Il settore dei servizi finanziari è impegnato da oltre dieci anni nella gestione dei rischi informatici. L’ultimo report stilato da Bank of England rivela un incremento del numero di banche che ritiene che il rischio più complesso da gestire sia un cyberattacco.
Perché la sicurezza IT è un problema ancora così sentito?
In molti potrebbero sostenere che l’evoluzione del settore finanziario sia più lenta di quella tecnologica, che procede invece a ritmi esponenziali, e questa situazione venga sfruttata dai cybercriminali. Il loro obiettivo principale è il guadagno. Grazie alla digitalizzazione di molti processi finanziari, per gli aggressori le attività sono più semplici e i ritorni maggiori. Il settore dei servizi finanziari dovrebbe ormai sapere come prevenire questi attacchi, ma è importante tenere in considerazione le implicazioni di un ambiente FinTech sempre più complesso.
Pensiamo alle numerose direttive europee, come la PSD2, che ha l’obiettivo di aprire la supply chain finanziaria a un numero ancora più ampio di imprese fintech che avranno bisogno di controlli di sicurezza. Aggiungiamo anche il ritardo tecnologico che influenza il settore. Le aziende informatiche continuano a far evolvere le tecnologie e le banche non riescono a tenere il passo. E poi c’è il fattore umano, che include la capacità innata delle persone di realizzare azioni inaspettate, una conoscenza non adeguata della cybersecurity e scarsità di esperti di sicurezza.
Affinché la situazione cambi, i servizi finanziari dovrebbero eseguire differenti passaggi, tra cui:
- Migliorare la visibilità in tempo reale dei processi digitali complessi. Potrebbe sembrare semplice, ma spesso c’è un divario tra tecnologia e business.
- Superare il ritardo tecnologico. Agile è un termine che viene spesso associato ai consigli di amministrazione di banche e altre organizzazioni. Mentre oggi i team DevOps possono acquistare funzionalità cloud in pochi millisecondi, la maggior parte delle capacità di sicurezza viene acquistata tramite contratti pluriennali. Non c’è connessione tra la cybersicurezza e gli elementi da proteggere nel modo in cui le banche stanno creando applicazioni e servizi digitali su differenti canali. Se le banche potessero ridurre i loro sistemi di sicurezza legacy e considerare un approccio cloud-first, potrebbero dedicarsi all’allineamento della sicurezza IT con la trasformazione digitale.
- Ridurre la superficie di attacco. È molto comune che le banche abbiano sistemi connessi molto aperti, in quanto sono più veloci e semplici da implementare. Un contesto simile non permette di sapere da dove proverranno le minacce, quale sarà l’impatto e quanto potrà essere vasto. Sono numerose le banche che dovrebbero adottare il concetto di networking zero trust. Adeguare processi di business e tecnologia può assicurare l’accesso solo a persone autorizzate, riducendo l’esposizione in caso di incidente.
- Partire dalle basi. Molti principi di sicurezza esistono da anni, mentre gli ambienti in cui vengono applicati continuano a cambiare. Ad esempio, il cloud pubblico in cui le password aziendali non sono definite e gestite in modo adeguato.
- Automatizzare maggiormente la cybersecurity. I sistemi bancari stanno diventando sempre più interconnessi, e il cambiamento nella gestione dei controlli richiede alle banche un piano di modifica ben definito. Le strategie DevOps nei servizi bancari e finanziari comportano centinaia o migliaia di piccoli cambiamenti al giorno o alla settimana. Tali modelli necessitano di un elevato livello di automazione per operare: la sicurezza dovrebbe essere inclusa in modo nativo in ogni singolo processo e la transizione a DevSecOps completata. Per farlo sono necessari punti di integrazione nativi corretti all’interno dei sistemi aziendali e l’automazione per integrarli nei controlli automatizzati dei processi. Gli aggressori sono sempre più automatizzati, sono quindi necessarie soluzioni di sicurezza che operino allo stesso ritmo per evitare danni all’azienda.
Come in altri ambiti, la cybersecurity nel settore bancario deve diventare una piattaforma operativa automatizzata. Il percorso verso la trasformazione digitale continua ed è fondamentale che la sicurezza preventiva venga inclusa in modo automatico nei sistemi finanziari. Un problema di evoluzione digitale richiede una soluzione dedicata altrettanto evoluta.