La capacità dei modelli avanzati di intelligenza artificiale di individuare vulnerabilità software e generare modalità di sfruttamento in tempi molto ridotti sta modificando il panorama della cybersecurity. Non necessariamente perché introduce minacce del tutto nuove, ma perché può aumentare la velocità, la scala e la sofisticazione con cui gli attacchi vengono condotti.
È da questa considerazione che prendono origine le recenti iniziative della Banca Centrale Europea e della Banca d’Italia. Agli istituti finanziari viene chiesto di verificare quanto i presidi esistenti siano ancora adeguati e di definire interventi concreti per rafforzare riservatezza, integrità e resilienza dei sistemi IT bancari, soprattutto a fronte di minacce più rapide e difficili da contenere.
Nel settore finanziario inoltre, il rischio è amplificato dalle forti interdipendenze tecnologiche. Molte organizzazioni utilizzano gli stessi software, componenti open source, servizi cloud o fornitori IT. Una vulnerabilità presente in una tecnologia condivisa può quindi coinvolgere contemporaneamente più istituzioni e, nei casi più critici, avere conseguenze anche su servizi e funzioni finanziarie essenziali.
Due richieste e due scadenze distinte
Le scadenze previste sono due, ma riguardano soggetti differenti.
Entro il 31 ottobre 2026 le banche significative, sottoposte alla vigilanza diretta della BCE, dovranno presentare un piano d’azione ai rispettivi Joint Supervisory Team. Il documento dovrà indicare le misure previste, le risorse necessarie, le responsabilità interne e le relative tempistiche, distinguendo tra priorità immediate e interventi strutturali di medio e lungo periodo. Successivamente, i Joint Supervisory Team ne discuteranno i contenuti con le singole banche e ne seguiranno l’avanzamento.
La Banca d’Italia si rivolge invece agli intermediari direttamente vigilati a livello nazionale, tra cui banche e gruppi bancari meno significativi, istituti di pagamento e di moneta elettronica, imprese di investimento e gli altri operatori indicati nella comunicazione ufficiale.
Per questi soggetti la scadenza è fissata al 31 dicembre 2026. Entro tale data dovrà essere trasmessa una relazione che descriva il livello attuale di esposizione, valuti l’adeguatezza dei presidi e individui le principali carenze. Il documento dovrà inoltre indicare interventi, investimenti, tempistiche e modalità con cui il Consiglio di amministrazione controllerà l’avanzamento del piano.
BCE e Banca d’Italia si muovono quindi nella stessa direzione e richiamano entrambe DORA, ma con un’impostazione leggermente diversa. La BCE chiede alle grandi banche europee un action plan sulle priorità strategiche e operative in ambito cybersecurity. Banca d’Italia formalizza maggiormente il processo: non basta spiegare che cosa si farà, bisogna anche rappresentare con chiarezza da quale situazione si parte e quali gap restano aperti.
Banca d’Italia entra quindi maggiormente nel processo formale, richiedendo che:
- il Consiglio di amministrazione esamini la comunicazione in una seduta congiunta con il Collegio sindacale;
- il CdA definisca come controllerà l’avanzamento del piano;
- venga individuato e comunicato alla Vigilanza uno specifico punto di responsabilità aziendale;
- negli organi di amministrazione siano presenti competenze tecnologiche adeguate, anche sull’intelligenza artificiale, sostenute da formazione continua.
Per i CISO cambia soprattutto il modo in cui preparare l’evidenza: non solo una roadmap tecnica, ma un documento capace di collegare rischio, controlli, budget, responsabilità e continuità dei servizi.
Le priorità operative indicate dalla BCE per il settore finanziario
Nel breve periodo, la BCE chiede tre attività di base: conoscere la superficie di attacco, accelerare vulnerability e patch management e rafforzare monitoraggio e capacità difensive supportate da AI. A queste si aggiunge ovviamente la gestione del rischio di terze parti.
Conoscere la superficie di attacco
Una delle prime priorità riguarda la disponibilità di inventari completi, aggiornati e affidabili. Per intervenire rapidamente su una vulnerabilità bisogna sapere quali risorse sono presenti, dove si trovano, quali funzioni supportano e quanto sono esposte. La mappatura deve includere anche software di terze parti, componenti open source, ambienti cloud, applicazioni accessibili da Internet e connessioni con fornitori esterni.
Avere un inventario, tuttavia, non significa automaticamente avere visibilità. Se le informazioni non vengono aggiornate, correlate e classificate in base alla criticità, si rischia di disporre di molti dati senza riuscire a utilizzarli nel momento in cui servono davvero.
Gli asset devono quindi essere valutati considerando sia il loro ruolo nei processi finanziari sia il livello di esposizione. Un sistema critico direttamente raggiungibile dall’esterno richiede priorità e livelli di monitoraggio diversi rispetto a una risorsa meno esposta.
Banca d’Italia sottolinea inoltre la necessità di collegare i sistemi di detection all’inventario degli asset, così da interpretare gli eventi anche in funzione della criticità delle risorse coinvolte. Per il CISO significa poter passare da una lettura puramente tecnica dell’alert a una valutazione più concreta dell’impatto sul business.
Accelerare vulnerability e patch management
La riduzione del tempo disponibile per correggere una criticità impone di rivedere l’intero processo di gestione delle vulnerabilità. Le attività di scanning devono essere abbastanza frequenti da intercettare rapidamente le nuove falle, ma soprattutto devono produrre informazioni realmente utilizzabili.
