Cyber-assicurazione: una protezione per il settore finanziario

Dan Trueman, agente assicurativo di Lloyd’s presso Novae, ritiene che non stupisce che il settore dei servizi finanziari sia uno dei principali bersagli del cyber crime. Secondo uno studio condotto da Lloyd's in tema di conoscenza e consapevolezza del rischio di attacchi informatici sulle aziende europee, quasi 9 su 10 attività bancarie e finanziarie hanno subito una violazione informatica negli ultimi cinque anni.

Un attacco informatico complesso richiede ai criminali informatici tempo e denaro, perciò l'obiettivo deve essere sufficientemente importante da giustificare una tale spesa - spiega Dan Trueman -. Per i criminali ottenere l'accesso ad alcune informazioni specifiche, come ad esempio conoscere i saldi bancari dei correntisti, è ovviamente una fonte di valore intrinseco, ma anche i competitor potrebbero mirare a istituti finanziari per sottrarre diversi tipi di dati, come preziosi algoritmi di trading, acquisire informazioni su posizioni di negoziazione e strategia o su molte altre forme di proprietà intellettuale e industriale finanziaria o segreti del mondo del trade.

Le minacce possono essere sia di natura esterna che interna e possono essere intenzionali oppure del tutto involontarie. Le violazioni accidentali o da parte di utenti interni malintenzionati possono causare danni altrettanto gravi.

Negli ultimi anni gli attacchi informatici alle banche hanno causato innumerevoli interruzioni nella loro attività - spiega Dan Trueman -. A novembre 2016, un attacco alla Tesco Bank ha portato alla violazione su 20.000 conti correnti. La società ha dovuto rimborsare ai clienti 2,5 milioni di sterline e potrebbe incorrere in altre potenziali sanzioni. All'inizio del 2016, a gennaio, milioni di clienti sono stati coinvolti da un attacco DDoS ai danni di HSBC che ha bloccato per alcune ore i servizi bancari via internet dell'istituto. I sistemi sono stati difesi con successo, ma gli utenti non hanno comunque potuto avere accesso per diverse ore durante il primo giorno di paga dell'anno. Un'altra violazione, che è stata scoperta solo alcuni mesi fa, ha coinvolto il terzo più importante finanziatore del settore privato indiano, Axis Bank (BSE: AXISBANK.BO - notizie) . Un hacker off-shore era entrato nel sistema. Nel (Londra: 0E4Q.L - notizie) 2015 Dridex, un tipo di malware utilizzato dalle gang di criminali informatici per sottrarre dati di pagamento delle carte di credito, ha permesso a questi ultimi di rubare circa 20 milioni di Sterline solo nel Regno Unito. Oggi i dati rappresentano la linfa vitale del settore dei servizi finanziari. Di (KSE: 003160.KS - notizie) conseguenza, gli organi legislativi stanno obbligando le aziende a proteggere meglio i propri clienti dalle ripercussioni di possibili attacchi informatici, o ad affrontare le conseguenze della propria inerzia.

Il Regolamento Generale sulla Protezione dei Dati dell'UE (GDPR) porterà, a partire dal 2018, all'introduzione di leggi severe per il trattamento dei dati - spiega Dan Trueman -. Qualsiasi organizzazione che abbia a che fare con dati di cittadini UE sarà tenuta a segnalare qualsiasi violazione entro 72 ore dal momento in cui è stata scoperta. Inoltre verranno imposte sanzioni fino a 20 milioni di Euro, oppure pari al 4% del fatturato annuo (a seconda di quale sia il valore più alto), qualora le misure di protezione dei dati attuate siano state considerate insufficienti. Secondo il nuovo GDPR, eventi quali la violazione ai danni della Tesco Bank potrebbero implicare sanzioni fino a 1,9 miliardi di sterline. I costi delle violazioni vanno ben oltre l'arco di tempo in cui si consuma l'attacco che, oltre alle indagini e alle pesanti sanzioni pecuniarie, comporterebbe anche un crollo dei prezzi delle azioni e, a lungo termine, un danno alla reputazione della società e alla fidelizzazione dei clienti. Questo tipo di eventi può portare, infatti, in tempi molto brevi, ad una perdita della clientela e ad un declino sempre più importante nei tassi di acquisizione di clienti.

