Fiducia, investimenti, collaborazione: la sicurezza richiede una strategia olistica

La fiducia è l'elemento che sta alla base di ogni progetto di sicurezza. È la frase che può sintetizzare la prima tavola rotonda della Sessione plenaria di apertura di WeSec, Il Salone della Sicurezza, dal titolo "Navigare l'incertezza". Un punto di raccordo intorno al quale  si sono sviluppate le riflessioni di un panel di relatori estremamente variegato, a rappresentare i diversi ambiti e attori che operano in questo complesso perimetro. Perimetro, per altro, difficile da definire, che spazia dalle tensioni geopolitiche all'accelerazione digitale, e richiede quindi una risposta sistemica. Ecco una sintesi dei principali concetti emersi dagli interventi.

 

Siamo consapevoli del fatto che, rispetto al percepito, e rispetto a quel tema della "fiducia" che è uno dei fili conduttori fondamentali di questo evento, non c'è un punto in cui finisce la responsabilità della banca e inizia quella di altri soggetti: di fatto, la responsabilità della banca è illimitata, è una sorta di patto implicito che tutti ragionevolmente si aspettano che sia parte della nostra relazione con i clienti, con le famiglie e con le imprese. Arriviamo da 15 anni nel corso dei quale come banche siamo stati stimolati a strutturare le nostre attività anche al di fuori del perimetro bancario, per generare maggiore efficienza. Oggi i nuovi scenari ci chiedono un pensiero nuovo. Dobbiamo riflettere sul fatto che non tutti gli attori delle catene di valore che abbiamo attivato sono sufficientemente preparati rispetto alle nuove sfide che la sicurezza pone, e quindi dovremo essere molto più selettivi, reinternalizzare probabilmente alcune attività, rimettere in discussione i livelli di protezione dei nostri partner e fornitori, capire anche come collaborare con loro per rafforzare questa soglia e questo perimetro, che ormai è un perimetro comune. Compito delle funzioni apicali delle banche è fare in modo che tutti, all'interno della struttura, arrivino a un livello sufficiente di competenza su questo macro-tema. 

 

Per chi fa sicurezza in una banca la stella polare è data dalla fiducia dei clienti: proteggere i dati, significa proteggere gli asset della banca. Oggi il paradigma della sicurezza è totalmente cambiato, perché sono radicalmente cambiati gli scenari geopolitici e tecnologici all'interno dei quali il mondo si muove. Parlare di sicurezza a silos è ormai anacronistico. Intesa Sanpaolo ha riunito - con un anticipo importante e lungimirante - in una strategia di sicurezza quelli che prima erano tanti e diversi ambiti di attività, e ha istituito un'area di governance specifica: non si tratta di una scelta organizzativa, ma di una scelta strategica, perché oggi la minaccia è ibrida, e serve quindi una visione olistica per percepire anche i cosiddetti segnali deboli. Per questo, tutti gli attori in campo devono comprendere che la sicurezza per la banca non è più un costo, ma un abilitatole strategico. Due i concetti che voglio sottolineare: la necessità che la sicurezza sia by design, ovvero una sicurezza che partecipi a monte ai processi della banca; secondo, l'importanza fondamentale del fattore umano: l'uomo è la prima barriera di difesa di fronte a ogni attacco.

 

Nexi è, per la sua dimensione, una infrastruttura strategica, e ha elaborato al suo interno la cultura di infrastruttura critica. Sono quattro le dimensioni che entrano in questo scenario: continuità, sicurezza, interoperabilità e controllo. Noi nell'ultimo anno abbiamo gestito oltre 70 milioni di eventi di sicurezza, facciamo 250 test all'anno: sono numeri che ci rivelano l'esistenza di un mondo che non si conosce, ma richiede un impegno, risorse e competenze importanti, e che può essere gestito anche grazie all'innovazione tecnologica che abbiamo a disposizione, oltre alle competenze umane che sappiamo mettere in campo. Il punto fondamentale, e il punto debole, nell'affrontare questo scenario è quello della condivisione. Tutte le dimensioni che riguardano i servizi bancari, finanziari e i sistemi di pagamento devono essere coinvolte nello stesso percorso: dobbiamo condividere l'intelligence, la cultura antifrode, la compliance dei fornitori, le esercitazioni condivise con gli altri attori. Condivisione e collaborazione sono gli strumenti che dobbiamo imparare a usare.

 

L'Investimento in sicurezza è un fattore strategico abilitante. In inglese c'è una doppia declinazione del termine "sicurezza": c'è la safety, ovvero gli eventi non controllabili e inaspettati, come per esempio gli eventi climatici; e c'è la security, ovvero un attacco pensato per creare un danno. Sappiamo che non investire 1 euro in safety produce 6 euro di costi. Allo stesso modo, non investire in security genera danni sulla competitività. Occorre investire in infrastrutture resilienti verso attacchi esterni, ma al contempo rafforzare i sistemi interni: reti elettriche interconnesse e protette, infrastrutture digitali, infrastrutture militari. Proteggere la competitività europea significa investire in sicurezza, in innovazione, catalizzare investimenti nel settore privato e collaborare non solo con i grandi attori del settore, ma anche con le startup che mettono a disposizione soluzioni innovative di sicurezza che possono poi scalare. Nell'ambito sicurezza e dell'innovazione tecnologica per la sicurezza l'Europa può diventare un leader mondiale. Per questo c'è però bisogno di tanta finanza: la finanza pubblica non è sufficiente, bisogna coinvolgere risorse dal settore privato.

 

WeSec è un segnale di fiducia per i cittadini: è un evento che dice che si sta lavorando in maniera seria per creare un sistema solido, che dialoga e costruisce sicurezza e fiducia. Banche e assicurazioni sanno da sempre che i dati hanno un valore fondamentale, e sulla base della classificazione dei dati la normativa italiana ha elaborato i suoi perimetri di sicurezza. Quello che è stato fatto dal punto di vista normativo, organizzativo e tecnologico rispetto alla sovranità dei dati e dei servizi in italia è stato un passaggio importante, e anche l'Unione Europea, con la Direttiva che vedremo tra pochi mesi, gioca un ruolo fondamentale. Il ruolo delle autorità pubbliche è quello di lavorare per eliminare la "tossicità digitale", eliminare da ogni prodotto o servizio digitale gli aspetti di rischio. 

 

Dobbiamo prendere atto del fatto che siamo in una situazione di guerra ibrida, e quindi bisogna attrezzarsi per operare in questo scenario. La guerra in Ucraina ha messo in luce aspetti ai quali non eravamo ancora preparati: attacchi cybernetici di scala diversa, che continuiamo ad affrontare - giuridicamente - come fossero "reati", ma sono tutta un'altra cosa. Sono tutti eventi difficili da prevedere, difficili da attribuire, ed è difficile capire quale è la logica, quali sono i collegamenti e la strategia che sta alle spalle. Il rischio che ci preoccupa maggiormente è quello costituito dalla "guerra cognitiva", ovvero l'attacco continuo che si fa sulle nostre menti: la mente è  diventata un campo di battaglia. Mentre sappiamo come affrontare la guerra tradizionale, e stiamo imparando ad affrontare la guerra cibernetica, sulla guerra cognitiva siamo impreparati. Attraverso social network e piattaforme digitali si stanno plasmando le opinioni pubbliche, soprattutto i giovani, che sono i soggetti meno attrezzati e più esposti. Purtroppo l'IA si sta dimostrando uno strumento estremamente pericoloso in questi settori. Serve promuovere un'innovazione culturale e informativa che risponda a questa innovazione tecnologica negativa.