Elaborazione di un business case per Remote Browser Isolation

La maggior parte dei CISO comprende intuitivamente che il browser rappresenta la superficie di attacco più esposta dell’azienda. Per convincere un CFO di ciò è necessario utilizzare un vocabolario diverso: costo totale di proprietà, perdite evitate e periodi di ammortamento misurabili. La presente guida fornisce un quadro strutturato e di facile comprensione per il reparto finanziario, utile per elaborare il business case relativo a remote browser isolation (RBI), traducendo la riduzione delle minacce nel linguaggio del ROI che consente di ottenere l’approvazione del budget.

Prerequisiti: cosa occorre prima di affrontare il discorso sul bilancio

Prima di partecipare a una riunione sul bilancio, è necessario disporre di dati che il vostro direttore finanziario possa verificare. Le diapositive generiche del tipo “il browser è rischioso” non supereranno l’esame del reparto finanziario. Iniziate con tre serie di dati interni.

Stabilisca una linea di riferimento per i costi attuali relativi agli incidenti. Estragga i dati relativi agli ultimi 12 mesi riguardanti i ticket di risoluzione dei malware, gli eventi di reimaging degli endpoint e le ore lavorative degli analisti del SOC legate alle minacce provenienti dal web. Se il Suo strumento di gestione dei servizi IT classifica gli incidenti in base al vettore, isoli il sottoinsieme di quelli iniziati con una sessione del browser: un link di phishing cliccato su Chrome, un download automatico da un sito non classificato o un codice JavaScript dannoso eseguito all’interno di un’applicazione SaaS. Moltiplichi le ore di risoluzione per il costo totale di un analista. Per la maggior parte delle imprese di medie dimensioni, questo semplice esercizio rivela una spesa annuale a sei cifre che l’isolamento del browser consentirebbe di evitare.

Quantifichi il costo del blocco eccessivo. Si rivolga all’help desk. Quanti ticket al mese riguardano richieste di “accesso negato” per siti legittimi? Un responsabile delle risorse umane che sta effettuando ricerche sulle prestazioni sanitarie viene bloccato perché lo SWG classifica il sito come “salute”. Un analista di marketing non riesce ad accedere alla pagina di destinazione di un concorrente perché la categoria è “non classificata”. Ogni ticket costa 15–25 dollari in manodopera dell’help desk, ma il costo reale è costituito dalle ore di produttività interrotta dei lavoratori della conoscenza che non compaiono mai in alcun ticket. Le organizzazioni che bloccano un terzo o più delle categorie web — un approccio comune nei settori regolamentati — generano centinaia di ticket evitabili al mese e migliaia di ore di produttività persa all’anno.

Catalogate la vostra VDI per monitorare la spesa relativa all’accesso web. Molte aziende gestiscono un’infrastruttura di desktop virtuali (VDI) proprio per fornire a collaboratori esterni, utenti BYOD o figure professionali ad alto rischio un ambiente di navigazione isolato. I costi per utente continuano a crescere e il passaggio alla VDI cloud non elimina i problemi legati all’infrastruttura: i responsabili IT devono ancora fare i conti con picchi di utilizzo imprevedibili, costosi trasferimenti di dati e le esigenze di prestazioni degli utenti esperti. Se la vostra organizzazione paga 30–50 dollari al mese per utente per postazioni VDI cloud utilizzate principalmente per la navigazione web, RBI è in grado di gestire lo stesso caso d’uso a una frazione di tale costo, riducendo al contempo i costi operativi.

Fase 1: Quantificare i costi della situazione attuale

Il successo o il fallimento del business case dipende interamente dal dato "precedente". Al vostro direttore finanziario non interessano i panorami delle minacce: a lui interessa sapere quanto l’organizzazione sta attualmente spendendo e quali perdite sta subendo a causa dei rischi legati ai browser.

