In virtù delle sempre più ardue sfide che le tecnologie emergenti – e in particolare l’intelligenza artificiale – stanno ponendo di fronte ai sistemi informatici del settore finanziario, minandone riservatezza, integrità e resilienza, Banca d’Italia ha diffuso una comunicazione rivolta agli operatori del settore bancario.

In particolare, il comunicato pone l’accento sulla capacità dei modelli di ultima generazione di identificare e sfruttare le vulnerabilità presenti nei software in pochissimo tempo, aumentando notevolmente il rischio di subire attacchi informatici e rendendo, dunque, la resilienza operativa digitale, una condizione essenziale alla sopravvivenza dell’azienda.

Per questo motivo, l’Istituto bancario ha invitato gli intermediari ad accelerare le operazioni di adeguamento ai requisiti previsti dal Digital Operational Resilience Act (DORA) al fine di organizzare le misure necessarie al potenziamento dei processi e dei presidi di sicurezza a protezione dei propri sistemi informatici.

In particolare, è necessario che vengano effettuati interventi su:

Governance

• Rivedendo il quadro di riferimento per la determinazione della propensione al rischio;
• Rafforzando i sistemi di governo e di controllo;
• Assicurando una chiara e puntuale attribuzione delle responsabilità, anche con riferimento alla gestione e sicurezza dei dati;
• Definendo presidi appropriati per il governo degli eventuali fornitori esterni di servizi informatici, come adeguati requisiti contrattuali e rigorosi criteri di sicurezza per la selezione degli stessi fornitori, al fine di assicurare efficaci misure di monitoraggio della sicurezza degli aggiornamenti;
• Includendo all’interno della governance componenti dotati di adeguate competenze tecnologiche.

Igiene informatica

• Integrando nella propria strategia i principi della difesa in profondità (defence-in-depth);
• Affiancando a questi principi strategie di segmentazione delle reti e degli ambienti operativi gestendo, cioè, in modo rigoroso e granulare accessi, autenticazioni e autorizzazioni, monitorandone costantemente le attività.

Gestione delle risorse informatiche e della potenziale superficie d’esposizione

• Disponendo di inventari completi, aggiornati e affidabili, anche in considerazione delle minacce emergenti;
• Classificando le risorse informatiche in funzione della criticità tenendo conto della loro eventuale esposizione diretta su internet;
• Modernizzando le infrastrutture, anche mediante la sostituzione o l’aggiornamento di tecnologie non più supportate o giunte a fine vita.

Gestione delle vulnerabilità e degli aggiornamenti (patch)

• Individuando rapidamente le vulnerabilità dei propri sistemi ICT per ridurre il divario con eventuali attaccanti;
• Rendendo più efficiente il processo per la gestione delle vulnerabilità attraverso l’applicazione più tempestiva delle azioni di rimedio.

Monitoraggio, rilevazione e misure di difesa

• Rafforzando i sistemi di monitoraggio e difesa delle applicazioni, degli accessi e del traffico di rete integrandoli, ove opportuno, con strumenti basati sull’intelligenza artificiale;
• Sincronizzando tali sistemi con l’inventario delle risorse informatiche.

Attività di test

• Rafforzando i test di resilienza operativa digitale e quelli dei processi di risposta e recupero, includendo in modo strutturato anche le attività di gestione delle crisi, attraverso il test periodico delle procedure operative;
• Simulando scenari realistici e progressivamente più complessi, adeguati alla continua evoluzione del panorama delle minacce cyber;
• Valutando la preparazione dell’entità in un contesto dove la probabilità che si verifichi un incidente ICT è aumentata.

La stessa comunicazione è stata diffusa, parallelamente, da IVASS – Istituto per la vigilanza sulle assicurazioni, a tutti gli operatori del settore assicurativo.

Ciascuna impresa bancaria o assicurativa dovrà, dunque, individuare e comunicare a Banca d’Italia uno specifico punto di responsabilità dell’ente e stendere una Relazione che rappresenti il proprio livello di esposizione al rischio e l’adeguatezza dei presidi esistenti, individuando le principali carenze e le relative priorità di intervento e che definisca un piano di lavoro con l’indicazione delle azioni, dei tempi e degli investimenti necessari. Tale Relazione dovrà essere consegnata entro il 31 dicembre 2026.

Si è da poco conclusa la terza edizione della CYBSEC EXPO a Piacenza. Guarda il recap finale della fiera!