Semplificare la user experience comporta, per la banca, enormi sforzi per garantire la sicurezza delle operazioni. Con l’era dell’open banking il livello di complessità crescerà ulteriormente.
E la sicurezza informatica deve uscire dal perimetro dell’IT, per comprendere altri ambiti come il marketing e i processi e terminare il suo percorso ai tavoli decisionali dei CXO.
In questo momento una delle priorità per la information security in banca è l’adeguamento dei sistemi informativi sulla base dei requisiti espressi da quanto stabilito dalla PSD2. Ma nel medio termine serve una visione più ampia e olistica, che esca dalle singole tecnologie (o, peggio ancora, dalla compliance alla normativa specifica) per ripensare processi e policy. Giuliano Merlo, Security Strategist di IBM Security Italia, è anche CISO di Dock, la joint venture tra Banca Carige e IBM per i servizi IT. «Oggi l’open banking è sicuramente una priorità di intervento – spiega. Non tanto per i requisiti tecnici della PSD2, che toccano temi spesso già affrontati dalle banche, almeno da quelle di dimensioni maggiori. Ma perché la normativa europea ha portato un messaggio forte, a favore della user experience del cliente. E questo ha cambiato le regole del gioco del settore dopo anni. Con un impatto molto forte sulla operatività bancaria».La complessità si sposta sui processi bancari
Un impatto che si traduce in adeguamenti applicativi e in investimenti importanti. «Aprire i sistemi della banca tramite API – prosegue Merlo – consentendo a terze parti di collegarsi in modo sicuro e regolamentato, richiede interventi di reingegnerizzazione dei processi. La disintermediazione del settore lascia alla banca la gestione di molti aspetti: gli investimenti in sicurezza informatica saranno anche in crescita, ma non proporzionalmente all’aumento di complessità dello scenario e della normativa. Nella sfida digitale le banche hanno spesso adottato il mantra di semplificare la vita al cliente. Ma ogni grammo di complessità rimossa dalla user experience richiede chili di complessità aggiuntiva nei nostri processi interni. Pensiamo agli acquisti con un click su alcuni siti di commercio elettronico: per il cliente è un gesto semplicissimo, ma per la banca quel click richiede motori antifrode e sistemi avanzati di analisi comportamentale per verificare che il cliente sia effettivamente chi dice di essere».
Gli algoritmi alla prova dei new payments
L’analisi comportamentale è un classico esempio di strumento contemplato dalla PSD2 ma su cui le principali realtà sono al lavoro ormai da tempo per intercettare e prevenire le frodi. «Non è solo un tema di compliance – conferma Merlo – ma di adeguamento all’evoluzione degli strumenti di pagamento. Oggi i tempi per bloccare una transazione in caso di frode si sono ridotti a qualche decina di minuti: è impensabile avere un’attività di controllo anche solo parzialmente manuale. Un’analisi incrociata di diversi fattori, dal browser in uso fino all’IBAN di destinazione, permette di monitorare i pagamenti in modo efficace. Ma dobbiamo chiederci che cosa accadrà con la diffusione di nuovi strumenti di pagamento, come il P2P: le strategie di attacco della criminalità evolvono e dovremo capire se, nel tempo, gli algoritmi di analisi comportamentale si dimostreranno sufficientemente robusti e adattativi per affrontare le nuove tecniche di frode».
Marketing e security
Ma, al di là del cantiere aperto per arrivare pronti all’appuntamento d’autunno con la PSD2, un approccio olistico alla sicurezza informatica, secondo Merlo, deve uscire dai confini IT arrivando in ambiti a cui oggi si pensa poco. Ad esempio: il marketing. «Molto spesso il livello di potenziale fraudolenza dipende dal modo in cui la banca vende un prodotto – racconta Merlo. Gli istituti, fino a qualche anno fa, adottavano politiche prudenziali con i nuovi clienti, concedendo ad esempio una carta di credito dopo un certo periodo di conoscenza, di verifica di appropriata copertura cliente tramite conoscenza minima dei suoi versamenti e del suo comportamento. Oggi le condizioni di mercato hanno portato a politiche di marketing molto aggressivo su prodotti che, per via di alcune assunzioni, creano falle che facilitano il percorso dei possibili frodatori: bisogna prestare molta attenzione ad esempio alle condizioni applicate, guardando non solo alla parte tecnologica ma soprattutto alle interazioni tra prodotto, essere umano e tecnologia».
