L’ancoraggio ai dati consiste nel supportare gli input e gli output di un modello con prove pertinenti e osservabili, anziché basarsi solo su supposizioni. Nella quantificazione del rischio informatico, le prove possono includere inventari aggiornati degli asset, dati sui controlli di sicurezza, informazioni sulle minacce, cronologia degli incidenti e impatti aziendali documentati. Il modello dovrebbe chiarire quali input sono misurati, quali sono stimati e dove permane l’incertezza.
L’ancoraggio ai dati è importante perché le stime del rischio possono influenzare le spese per la sicurezza, le priorità dei controlli, le decisioni del consiglio di amministrazione e i massimali assicurativi. In pratica, i team possono confrontare le ipotesi del modello con dati aggiornati in tempo reale o periodicamente, risalire alle fonti delle stime e verificare come cambiano i risultati al variare degli input. I questionari e il giudizio degli esperti possono comunque essere utili, ma input obsoleti o non supportati possono rendere fuorviante un risultato dall’apparenza precisa.