Generare migliaia di alert senza riuscire a distinguere ciò che richiede un intervento immediato da ciò che può essere gestito successivamente aumenta il carico operativo senza ridurre concretamente il rischio. La priorità non può quindi dipendere soltanto dalla severità tecnica, ma deve considerare anche esposizione e criticità dell’asset, presenza di misure compensative e possibili conseguenze sui servizi finanziari.
Allo stesso tempo, il patch management deve muoversi più velocemente senza compromettere la stabilità dei sistemi. È un equilibrio complesso: ritardare una correzione amplia la finestra di esposizione, ma applicare una patch senza test adeguati può generare indisponibilità o malfunzionamenti su sistemi essenziali.
Servono quindi procedure chiare per le modifiche di emergenza, ambienti di test adeguati, ruoli ben definiti e una collaborazione costante tra security, infrastrutture, applicazioni e funzioni di business.
Monitoraggio e difesa supportati dall’AI
L’intelligenza artificiale non rappresenta soltanto un fattore di accelerazione per gli attaccanti. Può supportare anche i team di sicurezza nell’analisi dei log, nell’identificazione delle anomalie, nella gestione delle vulnerabilità e nella correlazione di grandi quantità di informazioni.
In organizzazioni con infrastrutture complesse e volumi elevati di eventi come quelle del settore finanziario, queste capacità possono aiutare a ridurre i tempi di individuazione e analisi. Tuttavia, BCE e Banca d’Italia richiamano la necessità di adottare gli strumenti in modo controllato.
L’integrazione dell’AI nei processi di sicurezza deve essere preceduta da una valutazione dei rischi e dei benefici e accompagnata da governance, validazione, monitoraggio delle prestazioni e supervisione umana. È quindi fondamentale conoscere i limiti degli strumenti, verificare la qualità degli output e definire quali attività possano essere automatizzate e quali richiedano un controllo diretto.
La sicurezza della banca dipende anche dai suoi fornitori
Cloud provider, partner tecnologici e fornitori di servizi sono parte integrante dell’operatività finanziaria. Questa integrazione offre vantaggi, ma crea anche dipendenze: una vulnerabilità presente in un servizio condiviso o in un componente diffuso può interessare più organizzazioni nello stesso momento e rendere più complessa la gestione dell’incidente.
La valutazione del rischio di terze parti non può quindi limitarsi alla selezione iniziale del fornitore o alla compilazione periodica di un questionario. Bisogna capire con quali tempi il provider individua e comunica le vulnerabilità, come applica le patch, quali controlli utilizza e da quali ulteriori soggetti dipende. Anche contratti e livelli di servizio devono essere coerenti con la criticità dei servizi forniti.
L’esternalizzazione, infatti, non trasferisce la responsabilità. Anche quando un servizio è affidato a un soggetto esterno, l’organizzazione finanziaria rimane responsabile dei rischi che ne derivano. Per il CISO significa mantenere visibilità anche su ciò che si trova al di fuori del perimetro tecnologico direttamente gestito.
Settore finanziario: cosa si aspettano BCE e Bankitalia
Le indicazioni delle autorità del settore finanziario partono da un presupposto realistico: anche una difesa ben progettata può essere superata. L’obiettivo non può quindi limitarsi a impedire l’accesso iniziale, ma deve comprendere anche la capacità di contenere ciò che un attaccante può fare una volta entrato nell’infrastruttura.
Da qui l’attenzione verso segmentazione e microsegmentazione, principi Zero Trust, autenticazione multifattore, gestione rigorosa dei privilegi, logging completo e verifica continua di utenti, dispositivi, applicazioni, API e account di servizio.
La segmentazione, in particolare, può evitare che una compromissione inizialmente circoscritta si propaghi verso sistemi più critici. Lo stesso vale per le tecnologie legacy o non più supportate: quando non possono essere sostituite rapidamente, è necessario ridurne l’esposizione e adottare misure compensative.
La sicurezza deve quindi essere costruita su più livelli, evitando che il superamento di un singolo controllo comprometta l’intera infrastruttura. Ma nessuna organizzazione può garantire che un incidente non si verificherà mai. Diventa quindi essenziale capire quanto rapidamente sia in grado di rilevarlo, contenerlo, prendere decisioni e ripristinare i servizi essenziali.
Incident response, crisis management, backup, failover e recovery devono essere verificati attraverso test periodici e scenari realistici. BCE e Banca d’Italia richiamano, tra gli altri, attacchi ad alta velocità e volume, sfruttamento diffuso di vulnerabilità zero-day, ransomware, compromissioni della supply chain e indisponibilità di servizi cloud.
Non basta quindi avere una copia dei dati o una procedura formalmente approvata. Bisogna verificare se i sistemi possano essere realmente ripristinati nei tempi richiesti e se le persone coinvolte sappiano come agire durante una crisi.
Dalla documentazione alla capacità operativa
La preparazione dei piani non dovrebbe ridursi alla produzione di nuova documentazione. Il punto è capire se l’organizzazione conosce davvero i propri asset, se riesce a individuare rapidamente le vulnerabilità più critiche, se può intervenire in tempi adeguati e se dispone delle capacità necessarie per continuare a operare durante un incidente.
Per i CISO del settore finanziario, la sfida non consiste nel prevedere ogni possibile utilizzo offensivo dell’intelligenza artificiale. Consiste nel costruire processi, architetture e responsabilità capaci di adattarsi a uno scenario che cambia sempre più rapidamente. Perché, quando i tempi dell’attacco si accorciano, anche visibilità, decisioni e capacità di risposta devono diventare più veloci!
Fonti:
www.bankingsupervision.europa.eu
www.bancaditalia.it
