Dopo Francoforte, tocca a Roma. Esattamente 10 giorni dopo la lettera con cui la Banca centrale europea ha chiesto alle banche significative dell’area dell’euro un piano d’azione contro le minacce informatiche potenziate dall’intelligenza artificiale, il 17 luglio la Banca d’Italia ha diffuso una comunicazione al mercato che si muove nel solco di quella lettera e la completa rispetto ai soggetti vigilati direttamente dal Dipartimento Vigilanza Bancaria e Finanziaria della Banca d’Italia: le banche e i gruppi bancari meno significativi (compresa Bancoposta), gli istituti di pagamento, gli istituti di moneta elettronica, le imprese di investimento, i fornitori di servizi per le cripto-attività, i gestori di fondi di investimento alternativi, le società di gestione, i fornitori di servizi di crowdfunding e gli intermediari finanziari iscritti all’albo ex articolo 106.
Anche in questo caso c’è una data: entro il 31 dicembre 2026 ogni intermediario dovrà trasmettere alla Vigilanza una relazione sulla propria esposizione al rischio e un piano di lavoro con azioni, tempi e investimenti. Nessun operatore della finanza italiana, dalla grande banca alla piattaforma di crowdfunding, è ormai esente dall’obbligo di misurarsi con il nuovo scenario.
Indice degli argomenti
La diagnosi è la stessa di Francoforte
Il punto di partenza è lo stesso della vigilanza europea. I modelli di intelligenza artificiale di ultima generazione sono potenzialmente in grado di individuare le vulnerabilità dei sistemi informatici, cioè gli errori del software che possono essere sfruttati per entrarvi, e generare nello stesso tempo gli strumenti per approfittarne, tutto ciò in tempi ridottissimi e senza bisogno di competenze specialistiche. Si riduce così quasi a zero l’intervallo che separa la scoperta di una falla dal suo sfruttamento, lo stesso intervallo in cui i difensori organizzavano le riparazioni. E cresce l’asimmetria che da sempre caratterizza la sicurezza informatica, dove l’attaccante deve trovare una sola porta aperta e il difensore deve chiuderle tutte.
Da questa premessa la Banca d’Italia trae una conclusione che vale la pena riportare quasi alla lettera. Rafforzare la resilienza operativa digitale, cioè la capacità dei sistemi di resistere agli incidenti e di continuare a funzionare, non è più soltanto un’esigenza di conformità alle regole, bensì una condizione essenziale per assicurare la continuità aziendale e servizi finanziari affidabili. Anche in questo caso la cornice normativa non cambia, del resto non potrebbe essere altrimenti: DORA, il regolamento europeo sulla resilienza operativa digitale del settore finanziario si applica in ogni angolo dell’Unione europea. Cambia l’urgenza con cui quelle regole vanno “prese sul serio”.
Prima la governance, poi la tecnologia
La Banca d’Italia elenca sei aree di intervento e non è un caso che la prima sia proprio la governance. I consigli di amministrazione dovranno rivedere la propria propensione al rischio, stabilire insomma quanta esposizione al rischio informatico l’intermediario è disposto ad accettare, e incorporarvi i rischi delle tecnologie di frontiera, in coerenza con le decisioni strategiche sugli investimenti informatici e sull’allocazione delle risorse. Inoltre, gli intermediari dovranno assicurare un’attribuzione chiara e puntuale delle responsabilità interne, anche sulla gestione e sicurezza dei dati, e presidiare i fornitori esterni di servizi informatici con requisiti contrattuali adeguati, dal monitoraggio della sicurezza alla gestione degli aggiornamenti, e con criteri rigorosi di valutazione e selezione preventiva.
Ma soprattutto c’è una richiesta che tocca la composizione stessa degli organi di vertice e che potrebbe creare non pochi problemi a molti intermediari. Nei Cda dovranno sedere componenti dotati di competenze tecnologiche adeguate, anche in materia di intelligenza artificiale. È lo stesso messaggio che attraversava la lettera di Francoforte, la responsabilità di rispondere al nuovo scenario spetta ai vertici, non agli uffici.
Più livelli di difesa, inventari, aggiornamenti
Sul livello tecnico la difesa va preparata in profondità, con una strategia che deve sovrapporre più livelli di protezione in modo che, se uno viene superato, i successivi blocchino l’attacco e proteggano i dati. Si tratta ovviamente dello stesso approccio di Francoforte. Ne discendono processi rigorosi di autenticazione e autorizzazione, una gestione granulare degli accessi, il monitoraggio costante delle attività e la segmentazione delle reti e degli ambienti operativi, che impedisce a una compromissione circoscritta di propagarsi ovunque.
