Dalla conformità alla difesa continua: come la regolamentazione della sicurezza informatica si sta adeguando alla realtà nel settore finanziario

Normative come la 23 NYCRR 500, il Digital Operational Resilience Act (DORA) dell'UE e lo standard PCI DSS 4.0 segnano un passaggio dalla conformità statica alla difesa dinamica per le istituzioni finanziarie. Sono una risposta a un panorama informatico in continua evoluzione, in cui gli attacchi devastanti si verificano più rapidamente e colpiscono una gamma più ampia di obiettivi. Ciò è particolarmente critico durante periodi ad alto rischio come le festività, quando il lavoro da remoto, la carenza di personale e l'elevato stress possono aprire più porte agli aggressori.

Mentre la regolamentazione si adegua a questa realtà dinamica, le organizzazioni più intelligenti non aspettano obblighi. Dato l'aumento del rischio, le istituzioni non possono più permettersi di aspettare un audit annuale o una checklist di conformità per dimostrare la propria sicurezza. Le utilizzano invece come leva per ottenere il consenso per la creazione di sistemi di sicurezza informatica dinamici e adattivi che monitorano, misurano e migliorano costantemente la propria sicurezza in tempo reale.

Come è cambiata la sicurezza informatica

Per anni, gli istituti finanziari hanno costruito programmi di sicurezza informatica principalmente incentrati sul superamento di audit, assicurandosi che fossero state redatte le policy appropriate, che fossero stati implementati i controlli appropriati e che potessero dimostrarlo con le giuste "caselle spuntate" su una checklist. Ma oggi, il panorama delle minacce è molto più dinamico di quanto questo approccio possa gestire. Gli aggressori indagano continuamente, si adattano istantaneamente e sfruttano le lacune nel giro di ore o minuti. I picchi stagionali dell'attività digitale, come le transazioni di fine anno e i picchi dell'e-commerce, non fanno che amplificare queste vulnerabilità.

Questi rischi non sono più limitati alle organizzazioni di grandi dimensioni. Come evidenziato nell'Homeland Threat Assessment del 2024, gli istituti finanziari di medie dimensioni sono diventati obiettivi di alto valore, ricchi di dati ma spesso privi di difese di livello enterprise. Gli aggressori conoscono e sfruttano questi squilibri, sfruttando la proliferazione digitale per rimanere inosservati più a lungo. Il periodo delle festività natalizie aggrava il problema, poiché dipendenti frustrati o oberati di lavoro possono inavvertitamente (o intenzionalmente) creare nuove opportunità per gli autori delle minacce.

Le autorità di regolamentazione stanno ora riconoscendo questa realtà in continua evoluzione con una legislazione incentrata sulla prontezza anziché solo sulle difese. Sono consapevoli di non poter creare un insieme di standard che garantiscano la sicurezza di tutti, quindi hanno modificato il loro approccio di conseguenza per promuovere difese sia proattive che reattive: dalla scansione e dall'applicazione di patch regolari alle prove di risposta in tempo reale e ai processi di backup verificati.

L'adeguamento normativo in natura

L'evoluzione degli standard normativi non è una semplice questione di stringere i bulloni. Piuttosto, è il riconoscimento che la conformità statica non può proteggere un mondo digitale dinamico. Ecco come questo si traduce nella regolamentazione del settore finanziario nel 2025:

23 NYCRR 500 (Stati Uniti | New York | Finanza)

Gli emendamenti finali alla legislazione NYCRR 500 entreranno in vigore con l' ultima scadenza per l'attuazione il 1° novembre 2025, imponendo alle organizzazioni di essere in grado di dimostrare una governance continuativa e una prontezza operativa quasi in tempo reale. Per soddisfare queste aspettative, gli istituti finanziari devono ora dimostrare:

• Monitoraggio continuo efficace o, come minimo, test di penetrazione e valutazioni della vulnerabilità regolari.
• Utilizzo dell'autenticazione a più fattori (MFA) su tutti i punti di accesso.
• Mantenimento di un inventario completo delle risorse.
• Segnalazione di incidenti di sicurezza significativi alle autorità di regolamentazione entro 72 ore.

Se operi nel settore finanziario a New York, questa legislazione ti riguarda direttamente. Ma anche se non lo fai, New York è un epicentro del settore finanziario e ciò che accade lì è probabilmente un indicatore di ciò che accadrà altrove. Ciò indica una tendenza più ampia verso una resilienza dimostrabile e verificabile, piuttosto che affidarsi esclusivamente a strategie di risposta reattive e basate su checklist.

