L’importanza dell’Incident Management nel settore finanziario- Luglio 2021

Introduzione

Nel corso degli ultimi anni, vi è stato un aumento sostanziale dell’attenzione delle Autorità di Vigilanza verso le tematiche riguardanti la sicurezza informatica. Ciò è dovuto al fatto che gli eventi correlati all’infrastruttura IT possono impattare pesantemente sull’operatività degli Istituti Finanziari.

Tra le motivazioni che hanno spinto l’incremento del focus delle Autorità nei confronti delle tematiche di cui sopra, rientrano le seguenti:

• l’automatizzazione dei processi di business da parte degli Istituti;
• l’aumento dell’utilizzo da parte dei clienti di applicazioni per usufruire dei servizi offerti dagli Istituti;
• l’aumento della minaccia relativa agli attacchi informatici da parte dei “cyber-criminals”.

Al fine di minimizzare gli impatti che un evento accidentale possa avere verso il normale svolgimento delle attività degli Istituti, è fondamentale che questi si dotino di un efficace processo di Incident Management.

Che cos’è l’Incident Management?

Il processo di Incident Management ha l’obiettivo di minimizzare gli impatti che eventi avversi possano avere sul sistema informativo o sulla rete di una Società (ad es. accessi non autorizzati a dati sensibili, crash del sistema, ecc). Un adeguato processo di Incident Management dovrebbe avere i seguenti scopi:

• garantire il minimo impatto di un incidente su una Società, grazie all’utilizzo di un applicativo efficace;
• fornire informazioni utili al  Management, per far sì che vengano intraprese azioni correttive efficaci;
• consentire il mantenimento ed il ripristino della continuità dei servizi offerti alla clientela.

L’importanza della segnalazione degli incidenti di sicurezza informatica

Con l’accordo di Basilea II, nel 2004, è nata una nuova tipologia di rischio da considerare per il calcolo dei requisiti patrimoniali delle banche: il rischio operativo. Questo ha portato all’incremento del focus delle Autorità di Vigilanza nei confronti degli Istituti affinché questi ultimi monitorassero, registrassero e segnalassero internamente i loro incidenti di sicurezza informatica, al fine di valutarne l’impatto in termini di perdita potenziale. Ciò con l’obiettivo di misurare l’ammontare di capitale necessario per salvaguardarne la solvibilità.

All’indomani della crisi finanziaria del 2007/2008, le Autorità di Vigilanza, invece, si sono concentrate maggiormente sulla gravità degli incidenti ed hanno intensificato i loro sforzi per garantire che gli Istituti adottassero procedure di monitoraggio degli stessi. Essere informati tempestivamente sugli incidenti informatici è diventato di cruciale importanza per le Autorità, per i seguenti motivi:

• le Autorità devono valutare il profilo di rischio di ogni singolo Istituto Finanziario. Essere informati dei diversi incidenti occorsi offre una migliore comprensione dell’effettiva efficienza per l’identificazione e mitigazione dei rischi. Inoltre, consente loro di formulare raccomandazioni appropriate in termini di gestione del rischio;
• la crescente sensibilità a qualsiasi evento che possa portare ad una interruzione del sistema informativo ha spinto le Autorità ad agire con urgenza al verificarsi di incidenti, in particolare di “cyber incidents”;
• le Autorità di Vigilanza sono consapevoli che i rischi informatici possano portare all’incremento del rischio sistemico, con potenziali impatti sull’intero Sistema Finanziario. Ricevere notifiche di incidenti da parte degli Istituti, aiuta a comprendere fenomeni di natura più ampia rispetto a quelli che ne interessano uno solo, poiché contribuisce alla gestione delle crisi sistemiche o all’emissione di raccomandazioni di buone pratiche o requisiti normativi.

Conclusione

Alla luce di quanto detto, è importante sottolineare che un efficiente processo di gestione degli incidenti di sicurezza informatica porta degli enormi vantaggi all’Istituto che lo adotta. Ciò perché porterebbe ad una sostanziale mitigazione del rischio operativo nel medio/lungo periodo, ma anche perché grazie a ciò, l’Istituto sarebbe sempre in grado di mantenere nel continuo la capacità di offrire i servizi ai clienti. Quindi, anche il rischio reputazionale verrebbe mitigato.