Gli istituti finanziari sono preoccupati per gli attacchi basati sull'intelligenza artificiale: ecco quello che DORA si aspetta dalle aziende

Le minacce informatiche basate sull’intelligenza artificiale non sono più solo una teoria. Gli istituti finanziari di tutta Europa stanno valutando attivamente le implicazioni di strumenti sempre più potenti, in grado di individuare e sfruttare le vulnerabilità su larga scala, e le autorità di regolamentazione stanno seguendo la situazione da vicino.

La Banca Centrale Europea ha chiarito che gli attacchi informatici rappresentano una minaccia seria e crescente per le banche e le infrastrutture dei mercati finanziari e che, dato l’alto livello di interconnessione all’interno del settore finanziario, un singolo attacco può mettere a rischio la stabilità dell’intero ecosistema. Per le organizzazioni che operano in questo contesto, limitarsi a preoccuparsi non basta. Ai sensi DORA, è necessario agire.

Perché il settore finanziario è in allerta

Le banche e gli istituti finanziari devono affrontare una combinazione particolare di rischi: ambienti IT complessi, ampie dipendenze da terze parti e un profilo che li rende obiettivi di grande valore. L’introduzione dell’IA in questo contesto amplifica ognuno di questi rischi. Le vulnerabilità vengono individuate più rapidamente, gli attacchi vengono sferrati in modo sempre più automatizzato e le barriere per gli autori di attacchi malevoli sono più basse che mai. Il risultato è un ambiente più instabile e imprevedibile, che le tradizionali revisioni periodiche della sicurezza non sono mai state progettate per gestire.

La risposta di DORA: resilienza operativa

DORA è stato progettato proprio per questo tipo di ambiente. Anziché fissare standard minimi da soddisfare una volta sola, definisce un framework di riferimento per una preparazione continua, incentrato su cinque aree chiave:

1. Gestione del rischio ICT
2. Segnalazione degli incidenti
3. Test di resilienza operativa digitale
4. Gestione dei rischi legati a terzi
5. Condivisione delle informazioni

Tutto questo, nel complesso, comporta l’obbligo di essere pronti; non basta avere delle politiche in atto, ma bisogna dimostrare che funzionano.

Dalla consapevolezza alla responsabilità

Uno dei cambiamenti più significativi introdotti da DORA riguarda l’attribuzione delle responsabilità. Gli organi direttivi devono assumersi la responsabilità della gestione dei rischi, garantire che siano in atto controlli adeguati e supervisionare le attività di conformità. Non si tratta di una questione informatica delegata a un team tecnico. È una responsabilità della leadership, e le autorità di regolamentazione si aspetteranno che ne venga fornita prova.

La sfida dell’implementazione

Capire cos’è DORA è una cosa. Metterlo in pratica è un’altra. Molte organizzazioni fanno fatica a tradurre i requisiti normativi in controlli concreti, a mantenere la documentazione aggiornata e a coordinarsi in modo coerente tra i vari team e sistemi. Senza una struttura ben definita, gli sforzi di conformità diventano reattivi, qualcosa che viene affrontato solo prima di un audit invece di essere mantenuto come una disciplina continua. Questo approccio comporta rischi reali, sia a livello operativo che in termini di esposizione normativa.

Costruire delle fondamenta solide

Per soddisfare i requisiti DORA serve una visione chiara dei rischi e dei controlli, processi ben definiti per la gestione degli incidenti, un monitoraggio e una valutazione continui, oltre a una documentazione e a un sistema di rendicontazione centralizzati. Non si tratta solo di soddisfare le autorità di regolamentazione; è proprio questo che permette a un’organizzazione di funzionare davvero con sicurezza quando qualcosa va storto.

Un punto di riferimento mutevole

L’intelligenza artificiale sta alzando l’asticella di ciò che significa essere sicuri. Gli istituti finanziari non possono più limitarsi a revisioni periodiche o a iniziative isolate. Le organizzazioni che riusciranno a far fronte a questo contesto sono quelle che integrano nelle loro operazioni quotidiane una visibilità continua, un’azione coordinata e un controllo dimostrabile – non quelle che considerano la conformità come una semplice voce da spuntare su una lista.

Con DORA, la resilienza non è scontata. Va costruita, mantenuta e dimostrata. Per i team dirigenziali che hanno una responsabilità personale ai sensi DORA, disporre degli strumenti giusti non è un’opzione. Trustlinks ti offre il controllo, la documentazione e la sicurezza necessari per guidare la conformità, non solo per renderne conto.