C’è poi il capitolo degli inventari, perché per difendere i propri sistemi bisogna prima sapere esattamente quali sistemi si possiedono. La Banca d’Italia richiede la compilazione di inventari completi, aggiornati e affidabili, come prerequisito per individuare le vulnerabilità e per mappare la “superficie di attacco”. La classificazione delle risorse deve tenere conto dell’esposizione diretta su internet e del ricorso al cloud, assicurando che le tecnologie non più supportate o a fine vita siano sostituite o aggiornate. Sugli aggiornamenti bisogna accelerare. Individuare rapidamente le falle, facendo evolvere le tecniche di scansione e, dove costi e benefici lo giustificano, avvalendosi della stessa intelligenza artificiale, infine applicare le correzioni con più tempestività, dando precedenza ovviamente a quelle critiche. Priorità assoluta verificare eventuali software open source e sistemi accessibili dall’esterno, le cui falle, specie quelle per cui non esiste ancora una correzione, le cosiddette zero-day, sono le prime a essere sfruttate.
Monitoraggio, prove generali e fornitori
Il monitoraggio che consente di scovare gli attacchi è fondamentale: i sistemi di monitoraggio delle applicazioni, degli accessi e del traffico di rete, compreso quello da e verso i fornitori, vanno rafforzati e, dove opportuno, integrati con strumenti basati sull’intelligenza artificiale capaci di analizzare grandi volumi di dati e carpire anomalie in tempo reale. Anche qui la posizione ricalca quella della BCE, che non scoraggia l’uso difensivo dell’intelligenza artificiale, bensì lo subordina a condizioni precise. Chi adotta questi strumenti deve farlo in coerenza con la propria strategia in materia di IA, dopo una valutazione dei rischi specifici e con presidi adeguati, dal monitoraggio delle prestazioni e del loro deterioramento alla supervisione umana. La Banca d’Italia aggiunge una cosa di buon senso, il monitoraggio deve essere sincronizzato con l’inventario delle risorse, perché si sorveglia bene solo ciò che si sa di avere. Quanto ai test, la comunicazione chiede di rafforzare le prove di resilienza previste dal DORA e quelle dei processi di risposta e recupero, includendo in modo strutturato la gestione delle crisi, con simulazioni di scenari realistici e progressivamente più complessi. In un contesto in cui la probabilità di un incidente informatico è aumentata, l’esercitazione non può essere un adempimento burocratico ma deve essere un reale e concreto addestramento ad affrontare il rischio. Infine, le catene di fornitura articolate su più livelli e concentrate in pochi operatori corrono il rischio di trasformare una criticità in un problema serio, e per questo la Banca d’Italia ricorda che sulle terze parti ricadono le medesime responsabilità di salvaguardia e continuità dei sistemi.
Cosa succede ora nei consigli di amministrazione
Adesso i consigli di amministrazione dovranno esaminare il testo della comunicazione in una seduta congiunta con il collegio sindacale, insomma la discussione va fatta ad un tavolo dove siedono chi gestisce e chi controlla. Quindi da qui dovrà poi partire la stesura di una relazione che, per ciascuna delle aree indicate, faccia una fotografia del livello attuale di esposizione al rischio e l’adeguatezza dei presidi esistenti, individui le carenze principali con le relative priorità e definisca un piano di lavoro con azioni, tempi e investimenti, proporzionato al profilo di rischio, alla complessità dei servizi e all’operatività dell’intermediario. Il piano dovrà anche stabilire con quali modalità il consiglio ne verificherà l’avanzamento. Ogni entità dovrà inoltre indicare alla Banca d’Italia una figura quale responsabile dei presidi, per esempio la funzione di controllo dei rischi informatici di secondo livello. Relazione e piano vanno trasmessi entro il 31 dicembre 2026.
Roma e Francoforte, un disegno unico
Letta accanto alla lettera della BCE, la comunicazione di via Nazionale rivela un disegno coordinato, coerente, come precisa lo stesso documento, con l’impostazione della Vigilanza unica europea. Le banche significative dovranno consegnare a Francoforte il loro piano entro il 31 ottobre 2026, tutti gli altri intermediari italiani a Roma entro il 31 dicembre. Nel giro di due mesi l’intero sistema finanziario avrà messo nero su bianco quanto è esposto e cosa intende fare. Era stato tutto annunciato. Nelle Considerazioni finali di maggio il governatore Fabio Panetta aveva segnalato l’emergere di modelli capaci di individuare vulnerabilità con rapidità e profondità senza precedenti, in un sistema che nel triennio 2023-25 ha visto crescere dell’80 per cento gli incidenti informatici a carico degli intermediari italiani. Non a caso la comunicazione cita proprio quell’intervento.
Partecipa alla community