I test di tipo TLPT:dalle esperienze del TIBER-IT alle regole di DORA

Autorità, rappresentanti delle istituzioni finanziarie, esperti di cybersicurezza, signore e signori,

penso che nessuno possa mettere in discussione l'importanza della resilienza digitale del sistema finanziario, in particolare alla luce del forte aumento, a livello globale, di attacchi informatici, cresciuti sia in numero che gravità: tra la metà del 2023 e quella del 2024 sono stati registrati circa 11.000 incidenti, di cui più della metà in Europa¹. Secondo il Fondo Monetario Internazionale, il 20 per cento degli incidenti riguarda il settore finanziario². Sono inoltre cresciuti gli incidenti classificabili come gravi, in termini di impatto economico, scala di diffusione, durata o grado di compromissione di dati sensibili o infrastrutture critiche. I settori più colpiti sono la sanità (con circa il 18 per cento), la difesa (13 per cento) e l'industria finanziaria e assicurativa (8 per cento)³. Il settore finanziario presenta un rischio elevato a causa dell'alta profittabilità degli attacchi e della quantità di dati sensibili custoditi dagli operatori. In un'economia digitale questi dati costituiscono una risorsa strategica.

Anche in Italia si è registrato un aumento considerevole degli incidenti, secondo i dati dell'Agenzia per la Cybersicurezza Nazionale (ACN): da 126 nel 2022 a 303 nel 2023⁴. Parallelamente, le segnalazioni raccolte dalla Banca d'Italia su gravi incidenti cyber, sono cresciute del 160 per cento nel 2023 rispetto all'anno precedente⁵ e, secondo prime stime, del 30 per cento nel 2024.

Questi numeri dimostrano quanto sia urgente investire nelle attività di testing, inclusa la valutazione dell'efficacia delle difese adottate dagli operatori. Di particolare rilevanza in questo ambito sono i test avanzati di cybersicurezza guidati dall'analisi della minaccia - i c.d. Threat-Led Penetration Testing (TLPT) - che il Regolamento europeo sulla resilienza operativa digitale (DORA)⁶ rende obbligatori per le istituzioni finanziarie classificate come 'critiche'. La metodologia per i TLPT sviluppata dall'Eurosistema, nota come Threat Intelligence Based Ethical Red-Teaming-EU (TIBER-EU)⁷, è stata declinata in Italia dalla Banca d'Italia, Consob e IVASS con il TIBER-IT⁸.

A testimonianza della rilevanza di questo impegno condiviso, abbiamo oggi invitato rappresentanti delle autorità, dell'industria finanziaria e del mercato dei servizi di cybersicurezza. Insieme ci confronteremo sull'applicazione dei TLPT/TIBER-IT negli ultimi due anni, ragionando sulle esperienze fatte e sui possibili sviluppi prospettici. Prima dell'avvio dei lavori odierni, desidero però soffermarmi su tre aspetti: il ruolo trasversale svolto dalle attività di testing nei presidi a tutela della cybersicurezza, alcune delle lezioni apprese dai test TIBER-IT in Italia e la crescente rilevanza del rischio di terze parti.

1. Le attività di testing come fattore trasversale della cybersicurezza

Le Autorità europee hanno da tempo raccolto la sfida di rafforzare la cybersicurezza dell'Unione. A tal fine sono state definite linee guida che stabiliscono presidi specifici da applicare agli operatori finanziari, tra cui banche, istituti di pagamento e di moneta elettronica⁹. Di recente, il Regolamento DORA ha introdotto un quadro normativo armonizzato, articolato su cinque pilastri:

1. la gestione del rischio ICT;
2. la segnalazione degli incidenti cyber;
3. i test di resilienza operativa, tra cui i TLPT;
4. la gestione del rischio legato alle terze parti ICT, incluso il nuovo quadro di sorveglianza europeo sui fornitori critici di servizi ICT;
5. la condivisione delle informazioni, in primo luogo quelle relative alle minacce significative.

In particolare, DORA prevede che gli operatori adottino un programma di test quale elemento integrato del loro framework di resilienza operativa digitale includendo diverse tipologie di strumenti, ad esempio valutazioni delle vulnerabilità e della sicurezza delle reti, analisi del software e penetration tests. Per un sottoinsieme di soggetti critici identificati dalle autorità secondo criteri quali-quantitativi, è prevista inoltre l'obbligatorietà, con cadenza almeno triennale, dell'esecuzione di test di sicurezza più avanzati, ossia i TLPT. Indipendentemente dalla dimensione, seppure con la dovuta proporzionalità, DORA richiede comunque che tutte le entità finanziarie adottino standard minimi di protezione cibernetica e una maggiore capacità di risposta alle situazioni di crisi dei sistemi informatici.

