Qualitativo vs Quantitativo: approcci a confronto

Nel 2025, CISO, IT Manager e responsabili della sicurezza si trovano a operare sotto una crescente pressione per giustificare le scelte di sicurezza con dati concreti e business-aligned. L’aumento degli obblighi normativi (es. NIS2, DORA) e le richieste sempre più esigenti da parte dei board aziendali richiedono un linguaggio comune: il rischio.

Ma come misurarlo e comunicarlo in modo efficace?

Due approcci si contendono la scena nella valutazione del rischio informatico:

• Analisi qualitativa
• Analisi quantitativa

In questo articolo li analizziamo in profondità: caratteristiche, vantaggi, limiti, contesti d’uso, esempi reali, strumenti e best practice operative.

Origini e logiche dei due approcci

L’analisi qualitativa

Storicamente utilizzata in ambito IT per la sua semplicità ed economicità, si basa su giudizi esperti, classificazioni soggettive (basso, medio, alto), heatmap e interviste. È lo strumento preferito dalle PMI o dai team che si avvicinano per la prima volta al risk management.

L’analisi quantitativa

Nata in ambito finanziario, è stata successivamente applicata al cyber risk grazie a modelli come FAIR, NIST SP 800-30, e simulazioni Monte Carlo. Offre valutazioni in termini numerici (es. € di danno atteso) e si allinea al linguaggio del business e del board.

Analisi qualitativa: accessibile, veloce, soggettiva

Cos’è

È un metodo descrittivo basato su giudizi esperti, scale ordinarie (es. basso, medio, alto) e rappresentazioni visive come heatmap. Viene spesso applicato nei framework ISO/IEC 27005, NIST CSF, CIS Controls, ed è adatto a realtà con maturità cyber ancora in crescita.

Quando è efficace?

• In assenza di dati numerici affidabili
• Quando serve un primo screening dei rischi
• Per sensibilizzare stakeholder non tecnici

Vantaggi

• Facile da comprendere per stakeholder non tecnici
• Rapida implementazione anche in contesti complessi
• Compatibilità normativa con standard diffusi (ISO 27001, NIST)

Svantaggi

• Soggettività elevata: i giudizi sono influenzati da percezioni personali
• Difficoltà nel prioritizzare economicamente i rischi
• Limitata efficacia verso CFO e Board orientati a metriche numeriche

Analisi quantitativa: oggettiva, modellata, orientata al business

Cos’è

Utilizza numeri e modelli statistici per stimare:

• Frequenza (probabilità di accadimento)
• Impatto finanziario
• Distribuzione delle perdite

I modelli più diffusi includono:

• FAIR (Factor Analysis of Information Risk)
• NIST SP 800-30 Rev.1
• Simulazioni Monte Carlo

Quando è efficace?

• Per giustificare investimenti di cybersecurity
• In settori altamente regolamentati (finance, sanità, energia)
• Per supportare richieste assicurative o audit di terze parti

Vantaggi

• Quantifica il rischio in termini economici
• Tracciabilità delle ipotesi e dei dati
• Allineamento con assicurazioni, CFO e business continuity

Svantaggi

• Richiede dati storici, competenze statistiche, strumenti ad hoc
• Maggiore effort iniziale per modellazione e validazione
• Rischio di overfitting senza adeguata calibrazione

Impatto sulla gestione del budget cybersecurity

La valutazione del rischio ha un impatto diretto sulla definizione dei budget di sicurezza IT. Un modello qualitativo offre indicazioni generiche (“priorità alta”), ma è spesso insufficiente per competere per risorse con progetti core aziendali.

Il quantitativo, invece, permette simulazioni (es. perdita media attesa annua, ROI delle contromisure), rendendo il dialogo con il CFO più fluido e credibile.

🔎 Secondo un report FAIR Institute 2024, le aziende che usano analisi quantitative hanno una probabilità 3 volte maggiore di ottenere finanziamenti per progetti di sicurezza critici.

Integrazione nei processi aziendali

Risk assessment nel ciclo di vita del sistema informativo

Un approccio maturo al rischio deve integrarsi con:

• ITIL/ITSM per il ciclo di vita dei servizi IT
• DevSecOps per la sicurezza integrata nello sviluppo
• Change management per valutare l’impatto di modifiche infrastrutturali
• Supply chain risk management, soprattutto in cloud e outsourcing

Un risk assessment efficace deve essere dinamico, continuo e aggiornato. Le valutazioni annuali statiche non sono più sufficienti.