Valore di riferimento del costo degli incidenti. Il costo medio globale di una violazione dei dati era pari a 4,44 milioni di dollari nel 2025 (Rapporto IBM/Ponemon sul costo delle violazioni dei dati, 2025). Tale media include le violazioni avviate attraverso ogni tipo di vettore. Se si restringe l’analisi all’accesso iniziale basato sul browser — link di phishing, download drive-by, annunci pubblicitari dannosi e pagine SaaS strumentalizzate — il costo per incidente potrebbe risultare inferiore alla media, ma la frequenza è maggiore. Si consideri uno scenario: un rappresentante commerciale fa clic su un link dannoso contenuto in un messaggio InMail di LinkedIn; la sessione del browser scarica un programma di furto di informazioni e il SOC impiega 40 ore di lavoro degli analisti per il contenimento, il ripristino del sistema, la rotazione delle credenziali e la documentazione dell’incidente. Considerando una tariffa oraria di 85 dollari per un analista SOC a pieno carico, quel singolo incidente comporta un costo di 3.400 dollari in manodopera diretta — senza contare la perdita di produttività nelle vendite né il rischio di movimento laterale.

I costi dei rischi interni sono determinati dall’attività dei browser. Il costo medio annuo degli incidenti informatici causati da soggetti interni ha raggiunto i 17,4 milioni di dollari nel 2025, con una spesa media di 211.000 dollari per il contenimento e di 154.000 dollari per la risposta a ciascun incidente (Ponemon Institute, 2025). Non tutti gli incidenti causati da personale interno sono correlati al browser, ma l’esfiltrazione di dati tramite caricamenti dal browser, operazioni di copia-incolla in applicazioni SaaS non autorizzate e la condivisione accidentale di informazioni tramite strumenti basati sul browser costituiscono una quota significativa.

Valutate con attenzione la perdita di produttività causata dai blocchi. Effettuate una stima realistica. Se 5.000 dipendenti perdono ciascuno 15 minuti alla settimana a causa di soluzioni alternative per aggirare i siti bloccati, ricerche nell’“shadow IT” o tempi di attesa per l’help desk, si tratta di 65.000 ore all’anno. Considerando una tariffa media oraria di 65 dollari per un knowledge worker a pieno carico, si ottiene una perdita di produttività annua pari a 4,2 milioni di dollari — una cifra che non può passare inosservata ai direttori finanziari.

Fase 2: Modellare l'investimento in RBI utilizzando il quadro TEI di Forrester

I direttori finanziari hanno visto così tanti strumenti di calcolo del ROI proposti dai fornitori da essere ormai scettici. La metodologia TEI di Forrester offre un quadro completo dell’impatto economico complessivo delle decisioni di acquisto, valutando quattro elementi: benefici, costi, flessibilità e rischi. Ecco come applicare ciascuno di essi al RBI.

Vantaggi

Assegnate i benefici alle tre categorie di costi che avete definito come valori di riferimento nella Fase 1:

Costi evitati per la risoluzione dei problemi legati al malware. Se nel Suo ambiente attuale si verificano in media 8 incidenti mensili causati da malware originati dal browser e ciascun incidente comporta un costo compreso tra 3.000 e 5.000 dollari in manodopera del SOC, reinstallazione del sistema operativo sugli endpoint e reimpostazione delle credenziali, l’RBI, eliminando la stragrande maggioranza di tali incidenti, consente un risparmio annuo compreso tra 260.000 e 430.000 dollari.

Aumento della produttività grazie alla riduzione dei blocchi eccessivi. RBI consente di sostituire le politiche di “blocco” generiche con politiche di “isolamento”. Anziché bloccare tutti i siti non classificati, questi vengono visualizzati in un contenitore di isolamento dotato di controlli in sola lettura e ispezione DLP. Il responsabile delle risorse umane accede al sito dedicato ai benefici aziendali. L’analista di marketing consulta la pagina della concorrenza. I ticket all’help desk diminuiscono e le ore di lavoro dei dipendenti tornano ad essere impiegate in modo produttivo.

Riduzione dei costi della VDI. Per ogni 500 utenti che attualmente utilizzano postazioni VDI nel cloud al costo di 40 dollari al mese per utente esclusivamente per la navigazione web in ambiente sandbox, RBI consente di risparmiare 240.000 dollari all’anno sulla spesa relativa alla VDI. A differenza della VDI, RBI si integra in modo nativo in un secure web gateway non richiede operazioni di provisioning, applicazione di patch né gestione della capacità della GPU.

Costi

Siate trasparenti riguardo a ciò che RBI apporta: costi di abbonamento per utente, impegno richiesto per l’integrazione con la piattaforma SSE, manodopera necessaria per la configurazione delle politiche e comunicazione con gli utenti durante la fase di implementazione. La credibilità deriva dal dimostrare al direttore finanziario che avete tenuto conto dei costi di implementazione, non solo del prezzo di listino del fornitore.

