La Resa dei Conti di DORA: Da Checkbox di Conformità a Imperativo Strategico nei Servizi Finanziari dell'UE

Il panorama della cybersecurity e della gestione del rischio tecnologico nei servizi finanziari dell'UE è cambiato radicalmente. Il Digital Operational Resilience Act (DORA), formalmente Regolamento (UE) 2022/2554, è passato da una scadenza imminente a un'aspettativa di supervisione attiva. Dalla sua diretta applicabilità, gli enti finanziari e i loro fornitori critici di servizi ICT di terze parti in tutta l'UE stanno navigando in una nuova era di requisiti vincolanti di resilienza operativa. Le autorità di regolamentazione stanno già raccogliendo attivamente dati essenziali su incidenti, accordi di outsourcing e dipendenze da terze parti.

Cosa è successo

Per gran parte degli ultimi due anni, le aziende finanziarie dell'UE si sono concentrate intensamente sull'implementazione di DORA. I consigli di amministrazione e i team esecutivi hanno dato priorità al rispetto delle scadenze normative, all'istituzione di controlli completi, alla documentazione delle strutture di governance e alla garanzia della conformità. Questa fase iniziale, sebbene impegnativa, mirava a rendere le aziende "operative" con i nuovi mandati. Tuttavia, il periodo di grazia è ora definitivamente terminato, segnato da significative azioni normative e da un'intensificazione del controllo.

Le autorità di vigilanza hanno iniziato a pubblicare panoramiche sugli incidenti, segnalando un'applicazione attiva. I requisiti per i registri dei fornitori di servizi ICT di terze parti sono in vigore, richiedendo aggiornamenti continui, non solo una presentazione una tantum. I fornitori critici di servizi cloud, inclusi i principali hyperscaler, sono ora sotto la supervisione diretta dell'UE, con un certo numero di fornitori di servizi IT classificati come terze parti critiche, alterando fondamentalmente le dinamiche di responsabilità e negoziazione. Questa confluenza di eventi, inclusa l'avanzamento simultaneo di altre significative normative UE, sottolinea un momento cruciale in cui la RegTech passa da una categoria a una strategia di sopravvivenza.

Perché questo schema continua a ripetersi

Lo schema ricorrente di aziende che faticano a superare la conformità da "spunta" deriva dall'ambizione intrinseca di DORA. Il regolamento è stato progettato per affrontare una lacuna critica: mentre i sistemi digitali sono diventati centrali per tutti gli aspetti dei servizi finanziari, le regole sul rischio cyber e tecnologico sono rimaste disomogenee tra gli Stati membri. DORA eleva esplicitamente il rischio cyber oltre una preoccupazione IT di back-office, ponendo la responsabilità diretta della supervisione del rischio ICT sui consigli di amministrazione. Questo cambiamento fondamentale richiede una trasformazione culturale e operativa che molte organizzazioni trovano difficile da integrare completamente dopo la scadenza.

Inoltre, l'ampio ambito di DORA, che copre banche, assicurazioni, società di pagamento, società di investimento e principali fornitori ICT, significa che un ecosistema vasto e diversificato deve adattarsi uniformemente. I cinque pilastri di DORA – gestione del rischio ICT, segnalazione degli incidenti, test di resilienza operativa digitale, gestione del rischio ICT di terze parti e condivisione delle informazioni – richiedono uno sforzo integrato e continuo. Molte istituzioni hanno solo parzialmente implementato questi requisiti, preparando il terreno per una continua pressione normativa. Il passaggio da obblighi nazionali frammentati a un regime vincolante a livello europeo significa che non c'è più spazio per interpretazioni o ritardi.

Il playbook dell'attaccante passo dopo passo

Anche se DORA mira a rafforzare le difese, la stessa complessità degli ecosistemi finanziari presenta opportunità per gli attaccanti. Il loro playbook spesso inizia con lo sfruttamento delle debolezze nelle catene di fornitura di terze parti, ora sotto l'intenso controllo di DORA. Gli attori delle minacce prendono di mira fornitori di servizi ICT meno maturi, utilizzandoli come gateway per entità finanziarie più grandi. L'interconnessione enfatizzata dal pilastro di gestione del rischio di terze parti di DORA diventa un'arma a doppio taglio.

Gli attaccanti capitalizzano anche sulla superficie di attacco estesa creata da servizi e fornitori critici. Sondano misconfigurazioni o vulnerabilità non patchate in sistemi che supportano pagamenti, trading, prestiti e servizio clienti. Periodi di cambiamento significativi, come le transizioni normative, possono talvolta introdurre nuove vulnerabilità poiché le aziende implementano rapidamente soluzioni senza proteggerle completamente. Infine, l'enfasi sulla segnalazione degli incidenti ai sensi di DORA significa che qualsiasi violazione riuscita, per quanto minore, avrà implicazioni normative immediate e significative, aggiungendo pressione sulle aziende a divulgare e gestire gli incidenti entro scadenze rigorose.

