pluriennali non possono essere nascosti dentro una cifra presentata come annuale.

Quando i dati sono incerti, è preferibile mostrare uno scenario prudente, uno centrale e uno favorevole, anziché un unico numero con due decimali.

Se nello scenario prudente il ROSI è negativo del 30 per cento, in quello centrale positivo del 70 e in quello favorevole pari al 400, il management dispone di un’informazione molto più utile del solenne “146,72 per cento”.

Può comprendere quali ipotesi determinino la convenienza e valutare se siano realistiche.

La trasparenza non indebolisce il business case.

Indebolisce soltanto i miracoli.

Il controllo finale della farmacia

Torniamo dunque a Trump, ai farmaci e agli sconti del 600 o del 1.400 per cento.

Una diminuzione superiore al 100 per cento produce un prezzo negativo. Il farmacista consegna il medicinale e paga il cliente.

Il ROSI può invece superare il 100 per cento senza violare la matematica, ma la percentuale deve essere convertita in denaro.

Se una soluzione costa 100.000 euro e presenta un ROSI del 4.000 per cento, il modello non sta pronunciando una formula mistica.

Sta affermando che quella soluzione produrrà un beneficio netto atteso di quattro milioni di euro e una riduzione lorda delle perdite pari a 4.100.000.

A quel punto dobbiamo chiedere se l’azienda possieda davvero un’esposizione annuale di quella dimensione, se il controllo possa realmente ridurla, se il costo sia completo e se il beneficio sia compatibile con fatturato, margini, patrimonio e orizzonte temporale.

Se il valore economico dichiarato cancella retoricamente i costi della sicurezza, c’è un problema.

Se supera il fatturato annuale senza spiegare la presenza di danni patrimoniali, responsabilità o effetti pluriennali, c’è probabilmente un problema.

Se la stessa perdita viene evitata da cinque prodotti differenti, c’è un problema.

Se ogni tentativo viene trattato come un incidente riuscito, c’è un problema.

Se il costo comprende soltanto la licenza mentre le persone necessarie a gestirla sono considerate una risorsa naturale rinnovabile e gratuita, c’è decisamente un problema.

E se il modello continua a produrre il 4.000 per cento dopo avere corretto tutte queste anomalie, allora complimenti: avete probabilmente trovato un investimento eccellente.

Ma almeno saprete quanti euro rappresenta, da dove dovrebbero provenire e quali ipotesi devono realizzarsi perché il beneficio esista.

Se non lo sai, sallo

Il ROSI non è il problema.

Il problema è il ROSI utilizzato come manganello numerico, come alibi metodologico o come macchina retorica destinata a rendere inevitabile una decisione già presa.

Non è sbagliato quantificare il valore della sicurezza. È sbagliato fingere che una catena di ipotesi produca una certezza soltanto perché termina con il simbolo della percentuale.

Non è sbagliato ottenere un ROSI del 1.000 o del 4.000 per cento. È sbagliato evitare di spiegare che cosa quella percentuale rappresenti in euro.

Non è sbagliato affermare che una misura riduca perdite future. È sbagliato trattare quelle perdite come ricavi già incassati.

Non è sbagliato confrontare il beneficio con il costo. È sbagliato dichiarare che il beneficio annulli il costo, come se la fattura della sicurezza potesse essere cancellata attraverso un atto di fede.

Il costo è reale e viene sostenuto.

Il beneficio è atteso e deve essere dimostrato.

La percentuale è un rapporto.

Gli euro sono la sostanza.

Il ROSI dovrebbe aiutare il management a decidere in condizioni di incertezza, mostrando ipotesi, fonti, intervalli, costi e rischio residuo. Non dovrebbe eliminare graficamente l’incertezza per rendere più elegante la slide.

La prossima volta che qualcuno presenterà un ROSI del 4.000 per cento, non sarà necessario accompagnarlo immediatamente all’uscita. Sarà sufficiente chiedergli di tradurlo in denaro.

Quanto costa il controllo?

Qual è il beneficio lordo?

Qual è quello netto?

Quale perdita viene evitata?

In quale periodo?

Quanto fattura l’azienda?

Quale parte del beneficio eccede il fatturato e perché?

Quali costi sono stati inclusi?

Quali controlli contribuiscono alla stessa riduzione?

Se dopo queste domande la percentuale rimarrà in piedi, avremo davanti un business case robusto.

Se invece inizierà a perdere zeri, decimali e dignità, non avremo distrutto il valore della sicurezza.

Avremo soltanto rimosso il reparto effetti speciali.

Perché Excel calcola tutto: le ipotesi corrette, quelle sbagliate, i costi dimenticati, i benefici contati quattro volte, le perdite superiori al fatturato e persino gli sconti farmaceutici del 1.400 per cento.

La matematica non è un’opinione.

È soltanto molto educata e accetta qualsiasi numero le venga consegnato.

La responsabilità di non consegnarle sciocchezze, purtroppo, resta interamente nostra.