Confronto diretto: tabella comparativa

Criterio	Analisi qualitativa	Analisi quantitativa
Complessità	Bassa	Alta
Costo di implementazione	Limitato	Medio-alto
Comunicabilità	Alta (visiva)	Alta (verso CFO, board)
Oggettività	Bassa	Alta
Supporto decisionale	Limitato	Elevato
Metodologie tipiche	ISO 27005, NIST CSF 2.0	FAIR, NIST 800-30, Monte Carlo
Ideale per	PMI, prime valutazioni	Enterprise, settori regolamentati

Evoluzione normativa e aspettative future

Le normative spingono verso l’integrazione di metriche misurabili, aggiornabili e documentabili:

• NIS2: impone valutazioni periodiche, risk management documentato e accountability
• DORA: richiede prove di resilienza, simulazioni di impatto e gestione del rischio terze parti
• ISO/IEC 27005:2018: incoraggia metodi quantitativi per una maggiore oggettività
• GDPR: impone valutazioni d’impatto (DPIA) supportate da analisi del rischio affidabili

Il messaggio è chiaro: il futuro del risk management sarà quantificabile, automatizzato e continuo.

Tecnologie e strumenti a supporto dell’analisi

Negli ultimi anni sono emersi diversi strumenti a supporto del Risk Assessment quantitativo:

• Piattaforme GRC (Governance, Risk and Compliance)
• RiskLens, piattaforma basata su FAIR
• OpenFAIR Toolkit e strumenti Monte Carlo open source
• Modelli AI-driven per simulazione del rischio dinamico

Queste tecnologie, se ben integrate nei processi di IT governance, permettono di mantenere il rischio allineato agli obiettivi di business.

Esempi di settore

Finanza

Le banche e le assicurazioni adottano sempre più approcci quantitativi (es. FAIR) per stimare l’esposizione finanziaria, supportare il budgeting e dialogare con organi di vigilanza come Banca d’Italia o EBA.

Sanità

Molte ASL o ospedali pubblici iniziano con analisi qualitative (ISO 27005), ma nei reparti critici (es. cardiologia, diagnostica) si sta passando a modelli quantitativi per giustificare investimenti infrastrutturali e mitigare i rischi clinici-digitali.

Manifattura

In contesti OT e industria 4.0, la scarsità di dati storici rende utile partire con modelli qualitativi, per poi evolvere verso strumenti quantitativi via sensoristica e dati SCADA integrati nei SOC.

Mini checklist: come iniziare un Risk Assessment

• Definisci asset e confini del sistema (IT, OT, cloud, supply chain)
• Identifica minacce, vulnerabilità e impatti potenziali
• Scegli il metodo: qualitativo, quantitativo, o misto
• Applica il modello scelto (es. FAIR, ISO 27005)
• Prioritarizza i rischi con criteri di business (ROI, compliance, continuità)
• Definisci i controlli mitigativi
• Monitora e riesegui periodicamente l’analisi

Errori comuni da evitare

• Basarsi solo su opinioni in assenza di dati reali
• Ignorare il contesto normativo di settore
• Usare metodi troppo complessi in contesti low-maturity
• Non aggiornare i modelli di rischio nel tempo
• Non coinvolgere stakeholder chiave (es. legale, finance, operations)

Glossario tecnico

• Rischio residuo Il rischio che rimane dopo l’implementazione dei controlli
• Vulnerabilità Debolezza di un asset che può essere sfruttata
• Minaccia Evento o attore che può causare un danno
• Impatto Conseguenze (economiche, reputazionali, operative) di un incidente
• Likelihood Probabilità che un evento si verifichi
• Risk Appetite Livello di rischio che un’organizzazione è disposta ad accettare
• Heatmap Rappresentazione visiva dei rischi su scala colore

❓FAQ – domande frequenti

• Qual è la differenza tra analisi qualitativa e quantitativa del rischio?
• L’analisi qualitativa utilizza descrizioni soggettive per stimare rischio e impatto; l’analisi quantitativa impiega dati numerici, modelli probabilistici e stime economiche per una valutazione oggettiva.
• Quando è meglio usare l’analisi qualitativa?
• È indicata in fasi iniziali, in assenza di dati storici o per contesti con risorse limitate, come PMI o organizzazioni in early-stage sulla cybersecurity.
• Cos’è il modello FAIR?
• FAIR (Factor Analysis of Information Risk) è un framework quantitativo per stimare e comunicare il rischio informatico in termini economici.
• La normativa NIS2 richiede un approccio quantitativo?
• NIS2 non impone un metodo specifico, ma richiede una valutazione documentata, misurabile e periodica dei rischi, favorendo approcci quantitativi per aziende critiche.