Cosa hanno perso i difensori

Molte istituzioni finanziarie, nonostante ingenti investimenti, si sono inizialmente concentrate sul rispetto della lettera della legge piuttosto che del suo spirito. L'errore critico è stato spesso quello di scambiare un alto livello di maturità della conformità per una vera resilienza operativa. La conformità, di per sé, dimostra solo l'adesione agli standard minimi. Non garantisce intrinsecamente che la leadership comprenda come un'interruzione localizzata in un fornitore di servizi ICT critico possa propagarsi attraverso complessi processi interni e dipendenze da terze parti.

Un altro elemento mancato è stata la sottovalutazione della natura continua di DORA. Ad esempio, il registro dei fornitori di servizi ICT di terze parti non è un documento statico; deve rimanere aggiornato, e trattarlo come un esercizio una tantum porterà a fallimenti negli audit. Inoltre, le implicazioni dei test di penetrazione basati sulle minacce, in particolare per le istituzioni sistemicamente importanti, che coprono l'intera catena di fornitura ICT, non sono state pienamente comprese o preparate da tutti. L'ambito di questi test si estende ben oltre le tradizionali valutazioni interne di sicurezza.

Il passaggio da 'diventare operativi' a 'resilienza dimostrabile' definisce la nuova realtà operativa per le aziende finanziarie dell'UE sotto DORA.

Una checklist difensiva pratica

Per andare oltre la mera conformità e raggiungere una resilienza dimostrabile, i CISO e gli ingegneri della sicurezza dovrebbero dare priorità a queste azioni:

• Aggiornare continuamente i registri dei fornitori ICT di terze parti: Trattare il registro come un documento vivo e dinamico. Garantire il monitoraggio e la rivalutazione continui di tutte le dipendenze critiche di terze parti, inclusi i fornitori di servizi cloud.
• Mandatare la supervisione del rischio ICT a livello di consiglio: Assicurarsi che i consigli di amministrazione siano attivamente coinvolti e comprendano il rischio ICT. Questo non è solo un problema IT, ma una preoccupazione centrale per la resilienza aziendale.
• Implementare test di penetrazione basati sulle minacce: Prepararsi ed eseguire test di penetrazione avanzati basati sulle minacce, estendendo l'ambito all'intera catena di fornitura ICT, non solo ai sistemi interni.
• Rafforzare i framework di segnalazione degli incidenti: Perfezionare i processi di segnalazione degli incidenti per soddisfare le scadenze rigorose e i requisiti dettagliati di DORA. Esercitarsi con scenari di segnalazione per garantire l'efficienza sotto pressione.
• Sviluppare piani robusti di recupero e risposta: Oltre al rilevamento, concentrarsi sulla capacità di resistere e recuperare rapidamente da interruzioni gravi. Testare questi piani rigorosamente e regolarmente.
• Gestire proattivamente i rischi dei fornitori di servizi cloud: Collaborare direttamente con i fornitori critici di servizi cloud per comprendere le loro strategie di resilienza e garantire l'allineamento con i requisiti DORA, sfruttando il nuovo quadro di supervisione dell'UE.
• Promuovere una cultura della resilienza operativa: Guidare un cambiamento culturale in cui la resilienza sia incorporata in tutti i processi, dallo sviluppo alle operazioni, in tutta l'organizzazione.

Come i moderni test offensivi avrebbero colto questo

Le inadeguatezze delle tradizionali valutazioni di sicurezza di fronte alle richieste di DORA evidenziano la necessità di test offensivi avanzati. La nostra piattaforma, con la sua attenzione ai test offensivi autonomi e ai Proof of Concept (PoC) eseguibili, sarebbe stata fondamentale. Una tale piattaforma va oltre la scansione delle vulnerabilità o persino il penetration testing manuale, simulando continuamente tecniche di attaccanti del mondo reale su tutta la proprietà digitale, incluse le integrazioni critiche di terze parti.

Generando PoC eseguibili, la nostra piattaforma fornisce prove tangibili di percorsi sfruttabili, dimostrando non solo vulnerabilità teoriche ma un impatto reale. Questo approccio avrebbe rivelato come un'interruzione localizzata in un servizio ICT di terze parti potesse propagarsi attraverso i processi critici di un'organizzazione, offrendo intuizioni concrete su potenziali fallimenti operativi. Avrebbe identificato proattivamente le lacune nei piani di risposta agli incidenti e di recupero simulando attacchi multi-stadio che imitano attori delle minacce sofisticati, preparando le aziende per i rigorosi test di penetrazione basati sulle minacce ora imposti da DORA.

Cosa guardare dopo

Il futuro immediato vedrà un'intensificazione del controllo normativo. Le autorità di vigilanza continueranno a pubblicare panoramiche sugli incidenti e le autorità di regolamentazione nazionali chiariranno i requisiti per i test di penetrazione basati sulle minacce. Le aziende finanziarie dovrebbero aspettarsi linee guida dettagliate sul "monitoraggio efficace" da parte degli enti competenti, che daranno ulteriore forma agli obblighi di conformità. L'attenzione si sposterà dalla fase di implementazione iniziale a un periodo prolungato di dimostrazione e prova della resilienza operativa. La domanda non è più "cosa dobbiamo costruire?" ma "cosa abbiamo perso?" e, soprattutto, "come dimostriamo continuamente la nostra resilienza?". Questa evoluzione continua richiede una vigilanza perpetua e una postura di sicurezza proattiva, piuttosto che reattiva.