Il 2023, che si è aperto con il blackout di due importanti provider di posta elettronica, è anche l’anno in cui scatta per il settore finanziario il conto alla rovescia per l’adeguamento al regolamento DORA.
Il Digital Operational Resilience Act impone a banche, assicurazioni e società di investimento di innalzare gli standard nella resilienza digitale, ovvero di essere capaci di affrontare, resistere e riorganizzarsi da un crollo dell’operatività di servizio.
«Ci sono ora due anni di tempo per adeguarsi alla DORA, nell’ottica di una sempre maggiore resilienza nell’operatività digitale: ovvero di garantire la continuità e integrità dei servizi, dove si utilizzino risorse digitali proprie o fornite da terzi – racconta Emanuela Cerrato, Servizio Supervisione Mercati e Sistemi di Pagamento, Vice Titolare Divisione Sistemi di Pagamento e Infrastrutture della Banca d’Italia. Non è solo una questione di business continuity, poiché la DORA mette in moto una revisione strategica della sicurezza informatica e della gestione del rischio ICT, e include nel suo perimetro di applicazione anche i fornitori di tecnologia al mondo finanziario». AziendaBanca, in collaborazione con IBM, ha organizzato un webinar per capire come la resilienza possa trasformarsi in una leva competitiva, a vantaggio dei programmi di trasformazione digitale delle banche.
Anche i fornitori di tecnologia sono coinvolti
La DORA impatta direttamente sul finance, quindi banche, assicurazioni e società di investimento sono chiamate a rafforzare le attuali pratiche di resilienza operativa. Ma la normativa ricade anche sui fornitori di tecnologie: le terze parti, che offrono alle banche servizi critici, indispensabili all’attività finanziaria.
«La DORA tiene conto di due fattori chiave: da una parte l’aumento dei volumi sui canali digitali e la maggiore dipendenza degli istituti finanziari dai fornitori ICT, con una supply chain IT sempre più lunga – premette Alberto Fietta, Country Head of Banking & Financial Markets di IBM Consulting. Dall’altra la presenza di infrastrutture tecnologiche sempre più complesse, distribuite ed eterogenee, che aumentano l’esposizione al rischio. Il nuovo regolamento coinvolge oltre 20mila realtà a livello europeo, perché interessa tutti i settori che operano all’interno del sistema finanziario: crowdfunding, stock exchange, fornitori di crypto». Escluse, per il momento, le aziende del mondo dei pagamenti.
Stress test con proporzionalità
Cinque i pilastri su cui poggia la DORA: la gestione del rischio ICT, il reporting dei Major ICT Incident, la gestione del Third Party Risk, il Testing e l’Info Sharing.
In particolare, i primi due pillar sono già conosciuti al finance e riguardano, in senso ampio, la gestione del rischio operativo digitale e la obbligatoria segnalazione di incidenti gravi.
«Mentre ci sono alcune novità a livello di normativa primaria europea. Una è l’obbligo per gli operatori di effettuare periodici test, di base o avanzati – evidenzia Cerrato – per verificare la capacità di resilienza digitale».
Info sharing, la condivisione contro le minacce
L’altra è la condivisione delle informazioni relative alle minacce informatiche: «con l’articolo 45 la DORA intende superare le remore degli operatori a condividere informazioni – prosegue Cerrato. Per contrastare gli attacchi in evoluzione, la sicurezza deve diventare un campo di cooperazione, attraverso la condivisione di informazioni sulle minacce cyber in “trusted communities” con adeguati presidi di confidenzialità».
Nel rispetto dei dati sensibili, quindi, e con meccanismi diversi dal reporting obbligatorio degli incidenti alle autorità.
Il rischio di terze parti: cosa comporta
Naturalmente, spicca il rischio di terze parti: la DORA apre una nuova cornice normativa sui fornitori tecnologici, outsourcer IT e fintech, che erogano risorse digitali al finance. E quindi, mentre gli operatori devono valutare il rischio di terze parti, viene introdotto un quadro europeo di sorveglianza sui fornitori essenziali allo svolgimento delle attività finanziarie: per questo definiti “critici”.
«Sono fornitori che erogano servizi la cui compromissione ha un impatto sistemico sul sistema finanziario europeo – precisa Cerrato – oppure erogano risorse digitali a soggetti sistemici o supportano funzioni critiche o importanti di operatori finanziari. E rientrano in questa definizione anche i player scarsamente sostituibili. Infine, se il fornitore critico ha sede in un paese terzo, ha l’obbligo di aprire una sussidiaria nell’Unione europea. Il regime di sorveglianza sulle terzi parti critiche fa capo alle Autorità europee di vigilanza (ESA), secondo una governance che coinvolge anche i supervisori nazionali».
