Nel modernizzare le comunicazioni, le banche italiane affrontano una prova concreta: le informazioni sensibili possono viaggiare in sicurezza al di fuori dei sistemi dell’istituto? In Italia e in Europa, la migrazione al cloud e requisiti più stringenti di resilienza operativa impongono ai responsabili degli acquisti di esaminare ciò che accade dopo l’invio di un messaggio da parte di un dipendente. Bloccare le email malevole in entrata risponde soltanto a una parte del problema.
Rosario Perri, Channel Director di Echoworx, ha descritto questa lacuna in un recente webinar sull’evoluzione del mercato delle comunicazioni sicure. «Il mercato ha sempre considerato la crittografia delle email una casella da spuntare», ha affermato Perri. Dal suo intervento emerge che dare per scontata la presenza della crittografia all’interno di un acquisto più ampio di soluzioni di sicurezza può lasciare irrisolte esigenze aziendali importanti.
Il monito da Roma
Interpellato sui colloqui avuti a Cybertech Europe, a Roma, Perri ha descritto preoccupazioni già emerse in precedenti confronti in Germania, Austria e Svizzera. Le organizzazioni stavano valutando la migrazione al cloud, il controllo sui dati e il rapporto tra sicurezza delle email e prevenzione della perdita di dati, il cui obiettivo è impedire che informazioni sensibili escano attraverso canali non autorizzati.
«Non avevamo davvero pensato alla crittografia delle email», ha riferito Perri, riportando quanto aveva sentito nelle conversazioni. Questa osservazione non costituisce un’indagine sulle banche italiane. Evidenzia, tuttavia, una questione pertinente ai loro programmi tecnologici: se la protezione della corrispondenza in uscita riceva la stessa attenzione riservata ai sistemi che filtrano le minacce in entrata.
Per una banca italiana, la distinzione diventa concreta quando un gestore della clientela invia documenti contabili a un consulente esterno, oppure quando un cliente restituisce la documentazione a supporto di una domanda di mutuo. Un ambiente aziendale sicuro non determina, da solo, come un destinatario esterno si autentichi, come vengano recapitati gli allegati riservati o quali controlli si applichino alla risposta.
Che cosa richiedono davvero le norme europee
Il quadro normativo è più preciso di un generico invito ad acquistare una soluzione di crittografia. Ai sensi del regolamento delegato (UE) 2024/1774 della Commissione, che integra DORA, le entità finanziarie soggette al quadro completo di gestione dei rischi informatici devono elaborare, documentare e attuare politiche in materia di cifratura e controlli crittografici. L’articolo 6 collega tali politiche alla classificazione dei dati e alla valutazione dei rischi informatici; l’articolo 7 disciplina la gestione delle chiavi crittografiche lungo tutto il loro ciclo di vita.
Queste disposizioni non avallano un fornitore né trasformano l’acquisto di un prodotto in una prova di conformità. Per i team delle banche italiane, rendono più difficile eludere le decisioni di fondo: quali informazioni proteggere, come applicare tale protezione e chi sia responsabile delle chiavi che consentono di leggere i contenuti cifrati.
Una lacuna scoperta durante l’implementazione può comportare la riprogettazione di un flusso di lavoro, la revisione di un contratto o costi aggiuntivi di integrazione. Se viene scoperta dopo l’esposizione di informazioni sensibili, gli oneri sono diversi: ricostruire l’accaduto, contenere i danni e spiegare perché i controlli adottati non abbiano funzionato.
Una sicurezza che i clienti possano usare
L’usabilità conta perché un meccanismo di protezione deve funzionare anche per chi riceve il messaggio. Un cliente aziendale che scambia documenti con più istituti finanziari può trovarsi di fronte a procedure di autenticazione diverse. Istruzioni poco chiare o problemi di accesso ricorrenti possono ritardare operazioni legittime e indurre a cercare una strada più semplice.
«La posta elettronica sicura non deve più basarsi, come in passato, sulla necessità di ricordare una password», ha affermato Perri. Il suo punto era che il recapito sicuro si è evoluto oltre un unico modello di portale, che impone ai destinatari di gestire un ulteriore nome utente e una nuova password.
Ciò non rende tutte le alternative ugualmente adatte. Una banca italiana deve comunque valutare l’identità del destinatario, l’accessibilità, il recupero dell’account e la sensibilità di ogni comunicazione. Le prove dovrebbero coinvolgere commercialisti esterni, consulenti legali e clienti comuni, senza fermarsi al successo di una dimostrazione interna. Il percorso della risposta merita la stessa attenzione del primo messaggio in uscita.
Acquistare le funzionalità, verificare le integrazioni
Perri ha anche descritto il caso di un istituto finanziario, di cui non ha fatto il nome, impegnato a consolidare diverse tecnologie di messaggistica durante il passaggio al cloud. Secondo il suo racconto, i gateway di posta elettronica valutati non soddisfacevano i requisiti di cifratura, spingendo diversi partecipanti alla gara a cercare supporto specialistico. Si tratta del resoconto di un fornitore, non di un confronto tra prodotti verificato in modo indipendente.
Echoworx presenta la propria piattaforma in termini di recapito basato su regole, autenticazione dei destinatari e gestione automatizzata di chiavi e certificati. Queste funzionalità illustrano il tipo di componente specialistico che gli acquirenti possono valutare quando l’architettura complessiva della posta elettronica lascia insoddisfatte esigenze specifiche.
Per gli istituti italiani, la verifica in fase di acquisto dovrebbe riguardare uno scambio completo: inviare un documento sensibile, autenticare il destinatario previsto, ricevere una risposta protetta ed esaminare le evidenze disponibili al termine. I team dovrebbero inoltre accertare come si comporta il servizio quando il recapito non va a buon fine o un destinatario perde l’accesso.
Queste verifiche dovrebbero coinvolgere i team della banca responsabili dei rischi e della conformità, insieme al personale IT. I fornitori dovrebbero spiegare le responsabilità operative con chiarezza, indicando anche chi indaga sui mancati recapiti e chi assiste i clienti quando l’accesso non funziona. Una dimostrazione dovrebbe rendere visibile questa ripartizione prima della firma dei contratti e dell’avvio dell’implementazione.
Alla domanda se avrebbero prevalso i prodotti o gli ecosistemi, Perri ha risposto senza esitazioni: «Gli ecosistemi, senza dubbio». Per il settore bancario italiano, è uno spunto utile per ripensare il processo di acquisto. Il valore di un’architettura di sicurezza risiede nell’affidabilità con cui i suoi componenti collaborano quando entrano in gioco clienti reali e informazioni riservate.
Informazioni fornite in modo indipendente da un nostro partner nell’ambito di un accordo commerciale tra le parti. Contenuti riservati a un pubblico maggiorenne.