Legge sulla resilienza operativa digitale (DORA) (UE | Finanza)

A partire da gennaio 2025, DORA richiede alle entità finanziarie di gestire la resilienza informatica e operativa come parte della continuità aziendale principale:

• Standardizzare il modo in cui le istituzioni classificano e segnalano gli incidenti ICT.
• Stabilire scadenze per la notifica agli enti regolatori.
• Introduzione di test di resilienza regolari.
• Esercitare una supervisione più rigorosa sui fornitori di tecnologie terze parti essenziali.

L'obiettivo è una testimonianza del trend di resilienza identificato. Creare uno standard armonizzato a livello europeo che garantisca agli istituti finanziari la capacità di resistere e riprendersi da una crisi digitale, qualora si verifichi il peggio. Non è più sufficiente proteggersi da un attacco e sperare nel meglio.

Standard di sicurezza dei dati del settore delle carte di pagamento (PCI DSS) 4.0 (Globale | Finanza)

A partire da marzo 2025, l'ultima versione dello standard PCI DSS modernizza il modo in cui le organizzazioni proteggono i dati dei titolari di carta. Anziché affidarsi a controlli rigidi e standardizzati, lo standard PCI DSS 4.0 introduce un approccio personalizzato e basato sul rischio. Questo cambiamento consente flessibilità nel raggiungimento degli obiettivi di sicurezza.

Invece di requisiti standard, enfatizza la convalida continua e la raccolta di prove. Si tratta di una notevole deviazione dalle versioni precedenti, che riconosce che ogni ambiente è diverso e che la vera conformità significa dimostrare che le proprie difese funzionano nella pratica, non solo sulla carta.

Tutti questi framework per la sicurezza informatica hanno un filo conduttore comune: trasformare la sicurezza informatica in una disciplina viva e dinamica che si evolve con le minacce.

Implicazioni più ampie per il settore finanziario globale

I team dirigenziali devono riconoscere come la nuova realtà normativa introduca un onere della prova più elevato e continuativo. Per dimostrare di soddisfare gli standard normativi, le istituzioni devono ora dimostrare:

• Linea di discendenza: dove risiedono i dati, come vengono trasferiti, chi vi accede e quando.
• Reattività: la rapidità con cui i sistemi rilevano, isolano e rispondono alle minacce.
• Resilienza: quanto efficacemente l'azienda può riprendersi, non solo se ci riesce.
• Governance: la leadership supervisiona attivamente il rischio informatico, senza delegarlo all'IT.

Gli enti regolatori non vogliono più la prova della sicurezza su un documento statico: questo approccio non è più sufficiente. Ora vogliono la prova che la vostra strategia di sicurezza utilizzi un approccio always-on, verificato dalla resilienza post-violazione tanto quanto, se non di più, dalla preparazione pre-violazione.

Responsabilità del C-Suite e l'evoluzione del ruolo del CISO

L'aumento degli attacchi in tutti i settori nel 2025, non solo negli istituti finanziari, sottolinea che la sicurezza informatica non è più una questione IT isolata. Nel 2026, CIO e CISO dovranno evolversi da operatori tecnici a leader aziendali strategici. I CEO, a loro volta, dovranno ridefinire il ruolo di CISO, trasformandolo in un ruolo decisionale strategico con un filo diretto con il consiglio di amministrazione.

Questo cambiamento riformula la sicurezza informatica da un centro di costo difensivo a un abilitatore aziendale che protegge la reputazione del marchio, il valore per gli azionisti e la fiducia dei clienti. Come evidenziano recenti ricerche, gli investimenti nella sicurezza informatica sono ora in cima all'agenda dei vertici aziendali. Questa priorità deve tradursi in strategie aziendali integrate, che colleghino la sicurezza con la resilienza, la gestione delle identità e la governance dei dati in tutte le funzioni aziendali.

Perché questa è una buona cosa

Sebbene questo possa sembrare un ulteriore fattore di pressione (e lo è), rappresenta anche un'importante opportunità per i responsabili IT e dei dati pronti a modernizzare i propri sistemi. Il passaggio a una difesa continua spinge le organizzazioni a:

• Sostituisci la documentazione statica con il monitoraggio in tempo reale e la raccolta automatizzata delle prove.
• Integrare la gestione del rischio e la strategia aziendale in modo che la sicurezza informatica diventi un motore di fiducia in ogni reparto, non solo nell'IT.
• Rafforzare la fiducia dei clienti, dei partner e degli enti regolatori dimostrando trasparenza e controllo.

