Ancora una volta è scesa in campo Bankitalia per lanciare un nuovo monito, come già la Bce, rivolto a tutti i soggetti vigilati, a cui si richiede di ergere quanto prima le cyber difese contro gli attacchi basati sull’AI, mentre l’Agent AI amplifica la superficie di attacco.
“È in questo scenario che devono essere interpretati gli interventi della Banca centrale europea, che ha richiamato con decisione l’attenzione sui rischi per il settore finanziario e fornito indicazioni operative agli operatori”, commenta Francesco Iezzi, Information Security Manager presso Bcube Spa.
Indice degli argomenti
Bankitalia ai soggetti vigilati: attenti ai cyber rischi dell’AI
Bankitalia chiede a tutti i soggetti vigilati di opporre una reazione al rischio legato all’AI, illustrando i propri piani entro dicembre 2026. Significa che banche e imprese di investimento o gestori di fondi alternativi dovranno spiegare cosa hanno intenzione di fare entro fine anno.
L’allarme si focalizza sui modelli di IA più avanzati, in grado di identificare falle nei software che i cybercriminali riescono a sfruttare a una velocità, un tempo impensabile. Si riduce infatti la finestra temporale che intercorre fra la scoperta di una vulnerabilità e l’attacco.
“L’attenzione (sul tema da parte della BCE, ndr) è stata dunque successivamente ripresa anche dalla Banca d’Italia, con una comunicazione rivolta direttamente al sistema finanziario nazionale”, avverte Francesco Iezzi.
Non c’è molto tempo per alzare le difese, ma al momento i modelli più evoluti (statunitensi) sono ancora utilizzabili solo da parte dei soggetti fidati. Ma il tempo corre e i cyber criminali potranno avvalersi degli stessi strumenti di cui si avvalgono i “buoni”.
Si accorcia appunto l’intervallo fra scoperta ed attacco e le banche devono fare presto.
Chi deve mitigare i rischi e come
L’invito della Banca d’Italia non lancia un nuovo regolamento, ma s’inquadra nel panorama regolatorio europeo, dove DORA, NIS2 e Cyber Resilience Act definiscono le norme per aumentare la resilienza dei soggetti a rischio.
Bancoposta, istituti di pagamento, di moneta elettronica, imprese di investimento, società di gestione, gestori di fondi alternativi, fornitori di servizi per le criptovalute e di servizi di crowdfunding e intermediari finanziari ex articolo 106 del Testo unico bancario: ecco a chi si rivolge la richiesta di Bankitalia.
“Le priorità sono quindi chiare. Per contrastare l’asimmetria temporale e affrontare il nuovo ruolo delle vulnerabilità, le organizzazioni devono osservare la propria infrastruttura con gli stessi occhi di un attaccante, umano o agentico“, conferma Francesco Iezzi.
I soggetti vigilati devono mettersi in sicurezza: ecco cosa devono fare
In seduta congiunta con il collegio sindacale, il consiglio di amministrazione è invitato all’esame della comunicazione di Bankitalia per l’avvio alla messa a punto della relazione.
Non basterà delegare all’area IT una risposta tecnica, perché la vigilanza richiede il coinvolgimento dei vertici aziendali, dal momento che la comunicazione si concentra su budget, fornitori, propensione al rischio, responsabilità sui dati e continuità operativa.
La relazione che Bankitalia chiede di preparare avrà inoltre il dovere di mettere nero su bianco il livello di esposizione al rischio attuale, l’adeguatezza dei presidi presenti, indicando le eventuali lacune a cui porre rimedio e gli interventi prioritari.
Ma la relazione richiesta dovrà preparare anche un piano tagliato su misura della dimensione, complessità e modello operativo dell’intermediario. Tutti i soggetti vigilati dovranno poi identificare le responsabilità aziendali da comunicare alla Vigilanza, per esempio un’opzione di controllo dei cyber rischi di secondo livello.
I controlli da prevedere
Le organizzazioni dovranno potenziare la governance, revisionando il quadro di propensione al rischio per comprendere queli relativi alle tecnologie di frontiera come l’AI e garantire competenze digitali focalizzate sull’intelligenza artificiale.
Cyber igiene
Le aree d’intervento riguardano l’autenticazione multifattoriale, la gestione degli accessi, il monitoraggio continuo, la segmentazione delle reti e la difesa multi-livello.
Ma è anche necessario effettuare l’inventario delle risorse cyber, per definire quali sistemi sono impiegati, quali sono le esposizioni online, quali sono le dipendenze dal cloud e quale è il grado di obsolescenza.
Gestire tempestivamente le patch
Diventa un imperativo di sicurezza la gestione tempestiva delle falle e delle patch.
Infatti man mano che si velocizza l’individuazione delle vulnerabilità e nel sanarle, occorre fornire priorità alla risoluzione delle falle più critiche, ai sistemi accessibili dall’esterno e del software open source.
Ma la vigilanza alza l’asticella, chiedendo un forte e costante monitoraggio su applicazioni, accessi e traffico di rete, incluso quello verso i fornitori terzi, l’anello debole negli attacchi alla supply chain.
Infatti una lacuna di un outsourcer ha un effetto domino a cascata su molti intermediari, in un ecosistema composto da pochi operatori e operante su più livelli. Bankitalia rimette dunque i puntini sulle i, ricordando i requisiti contrattuali, le verifiche ex ante, il monitoraggio della sicurezza e la gestione puntuale e rapida degli aggiornamenti.
Fare presto è il monito di Bankitalia
A inizio luglio la Banca centrale europea ha avanzato la richiesta alle banche dell’Eurozona di mettere a punto piani d’azione sui rischi legati all’IA, da preparare entro il 31 ottobre 2026.
Poiché l’intelligenza artificiale riesce a movimentare il pendolo fra attaccanti e difensori, ora tocca al monito di Bankitalia far suonare la sveglia ai soggetti vigilati perché facciano presto, soprattutto nell’individuare le vulnerabilità da risolvere prima degli exploit e degli sfruttamenti attivi.
“Occorre adottare un approccio di security as code, analizzare continuamente gli attack path, rafforzare il virtual patching e automatizzare quanto più possibile le capacità di rilevamento e risposta”, mette in evidenza Francesco Iezzi.
Il tempo stringe, soprattutto mentre ogni nuovo rilascio di modelli di AI più evoluti, da parte dei player dell’AI, squarcia nuovi scenari di minacce da contenere per non finirne travolti.
“In uno scenario in cui l’attacco opera alla velocità dell’intelligenza artificiale, anche la difesa dovrà necessariamente evolvere nella stessa direzione: AI fight AI”, conclude Francesco Iezzi.
Partecipa alla community