In questo sistema organico di presidi, i test servono a verificare l'efficacia delle misure di sicurezza e dei relativi processi gestionali, migliorando nel tempo la capacità di rilevamento, preparazione e risposta agli incidenti operativi e agli attacchi cyber. Nell'ambito dei test di resilienza operativa, i TLPT non si limitano alla semplice verifica di vulnerabilità tecniche, ma mettono alla prova l'intera resilienza digitale di un'organizzazione, coinvolgendo sistemi, processi, persone e fornitori. Svolgendo una funzione trasversale a tutti i pilastri di DORA, favoriscono un approccio proattivo e sistemico alla sicurezza, contribuendo alla stabilità dell'intero settore finanziario.

L'attuazione di DORA ha richiesto in Europa un articolato percorso cooperativo per definire gli standard tecnici regolamentari. Recentemente quelli sui test TLPT, fondamentali per il tema che trattiamo oggi, sono stati adottati dalla Commissione europea e sono ora allo scrutinio del Parlamento europeo e del Consiglio. Ad oggi non ci aspettiamo impedimenti o modifiche sostanziali, per cui l'iter legislativo dovrebbe concludersi entro fine maggio.

2. Il quadro metodologico italiano TIBER-IT: le prime esperienze

Come accennato, l'Eurosistema ha sviluppato la metodologia TIBER-EU per lo svolgimento di test di tipo TLPT già nel 2018. Ciò ha garantito un approccio armonizzato nella conduzione dei test per l'attuazione della strategia di resilienza cyber per le infrastrutture di mercato¹⁰. Ad oggi, il TIBER-EU è stato adottato da 16 Paesi europei¹¹ e utilizzato in più di 100 test. Questo dimostra l'interesse degli operatori che riconoscono il suo valore nel verificare la sicurezza dei loro sistemi. La previsione del Regolamento DORA di effettuare test TLPT obbligatori adottando la metodologia TIBER-EU non rappresenta dunque una novità assoluta in Europa.

Anche l'Italia si è mossa in questa direzione da tempo e con decisione: nel 2022 l'adozione della "Guida nazionale TIBER-IT" ha offerto alle istituzioni finanziarie italiane la possibilità di sottoporsi a test avanzati di cybersicurezza su base volontaria¹². Finora la Banca d'Italia ha supervisionato lo svolgimento di test volontari su 12 soggetti di diverse tipologie, tra cui banche, assicurazioni e altri operatori attivi nel sistema dei pagamenti. Questi primi test hanno confermato la validità dello strumento e il suo valore. Le verifiche condotte hanno permesso di identificare elementi importanti di vulnerabilità delle singole istituzioni, di natura tecnica, procedurale e organizzativa.

A livello tecnico, ad esempio, i test hanno evidenziato la capacità di bloccare azioni malevole sul perimetro esterno di difesa e, al contrario, la difficoltà di contrastare le intrusioni una volta avvenuta la violazione, sottolineando la necessità di integrare la sicurezza fin dalla progettazione dei sistemi e di adottare i principi della "difesa in profondità". Sono inoltre emersi margini di miglioramento nella gestione delle identità e degli accessi¹³.

A livello di processo, sono emerse indicazioni utili per il corretto bilanciamento tra la numerosità delle funzioni critiche da sottoporre a test e le risorse da allocare da parte degli operatori e dei fornitori.

A livello organizzativo, i test hanno rivelato come la composizione del c.d. Control Team, responsabile dell'intero processo di test, debba essere accuratamente ponderata per assicurare l'efficacia, la riservatezza e il controllo del test. In tal senso è necessario che il team sia partecipato almeno dai responsabili delle principali funzioni aziendali coinvolte: sicurezza informatica, continuità operativa e gestione dei rischi.

L'entrata in vigore di DORA ha reso necessario procedere all'aggiornamento della metodologia TIBER-EU¹⁴ per allinearla ai nuovi standard tecnici sui TLPT, soprattutto nelle componenti relative all'utilizzo di tester interni e alle tempistiche del processo - in particolare per la fase di preparazione e per la fase di chiusura del test. Coerentemente, si sta ora procedendo a rivedere le versioni nazionali del TIBER, quindi anche del nostro TIBER-IT. L'esperienza e i risultati dei test condotti finora saranno sicuramente utili in questa prospettiva. In particolare, sarà fondamentale continuare a garantire la possibilità di eseguire verifiche su base volontaria per tutti gli operatori non soggetti all'obbligo di DORA, in un'ottica di resilienza cyber del sistema nel suo complesso.