Segregation of duty per le frodi interne
Altro aspetto da riconsiderare: i processi. «La minaccia interna è molto insidiosa – prosegue Merlo – perché chi lavora in banca non gode delle stesse limitazioni di un possibile attaccante esterno, ma ha libertà di movimento e privilegi sicuramente maggiori. Il rischio di un dipendente infedele o sbadato non può essere escluso. Ci vogliono sicuramente controlli approfonditi sul personale assunto e su politiche di controllo sociale (ad esempio policy sul whistleblowing), ma credo che il punto di partenza di prevenzione delle frodi interne sia rappresentato da una buona “segregation of duty”. Bisogna seguire l’esempio di alcune aziende internazionali che hanno introdotto la figura del Business Information Security Officer: una persona esclusivamente di business, con buona conoscenza dei processi bancari, che sia in grado di stabilire quali azioni sono consentite o meno a ciascun ruolo dell’organizzazione; molto spesso invece si assiste a delega di tale ruolo all’interno delle funzioni IT più tipicamente tecnologiche. Con la figura del BISO, i controlli statici dell’audit diventerebbero un processo on-going: purtroppo, lato business, un’azione del genere rischia di essere vista più come un’incombenza che come un’opportunità di miglioramento della sicurezza aziendale».
Come gestire il cliente compromesso?
Attiene sempre ai processi interni della banca anche la gestione della scoperta di eventuali compromissioni. «In IBM abbiamo soluzioni antifrode avanzate, sviluppate in centri di ricerca all’avanguardia quali i centri di eccellenza in Israele, che esplorano il dark web alla ricerca di credenziali compromesse in vendita – racconta Merlo. Un algoritmo eccezionale con attività di ricerca e sviluppo sicuramente molto avanzate permettono di scoprire importanti compromissioni. Ma mettiamoci nei panni della banca che dovesse scoprire che le credenziali di alcuni clienti sono state rubate. Come deve essere gestita la comunicazione di questa scoperta? Servirà sicuramente un team qualificato e formato per contattare il cliente. Che, per inciso, potrebbe anche scambiare la comunicazione della banca per un tentativo di frode. Altre figure, con forti skills in ambito pagamenti, dovranno verificare se ci sono transazioni fraudolente che possono ancora essere annullate. Altre figure della comunicazione dovranno gestire eventuali rivelazioni dei clienti sui social network oppure ai mass media. E così via: quali banche, oggi, hanno predisposto veramente dei processi di cyber-defense di questo genere per gestire un’emergenza del genere?».
Attenzione ai canali tradizionali
E se per il futuro si conferma la sfida di una criminalità informatica in continua evoluzione, non è detto che le nuove minacce andranno a colpire gli strumenti più tecnologici e innovativi. «Io credo che si stiano sottovalutando i canali tradizionali – conclude Merlo – mentre i criminali continuano a ragionare in termini di costi e opportunità, sfruttando ogni apertura che venga loro concessa. Le banche erogano ancora servizi tramite call center, ad esempio. Quanti documenti sul potenziamento delle difese di un call centre sono stati pubblicati recentemente a differenza di quanto scritto su data masking e tokenization? Se alziamo il livello di sicurezza sui canali digitali, allora i tentativi di frode si sposteranno sui canali più deboli, dove il cliente e la banca presteranno meno attenzione. Anche la normativa, d’altronde, è sbilanciata in questo senso: per fare un esempio, se il GDPR spinge verso tecniche di mascheramento dei dati sui canali digitali, perché la medesima attenzione (soprattutto mediatica) non viene data anche, ad esempio, agli estratti conto cartacei?».
