Il valore della cooperazione per lo scambio informativo e l’analisi delle minacce nel settore finanziario Il punto di vista dell’IVASS. Durante il convegno organizzato da CERTFin il 4 luglio 2024 a Roma, Stefano De Polis – Segretario Generale IVASS e Pietro Franchini – Vice Capo del Servizio Studi e Gestione Dati IVASS hanno presentato un intervento incentrato sull’importanza della cooperazione tra operatori pubblici e privati per la resilienza cibernetica nel settore finanziario italiano. L’intervento ha evidenziato due punti chiave: la rilevanza dello scambio informativo e la necessità di coinvolgere una base clienti ampia nelle politiche di sicurezza.
Le compagnie assicurative rivestono un ruolo peculiare nella resilienza cibernetica. Da un lato, devono gestire i propri rischi cibernetici, come qualsiasi altro intermediario finanziario. Dall’altro, offrono protezione ai loro clienti attraverso polizze che coprono i costi di ripristino e i danni economici derivanti da attacchi informatici, riducendo così l’esposizione ai rischi operativi.
IVASS, in qualità di autorità di vigilanza nazionale per le assicurazioni, supervisiona le compagnie con un’attenzione particolare alla governance ICT e alla sicurezza informatica, garantendo la continuità operativa e la protezione dei dati. Negli ultimi anni, IVASS ha raccolto segnalazioni sugli incidenti cibernetici, partendo dal presupposto che la condivisione di queste informazioni sia cruciale per valutare i rischi delle singole compagnie e del mercato nel suo complesso. Tuttavia, il numero di segnalazioni ricevute è stato esiguo: solo cinque nel 2022 e quattro nel 2023, con due incidenti classificati come seri.
La necessità di una maggiore condivisione delle informazioni tra gli operatori del settore assicurativo e finanziario è evidente. Le entità devono avere l’opportunità di apprendere dalle esperienze altrui per identificare tempestivamente le minacce emergenti e adottare misure preventive o correttive efficaci, mantenendo così il rischio cibernetico a un livello accettabile. Il sistema deve essere reattivo e proattivo al contempo, prevenendo futuri attacchi.
L’entrata in vigore del Digital Operational Resilience Act (DORA) rappresenta un cambiamento significativo. DORA richiede alle compagnie assicurative e ai fornitori di tecnologia di segnalare gli incidenti con criteri e tempi più stringenti. La condivisione strutturata delle informazioni consentirà di mitigare in modo costante ed efficace il rischio cibernetico a livello nazionale ed europeo. È necessario che le compagnie si conformino ampiamente ai nuovi obblighi imposti da DORA lungo tutta la catena del valore assicurativo, inclusi fornitori, agenti e broker.
In Italia, un esempio positivo di cooperazione è rappresentato dalla rete di condivisione in tempo reale delle informazioni e delle competenze tra i membri di CERTFin, sebbene solo sei compagnie assicurative (circa il 10% dei membri) vi partecipino attivamente. Migliorare la collaborazione con l’Agenzia Nazionale per la Cybersecurity (ACN) è essenziale. La condivisione delle informazioni, compresi gli attacchi ai fornitori critici, è fondamentale per la prevenzione, l’individuazione precoce delle minacce e la preparazione di risposte coordinate e più efficaci.
La consapevolezza e l’educazione sono cruciali per migliorare la sicurezza informatica delle imprese finanziarie e dei loro clienti. IVASS ha recentemente aperto pagine web dedicate alla sicurezza informatica, destinate sia agli operatori assicurativi che agli assicurati, promuovendo la consapevolezza dei rischi e il ruolo che ciascun componente può e deve svolgere per rendere il sistema più resiliente.
Nell’era digitale, la sicurezza online è una responsabilità condivisa che coinvolge tutti i membri della società. I cittadini svolgono un ruolo cruciale nella prevenzione e nella gestione dei rischi cibernetici: sono la prima linea di difesa contro le minacce digitali. Pertanto, la sensibilizzazione e l’educazione sono di primaria importanza. La formazione continua è essenziale in un panorama cibernetico in continua evoluzione. I cittadini devono comprendere i rischi online, adottare buone pratiche di igiene digitale e proteggere attivamente i propri dati.
L’investimento nell’educazione dei cittadini sulla sicurezza informatica non è solo una misura preventiva ma un imperativo sociale. Negli ultimi anni, CERTFin ha contribuito significativamente in questo ambito attraverso campagne di formazione e informazione. Creando una cultura della consapevolezza e della responsabilità digitale, possiamo collaborare per costruire un ambiente online più sicuro e affidabile per tutti.
L’esperienza di IVASS nel contrastare le frodi attuate tramite siti web non autorizzati che offrono false polizze assicurative è un esempio concreto dei risultati che la sensibilizzazione e la consapevolezza dei rischi cibernetici possono produrre. Inizialmente, IVASS identificava i siti sospetti con risorse limitate, ma oggi, grazie al lavoro del Dipartimento di Comunicazione e alla diffusione delle informazioni sui rischi attraverso stampa, radio, TV e social media, il 95% delle segnalazioni di siti sospetti proviene da aziende, intermediari e cittadini stessi. Questi, sospettosi, decidono di contattare il call center di IVASS, che verifica e procede alla chiusura dei siti fraudolenti.
Secondo i relatori IVASS la cooperazione, la diffusione adeguata delle informazioni e il pieno coinvolgimento dei clienti possono rafforzare significativamente la resilienza cibernetica. Attraverso un approccio coordinato e collaborativo è possibile garantire un elevato livello di sicurezza informatica e mantenere la fiducia nel nostro sistema finanziario e assicurativo. La conoscenza diffusa della minaccia cibernetica, anche da parte dei clienti, è un ulteriore fattore chiave per la resilienza del sistema.
Investire nell’educazione dei cittadini sulla sicurezza informatica è una misura preventiva e un dovere sociale. La cooperazione tra pubblico e privato, insieme alla sensibilizzazione e all’educazione del pubblico, è fondamentale per migliorare la sicurezza cibernetica e la resilienza operativa nel settore finanziario e assicurativo italiano.
L’intervento è disponibile, in lingua inglese, a questo link.
