Ogni anno, migliaia di imprenditori italiani si trovano davanti alla stessa domanda: quanto devo spendere per proteggere la mia azienda dagli attacchi informatici? La risposta che sentono più spesso è "il più possibile". Ma è quella giusta?
No. Non lo è. E c'è un modello scientifico che lo dimostra.
Si chiama modello di Gordon e Loeb. È stato sviluppato nel 2002 da Lawrence Gordon e Martin Loeb, due economisti dell'Università del Maryland, e da allora è diventato il framework di riferimento per chiunque voglia prendere decisioni razionali sulla cybersecurity — non emotive, non commerciali, non dettate dalla paura.
Partiamo dalla domanda sbagliata
La maggior parte delle aziende, quando pensa alla sicurezza informatica, si chiede: "Siamo abbastanza protetti?"
È la domanda sbagliata. Perché non esiste una protezione assoluta. Ogni sistema ha vulnerabilità. Ogni azienda è esposta a qualche forma di rischio — il punto non è eliminarlo, ma gestirlo in modo intelligente.
La domanda giusta è un'altra: "Quanto vale quello che devo proteggere — e quanto conviene spendere per farlo?"
È una domanda economica. Non tecnica. Ed è esattamente quello di cui le PMI italiane hanno bisogno: un linguaggio che capiscono, non una lista di acronimi e tecnologie.
Cosa dice il modello Gordon-Loeb
Il modello di Gordon e Loeb parte da un principio semplice: la sicurezza informatica è un investimento come qualsiasi altro. E come ogni investimento, ha un rendimento marginale decrescente.
Tradotto in italiano semplice: i primi euro che spendi in cybersecurity producono una riduzione del rischio molto significativa. Ma man mano che aumenti la spesa, ogni euro aggiuntivo produce un beneficio sempre minore. Fino a raggiungere un punto oltre il quale spendere di più non serve praticamente a nulla.
Il 37% non è un numero arbitrario. È il risultato di un'analisi matematica che dimostra come, indipendentemente dalla forma della funzione di vulnerabilità, il punto di ottimo degli investimenti in sicurezza informatica non supera mai quella soglia del valore atteso della perdita potenziale.
In altre parole: se un attacco informatico potrebbe costarti 100.000 euro, il massimo che ha senso spendere per prevenirlo è circa 37.000 euro. Oltre quella cifra, stai sprecando risorse.
Perché questo cambia tutto per una PMI
Per una grande azienda con un reparto IT strutturato, questa riflessione è teorica. Ma per una PMI italiana — con risorse limitate, senza un CISO interno, spesso bersagliata da vendor di sicurezza che vendono paura — il modello Gordon-Loeb è uno strumento pratico di sopravvivenza economica.
Perché succede nella realtà? Che le PMI tendono a fare una di queste due cose:
Sottovalutano il rischio, non hanno nessuna misura di protezione, e quando arriva l'attacco pagano un prezzo enorme — in termini economici, reputazionali e operativi. Il ransomware blocca i sistemi per giorni. I dati dei clienti vengono sottratti. Le sanzioni GDPR si aggiungono al danno.
Investono in soluzioni costose consigliate da vendor tecnologici, senza una valutazione reale del rischio. Pagano per protezioni che non corrispondono al loro profilo di esposizione reale. E alla fine rimangono comunque vulnerabili — perché hanno comprato tecnologia invece di strategia.
Il modello Gordon-Loeb aiuta a trovare la via di mezzo: investire quanto basta, dove serve davvero, e trasferire il rischio residuo a chi è strutturato per assorbirlo.
Il pezzo che manca: il trasferimento del rischio
Qui entra in gioco la parte del mio lavoro che più mi differenzia da un consulente IT tradizionale.
Il modello Gordon-Loeb non dice solo "quanto spendere in prevenzione". Dice anche che oltre una certa soglia, conviene trasferire il rischio residuo a una compagnia assicurativa.
È la stessa logica che usiamo per qualsiasi altro rischio aziendale. Nessun imprenditore investe all'infinito in sistemi antincendio — a un certo punto stipula una polizza. Lo stesso principio si applica al rischio cyber.
Una polizza cyber ben strutturata copre:
- Costi di ripristino dei sistemi dopo un attacco ransomware
- Responsabilità verso terzi in caso di violazione di dati dei clienti
- Perdita di fatturato durante il blocco operativo
- Costi legali e di notifica obbligatori per legge (GDPR, NIS2)
- Gestione della crisi reputazionale post-attacco
Il punto critico è questo: una polizza cyber non sostituisce la prevenzione. La completa. Il modello Gordon-Loeb ti aiuta a capire dove tracciare il confine tra le due.
Come si applica nella pratica
Il processo che seguo con le PMI è strutturato in tre passi:
Prima di parlare di soluzioni, capisco cosa c'è da proteggere. Dati clienti, proprietà intellettuale, sistemi operativi critici, reputazione. Ogni asset ha un valore economico — anche se non appare in bilancio. Questo valore è il punto di partenza di tutto il ragionamento.
Analizzo come è esposta l'azienda: infrastrutture, accessi, dipendenti, fornitori, cloud utilizzati. Non per trovare problemi tecnici — per capire la probabilità reale di un incidente e il suo impatto economico potenziale.
Applico il principio Gordon-Loeb: definisco la soglia di investimento ottimale in prevenzione, identifico le misure con il miglior rapporto costo-beneficio, e dimensiono il rischio residuo da trasferire assicurativamente. Il risultato è una strategia su misura — non un pacchetto standard.
Quanto costa non farlo
Lascia che ti metta davanti ai numeri reali.
- €300.000 — costo medio stimato per una PMI italiana colpita da un attacco cyber (Rapporto Clusit 2024)
- 37,8% delle PMI italiane ha già subito almeno un attacco informatico (Clusit 2024)
- 6 mesi — tempo medio per scoprire una violazione informatica nelle PMI
- 10% degli attacchi globali colpisce l'Italia, che rappresenta l'1% del PIL mondiale (Clusit 2024)
Ora fai il calcolo: se un attacco potrebbe costarti 300.000 euro, il modello Gordon-Loeb dice che ha senso investire fino a circa 111.000 euro in prevenzione — e trasferire il rischio residuo con una polizza.
Quante PMI italiane hanno una strategia di sicurezza basata su questo tipo di ragionamento economico? Pochissime. E questo è esattamente il gap che colmo.
Il nodo normativo: NIS2 e il rischio di non fare nulla
Il ragionamento economico si intreccia con quello normativo. La Direttiva NIS2 (D.Lgs. 138/2024), in vigore in Italia dal 16 ottobre 2024, obbliga migliaia di organizzazioni — comprese molte PMI nella supply chain di soggetti essenziali — ad adottare misure di sicurezza adeguate.
Le sanzioni arrivano fino a 10 milioni di euro o il 2% del fatturato mondiale. Non avere una strategia di cybersecurity non è solo un rischio operativo — è un rischio legale.
Il modello Gordon-Loeb non è solo uno strumento economico. È anche la base razionale per dimostrare di aver fatto una valutazione seria del rischio — elemento chiave per la conformità NIS2.
Nella tua azienda, come siete messi?
30 minuti, senza impegno. Analizziamo insieme la tua situazione e definiamo i primi passi concreti.