Il fenomeno del cyber attack: una analisi econometrica

Esistono diversi approcci che definiscono e aiutano ad implementare la valutazione del rischio cyber e le fasi di trattamento della gestione del rischio. Sebbene ogni approccio definisca gli steps con un livello leggermente diverso di dettagli e con nomi diversi, il flusso generale del processo è sempre lo stesso e molto simile a quello discusso nella sezione precedente.
Questi approcci sono completi, cioè coprono tutte le fasi in un modello unico.

La prima revisione del NIST SP 800-30 ha reso la metodologia, precedentemente dedicata al processo di gestione del rischio, più incentrata sulla valutazione del rischio, anche se vengono considerati anche argomenti come la condivisione del rischio e il mantenimento della valutazione del rischio. La revisione non è un approccio globale, ma fornisce una descrizione ad alto livello del processo di valutazione del rischio e propone cataloghi di conoscenze specialistiche utili per ogni fase. La guida alla gestione dei rischi di Microsoft contiene anche le descrizioni ad alto livello dei passaggi, ma è anche supportata da diverse tabelle e fogli di lavoro da compilare.

Un altro approccio che aiuta ad implementare la valutazione del rischio cyber è OCTAVE Allegro; la valutazione operativa critica, delle attività e delle vulnerabilità, è l'ultima versione di un approccio al rischio ben definito e ampiamente noto per la valutazione del rischio. L'approccio utilizza la raccolta di dati basata su workshop utilizzando un set di fogli di lavoro predefiniti ed è supportato da questionari. OCTAVE Allegro è principalmente un approccio qualitativo o semi-quantitativo. Sebbene tale approccio possa definire quantitativamente i livelli di minaccia e di impatto, l'aggregazione di questi valori è dubbia dal punto di vista matematico.

Simile a OCTAVE Allegro, la metodologia MAGERIT contiene anche un approccio di valutazione del rischio basato sulla compilazione di fogli di lavoro predefiniti, principalmente durante gli incontri e le interviste con gli stakeholder. La metodologia fornisce anche un catalogo per possibili risorse, minacce, vulnerabilità e la loro valutazione.

Mehari 2010 è un approccio basato su liste di controllo con supporto di conoscenze base per l'analisi del rischio. L'approccio fornisce una serie di tabelle per le fasi dell'analisi con le domande originate dallo standard ISO 27002: 2005. Pertanto, l'approccio fornisce l'analisi senza alcuna protezione. La conoscenza base di Mehari fornisce vari supporti (ad esempio, propone scenari di minacce, probabilità intrinseca, impatto intrinseco, valori di riduzione del rischio, ecc.).

S. Butler ha proposto un metodo di analisi costi-benefici chiamato Security Attribute Evaluation Method (SAEM). Il metodo si basa sulla valutazione multi-attributo, in cui l'analisi viene eseguita utilizzando diversi criteri contemporaneamente. L'impatto di diverse minacce, ad esempio, viene considerato utilizzando quattro criteri: perdita di produttività, perdita di entrate, sanzioni normative e reputazione. L'impatto complessivo di una minaccia è una somma ponderata di queste perdite. Un'analisi simile viene eseguita per selezionare la strategia di protezione più appropriata. Le contromisure vengono selezionate in base a quanto attenuano i rischi, quanto costose sono e quanto richiedono manutenzione.

Infine, B. Karabacak e I. Sogukpinar hanno introdotto il metodo di analisi dei rischi per la sicurezza delle informazioni (ISRAM). ISRAM è un approccio quantitativo che utilizza i risultati del questionario per analizzare i rischi per la sicurezza. Il metodo propone di ponderare le risposte delle persone intervistate. Quindi, la probabilità e l'impatto sono determinati come media (rispetto alla quantità di persone intervistate) di questi valori.