L’entità della perdita è l’impatto finanziario stimato di un evento informatico. Descrive quanto un’organizzazione potrebbe perdere se si verificasse un incidente, includendo costi quali indagine, ripristino, interruzione delle attività, obblighi legali e risposta ai clienti. È distinta dalla frequenza delle perdite, che stima quanto spesso potrebbe verificarsi un evento.
Nella quantificazione del rischio informatico, l’entità della perdita aiuta a confrontare le esposizioni e a valutare gli investimenti in sicurezza in termini finanziari. I modelli possono stimare un intervallo anziché un singolo importo, poiché gli esiti dipendono da fattori quali i sistemi interessati, la durata e i costi di risposta. Queste stime sono affidabili solo quanto i dati e le ipotesi su cui si basano: inventari incompleti o dati di input obsoleti possono creare una precisione fuorviante. I team di sicurezza dovrebbero documentare tali ipotesi e usare il risultato per orientare le decisioni, senza considerarlo una previsione garantita.