CyberQRM – Gestione Quantitativa del Rischio Cyber

Una piattaforma locale e open-source per la valutazione quantitativa del rischio di cybersecurity che utilizza il framework FAIR v3.1 (Factor Analysis of Information Risk). Modella le minacce, esegui simulazioni Monte Carlo, misura l'efficacia dei controlli e gestisci portafogli di rischio — tutto dal tuo browser, senza bisogno di un account cloud.

---

Caratteristiche

• Modellazione del rischio basata su FAIR — definisci Frequenza degli Eventi di Minaccia, Vulnerabilità, Valore degli Asset e Impatto degli Eventi di Perdita per ogni scenario utilizzando distribuzioni triangolari, lognormali o puntuali
• Valutazione degli Asset su Base Multipla — modella il valore dell'asset come somma di più dimensioni (costo di sostituzione, impatto sui ricavi, esposizione normativa, interruzione dell'attività, valore reputazionale) ciascuna con la propria distribuzione
• Perdita Primaria e Secondaria — suddivisione standard FAIR della magnitudo della perdita in forme di Perdita Primaria (Produttività, Risposta, Sostituzione) e forme di Perdita Secondaria (Multe e Sentenze, Danno Reputazionale, Vantaggio Competitivo), separate da una Frequenza di Eventi di Perdita Secondaria (SLEF). Formula: LM = PLM + SLEF × SLEM
• Integrazione MITRE ATT&CK — naviga e seleziona le tecniche ATT&CK nei passaggi TEF e Vulnerabilità; ricevi suggerimenti di range attivi basati sui livelli di prevalenza delle tecniche e sulla copertura delle mitigazioni
• Motore di simulazione Monte Carlo — simulazioni da 10.000 iterazioni con semi configurabili per risultati riproducibili
• Analisi della Perdita Annualizzata Attesa (ALE) — media, mediana, percentili (P10–P99) e intervalli di confidenza al 90% e 95%
• Grafici di sensibilità / tornado — identifica quali componenti FAIR influenzano maggiormente il rischio
• Analisi dell'efficacia dei controlli — modella i controlli attuali e proposti; calcola la riduzione dell'ALE, il ROI e il periodo di recupero
• Gestione del portafoglio — aggrega più scenari per comprendere il rischio a livello di organizzazione
• Archiviazione locale persistente — database SQLite, nessun dato lascia la tua macchina
• Completamente offline — nessuna connessione internet richiesta dopo l'installazione (il dataset ATT&CK viene scaricato una volta all'installazione)

---

Screenshot

---

Prerequisiti

Requisito	Versione	Note
Node.js	22.5 o successiva	Utilizza il modulo integrato node:sqlite introdotto in v22.5
npm	fornito con Node.js	Nessuna installazione separata necessaria

Installazione di Node.js

• Installatore ufficiale (consigliato): nodejs.org/en/download — scegli la versione "Current" o "LTS ≥ 22"
• macOS tramite Homebrew: brew install node
• Qualsiasi piattaforma tramite nvm: nvm install 22 && nvm use 22
• Windows tramite winget: winget install OpenJS.NodeJS

---

Installazione

macOS / Linux

# Clona il repository
git clone https://github.com/iiamit/CyberQRM.git
cd CyberQRM

# Esegui l'installer (controlla la versione di Node, installa tutte le dipendenze, scarica i dati ATT&CK)
chmod +x install.sh
./install.sh

Windows

REM Clona il repository (Git Bash, PowerShell o qualsiasi terminale)
git clone https://github.com/iiamit/CyberQRM.git
cd CyberQRM

REM Esegui l'installer (doppio clic o eseguilo da un terminale)
install.bat

L'installer farà:

1. Verificherà che Node.js 22.5+ sia presente e mostrerà un messaggio di errore utile in caso contrario
2. Installerà le dipendenze npm di root, backend e frontend
3. Creerà la directory backend/data/ per il database SQLite
4. Scaricherà il dataset MITRE ATT&CK Enterprise (~30 MB) — se il download fallisce, l'app funziona comunque; le funzionalità ATT&CK mostreranno "dati non disponibili" fino a quando il file non sarà presente

---

Avvio dell'App

macOS / Linux

./start.sh

Questo apre due finestre di terminale (o processi in background su Linux senza desktop) — una per l'API backend e una per il server di sviluppo frontend — e poi apre automaticamente il tuo browser.

Windows

start.bat

Si apriranno due finestre della console (backend e frontend). Il tuo browser si aprirà automaticamente dopo 5 secondi.

Una volta in esecuzione, accedi all'app all'indirizzo:

Servizio	URL
Frontend	http://localhost:5173
API Backend	http://localhost:3001
Controllo di integrità	http://localhost:3001/api/health

Se la porta 5173 è già in uso, Vite passerà automaticamente alla 5174.

---

Come Funziona

CyberQRM implementa la metodologia FAIR v3.1 in quattro passaggi:

1. Definisci uno scenario — denomina l'asset, l'attore della minaccia e il contesto aziendale
2. Imposta i parametri FAIR — inserisci le distribuzioni per TEF, Vulnerabilità, Valore dell'Asset e Impatto della Perdita
3. Esegui la simulazione — il motore campiona ciascuna distribuzione 10.000 volte e calcola l'ALE
4. Analizza i risultati — esamina i percentili dell'ALE, i driver di sensibilità e il ROI dei controlli

Modellazione Avanzata degli Scenari

Valutazione degli Asset su Base Multipla — attiva "Avanzato: usa più basi di valutazione" nel passaggio Valore dell'Asset per definire distribuzioni separate per ciascuna dimensione di valore. La simulazione somma tutte le basi per ogni iterazione.

Perdita Primaria e Secondaria — attiva "Avanzato: suddividi in perdita Primaria e Secondaria" nel passaggio Impatto della Perdita per modellare i costi diretti primari e i costi imposti dagli stakeholder secondari (multe, danno reputazionale, perdita competitiva) con una probabilità condizionale SLEF. Tutti gli importi sono in USD assoluti.

MITRE ATT&CK — nei passaggi TEF e Vulnerabilità, apri il browser delle tecniche per filtrare per tattica, cercare per nome o ID e selezionare le tecniche rilevanti. La piattaforma suggerisce range TEF basati sui livelli di prevalenza reali (fonte: avvistamenti Red Canary / CTID) e range di vulnerabilità basati su quante mitigazioni ATT&CK hai implementato.

Il database viene creato automaticamente al primo avvio (backend/data/cyberqrm.db). Tutti i dati rimangono sulla tua macchina locale.

---

Struttura del Progetto