Comunicazione al mercato in materia di resilienza operativa digitale e modelli avanzati di Intelligenza Artificiale

Le tecnologie emergenti, e in particolare i sistemi di intelligenza artificiale, stanno trasformando il panorama della cybersicurezza e ponendo nuove sfide per le loro possibili

implicazioni per la riservatezza, l'integrità e la resilienza dei sistemi informatici e delle informazioni da essi gestite, anche nel settore finanziario.

In particolare, i modelli di ultima generazione possono avere la capacità di identificare le vulnerabilità dei sistemi software e generare contemporaneamente le relative modalità di sfruttamento in tempi estremamente ridotti e senza la necessità di specifiche competenze tecniche. Ciò comporta una sensibile riduzione dell'intervallo temporale tra l'individuazione delle vulnerabilità e il loro sfruttamento, con conseguente incremento dei rischi di subire attacchi cyber efficaci.

Le nuove tecnologie di intelligenza artificiale potrebbero, quindi, accrescere l'asimmetria fra attaccanti e difensori, a scapito di questi ultimi, tale da rendere necessario un adattamento rapido da parte delle entità finanziarie (1). In questo nuovo contesto, il rafforzamento della resilienza operativa digitale non rappresenta soltanto un'esigenza di conformità, ma una condizione essenziale per assicurare la continuità aziendale e la capacità di offrire servizi finanziari affidabili.

Alla luce di tali evoluzioni, la Banca d'Italia, in coerenza con l'impostazione della Vigilanza unica europea, e tenendo presente i requisiti previsti dal Digital Operational Resilience Act (DORA) che mantengono piena valenza anche in questo contesto, invita gli intermediari a individuare e realizzare con tempestività le misure necessarie per potenziare i processi e i presidi di sicurezza a protezione dei propri sistemi al fine di rafforzare la propria resilienza operativa e cibernetica.

(1) La presente comunicazione è rivolta ai seguenti soggetti direttamente vigilati dal Dipartimento Vigilanza Bancaria e Finanziaria della Banca d'Italia: banche e gruppi bancari meno significativi (compresa Bancoposta), istituti di pagamento, istituti di moneta elettronica, imprese di investimento, fornitori di servizi per le cripto-attività, gestori di fondi di investimento alternativi, società di gestione, fornitori di servizi di crowdfunding, intermediari finanziari (ex. 106).

Sezione di approfondimento