Portare il cyber risk in sala consiglio senza perdere l’attenzione a metà pagina è una sfida. Un report efficace non elenca vulnerabilità, ma collega KPIKRI e scenari economici alle decisioni su budget e priorità. Il consiglio vuole capire quanto rischia, cosa costa ridurre il rischio e quali responsabilità attivare. Serve un formato che parli in numeri, tempi e impatti, con una mappa di controlli NIST/ISO “tradotta” in linguaggio finanziario.
Questo tutorial propone un template essenziale, una tassonomia chiara di indicatori e una pratica di tabletop per trasformare rischi astratti in ownership misurabile. L’obiettivo: ottenere decisioni rapide sul budget, non una lezione tecnica.
Perché un cruscotto unico: dal segnale tecnico alla decisione
Un cruscotto per il CdA deve allineare tre piani: stato dei controlli, rischio residuo e impatto economico potenziale. I dettagli operativi restano nel comitato tecnico; al board si espongono trendsoglie e trade-off. Un unico foglio sintetico riduce il rumore: quattro riquadri per KPI/KRI, scenari, mappa controlli e decisioni richieste. Ogni numero deve avere un’unità economica o temporale: euro, giorni, probabilità annua. Niente sigle senza legenda, niente semafori senza metrica. Il linguaggio: rischio atteso in euro, payback delle misure, tempo alla rilevazione e al ripristino.
KPI e KRI: il set minimo che il board comprende
I KPI misurano prestazioni di controllo; i KRI anticipano il rischio. Il set minimo per il board deve essere stabile e confrontabile trimestre su trimestre. Suggerito: 6-8 indicatori con definizioni sintetiche, soglia e trend. Il glossario evita ambiguità e supporta la governance.
- KPI tempo medio di patching critico (giorni), copertura backup testati (percentuale), MTTD rilevazione minacce (ore), MTTR ripristino servizi critici (ore).
- KRI esposizione ransomware attesa (€/anno), superficie d’attacco esterna non gestita (asset), tasso di credenziali compromesse note (account/mese), concentrazione fornitori critici senza assurance (numero).
Ogni indicatore riporta soglia (target), valore attuale, proiezione a 90 giorni e nota di rischio cosa succede se resta fuori soglia e quale costo atteso ne deriva. Le soglie vanno legate al risk appetite aziendale e al piano industriale, non a benchmark generici.
Scenari di impatto economico: dal rischio al valore atteso
Gli scenari devono quantificare l’Expected Loss annua e i quantiles (perdita severa ma plausibile) con ipotesi chiare. Tre blocchi coprono il 90% delle discussioni: ransomware su processi critici, compromissione di fornitore chiave, esfiltrazione di dati regolati. Per ciascuno: probabilità annua, danno diretto (fermo, ripristino, riscatto, consulenze), indiretto (penali, reputazione, churn), e mitigazione disponibile con costo e riduzione di perdita attesa.
Un esempio di struttura numerica: perdita attesa 3,2M€/anno per ransomware, con intervallo 1,1–7,5M€; investimento proposto 900k€ (EDR + gestione patch + esercizi di ripristino) che riduce il rischio atteso del 55% e il Value at Risk a 3,4M€. Il board decide tra capex e rischio residuo, non tra tecnologie. La trasparenza delle ipotesi conta più della precisione assoluta.
Mappa dei controlli: NIST/ISO tradotti in numeri di business
Il linguaggio di framework come NIST CSF o ISO/IEC 27001 va tradotto in metriche economiche. Alla voce Identify copertura asset criticali censiti e assicurati; Protect% di postazioni con controllo applicato; Detect SLA di monitoraggio h24; Respond tempo di attivazione incident teamRecover RPO/RTO testati su processi con EBITDA>5%. Ogni controllo ha costo annuale, rischio ridotto stimato e owner di business.
La mappa si rende su una matrice 5×5: righe per funzioni di framework, colonne per processi di valore (ordini, supply chain, pagamenti, canali digitali, dati regolati). In ogni cella: stato (percentuale), costo mantenimento e rischio residuo in €. I buchi diventano una lista ordinata di priorità finanziarie, non un elenco tecnico.
Tabletop ed esercizi di storytelling: dal rischio all’ownership
I tabletop trimestrali con direzioni operative trasformano scenari in decisioni. Un esercizio dura 60–90 minuti: narrazione in tre atti, decision point, costi e impatti espliciti. Lo storytelling non è teatralità: è la messa in scena dei collegamenti tra interruzione del servizio, penali contrattuali, cash burn giornaliero e alternative di ripristino. Ogni atto assegna un owner e una deadline di remediation; il follow-up rientra nel cruscotto KPI/KRI.
- Scatto iniziale: segnale di compromissione, tempo di rilevazione, canali bloccati, costo al giorno.
- Snodo: scelta tra ripristino da backup o switch fornitore, fabbisogno di OPEX straordinario, effetti su SLA.
- Chiusura: ritorno al normale, report normativo, impatto su ricavi e rating clienti.
Il risultato non è un verbale, ma una scheda con tre investimenti prioritari, benefit in rischio atteso e payback. Questa è la benzina del budget.
Il template: un report da una pagina per il consiglio
Il formato consigliato tiene tutto in una pagina. In alto a sinistra: KPI con soglia, valore, trend a 90 giorni. In alto a destra: KRI con rischio atteso in euro e stato rispetto al risk appetite. Al centro: tre scenari con Expected Loss, mitigazioni e decisione richiesta. In basso: mappa dei controlli NIST/ISO con lacune valorizzate in € e lista di tre investimenti con costo, riduzione di rischio, ROI e tempo di implementazione.
La nota metodologica, in un riquadro, chiarisce fonti dati, assunzioni e intervalli di incertezza. Nessun acronimo senza glossario. Tutti i numeri hanno unità e periodo. La pagina successiva, opzionale, contiene allegati tecnici per il comitato rischi. Il CdA riceve numeri, alternative e ownership non dettagli operativi.
