La sicurezza si sta spostando da un ambito prevalentemente tecnico a un approccio risk-based, in cui il rischio cyber viene letto in relazione agli obiettivi aziendali, ai processi critici e alla continuità operativa. Questo cambiamento richiede anche un’evoluzione dell’organizzazione: cambiano le competenze necessarie, il dimensionamento degli FTE e i modelli di staffing, con una maggiore integrazione tra cybersecurity, risk management, business e funzioni operative.
Nel settore finanziario la sicurezza non può più essere trattata come un presidio tecnico collocato ai margini dell’organizzazione. La digitalizzazione dei servizi, la crescita dei canali remoti, l’adozione di piattaforme cloud e il ricorso a fornitori ICT specializzati hanno reso la resilienza digitale una condizione di funzionamento del business. Prevenire un incidente, limitarne gli effetti e assicurare la continuità dei servizi richiede oggi di coordinare tecnologie, processi, comportamenti delle persone e relazioni con l’ecosistema esterno.
Indice degli argomenti
Resilienza digitale nel settore finanziario: governance e rischio cyber
Da questa trasformazione deriva il passaggio dalla sicurezza come funzione specialistica alla sicurezza come capacità organizzativa. Una banca o un intermediario resiliente si riconosce dalla presenza di policy, controlli e strumenti di detection, ma soprattutto dalla capacità di usarli in modo coerente quando il contesto cambia. La gestione del rischio cyber coinvolge il management, il business, le funzioni di controllo, le risorse umane, l’IT e i partner che sostengono i servizi critici: è sulla tenuta di questa rete di responsabilità che si misura la resilienza reale dell’organizzazione.
DORA e il governo del rischio ICT
Il quadro regolamentare ha accelerato questa trasformazione. Il Digital Operational Resilience Act, applicabile dal 17 gennaio 2025, ha introdotto un impianto armonizzato per la gestione del rischio ICT, il reporting degli incidenti, il testing di resilienza e il presidio dei fornitori ICT terzi critici. La compliance rappresenta però soltanto il punto di partenza: la sfida più complessa consiste nel tradurre requisiti e procedure in decisioni, responsabilità e comportamenti osservabili.
Cybersecurity e business dalla verifica alla security-by-design
Nel campione analizzato da Cetif emerge un progressivo rafforzamento dei presidi, accompagnato da livelli di maturità diversi tra controllo e progettazione. La collaborazione tra cybersecurity e business è formalizzata nel 100% delle istituzioni considerate per penetration test, vulnerability assessment e gestione della sicurezza nella supply chain. Per l’identificazione e l’analisi dei rischi cyber, la compliance e l’awareness la percentuale è dell’88%; scende al 75% quando si passa alla definizione dei requisiti di sicurezza e all’integrazione della security nei prodotti e nei servizi.
La distribuzione dei dati chiarisce dove si concentra il divario. Le organizzazioni hanno sviluppato una buona capacità di controllo, monitoraggio e verifica, mentre l’integrazione della sicurezza nelle fasi di progettazione richiede ulteriore sviluppo. La security-by-design resta quindi una priorità: requisiti di sicurezza, continuità, tracciabilità, segregazione degli accessi e recovery devono essere incorporati fin dalle prime scelte architetturali e operative, quando intervenire è più efficace e meno costoso.
Competenze e cultura per la resilienza digitale
La stessa esigenza di integrazione riguarda le competenze. Nei dati sulla cybersecurity, la media è pari a 12,1 FTE ogni 100.000 clienti, con una distribuzione eterogenea tra le aree specialistiche. La crescita interessa in particolare il presidio del rischio, anche per effetto dell’adeguamento a DORA, e l’area frodi, spinta dalle esigenze legate agli instant payments. Il dato conferma l’interdipendenza tra cyber risk, fraud management, operation e canali digitali: le decisioni su un’area producono conseguenze immediate sulle altre.
Il tema riguarda il numero di persone e il modo in cui le competenze vengono coordinate. Nei processi di governance e controllo, la gestione del rischio è una competenza trasversale, affiancata da change management, documentazione, comunicazione interna e presidio della qualità ICT. Risk Management, Audit, Compliance e Strategy and Governance devono mantenere una visione comune delle esposizioni, evitando che ciascuna funzione legga il rischio solo dal proprio punto di osservazione.
Nei processi operativi, il baricentro si sposta invece sul monitoraggio delle tendenze tecnologiche, sul deployment delle soluzioni, sull’innovazione, sulla sicurezza dell’informazione e sull’ingegneria dei sistemi.
Formazione e comportamenti per la continuità operativa
Quando ruoli e responsabilità sono distribuiti in questo modo, la formazione non può limitarsi alla trasmissione di contenuti. L’e-learning resta utile per diffondere una base comune, ma non basta quando l’obiettivo è allenare decisioni e comportamenti. Aula, workshop, simulazioni e attività esperienziali diventano decisive per chi deve gestire crisi, fornitori, comunicazioni, escalation o scelte operative sotto pressione. Per il top management, la formazione deve inoltre collegare aspetti tecnici, conseguenze economiche, continuità del servizio e obblighi regolamentari.
La formazione produce effetti concreti solo se rende ciascuno consapevole del proprio contributo alla continuità operativa. Questo richiede anche un cambiamento culturale: le organizzazioni più mature consentono di riconoscere e segnalare le vulnerabilità senza alimentare una cultura della colpevolizzazione. Quando l’errore viene nascosto per paura della sanzione, la vulnerabilità resta nel sistema; quando diventa oggetto di apprendimento, rafforza la capacità collettiva di risposta.
