Raddoppio per gli incidenti operativi e di sicurezza. Dal 2020 al 2023, il framework di segnalazione strutturato da Banca d’Italia per monitorare e analizzare questa tipologia di incidenti evidenzia una crescita esponenziale sul numero di segnalazioni.
Le motivazioni sono diverse, in primis la graduale adozione da parte delle banche delle segnalazioni. E ora, a incidere è soprattutto il regolamento DORA, che invita a condividere informazioni tra tutto l’ecosistema bancario per capire i trend in corso e le eventuali strategie di rientro.
La diffusione delle segnalazioni e la crescita degli incidenti
Banca d’Italia ha introdotto lo strumento di segnalazione nel 2015 ed è progressivamente entrato nelle abitudini delle banche. Stando al report di Banca d’Italia, “Digital resilience in the Italian financial sector: evidences from the supervisory incident reporting framework”, la percentuale di enti finanziari che ha segnalato almeno un incidente è cresciuta anno dopo anno: 12% del 2020, 19% nel 2021, 29% nel 2022, fino al 26% nel 2023.
Dati che dimostrano come un numero sempre più nutrito di istituzioni riconosce l’importanza di questo strumento per la comunicazione e la trasparenza sul mercato.
Un’altra motivazione di questa crescita nelle segnalazioni è legata, ovviamente, alla digitalizzazione di questo settore. La digital transformation ha apportato indubbi vantaggi in termini di efficienza e soddisfazione del cliente, ma ha anche introdotto nuove minacce informatiche e rischi operativi, portando a una continua evoluzione nelle tipologie di attacco. Costanti minacce per la resilienza digitale operativa del sistema finanziario.
Tipologie di attacco: l’Invasione degli incidenti cyber
Difatti, come evidenziato anche nel report, sebbene gli incidenti operativi rappresentino la maggiore parte degli eventi segnalati (che includono malfunzionamenti dei sistemi, errori umani e insufficienze nei processi interni), le minacce informatiche stanno aumentando in portata e frequenza.
In particolare, quando si guarda alla cyber sicurezza, le tipologie di attacco più comuni riguardano l’accesso non autorizzato ai sistemi, l’ingegneria sociale, i malware e gli attacchi DDoS. Questi ultimi, in particolare, hanno visto recenti incrementi, influenzati anche dall’intensificarsi dei conflitti geopolitici, come quelli derivanti dalla guerra russo-ucraina. Questi attacchi mirano a sovraccaricare le risorse dei sistemi informatici, causandone l’inaccessibilità e creando disagi nei servizi per gli utenti finali.
L’impatto economico passa in secondo piano
I servizi online sono naturalmente al centro degli attacchi e ad attirare il maggior numero di incidenti è l’ambito dei servizi di pagamento, dove l’interruzione di servizio richiede risposte rapide. Tra il 2020 e il 2023, Banca d’Italia stima che la maggior parte (tra il 74% e l’88%) degli incidenti abbia proprio avuto effetti diretti sui servizi di pagamento, come ATM, online banking e POS.
Sul profilo economico, in realtà, questi incidenti hanno creato un danno considerato generalmente trascurabile. Solo due casi nel 2023, ad esempio, hanno raggiunto il limite maggiore di impatto, secondo Banca d’Italia, e la maggior parte degli incidenti si è risolta rapidamente, in genere in meno di 24 ore. Anche se a volte gli attacchi cyber richiedono tempi più lunghi per via delle complesse indagini necessarie per risalire all’accaduto.
Come mitigare i rischi?
Per affrontare le sfide legate ai rischi tecnologici e garantire la resilienza digitale, le istituzioni finanziarie hanno già messo in piedi delle strategie in ambito ICT, che comprendono l’automazione dei processi e l’introduzione di principi di sicurezza come il “4-eyes principle”, che mira a garantire un maggiore controllo e supervisione coinvolgendo più di una persona nei processi decisionali.
Inoltre, tra le strategie figurano le attività di monitoraggio, abbinate a fasi di test più simili a scenari della vita reale. Oltre alla supervisione del rischio di terze parti. Tutti elementi fondamentali per consentire alle istituzioni di prepararsi al meglio e rispondere in modo efficace alle cyber minacce. E in caso di attacco, collaborare e condividere queste informazioni, così da affrontare in modo coordinato le minacce comuni e le vulnerabilità.
Segnalazioni da 88 istituzioni finanziarie nel 2023
Nel 2023, il numero di entità finanziarie soggette al framework di segnalazione degli incidenti includeva 12 banche significative o gruppi bancari italiani, 76 banche meno significative o gruppi bancari, 43 istituzioni di pagamento e 10 istituzioni di moneta elettronica. Pertanto, in totale, 88 banche (sia significative che meno significative) hanno segnalato incidenti.
Questo articolo è stato pubblicato sul numero di marzo 2025 di AziendaBanca ed è eccezionalmente disponibile gratuitamente anche sul sito web. Se vuoi ricevere AziendaBanca, puoi abbonarti nel nostro shop.
