3,55 milioni per azienda: come usare il numero del rischio per aprire porte chiuse

C'è una categoria di dati che i venditori B2B di soluzioni IT raramente usano in modo corretto: i dati di rischio quantificato. Li citano troppo presto, fuori contesto, come argomento di chiusura invece che come strumento di scoperta. Il risultato è che il buyer li percepisce come pressione — e si chiude. Eppure quei dati, usati nel momento giusto e nel modo giusto, sono il modo più rapido per trasformare una conversazione generica in una trattativa concreta.

Il problema

Il costo medio di un attacco informatico per azienda nel 2026 è di 3,55 milioni di dollari. Non è un numero di nicchia — è citato in report internazionali con rilevanza diretta per le PMI europee, e Repubblica Economia lo ha portato sulla stampa generalista italiana. In parallelo, una ricerca IDC su 539 decisori IT (pubblicata da Commvault) mostra che il 90% delle organizzazioni ritiene di dover migliorare le proprie capacità di gestione delle identità per far fronte ai rischi degli agenti AI. Degli stessi intervistati, circa l'85% ha già subito un incidente cyber.

Questi numeri esistono. Il problema è come vengono usati nelle trattative commerciali. La maggior parte dei venditori di soluzioni IT li usa come argomento di apertura — «sa che il costo medio di un attacco è di 3,5 milioni?» — oppure come pressione finale — «non possiamo aspettare ancora». In entrambi i casi, l'effetto è controproducente. Il buyer percepisce allarmismo, attiva le difese, e risponde con «ci stiamo già pensando» o «non è una priorità adesso».

Il dato di rischio quantificato non è un argomento di vendita. È uno strumento di scoperta. La differenza non è filosofica: è operativa, e cambia completamente la struttura della conversazione.

Come risolverlo

Il punto di partenza è il momento in cui il dato viene introdotto. Non in apertura, non in chiusura: nella fase di scoperta, dopo che il buyer ha descritto la propria situazione attuale. Il dato funziona come specchio — non come martello.

La sequenza corretta è questa: prima fai parlare il buyer sul tema (come gestiscono oggi gli accessi, cosa è cambiato con l'adozione di strumenti AI, se hanno avuto incidenti o near-miss). Solo dopo hai il contesto per rendere il dato rilevante. «Le chiedo perché il 90% dei decisori IT che abbiamo intervistato cita la gestione delle identità come la loro lacuna principale nell'era degli agenti AI — e il costo medio di un incidente a livello internazionale supera i 3,5 milioni. Nella sua azienda, dove si sentirebbe più esposta?» Quella domanda finale è cruciale: sposta il dato dall'astratto al concreto, dal generale al personale.

Il secondo elemento è l'explainability. Un dato come «3,55 milioni» è troppo grande per essere processato in astratto da un CFO di una PMI italiana. Va ridimensionato e reso tangibile: «Anche considerando che la media è trainata dai grandi attacchi enterprise, i dati ENISA sulle PMI europee mostrano costi medi di gestione incidente tra i 50.000 e i 300.000 euro — e questo esclude i danni reputazionali e la perdita di clienti». La traduzione in scala è parte del lavoro commerciale, non un optional.

Il terzo elemento è il tool interattivo. Commvault e IDC hanno pubblicato uno strumento gratuito di valutazione della preparazione cyber (Cyber Readiness Assessment) che permette all'azienda di autovalutarsi. Portarlo in trattativa — «le lascio questo assessment gratuito, lo faccia compilare al suo team IT prima della nostra prossima call» — ha tre effetti: crea interazione tra una conversazione e l'altra, porta dati specifici sulla situazione del buyer nella call successiva, e posiziona il venditore come consulente invece che come venditore.

1. Step 1. Inserisci i dati di rischio quantificato nella fase di scoperta, non in apertura: fai prima parlare il buyer sulla propria situazione attuale (gestione accessi, strumenti AI adottati, incidenti recenti), poi usa il dato come specchio — «le chiedo perché...» — e chiudi con una domanda che porta il dato nel contesto specifico dell'azienda.
2. Step 2. Traduci sempre il dato in scala PMI: il numero da 3,55 milioni va ridimensionato con i dati ENISA sulle PMI europee (50.000-300.000 euro per incidente nella fascia PMI) e integrato con i costi non finanziari — perdita di dati, notifica al Garante, danno reputazionale. Il CFO deve vedere il numero nella propria cornice, non in quella enterprise.
3. Step 3. Usa il Cyber Readiness Assessment gratuito di Commvault/IDC come strumento di interazione tra una call e l'altra: proponi al buyer di farlo compilare al team IT prima della call successiva. I risultati diventano l'agenda della prossima conversazione — e ti danno dati specifici sulla situazione del prospect invece di continuare a lavorare su medie di mercato.
4. Step 4. Qualifica l'urgenza con domande sul ciclo decisionale, non sul budget: «Avete un piano di revisione della postura di sicurezza pianificato nei prossimi 6 mesi?» e «Chi oltre a lei è coinvolto in quella decisione?» sono domande che spostano la conversazione dal dato astratto alla pianificazione concreta.
5. Step 5. Documenta le obiezioni più frequenti su questo tema (non è una priorità, ci stiamo già pensando, abbiamo già una soluzione) e prepara per ciascuna una risposta basata su dati — non su rassicurazioni generiche. «Capisco — il 73% delle aziende che ha subito un incidente aveva una soluzione in essere: il problema era la governance degli accessi, non la tecnologia» è più efficace di «capisco le sue preoccupazioni».