Tecnologie, AI e testing della resilienza digitale
Questa cultura deve essere sostenuta da un’architettura tecnologica coerente, capace di proteggere gli accessi, monitorare gli eventi, rilevare tempestivamente le anomale e garantire il ripristino in caso di incidente (ad esempio IAM, MFA, firewall, VPN, EDR). Il criterio consiste nell’integrare i diversi presidi nei processi aziendali e nel collegare prevenzione, rilevazione, risposta e ripristino in una capacità operativa verificabile.
Opportunità e rischi dell’intelligenza artificiale nella sicurezza
Su questa base si innesta l’intelligenza artificiale, che può supportare la correlazione degli eventi, l’analisi comportamentale, la prioritizzazione delle vulnerabilità e la fraud prevention. Allo stesso tempo, questa tecnologia introduce però nuovi rischi: shadow AI, protezione dei dati, accessi non governati, utilizzi malevoli da parte degli attaccanti e dipendenza da modelli e fornitori. L’adozione di AI nella sicurezza richiede perciò sandbox, whitelist, monitoraggio, regole di utilizzo e responsabilità chiare tra funzioni tecniche e funzioni di controllo.
Il testing che rende verificabile la resilienza
La capacità tecnologica, tuttavia, non è sufficiente se non viene messa alla prova. Il testing è il punto in cui la resilienza smette di essere dichiarata e diventa verificabile: un piano di business continuity ha valore solo se è stato provato su scenari realistici, un backup è utile solo se può essere ripristinato nei tempi richiesti; un processo di escalation funziona quando le persone sanno riconoscere il momento in cui attivarlo.
Sul fronte dell’awareness avanzata, test e simulazioni sono associati a un impatto elevato sul rafforzamento dei comportamenti sicuri, sulla reazione tempestiva ad alert e segnali anomali e sull’uso consapevole di dispositivi e strumenti digitali.
Terze parti e resilienza digitale dell’ecosistema finanziario
Il testing porta naturalmente a considerare ciò che accade oltre il perimetro aziendale. La resilienza della singola organizzazione dipende sempre più da quella dell’ecosistema in cui opera. Cloud, piattaforme e servizi gestiti offrono accesso a competenze specialistiche e velocità di innovazione, ma introducono dipendenze che devono essere governate lungo tutto il ciclo della relazione: selezione, contrattualizzazione, monitoraggio, gestione degli incidenti, remediation plan, exit strategy e verifica della continuità.
Dal monitoraggio dei fornitori alle pratiche OSINT
In questo contesto, il rischio di terze parti richiede il passaggio da controlli statici a una gestione dinamica e basata sul rischio. Secondo i dati Cetif, il 100% delle istituzioni monitora gli incidenti dei fornitori, il 50% effettua valutazioni delle vulnerabilità e il 75% conduce analisi post-incidente.
Tra le pratiche più diffuse rientrano valutazioni di sicurezza in loco, meccanismi di information sharing e attività OSINT (Open-Source Intelligence). L’obiettivo è valutare se un fornitore rispetta requisiti documentali e sia in grado di garantire i livelli di servizio, comunicare tempestivamente e contribuire alla risposta durante una crisi.
Propagazione, concentrazione e sostituibilità dei provider
La lettura delle dipendenze deve considerare tre dimensioni centrali: propagazione, concentrazione e sostituibilità. Un incidente presso un provider strategico può estendersi lungo la catena del valore e impattare più intermediari, soprattutto quando lo stesso fornitore supporta processi essenziali per diversi operatori.
La concentrazione su pochi grandi provider aumenta l’esposizione a rischi sistemici, mentre la sostituibilità può risultare complessa per ragioni tecniche, contrattuali o architetturali. In questo scenario, DORA rafforza la necessità di guardare oltre il perimetro della singola organizzazione e di includere nella valutazione le dipendenze esterne e le interconnessioni che possono incidere sulla continuità operativa.
Da qui discende una responsabilità che resta in capo all’intermediario. Esternalizzare un’attività non significa trasferire all’esterno gli effetti del servizio. Occorre quindi sapere quali processi dipendono da quali fornitori, quali subfornitori sono coinvolti, quali alternative siano concretamente attivabili e quali soglie decisionali debbano guidare l’avvio di un piano di uscita o di remediation.
Governance delle terze parti e capacità di risposta
Il punto di arrivo è rendere effettivi i modelli di gestione. Contratti, policy e procedure sono indispensabili, ma devono essere collegati alle caratteristiche dell’organizzazione e alla sua concreta capacità di risposta. La governance delle terze parti deve quindi andare oltre la raccolta di evidenze documentali e verificare se il fornitore è in grado di sostenere i livelli di servizio attesi, comunicare tempestivamente, attivare remediation plan e partecipare alla gestione della crisi.
Questo richiede che management, funzioni interne e partner esterni condividano linguaggi, responsabilità e soglie decisionali. Una secure and resilient organization si riconosce dalla capacità di coordinare competenze specialistiche e conoscenza dei processi aziendali, così da prendere decisioni coerenti anche sotto pressione.
La prospettiva dei prossimi anni sarà segnata da architetture cloud distribuite, AI integrata nei processi, pagamenti istantanei, minacce ibride e catene di fornitura multilivello. In questo scenario, sicurezza e resilienza diventano infrastrutture di fiducia per l’innovazione. Le organizzazioni più mature saranno quelle capaci di progettare servizi digitali sicuri, coinvolgere il business nelle decisioni di rischio, formare persone consapevoli e verificare con regolarità la propria capacità di risposta, includendo le terze parti.
Partecipa alla community