Investimenti in cybersecurity e calcolo del premio con attacchi raggruppati: un approccio di controllo stocastico

The growing digitalization of economic and social activities has made cyber risk a critical challenge for organizations. This trend has been further intensified by the shift to remote working and the fragmentation of supply chains following the COVID-19 pandemic, as well as the dual role of artificial intelligence, which serves as both a defensive tool and a facilitator of attacks. Since cybersecurity investments can only reduce but not completely eliminate this risk, cyber insurance emerged as a tool that allows to transfer the residual exposure that internal controls cannot fully mitigate. This thesis develops a unified framework linking optimal cybersecurity investment with cyber insurance pricing. The first part of this work extends the static Gordon-Loeb model to a continuous-time stochastic control setting, in which cyberattacks are modeled through a self-exciting Hawkes process in order to capture the empirically observed phenomenon of cyber incidents clustering. The state process falls under the class of Piecewise Deterministic Markov Processes, and the optimal investment strategy is characterized through the derivation of the associated Hamilton-Jacobi-Bellman Partial Integro-Differential Equation via the dynamic programming principle. The second part shifts the focus on the computation of cyber insurance premiums based on the loss process generated by this model. After placing the analysis within the broader cyber insurance landscape and insurability theory, three actuarial principles for determining premiums — the standard deviation, modified variance, and exponential principles — are formally introduced and applied, building upon and extending an existing numerical implementation. Results show that optimal cybersecurity investment can reduce premiums by approximately 60–68% compared to no investment, demonstrating a strong interconnection between cybersecurity investment and cyber insurance pricing in risk management.

La crescente digitalizzazione delle attività economiche e sociali ha reso il rischio informatico una delle sfide più rilevanti per le imprese. Questo andamento è stato ulteriormente rafforzato dal passaggio al lavoro a distanza e alla frammentazione delle catene di fornitura in più sedi, conseguenti alla pandemia di COVID-19, nonché dal duplice ruolo dell'intelligenza artificiale, che può essere interpretata sia come strumento difensivo sia come fattore che facilita gli attacchi informatici. Poiché investire nella sicurezza informatica può solo attenuare, ma non eliminare completamente, tale rischio, l'assicurazione contro i rischi informatici rappresenta uno strumento essenziale per trasferire il rischio residuo che i meccanismi di controllo interni non riescono a mitigare appieno. La presente tesi propone un quadro di riferimento unificato, che collega l'investimento ottimale nella sicurezza informatica alla determinazione del premio assicurativo contro i rischi informatici. Nella prima parte di questo lavoro si estende il modello statico di Gordon-Loeb a un contesto di controllo stocastico a tempo continuo, in cui gli attacchi informatici sono modellati come processi di Hawkes autoeccitanti al fine di cogliere il fenomeno empirico di clustering di tali attacchi. Il processo di stato risultante appartiene alla classe dei processi di Markov deterministici a tratti (PDMP), e la strategia di investimento ottimale viene caratterizzata attraverso la derivazione della relativa equazione integro-differenziale parziale di Hamilton-Jacobi-Bellman, ottenuta tramite il principio di programmazione dinamica. La seconda parte si focalizza sul calcolo dei premi assicurativi basati sul processo di perdita generato dal modello dinamico. Dopo aver inquadrato l'analisi nel più ampio contesto dell'assicurazione informatica e della teoria dell'assicurabilità, vengono formalmente introdotti e applicati tre principi attuariali per la determinazione dei premi: il principio della deviazione standard, quello della varianza modificata e quello esponenziale, ampliando un'implementazione numerica esistente. I risultati evidenziano che un investimento ottimale nella sicurezza informatica può ridurre i premi di circa il 60-68% rispetto allo scenario senza investimenti. Ciò dimostra una forte interconnessione tra gli investimenti in sicurezza informatica e la determinazione dei premi assicurativi nella gestione del rischio informatico.