La quantificazione del rischio informatico (CRQ) è il processo che consiste nell’esprimere in termini finanziari l’esposizione di un’organizzazione ai rischi informatici. Può stimare la perdita annua attesa per uno scenario e mostrare un intervallo di confidenza per rendere esplicita l’incertezza. I risultati dipendono dalle ipotesi relative ad asset, minacce, probabilità e impatto aziendale.
La CRQ aiuta i responsabili a confrontare i rischi, definire le priorità degli investimenti in sicurezza e orientare decisioni come i massimali assicurativi. Nella pratica, un modello dovrebbe illustrare i propri dati di input, indicare quali sono supportati da evidenze e quali sono stime, e mostrare come le variazioni delle ipotesi incidono sul risultato. Questo è importante perché una cifra che appare precisa può comunque essere fuorviante se la sua base è opaca o obsoleta. Gli aggressori non usano direttamente la CRQ, ma i difensori la usano per orientare le misure di protezione e comunicare il rischio; dovrebbe supportare le decisioni, non essere considerata una previsione o un fatto accertato.