Tutto questo è facilmente realizzabile attraverso soluzioni infrastrutturali più resilienti, interconnesse e ben gestite. Questo cambiamento offre ai responsabili IT, che hanno faticato a reperire budget o finanziamenti interni per la sicurezza informatica, l'opportunità di ripensare da zero la propria infrastruttura e la proliferazione tecnologica. Rafforza inoltre la leadership in materia di sicurezza informatica.

Poiché sempre più consigli di amministrazione riconoscono che la sicurezza è intrinseca alla continuità aziendale e alla reputazione, i CISO stanno guadagnando un posto al tavolo delle decisioni strategiche. Questa evoluzione incoraggia una più stretta collaborazione tra tecnologia, operations e business unit, garantendo che le decisioni in materia di sicurezza stimolino attivamente crescita, fiducia e resilienza, anziché limitarsi a salvaguardare dalle perdite.

Cosa puoi fare al riguardo: costruire una difesa continua

Le normative nascono in risposta alle crisi: sono reattive per natura. Pertanto, sebbene le normative costituiscano un utile punto di riferimento per la sicurezza informatica, il vero obiettivo dovrebbe sempre essere la sicurezza autentica. L'implementazione di strumenti e best practice per sistemi sicuri complessivi vi proteggerà meglio, come sempre, rispetto al semplice rispetto alla lettera della legge.

I seguenti passaggi rispecchiano le best practice che mantengono le organizzazioni al sicuro durante i periodi di rischio più elevato, come le festività, quando gli attacchi opportunistici sono più comuni, consentendo una resilienza per tutto l'anno:

1. Verifica la tua superficie di attacco. Dai data center interni alle applicazioni cloud e ai dispositivi fisici utilizzati dai dipendenti in tutto il mondo, esamina l'intera superficie di attacco in ogni potenziale punto di ingresso. Implementa procedure di verifica, elimina la proliferazione incontrollata, controlla i rischi e applica controlli e governance in modo coerente.

2. Garantire la conformità continua. Esaminare la propria strategia di sicurezza a partire dalle fondamenta. Implementare piattaforme o processi che automatizzino la convalida dei controlli, tengano traccia delle modifiche e avvisino in modo continuo e in tempo reale le anomalie in tutta l'organizzazione, anziché affidarsi a valutazioni trimestrali o annuali. Questo è particolarmente importante durante periodi di forte stress come le festività natalizie, quando le minacce aumentano e il personale è più propenso a prendersi del tempo libero, rendendo la visibilità sui sistemi una priorità fondamentale.

3. Estendi la visibilità al tuo ecosistema. Quindi, osserva dall'interno verso l'esterno. I rischi di terze parti e del cloud sono ora priorità normative. Valuta costantemente il livello di sicurezza dei fornitori e richiedi la prova delle loro pratiche di MFA, delle capacità di risposta agli incidenti e degli standard di gestione dei dati.

4. Testare e testare la resilienza. Non aspettare un attacco per verificare la tenuta dei tuoi sistemi di risposta: simula scenari di ransomware, compromissione delle credenziali e violazione dei fornitori una volta implementati i nuovi sistemi e le nuove procedure. Assicurati che tutti conoscano i propri ruoli e responsabilità e misura i tempi di risposta e ripristino per essere pronto quando serve.

5. Comunicare questi sforzi ai clienti. La trasparenza crea fiducia, e questo è particolarmente vero nel settore dei servizi finanziari. Informare i clienti sulle migliori pratiche per interagire in modo sicuro con i sistemi.

Considerazioni finali

La regolamentazione della sicurezza informatica si sta adeguando alla realtà, dove minacce e attacchi sono continui e in espansione. Tuttavia, la regolamentazione sarà sempre al passo con l'innovazione e l'evoluzione delle minacce. Ecco perché l'obiettivo non può essere solo quello di conformarsi, ma anche di essere pronti. Con l'aumento del volume delle transazioni e del rischio informatico durante la stagione dello shopping natalizio, le istituzioni finanziarie non possono permettersi di aspettare.

Ma quando la conformità diventa un sottoprodotto di una difesa continua, si passa da una conformità "a scatola chiusa" a un approccio olistico che protegge persone, informazioni e fiducia in tempo reale. Clicca qui per saperne di più su come Rocket Software può aiutarti ad aggiornare la tua infrastruttura IT per una resilienza in tempo reale senza interruzioni.