Poiché comporta un rischio a livello d'immagine, è incoraggiante osservare come la sicurezza informatica sia sempre più considerata una responsabilità a livello dirigenziale all'interno del settore bancario e finanziario - spiega Dan Trueman -. Il 47% dei CEO si assume personalmente la responsabilità di gestire e affrontare le violazioni informatiche. Tuttavia, la conoscenza del GDPR mostra che la risonanza mediatica delle nuove regole ha portato solo a una consapevolezza superficiale fra i dirigenti d'impresa: il 53% di questi dichiara di sapere "poco" o "nulla" del modo in cui il GDPR potrebbe influenzare la propria attività.

Per essere preparate al meglio, le imprese devono far fronte al crimine informatico e alle possibili violazioni informatiche più ampie con un atteggiamento proattivo. Sebbene 9 su 10 istituti finanziari abbiano segnalato una violazione informatica negli ultimi cinque anni, solo il 46% di essi teme che questo potrebbe accadere di nuovo.

Considerando il fermento che la tecnofinanza sta portando in questo settore, è corretto aspettarsi che, poiché le aziende continueranno a dotarsi di tecnologia, inevitabilmente ci troveremo ad affrontare un aumento delle violazioni informatiche. Ovunque la digitalizzazione e i profitti ci portino, presto arriverà anche il crimine informatico.

Le violazioni informatiche sono il risultato di innumerevoli fattori molto complessi - spiega Dan Trueman -. Ad esempio, le e-mail di phishing spesso non sono distinguibili da e-mail regolari, soprattutto per l’impiegato medio. Il whaling prende di mira persone specifiche, attraverso e-mail ad hoc studiate con attenzione, che possono risultare inviate da un dirigente di alto livello, un collega o un socio in affari. Il ransomware, una delle forme di attacco più diffuse, permette agli autori di codificare tutte le tracce digitali di un'organizzazione, chiedendo poi un riscatto in cambio della chiave di decodifica.

Tutto questo può comportare uno stop nelle operazioni di una società o minacciare dati sensibili. Tuttavia le imprese non devono prendere in considerazione solo l’esistenza di criminali informatici; anche le minacce interne e le violazioni accidentali rappresentano rischi gravi che, in caso di accadimento, devono essere affrontate in maniera proattiva. Le imprese devono concentrarsi nel “mettere in sicurezza” non solo le proprie tecnologie, ma anche le persone.

Dato l'inevitabile rapporto che lega tecnologia, business e crimine informatico, è fondamentale che le aziende continuino a fare formazione e ad informarsi sia sulla propria esposizione al rischio informatico sia sui modi migliori per mitigare e ridurre il rischio - spiega Dan Trueman -. Poiché il rischio evolve, non è sufficiente costruire un muro; le imprese hanno bisogno di ricevere assistenza dopo aver subito una violazione. La cyber-assicurazione, ad esempio, negli ultimi anni si è evoluta molto, fino a diventare più di una soluzione per ottenere un rimborso in termini economici: il mondo della cyber insurance è oggi in grado di fornire alle aziende le conoscenze e le migliori strategie per proteggersi dalle minacce informatiche; ad esempio, attraverso una cyber-assicurazione si può proteggere il bilancio di una società finanziaria, fornendo il supporto e la consulenza necessari alla ripresa quando si è vittima di un attacco.

In poche parole, le aziende non sono completamente preparate a meno che non abbiamo già in essere una cyber-assicurazione. La natura delle minacce è in continua evoluzione e le minacce cambiano a seconda della tipologia dell’azienda; è perciò fondamentale affidare il problema a degli esperti del settore. I manager e i decision makers devono garantire ai loro clienti e agli impiegati che la loro azienda è adeguatamente protetta e assicurata. Questo processo può prendere avvio sin da ora, grazie alle soluzioni che sono già a disposizione.

Autore: Pierpaolo Molinengo Per ulteriori notizie, analisi, interviste, visita il sito di Trend Online