Cybersecurity readiness: la difesa delle banche europee

In questo periodo di crisi mondiale, il rischio di cyber-attacchi cresce smisuratamente. Ogni organizzazione dovrebbe stare in allerta, ma gli istituti bancari, in particolare, hanno bisogno di piani di protezione sempre più efficienti. In questo articolo parleremo dei trend di difesa delle banche europee, ma anche della cybersecurity readiness. Vediamo insieme di cosa si tratta.

Lo studio

Uno studio, eseguito da D-Rating, ha valutato le misure di sicurezza attuate da un campione di sessanta banche situate in 15 paesi. Il campione è stato analizzato durante il periodo di quarantena causato dal Coronavirus. I risultati ottenuti dal 1° marzo all’11 maggio, riguardano le capacità di difesa. Lo studio ha rilevato le vulnerabilità di sistema, diversi tipi di attacchi comuni (come quelli da app mobile) e altri fattori.
“Il rischio informatico è un pericolo che ha il potenziale di innescare una crisi sistemica. In termini finanziari, i costi totali degli incidenti informatici sono difficili da stabilire. Nonostante ciò, per fare un esempio, la cifra relativa ai danni nel 2018 va dai 45 ai 654 miliardi di dollari. Secondo alcune stime, il costo medio degli incidenti informatici è aumentato del 72% negli ultimi cinque anni e le aziende saranno vittime di un attacco di ransomware ogni 11 secondi entro il 2021. ” (Fabio Panetta, membro del consiglio esecutivo della BCE)

I risultati dello studio sono stati tradotti in degli apprendimenti chiave:

• Non tutte le banche europee condividono lo stesso livello di sicurezza e sono state viste delle elevate discrepanze tra le aree geografiche.

Sono richiesti elevati requisiti di sicurezza dalle banche. Le banche, come risaputo sono obiettivi naturali di attacchi informatici. Non per questo però è da assumere che ogni banca abbia lo stesso livello di protezione.

• Tre gruppi di banche sono differenziati, in base all’efficienza della loro security.

Il primo gruppo, evidenziato per la migliore efficienza, è l’area denominata DACH: Germania, Austria e Svizzera.
In posizione intermedia vi è l’Europa del Nord, e in ultima posizione i paesi più a sud, come Spagna, Francia e Italia. Queste classificazioni, tuttavia non sono indicative di una cattiva cybersecurity. Sono state fatte semplicemente sulla base dell’altalenare dei livelli di protezione in un paese. Per meglio dire, in Germania, quasi tutte le istituzioni hanno lo stesso livello di protezione. Mentre in Italia, invece, vi sono eccellenze e casi invece ancora molto indietro.

• La maggior parte delle grandi banche in Francia sono al di sotto della media degli standard europei di sicurezza informatica.

• In media, le neobank, ovvero le banche che operano online, superano le banche classice sul web ma non sulle app.

E’ interessante osservare che le neobank, ovvero le banche prettamente o esclusivamente mobile, dimostrano un’eccellente readiness di cybersecurity sul web ma risultano nella media per la sicurezza delle app.

• L’eccellente punteggio sul web delle neobank è sicuramente dovuto a un debito tecnico inferiore correlato a un’infrastruttura molto meno complicata e più recente.
• D’altra parte, la maggior parte delle neobank sviluppa prima nuove funzionalità su App ed è probabilmente più difficile gestire il tutto ai ritmi serrati dell’evoluzione tecnologica.

Cybersecurity readiness: che cos’è?

Con il termine cybersecurity readiness si intende la prontezza con la quale un’istituzione gestisce la sicurezza informatica e tutte le sfide relative. Solitamente le aziende vengono identificate in 4 livelli di cybersecurity readiness.

• Passivo

Un’istituzione passiva ha un approccio lassivo, riversando la responsabilità unicamente sul proprio reparto IT. Le revisioni delle politiche e delle procedure sono poche e lontane tra loro, così come le valutazioni dei rischi. Poiché la cyberdefence non viene curata, gran parte delle violazioni passano addirittura inosservate.

• Reattivo

In queste organizzazioni, la responsabilità è sempre del reparto IT. Le pratiche di controllo vengono portate a termine circa trimestralmente. Le possibili violazioni vengono affrontate, ma senza tentare di evitare incidenti futuri.

• Proattivo

Piuttosto che semplicemente reagire agli attacchi, le aziende proattive cercano di evitare quelli futuri. Poiché i loro dirigenti C comprendono i pericoli reali e presenti là fuori, le revisioni delle politiche e delle procedure di sicurezza hanno luogo mensilmente. Il dipartimento IT si concentra sulle operazioni quotidiane. Lo sforzo è al di sopra della media, ma i risultati possono ancora essere al di sotto della media.

• Progressivo

Non sorprende che le organizzazioni progressive siano quelle più cyber-pronte. Mentre lavorano per evitare il maggior numero possibile di violazioni future, queste aziende si rendono conto se sono sotto attacco e se gli attacchi avranno successo. Per contrastare questa inevitabilità, utilizzano tecnologie avanzate come la tokenizzazione. Nel frattempo, effettuano revisioni e valutazione dei rischi, assumendo competenze di terze parti che alleggeriscono il carico di lavoro sulla sicurezza del team IT.

CNS: l’aiuto per le banche, per formare una cybersecurity readiness

CNS, Consorzio Nazionale Sicurezza, opera in qualità di system integrator nell’ambito della sicurezza per il mondo bancario e industriale, civile e dei trasporti, per il territorio e per i cittadini. CNS è il System Integrator Leader in Italia. CNS collabora strettamente con l’Università di Napoli Federico II ed ha selezionato come partner scientifico e tecnologico RisLab.  CNS elabora ad esempio soluzioni altamente tecnologiche per la cyber-physical security nell’universo bancario. Queste soluzioni coinvolgono tutti gli elementi fisici, automatizzati e connessi alla rete, come porte automatiche, sensori di campo, telecamere di videosorveglianza collegate alla Centrale Operativa di Sicurezza.

Un occhio sempre puntato alla difesa dei nostri istituti finanziari, così da tenerli sempre pronti, al massimo della loro cybersecurity readiness.