È indubbio che le nuove tecnologie abbiano investito diffusamente non solo l’operatività del mercato, creando nuovi modelli di business, ma anche il nostro modo di vivere.
Si parla molto di transizione digitale senza accorgersi che, probabilmente, non c’è più spazio per un periodo cd. “transitorio”, essendo labile oramai il confine tra la dimensione digitale e il mondo reale (basti pensare al metaverso, esperienza di realtà virtuale immersiva senza precedenti nella quale, secondo le ultime stime del World Economic Forum, il valore del commercio digitale supererà gli 800 miliardi di dollari entro il 2024)[1].
Indice degli argomenti
Opportunità e rischi delle tecnologie data driven
È indubbio anche che siano numerosi i benefici associati all’utilizzo delle nuove tecnologie, non solo in termini di efficientamento dei processi, aumento della competizione internazionale, ma soprattutto in termini di capacità di analisi dei dati (si pensi alle applicazioni dell’Artificial Intelligence e del Machine Learning), tracciabilità e immodificabilità delle operazioni (Distributed Ledged Technologies), scalabilità delle risorse (Cloud computing).
Il cyber risk
Vi sono anche evidenti benefici sociali, come l’inclusione finanziaria; basti pensare a quanto l’utilizzo di piattaforme digitali abbia avvicinato la clientela ai servizi finanziari. Aspetto quest’ultimo che, tuttavia, apre il panorama dei rischi: in primis il rischio di frode, tenuto conto della scarsa educazione finanziaria da parte degli utenti che hanno accesso ad app cd. finanziarie (Consob è in prima linea per aumentare la cultura finanziaria delle famiglie italiane attraverso le numerose iniziative di investor education); rischio di manipolazione informativa tenuto conto dell’asimmetria informativa tra utente/investitore e Big Tech, fino ad arrivare ai rischi di furto dei dati.
Questi rischi – per citarne solo alcuni – sono accresciuti non solo per via del digitale, ma anche per effetto della cd. frammentazione della catena di produzione del dato. Numerosi gli attori che intervengono in questa catena, operanti in settori diversi (operatori finanziari e operatori Tech) e aree geografiche diverse (Europa ed oltre).
La catena di produzione del dato/servizio finanziario dà la dimensione di quanto estesa sia la superficie di attacco; molteplici gli entry points attraverso i quali un’infrastruttura può essere compromessa e ognuno può rappresentare un canale di propagazione del rischio.
Da qui la considerazione che la cyber security non è più soltanto sicurezza informatica e il cyber risk non è più soltanto un rischio operativo, bensì un rischio sistemico. Fare assessment del proprio stock di rischio sistemico non ha nulla a che vedere con il risk assessment della propria infrastruttura IT interna. E se il rischio cyber è un rischio di sistema, allora anche la risposta deve essere di sistema.
Il Regolamento DORA per la resilienza operativa digitale
Il regolatore europeo, nell’ambito del pacchetto di finanza digitale, ha emanato il “Regolamento per il rafforzamento della resilienza operativa digitale per il settore finanziario” (DORA) che segna un punto di svolta per la cyber security, in quanto introduce, con la forza di un regolamento direttamente applicabile negli Stati Membri, un framework comune e armonizzato per la gestione del rischio cyber.
Tre gli elementi chiave che ritengo utile segnalare.
Ampliamento del perimetro oltre gli intermediari tradizionali e le infrastrutture
Nello scope del Regolamento (cfr. art. 2), accanto ai tradizionali enti creditizi, istituti di pagamento, sedi di negoziazione etc. troviamo – tra gli altri – i fornitori di servizi di comunicazione dati, crowdfunding service providers, crypto-assets service providers e i fornitori terzi di servizi di ICT; ciò in considerazione dell’accresciuta dipendenza dei soggetti finanziari da tali fornitori, al punto che quelli classificabili come “critici” (secondo i criteri stabiliti dal DORA) devono necessariamente risiedere all’interno dell’Unione Europea e sono sottoposti ad un quadro comune di vigilanza diretta.
Non solo, ma con DORA vengono armonizzati gli elementi chiave del rapporto con questi fornitori terzi, mediante la definizione dei requisiti del contratto ritenuti fondamentali per un monitoraggio completo di tutti i rischi connessi ad es. alla location and storage dei dati, exit strategies e al diritto di effettuare audit sia da parte dell’entità finanziaria sia dall’Autorità di vigilanza[2].
Armonizzazione nelle notifiche degli incidenti cyber rilevanti
Gli incidenti cyber rilevanti devono essere segnalati mediante tools comuni alle Autorità competenti per settore (es. Consob per le sedi di negoziazione, Consob e Banca d’Italia nel caso di controparti centrali e depositari centrali), favorendo quella condivisione veloce e standardizzata di dati e statistiche relative agli incidenti cyber a sostegno di valutazioni coordinate delle minacce e delle vulnerabilità che incombono sul settore finanziario a livello europeo.
Questo perché la resilienza non può essere raggiunta senza la consapevolezza delle vulnerabilità, consapevolezza che è alla base di una piena capacità preventiva, predittiva e di risposta al rischio cyber.