Flessibilità

RBI si estende in modo naturale a casi d’uso che vanno oltre la semplice navigazione web: isolamento delle applicazioni SaaS a rischio, protezione dell’accesso dei dispositivi non gestiti alle applicazioni cloud, visualizzazione dei link contenuti nelle e-mail in una sessione isolata e controllo dell’esposizione dei dati negli strumenti di IA generativa. Ogni estensione apporta un valore aggiunto senza richiedere un ampliamento dell’infrastruttura.

Rischi

Si tenga conto dei rischi legati all’adozione. Se RBI dovesse causare una latenza evidente o compromettere il funzionamento di applicazioni web critiche, gli utenti si ribellerebbero e il progetto subirebbe una battuta d’arresto. È possibile mitigare tali rischi iniziando con un isolamento selettivo — concentrandosi innanzitutto sui siti non classificati e sulle categorie a rischio — anziché procedere a un isolamento totale da Internet sin dal primo giorno.

Fase 3: Individuazione dei punti di integrazione nell’architettura di sicurezza esistente

RBI non opera in modo isolato (senza alcun gioco di parole). Il suo valore si moltiplica quando viene integrato nel più ampio Security Service Edge (SSE). Gartner stima che il mercato SASE crescerà a un tasso di crescita annuale composto del 26%, raggiungendo i 28,5 miliardi di dollari entro il 2028 (Gartner, 2025) — una traiettoria trainata dalle aziende che stanno convergendo la sicurezza web, il CASB, lo ZTNA e la protezione dei dati in piattaforme unificate.

Scenario: un collaboratore esterno che utilizza un computer portatile non gestito. Una società di consulenza invia tre analisti a lavorare su un progetto di due diligence. Essi necessitano di accedere all’istanza Salesforce dell’azienda e a diverse applicazioni web interne. Senza RBI, l’azienda deve fornire loro computer portatili gestiti (con settimane di ritardo e un costo di 1.500 dollari per dispositivo), assegnare postazioni VDI (con costi ricorrenti per utente e problemi legati al sovraccarico di accessi) oppure concedere l’accesso diretto, accettando il rischio di esfiltrazione dei dati da endpoint non controllati. Con RBI integrato nella piattaforma SSE, i collaboratori esterni si connettono tramite un gateway ZTNA e le loro sessioni browser vengono eseguite in isolamento. Le politiche DLP controllano ogni operazione di caricamento, download e utilizzo degli appunti. Il copia-incolla dei dati dei clienti viene bloccato. L’incarico ha inizio dal primo giorno, non dalla terza settimana.

Lista di controllo per l'integrazione nella presentazione del vostro business case:

Lista di controllo per l'integrazione

Fase 4: Definizione degli indicatori di successo e elaborazione del piano di monitoraggio

Un business case privo di un piano di misurazione è solo una presentazione PowerPoint. Definite gli indicatori prima dell’implementazione, non dopo.

Scenario: una banca regionale sta implementando il sistema RBI per 3.000 dipendenti. Il CISO garantisce al CFO che, entro sei mesi dalla completa implementazione, la banca otterrà:

Parametri di valutazione del successo: valori di riferimento rispetto agli obiettivi

Collegate ciascun indicatore a un valore monetario. La riduzione delle ore SOC comporta o una riassegnazione a attività di maggior valore (ricerca delle minacce, rilevamento proattivo) o la prevenzione di un aumento dell’organico. L’eliminazione delle postazioni VDI si traduce direttamente in risparmi sull’infrastruttura. La rapidità di inserimento dei collaboratori esterni si traduce in un’accelerazione nella realizzazione dei progetti — un dato che i responsabili delle unità aziendali sosterranno a vostro favore.

Errori comuni che compromettono la fattibilità del progetto

Errore n. 1: basarsi sulla paura. “I browser sono pericolosi” non costituisce un argomento commerciale valido. “L’anno scorso abbiamo speso 380.000 dollari per risolvere incidenti causati dai browser, mentre RBI ne previene la stragrande maggioranza con un costo di 180.000 dollari” è invece un argomento commerciale valido. Il vostro direttore finanziario potrebbe aver letto titoli sui costi delle violazioni in calo e aver concluso che la situazione stia migliorando. Contrastate questa visione con i dati specifici relativi agli incidenti della vostra organizzazione e con il costo cumulativo anche di un singolo episodio di ransomware.

