Bce: banche vulnerabili sul cloud. Faro sulla dipendenza da società non europee
Francoforte pubblica una guida con le aspettative di supervisione dopo aver individuato lacune negli istituti di credito. Il rischio principale è l’interruzione dei servizi. Le banche sono dipendenti da pochi gruppi non Ue. Intanto in Italia ci sono stati 30 gravi incidenti cyber nel 2023. Bankitalia intensifica interventi e ispezioni sulle politiche di esternalizzazione
La Bce ha identificato «diverse vulnerabilità» sull’outsourcing informatico delle banche, in particolare riguardo al cloud. Gli istituti di credito rischiano l’interruzione dei servizi in caso di problemi. I gruppi Ue inoltre sono dipendenti da poche società non europee (come Amazon, Microsoft e Google). Perciò ieri Francoforte ha pubblicato una guida che definisce le aspettative della Vigilanza. Le banche dovranno valutare in modo specifico i rischi sul cloud.
L’analisi Bce
«Le banche utilizzano sempre più spesso servizi di cloud di fornitori terzi», ha osservato la Bce. «Questi servizi sono potenzialmente più economici, più flessibili e più sicuri, ma la dipendenza da terzi può anche esporre le banche a rischi, per esempio riguardo a sicurezza informatica e possibili interruzioni dell’attività». La Vigilanza ha rilevato che «se una banca non può sostituire facilmente i servizi esternalizzati in caso di guasto, le sue funzioni potrebbero essere interrotte». Inoltre «il mercato dei servizi cloud è altamente concentrato, con molte banche che si affidano a pochi fornitori di servizi situati in Paesi extraeuropei».
- Leggi anche: La Vigilanza Bce mette in guardia le banche sui rischi legati a cloud e outsourcing di attività critiche
Oltre alla supervisione le banche saranno soggette a partire da gennaio 2025 al Digital Operational Resilience Act (Dora) che imporrà più requisiti sulla sorveglianza dei fornitori critici di servizi informatici. La Bce non potrà imporre azioni nei confronti di società terze non-Ue, ma potrà chiedere informazioni, proporre raccomandazioni ed esercitare una moral suasion fino al punto di impedire contratti alle banche dell’Eurozona.
La Bce anche nei giorni scorsi (si veda MF-Milano Finanza del 22 febbraio) aveva messo in guardia le banche sui rischi legati all’outsourcing di attività critiche, come quelle sul cloud: «L’outsourcing è in aumento e la metà dei contratti riguarda funzioni importanti. Allo stesso tempo circa il 10% di questi contratti non è conforme alle normative».
Bankitalia intensifica le ispezioni
L’utilizzo della tecnologia «accresce il ricorso alle esternalizzazioni e i relativi rischi», ha sottolineato il governatore della Banca d’Italia Fabio Panetta nelle Considerazioni Finali. «Nel 2022 erano oltre 5 mila i contratti sottoscritti dagli intermediari per esternalizzare funzioni essenziali dell’attività. Il ricorso a terze parti consente di innalzare l’efficienza, ma genera rischi operativi che possono arrivare a interessare l’intero sistema finanziario qualora pochi fornitori prestino servizi a molti intermediari contemporaneamente», come nel caso dei giganti tecnologici del cloud o dell’intelligenza artificiale.
Le banche rimangono «responsabili ultime delle attività svolte da terzi», ha detto Panetta. «Nei mesi scorsi abbiamo intensificato gli interventi, incluse le ispezioni, per assicurare un adeguato governo delle politiche di esternalizzazione. In presenza di inadeguatezze nell’attività dei fornitori, chiediamo azioni correttive».
Aumentano gli incidenti cyber gravi in Italia
Insieme alla tecnologia, ha aggiunto Panetta, hanno «assunto rilevanza crescente i rischi cibernetici, anche in relazione alle tensioni geopolitiche. Il settore finanziario rappresenta un obiettivo appetibile, vista la dipendenza da dati e procedure digitali e il ruolo nevralgico nell’economia». Nel 2023 le banche italiane hanno segnalato 30 incidenti gravi, in forte aumento rispetto ai 13 del 2022 e ai 12 del 2021. (riproduzione riservata)
