Cyber-rischi 2022

I cyber-attacchi messi a segno con cadenza regolare ai danni di affermate aziende in Svizzera e nel mondo fanno costantemente notizia. Tali aggressioni avvengono on modalità sempre più sofisticate e i loro autori mettono a punto continuamente metodi nuovi. Emergono inoltre con regolarità lacune sul piano della sicurezza che le aziende devono colmare o mitigare con la massima celerità. Un recente esempio è la vulnerabilità «Log4j», una falla nella diffusa libreria di logging per applicazioni Java, emersa a fine 2021 e facilmente attaccabile via internet. Molti assoggettati alla vigilanza hanno reagito rapidamente per risolvere quanto prima tale criticità. In particolare le aziende che avevano predisposto linee guida e procedure specifiche per contrastare simili scenari e le avevano testate durante la normale attività operativa sono riuscite a fare fronte a questo intoppo in maniera tempestiva ed efficace.

Nel periodo compreso tra settembre 2020 e settembre 2022 gli assoggettati alla vigilanza della FINMA hanno notificato all’Autorità complessivamente 145 cyber-attacchi. Dalla pubblicazione dell’ultimo Monitoraggio dei rischi sono stati registrati 65 nuovi casi. L’analisi degli attacchi segnalati negli ultimi dodici mesi mostra che l’enfasi si è spostata dalla tipologia dell’interruzione distribuita del servizio (DDoS) ai software dannosi (insinuati soprattutto attraverso service provider esterni). Il metodo di attacco più frequente è costituito dall’intrusione tramite un fornitore esterno di servizi nell’ambito di un’operazione di outsourcing.

Nell’ambito della propria attività di vigilanza, attualmente la FINMA ha individuato come prioritari i seguenti fattori di rischio.

• Alcuni degli assoggettati alla vigilanza non hanno allestito piani di reazione ai cyber-attacchi, oppure tali piani sono incompleti o, ancora, non vengono verificati in termini di efficacia.
• Gli assoggettati alla vigilanza non integrano esplicitamente i cyber-rischi nella loro gestione qualitativa dei rischi operativi, pertanto non può essere garantita una gestione sistematica e completa di detti rischi.
• Gli assoggettati alla vigilanza definiscono i cyber-rischi e la relativa tolleranza al rischio in misura insufficiente, oppure non prevedono alcun piano per la protezione cibernetica.
• In alcuni casi essi non fissano requisiti chiari in materia di cyber-sicurezza nei confronti dei fornitori di servizi oppure non ne verificano regolarmente l’osservanza.

(Dal Monitoraggio dei rischi 2022)