Da qui nascono due ulteriori considerazioni: la prima è l’importanza di adottare un linguaggio comune nel reporting sugli incidenti cyber, obiettivo che, nonostante i numerosi sforzi[3] non è ancora stato raggiunto, tant’è che il Financial Stability Board ha pubblicato in questi giorni un documento di consultazione volto a favorire una maggiore convergenza tra gli schemi di segnalazione degli incidenti cyber; la seconda è connessa all’opportunità di incrementare la disclosure al mercato non solo sugli attacchi cyber subiti (entro i parametri previsti dalla normativa sulla price sensitive), ma anche sulla cd. prepardness, ossia le policy e le procedure adottate internamente all’azienda per la gestione, nel continuo, del rischio cyber.
Questo per rispondere a quell’esigenza, comune ai diversi stakeholders (investitori, controllori, fornitori stessi di servizi di cyber difesa), di condivisione della conoscenza per sviluppare una risposta più efficace al rischio cyber. In questo senso importante la proposta regolamentare della Securities and Exchange Commission che, a marzo di quest’anno, ha introdotto l’obbligo per le società quotate nei mercati USA di fornire, nell’ambito dell’informativa finanziaria periodica, una disclosure standardizzata e costante non solo sugli impatti finanziari derivanti da eventuali material cyber security incidents subiti, ma anche sull’attività del management nell’implementare le policy e procedure interne in materia di cyber security e addirittura sulla presenza, nel Board, di membri con expertise specifica in materia.
Emerge forte la domanda di accountability a tutti i livelli aziendali e, quindi, l’importanza di una corretta governance del rischio cyber.
Introduzione dell’obbligo di svolgere test di resilienza operativa
Il terzo elemento chiave da segnalare è l’introduzione dell’obbligo di svolgere test di resilienza operativa in maniera regolare e sotto la supervisione della vigilanza di settore e, per le entità finanziarie significative, di effettuare i Threat led penetration test quindi test avanzati, basati su minacce reali e svolti su sistemi live.
Questo implica un re-skilling degli attori coinvolti (sfida importante anche per le Autorità di vigilanza) e il passaggio ad una difesa proattiva e su base continuativa.
Il framework richiamato dal DORA per lo svolgimento di questi test è il TIBER-EU elaborato dalla BCE nel 2018 e che, nei mesi scorsi, Consob, insieme con Banca d’Italia e IVASS, ha contribuito a tradurre in un corrispondente framework a livello nazionale, il TIBER-IT.
I test TIBER-IT – applicabili anche in altri settori critici, oltre a quello finanziario – sono svolti su base volontaria e non costituiscono uno strumento di supervisione né sono esercizi di compliance. Essi mirano ad individuare il “punto di rottura” del sistema di presidio del rischio cyber che l’entità finanziaria ha disegnato, prevedendo test su ambienti di produzione e senza la preventiva conoscenza da parte delle funzioni di sicurezza dell’entità testata.
In conclusione
Sse è vero che, per le ragioni sin qui esposte, il cyber risk è un rischio sistemico allora la cyber resilienza è fondamentale per la “sopravvivenza” del sistema stesso ed elemento di fiducia nel suo funzionamento.
La risposta di sistema a un rischio sistemico è in corso: a livello europeo con il DORA, a livello nazionale con la creazione dell’Agenzia per la Cybersicurezza Nazionale e la messa a punto di una Strategia di cybersicurezza nazionale che si pone, tra gli altri, l’obiettivo di realizzare un “parco nazionale della cybersicurezza” che, mettendo a sistema competenze e risorse provenienti dalla Pubblica Amministrazione, dall’industria e dal mondo della ricerca, fornisca tutte le infrastrutture tecnologiche necessarie allo sviluppo delle nuove tecnologie applicate alla cybersecurity per conseguire una maggiore autonomia strategica nazionale in questo settore.
Non ci resta allora che agire velocemente cercando di sfruttare al meglio sia l’accresciuta consapevolezza della natura sistemica del rischio cyber, che deriva anche dall’attuale contesto geo-politico, sia gli strumenti di analisi che sono offerti dalle tecnologie emergenti per aumentare la “fiducia digitale”.
NOTE
WEF_The Global Risk Report 2022. ↑
Sulla gestione del rischio cyber di terzi parti il 17 ottobre 2022 i Ministri dell’Economia e delle Finanze e i Governatori delle Banche Centrali dei Paesi G7, hanno approvato la pubblicazione di un insieme di principi, oltra a una serie di raccomandazioni indirizzate alle entità finanziarie pubbliche e private volte ad affrontare la crescente minaccia di attacchi ransomware (cfr. G7 Fundamental Elements for Third Party Cyber Risk Management in the Financial Sector e G7 Fundamental Elements of Ransomware Resilience for the Financial Sector). ↑
A maggio 2021 Consob ha pubblicato un paper insieme ad altre 9 Autorità finanziarie, partecipanti al G7 Cyber Expert Group (CEG), che propone una classificazione comune degli incidenti cyber, per promuovere lo sviluppo di una tassonomia condivisa che renderebbe la segnalazione degli incidenti più solida ed efficace, facilitando la gestione congiunta delle crisi cibernetiche di portata internazionale (cfr. qui). ↑
* Le idee e le opinioni espresse in questo articolo sono da attribuire unicamente all’autore e non coinvolgono l’istituzione di appartenenza.