Errore n. 2: Ignorare l’aspetto della produttività. I responsabili della sicurezza tendono istintivamente a inquadrare ogni aspetto in termini di riduzione del rischio. I direttori finanziari, invece, reagiscono agli aumenti di produttività. Se RBI consente di sbloccare un’ampia porzione delle categorie web attualmente soggette a restrizioni — ripristinando l’accesso a ricerche di settore, piattaforme social per il marketing, documentazione per sviluppatori e ambienti di prova SaaS — il recupero in termini di produttività spesso supera i risparmi ottenuti in materia di sicurezza.

Errore n. 3: paragonare RBI a una sostituzione completa dei browser aziendali. Alcuni approcci alla sicurezza dei browser richiedono la sostituzione di Chrome, Edge o Firefox con un browser proprietario per l’intera forza lavoro. Si tratta di un’impresa di gestione del cambiamento di enorme portata, accompagnata da notevoli difficoltà di adozione. RBI opera all’interno dei browser che i dipendenti già utilizzano, il che significa nessuna necessità di riqualificazione, nessun test di compatibilità con ogni singola applicazione web e nessuna rivolta da parte degli utenti. Renda esplicita questa distinzione nel Suo business case: il confronto tra i browser aziendali e RBI è una questione che viene spesso sollevata a livello di consiglio di amministrazione.

Errore n. 4: Trascurare la semplificazione della conformità. Lo standard NIST SP 800-53 Rev. 5 include controlli relativi alla protezione dei confini (SC 7), all’isolamento delle funzioni di sicurezza (SC 3) e all’applicazione del flusso di informazioni (AC 4) che l’isolamento del browser supporta direttamente. Se la vostra organizzazione dedica tempo alla preparazione degli audit per documentare i controlli compensativi relativi ai rischi derivanti dal web, la tecnologia RBI semplifica tale documentazione e può ridurre la durata del ciclo di audit.

Errore n. 5: Sviluppare il business case senza tener conto della roadmap SSE. Un business case relativo all’RBI considerato isolatamente appare come l’ennesimo prodotto a sé stante. Un business case relativo all’RBI che si inserisce nella più ampia strategia aziendale in materia di sicurezza web e cloud appare invece come un passo incrementale lungo un percorso già approvato. Posizionate l’RBI come una funzionalità all’interno della piattaforma SSE, non come un acquisto a sé stante.

Riassumere il tutto: la sintesi esecutiva di una pagina

Il vostro direttore finanziario ha bisogno di una sola pagina. Ecco la struttura:

Descrizione del problema (2 frasi). Le minacce provenienti dai browser ci sono costate $X lo scorso anno in termini di interventi correttivi, mentre la nostra attuale politica di blocco eccessivo ci costa $Y in termini di perdita di produttività. Le postazioni VDI utilizzate esclusivamente per l’accesso sicuro al web ci costano $Z all’anno.

Soluzione proposta (2 frasi). Remote browser isolation i contenuti web all’interno di un contenitore basato su cloud e trasmette in streaming solo i dati sicuri al browser esistente dell’utente. Elimina la necessità di un blocco eccessivo, sostituisce la VDI nei casi d’uso relativi all’accesso al web e si integra nella nostra piattaforma SSE esistente.

Sintesi finanziaria (tabella). Si illustri un confronto del TCO su tre anni: situazione attuale (costi degli incidenti + rallentamenti dovuti al sovra-blocco + spesa per la VDI) rispetto alla situazione proposta (abbonamento RBI + implementazione + rischio residuo). Si indichino i risparmi netti, il periodo di ammortamento e la percentuale di ROI utilizzando il modello TEI a quattro elementi di Forrester.

Rischio in caso di inazione (1 frase). Il costo totale medio di un incidente legato a ransomware o estorsione ha raggiunto i 5,08 milioni di dollari nel 2025 (IBM/Ponemon, 2025); la nostra attuale situazione di sicurezza espone l’organizzazione alle minacce originate dal browser che più comunemente portano a tali conseguenze.

Impegno in materia di misurazione (1 frase). Misureremo mensilmente gli incidenti generati dal browser, il volume dei ticket dell’help desk, le ore di attività del SOC e il numero di postazioni VDI, e riferiremo trimestralmente al CFO.