3. La rilevanza del rischio di terze parti, anche per i test di tipo TLPT

Un aspetto finale su cui vorrei soffermarmi è la crescente rilevanza del rischio di terze parti. La digitalizzazione del sistema finanziario ha portato un forte aumento di funzioni, attività e procedure tecnico-operative che gli intermediari vigilati affidano a operatori tecnologici, le c.d. terze parti o third-party providers. Secondo la recente analisi delle autorità di supervisione europee in preparazione di DORA, circa 3.500 operatori hanno segnalato 25.000 contratti con circa 10.000 fornitori¹⁵. Nell'ambito delle attività di vigilanza della Banca d'Italia, gli intermediari italiani hanno segnalato oltre 5.000 contratti di esternalizzazione di funzioni essenziali¹⁶. Questi fornitori sono spesso completamente esterni al perimetro finanziario, offrono servizi a una pluralità di settori economici, manifatturieri e del terziario e, in molte giurisdizioni, sono sottoposti a forme di supervisione più debole, se non inesistenti, rispetto agli operatori da essi serviti¹⁷.

La resilienza cyber, quindi, dipende anche dalla solidità dei fornitori di tecnologia. Essi rappresentano uno snodo che richiede particolare attenzione, come mostrato da alcuni episodi anche recenti, di matrice malevola e non. Tra quelli malevoli ricordiamo gli attacchi ransomware su un fornitore italiano di servizi di gestione documentale e comunicazione, utilizzato da molti soggetti finanziari e su un fornitore internazionale di servizi a supporto della negoziazione e regolamento titoli. A questi si aggiungono alcuni recenti e rilevanti incidenti operativi non legati ad attacchi cyber, come i casi Crowdstike e Worldline dell'anno scorso.

Un aspetto innovativo di DORA è proprio l'attenzione del Regolatore alla gestione del rischio derivante dalle terze parti, in particolare da quelle definite come 'critiche' in base a indicatori quali-quantitativi e alle interdipendenze nel settore finanziario.

Un caso peculiare è costituito dai fornitori esterni coinvolti nello svolgimento dei TLPT, segnatamente per due tipologie specifiche di servizi di cybersicurezza: le c.d. threat intelligence¹⁸ e red teaming¹⁹. Per minimizzare i rischi insiti in attività di test sui sistemi in produzione è necessario assicurare la qualità e l'affidabilità di questi fornitori. A tal proposito, la metodologia TIBER-EU e il Regolamento DORA prevedono requisiti per l'acquisizione dei citati servizi da parte degli operatori: la valutazione delle esperienze pregresse, delle competenze tecniche, di eventuali certificazioni, la sottoscrizione di assicurazioni professionali e l'aderenza a codici etici. Ai fornitori si chiede anche di adottare misure di sicurezza rigorose, perché essi stessi sono potenziali bersagli di attaccanti interessati ad accedere a informazioni sensibili.

Nel corso del convegno odierno presenteremo i risultati di un'indagine sull'offerta di servizi di cybersicurezza in Italia, condotta lo scorso anno e volta a delineare le principali caratteristiche delle imprese attive in questo comparto, con un focus specifico sui servizi relativi ai TLPT. I risultati mostrano il grande dinamismo di questo comparto dell'industria, caratterizzato da una sensibile espansione del fatturato, dalla presenza di numerose nuove imprese e da frequenti cambi di assetto societario. È interessante notare che circa il 70 per cento dei rispondenti ha dichiarato di offrire o di voler offrire servizi per lo svolgimento dei TLPT, con una incidenza più elevata delle imprese di maggiori dimensioni.

4. Conclusioni

I test TLPT rappresentano un'opportunità unica per rafforzare la resilienza del settore finanziario. È in questo spirito che tutti i soggetti, anche quelli che non rientrano specificatamente nel perimetro delle disposizioni di DORA, dovrebbero adottare un approccio proattivo alla gestione delle minacce cyber, ricorrendo su base volontaria al framework TIBER-IT reso disponibile dalle Autorità. Questi strumenti non devono essere considerati un mero requisito regolamentare, ma un vero e proprio investimento nella resilienza digitale delle organizzazioni e dell'intero sistema finanziario.

A tal proposito, in un'ottica prospettica, vorrei richiamare tre punti di attenzione: il costo dei test, la disponibilità di risorse qualificate e l'opportunità di un coordinamento sovranazionale.

Lo sviluppo del mercato di questi servizi contribuirebbe a una maggiore concorrenza, ottimizzazione dei costi e qualità dei test, rendendo i TLPT accessibili a un numero maggiore di operatori.

La collaborazione tra Autorità, accademia, industria finanziaria e dei servizi ICT favorirebbe lo sviluppo di personale con competenze nella cybersicurezza, ampliando così la disponibilità di professionisti specializzati nei servizi necessari ai TLPT²⁰.

Infine, un miglior coordinamento tra le autorità finanziarie europee aiuterebbe ad evitare che i TLPT diventino eccessivamente gravosi, soprattutto per gli operatori paneuropei o quelli che forniscono servizi finanziari a più soggetti. Ove opportuno e come previsto dalla normativa, andrà favorita la realizzazione di test congiunti tra più operatori (c.d. joint test).