# Modello di Gordon-Loeb

Il modello di Gordon–Loeb /ˈgȯr-dən ˈlōb/ è un modello economico-matematico che analizza il livello ottimale di investimento nella Sicurezza informatica.
Investire per proteggere i dati aziendali comporta un costo che, a differenza dei normali investimenti, non genera profitto ma serve solo per prevenire eventuali costi aggiuntivi. Bisogna quindi saper confrontare quanto costa investire in protezione dei dati con quanto ci costerebbe se i dati venissero carpiti, persi o deteriorati. Per stilare il modello, l'azienda deve essere a conoscenza del valore approssimativo di tre parametri : quanto valgono i dati da proteggere, quanto i suoi dati sono a rischio e quanto alta è la probabilità che un attacco ad essi abbia successo. Quest'ultimo parametro, viene definito da Gordon e Loeb vulnerabilità. Il prodotto dei tre parametri sopracitati fornisce l'ammontare della perdita media se non si investe in sicurezza.
Dal modello si può dedurre che l'ammontare di denaro che un'azienda spende per proteggere l'informazione dovrebbe essere, in generale, solo una piccola frazione della perdita prevista (per esempio, il valore atteso della perdita come conseguenza ad un'eventuale breccia nella sicurezza informatica dell'azienda). Più specificatamente, il modello mostra che è generalmente non conveniente investire in attività di sicurezza informatica (incluse attività legate a cybersecurity o computer security) per più del 37 percento della perdita stimata nel caso di un'eventuale breccia nella sicurezza. Il modello di Gordon-Loeb mostra anche che, per uno specifico livello di perdita potenziale, la quantità di risorse da spendere per proteggere un set di informazioni non aumenta sempre in contemporanea con l'aumento delle vulnerabilità di quel set. Le aziende quindi possono avere un maggior ritorno economico sulle loro attività di sicurezza investendo in attività di cyber/information security il cui scopo è migliorare la sicurezza di insiemi di informazioni con un livello medio di vulnerabilità. In altre parole, l'investimento nella sicurezza dei propri dati aziendali riduce la vulnerabilità con ritorni incrementali decrescenti.
Esempio: supponendo che il valore stimato dei dati dell’azienda sia di 1.000.000 di euro, che la probabilità che questa subisca un attacco informatico sia del 15% e che, nell’eventualità di un attacco, questo vada a buon fine con una probabilità dell’80%, la perdita potenziale media è data dal prodotto 1.000.000 euro x 0.15 x 0.8 = 120.000 euro. In base a quanto affermato da Gordon e Loeb, l’azienda dovrà investire per la sicurezza dei suoi dati un importo non superiore a 120.000 euro x 0.37 = 44.400 euro.
Il modello di Gordon-Loeb è stato pubblicato per la prima volta da Lawrence A. Gordon e Martin P. Loeb nel loro saggio del 2002, in ACM Transactions on Information and System Security, intitolato "The Economics of Information Security Investment.". Tale saggio è stato poi ristampato nel libro Economics of Information Security. Gordon e Loeb sono entrambi professori alla Robert H. Smith School of Business dell'Università del Maryland.
Il modello di Gordon-Loeb è uno dei modelli analitici maggiormente ritenuti validi nella letteratura nel settore di "economia nella cyber/information security". Il modello è stato ampiamente referenziato anche nella letteratura accademica e professionale. Il modello è stato anche testato in maniera empirica in molti scenari differenti. Le ricerche condotte dai matematici Marc Lelarge e Yuliy Baryshnikov hanno poi generalizzato i risultati del modello di Gordon-Loeb.
Il modello di Gordon-Loeb è stato in primo piano nella stampa popolare comparendo in giornali quali The Wall Street Journal e The Financial Times.