Le linee guida per un nuovo outsourcing
Per gestire il rischio di terze parti serve infatti una strategia chiara e DORA richiede di definire una policy per quanto riguarda l’esternalizzazione di funzioni critiche o importanti, valutando soprattutto una exit strategy.
Mettere sempre in conto il rischio di concentrazione del mercato, facendo un’analisi sui costi e i benefici di soluzioni alternative a quelle già in uso.
Tra le buone prassi dettate dall’ESA anche l’informativa preventiva alle autorità e il registro di tutti i contratti ICT. Quest’ultimo è proprio uno degli ambiti da cui le banche possono partire, analizzando tutti i contratti in essere con le terze parti.
DORA: gli elementi di valore
Non si tratta solo di compliance, la DORA guida anche verso un percorso di efficientamento dell’operatività digitale. Capace di offrire maggiori garanzie sulla user experience offerta alla clientela, come la disponibilità e l’accessibilità ai servizi 24/7, con ovvie ricadute positive sulla brand reputation. Ma anche di abbattere il costo del rischio ed evitare sanzioni a fronte di incidenti.
«La resilienza digitale può diventare un elemento sinergico della trasformazione tecnologica delle banche – conclude Fietta. Una gestione più matura del rischio ICT diventa l’elemento di efficienza nella messa a terra di progetti digitali complessi. Questo grazie al derisking dei processi di digital transformation, tramite le attività di test previste dalla DORA. Ma bisogna creare consapevolezza sulle opportunità, sensibilizzando in primis il top management, definendo una strategia e una pratica organizzativa, e solo in un secondo momento valutare gli impatti su processi, procedure e scelte tecnologiche».
PROTEZIONE DEI DATI: SERVE UN APPROCCIO ZERO TRUST
L’ecosistema di fornitori di servizi, terze parti e operatori finanziari ha ampliato il classico perimetro di sicurezza informatica. «La superficie è più ampia, le minacce sempre più sofisticate e i dati, naturalmente, sono il bene prezioso da proteggere – commenta Cristiano Tito, Italy Security Consulting and Delivery Leader di IBM Italia. Agli istituti finanziari è quindi richiesto di intercettare una minaccia ancora prima che questa sia stata perpetrata, sfruttando soluzione basate su AI e machine learning.
Nel malaugurato caso in cui l’attacco vada a buon fine, è fondamentale garantire la resilienza, ossia continuare a offrire i servizi alla clientela mentre si gestisce l’attacco. Per questo, è necessario censire e presidiare i dati critici per il business, le applicazioni mediante le quali si accede a tali dati, nonché tracciare le attività degli utenti su quei dati». Ma quali sono gli asset digitali più importanti? L’identità, quindi autenticazione forte per essere certi dell’identità di chi accede al dato; i device, la sicurezza di questi strumenti è essenziale; lo stesso discorso vale per le applicazioni, che vanno sviluppate in sicurezza e possono segnalare comportamenti anomali degli utenti; le infrastrutture, vettore critico per le minacce; i dati, classificati e criptati, come anche le infrastrutture di rete.
I SETTE CAMBIAMENTI IMPOSTI CON DORA
1. Governance
Viene richiesta al board la responsabilità nella gestione e nell’esercizio di un ICT Management e quindi di definire il risk appetite e le soglie di tolleranza del rischio.
2. Strategia di esternalizzazione
L’outsourcing dei servizi andrà inevitabilmente rivista e inserita in una più ampia strategia aziendale di esternalizzazione, per abbattere il rischio di terze parti.
3. Risk management
La DORA richiede di definire dei framework per la gestione del rischio ICT insieme all’Enterprise Risk Management, utilizzando metodologie unificate.
4. Business Continuity
La nuova regolamentazione si concentra anche sulla business continuity: le aziende devono definire un piano per la continuità del business, organizzando anche un recovery plan.
5. Mappatura
Le aziende devono avere una idea chiara della tecnologia che utilizzano, la DORA richiede quindi di mappare tutti gli asset tecnologici per capire come impattano sui servizi disponibili.
6. Cyber security
In ambito sicurezza informatica, la DORA detta il passo: classificazione dei possibili eventi, obbligo di reporting. Richiesta anche un’abilità predittiva sulle minacce, sfruttando l’AI per il monitoraggio predittivo della rete.
7. Strategia di testing
La DORA richiede di effettuare ogni 3 anni degli stress test che prevedono il degrado progressivo dei servizi. Inoltre, potrebbe essere richiesto di fare test in produzione.
Questo articolo è stato pubblicato sul numero di gennaio/febbraio 2023 di AziendaBanca ed è eccezionalmente disponibile gratuitamente anche sul sito web. Se vuoi ricevere AziendaBanca, puoi abbonarti nel nostro shop.
