Il budget cybersecurity OT: come costruire la business case e misurare il ROI

Il problema del budget OT: perché è sempre residuale

In molte organizzazioni industriali, il budget cybersecurity segue una logica consolidata: il team IT ha un budget definito, che include la componente di sicurezza informatica. L'OT vive in un mondo separato, con budget di operations che coprono manutenzione, aggiornamenti tecnologici, spare parts. La cybersecurity OT cade nel mezzo di questi due mondi senza ownership chiara del budget.

Il risultato è che gli investimenti in sicurezza OT sono spesso:

• Reattivi: arrivano dopo un incidente, non prima
• Insufficienti: proporzionati al budget IT, non al rischio OT
• Non misurati: senza metriche di efficacia, quindi senza base per il rinnovo

Il CISO che vuole costruire un programma strutturato di sicurezza OT deve risolvere prima il problema della governance del budget, e per farlo deve costruire una business case credibile.

Costruire la business case: dal rischio al numero

Una business case efficace non inizia con "dobbiamo comprare questo strumento". Inizia con la quantificazione del rischio che si vuole ridurre.

Scenario di rischio: definire scenari di incidente realistici per l'organizzazione specifica. Non "un ransomware generico" ma "un ransomware che cifra le workstation SCADA della linea 3, causando stop produttivo di X ore/giorni". Specifico, con impatti operativi concreti.

Quantificazione dell'impatto: per ogni scenario, stimare l'impatto economico. Componenti tipiche:

• Costo del fermo produzione (perdita di margine per unità di tempo)
• Costo di recovery (ripristino dei sistemi, overtime del personale, supporto vendor)
• Danni potenziali all'impianto fisico (in scenari di sabotaggio)
• Costo delle notifiche e delle sanzioni normative (NIS2, DORA)
• Danno reputazionale (difficile da quantificare, ma non zero)
• Costo assicurativo (la mancanza di controlli aumenta il premio o preclude la copertura)

Probabilità: stimare la probabilità annualizzata degli scenari di rischio. Non è esatta, ma anche una stima conservativa documenta che il rischio è reale e non trascurabile. Il settore industriale ha dati pubblici crescenti su incidenti ransomware e attacchi OT che supportano questa stima.

Calcolo del rischio atteso: probabilità × impatto = rischio annualizzato atteso. Questo è il numero con cui l'investimento in sicurezza deve essere confrontato.

Il modello di maturità come roadmap di investimento

Presentare il budget come "vogliamo comprare X, Y, Z" è meno efficace di presentarlo come "siamo a questo livello di maturità, vogliamo arrivare a questo livello, ecco cosa serve e quanto costa".

I framework di maturità OT (come C2M2, CMMC, o i modelli basati su IEC 62443) definiscono livelli progressivi di capacità, dai processi ad hoc (livello 1) a programmi ottimizzati e misurati (livello 5). Posizionare l'organizzazione su questo spettro e definire il livello target giustifica gli investimenti in modo strutturato.

Il modello di maturità ha anche un altro vantaggio: permette di distribuire gli investimenti nel tempo, con roadmap pluriennali invece di richieste una tantum difficili da approvare. Un budget distribuito su tre anni, con milestone verificabili, è più facile da ottenere di un investimento concentrato.

ROI della cybersecurity OT: come si misura davvero

Il ROI della sicurezza è notoriamente difficile da misurare: "grazie ai nostri investimenti, non siamo stati attaccati" non è misurabile nel senso tradizionale. Ma esistono approcci più rigorosi:

Riduzione del rischio atteso: il KPI principale è la riduzione del rischio quantificato prima e dopo gli investimenti. Se il rischio annualizzato atteso era 2M€ e dopo gli investimenti è 500K€, la riduzione di rischio è 1,5M€ annui. Confrontato con il costo dell'investimento, questo è un ROI calculabile.

Confronto con il costo dell'incidente: il costo di un incidente reale nello stesso settore o in un'organizzazione comparabile è un benchmark potente. "L'incidente ransomware all'azienda X del nostro settore è costato Y. Il nostro investimento in sicurezza OT costa Z. Il rapporto è convincente."

Riduzione del premio assicurativo: se l'implementazione di controlli specifici riduce il premio della polizza cyber, questa è una riduzione di costo misurabile e direttamente attribuibile agli investimenti.

Metriche operative: il numero di vulnerabilità critiche rimaste senza controlli compensativi, il tempo medio di detection di anomalie di rete, la copertura degli asset critici nel monitoraggio: metriche che mostrano il miglioramento della postura nel tempo.

Presentare al CdA: linguaggio e metriche che funzionano

I board di amministrazione delle aziende industriali pensano in termini di produzione, ricavi, continuità operativa, compliance normativa. Non pensano in termini di CVE e CVSS.

Le presentazioni al CdA sui budget di cybersecurity OT funzionano meglio quando:

Si parla di operatività, non di tecnologia: "rischio di fermo produzione di X giorni" è più concreto di "vulnerabilità critica nel protocollo SCADA". "Conformità NIS2 a rischio, potenziali sanzioni fino a X€" è più immediato di "gap nei controlli di accesso".

Si usa il benchmark di settore: "Il 35% delle aziende manifatturiere nel nostro settore ha subito almeno un incidente significativo negli ultimi 12 mesi" è più convincente di statistiche generali di cybersecurity.

Si quantifica il rischio residuo non gestito: non presentare solo cosa si chiede, ma anche cosa rimane scoperto se il budget non viene approvato. La decisione del CdA deve essere informata sul rischio che si sta accettando, non solo sul costo che si sta evitando.

Si mostrano milestone verificabili: non "miglioreremo la sicurezza OT" ma "entro Q2 avremo visibilità completa sulla rete OT; entro Q4 avremo implementato l'accesso remoto sicuro con MFA per tutti i vendor". Obiettivi misurabili costruiscono credibilità e facilitano il reporting successivo.

Il budget cybersecurity OT, ottenuto con una business case rigorosa, è più solido di quello ottenuto dopo un incidente. Il secondo arriva sempre: ma con il primo, l'obiettivo è che l'incidente non debba arrivare.

L'angolo MON5

Il percorso modulare di MON5 nasce dalla stessa logica descritta in questo articolo: invece di una richiesta di budget monolitica, si parte dall'assessment della fase DISCOVER, che produce i numeri concreti (asset esposti, vulnerabilità critiche, accessi non controllati) su cui costruire la business case per il management.

Le capacità successive, ANALYZE e PROTECT, si attivano per fasi, con milestone verificabili che facilitano il reporting al CdA e la difesa del budget negli anni successivi. Se devi quantificare il rischio prima di chiedere l'investimento, l'assessment OT è il punto di partenza naturale.