3.2 Identificazione dei rischi ICT rilevanti

Le autorità competenti dovrebbero identificare i rischi ICT rilevanti a cui l’ente è o potrebbe essere esposto osservando i passaggi indicati di seguito.

3.2.1 Analisi del profilo di rischio ICT dell’ente

Durante la revisione del profilo di rischio ICT dell’ente, le autorità competenti dovrebbero prendere in considerazione tutte le informazioni pertinenti riguardanti le esposizioni ai rischi ICT dell’ente, comprese le informazioni di cui al paragrafo 37, e le carenze o debolezze rilevanti individuate nell’organizzazione ICT e nei controlli a livello aziendale di cui al titolo 2 dei presenti Orientamenti e, se del caso, esaminare tali informazioni in modo appropriato. Nell’ambito della presente revisione, le autorità competenti dovrebbero considerare quanto segue:

• a. il potenziale impatto di una interruzione significativa del funzionamento dei sistemi ICT dell’ente sul sistema finanziario, a livello nazionale o internazionale;
• b. se l’ente possa essere soggetto a rischi di sicurezza ICT o a rischi di disponibilità e continuità ICT dovuti alla dipendenza da Internet, all’elevato utilizzo di soluzioni ICT innovative o ad altri canali di distribuzione aziendale che potrebbero rendere l’ente un possibile obiettivo di attacchi informatici;
• c. se l’ente possa essere maggiormente esposto a rischi di sicurezza ICT , rischi di disponibilità e continuità ICT , rischi di integrità dei dati ICT o rischi relativi ai cambiamenti ICT dovuti alla complessità (ad esempio, derivante da fusioni o acquisizioni) o all’obsolescenza dei suoi sistemi ICT;
• d. se l’ente stia attuando cambiamenti sostanziali ai propri sistemi ICT e/o alla funzione ICT (ad esempio, a seguito di fusioni, acquisizioni, dismissioni o sostituzione dei principali sistemi ICT) che possono avere effetti negativi sulla stabilità o sul regolare funzionamento dei sistemi ICT e comportare rischi ICT rilevanti di disponibilità e continuità, di sicurezza, relativi ai cambiamenti o di integrità dei dati;
• e. se l’ente abbia esternalizzato i servizi o i sistemi ICT, all’interno o all’esterno del gruppo, e se pertanto possa essere esposto a rischi di esternalizzazione ICT rilevanti ;
• f. se l’ente stia attuando misure aggressive di riduzione dei costi delle ICT che possano portare alla riduzione di investimenti in ICT, risorse e competenze informatiche necessari e possano aumentare l’esposizione a tutti i tipi di rischi ICT illustrati nella classificazione;
• g. se l’ubicazione di importanti centri operativi/dati ICT (ad es. regioni, paesi) possa esporre l’ente a catastrofi naturali (ad es. inondazioni, terremoti), instabilità politica o conflitti sindacali e disordini civili che possano portare ad un aumento significativo dei rischi di disponibilità e continuità e di sicurezza ICT.

3.2.2 Analisi dei sistemi e dei servizi ICT critici

Nell’ambito del processo di identificazione dei rischi ICT che possano avere un potenziale impatto prudenziale significativo sull’ente, le autorità competenti dovrebbero esaminare la documentazione dell’ente e formulare un parere indicando quali sistemi e servizi ICT sono critici per l’adeguata operatività, disponibilità e continuità e per la sicurezza delle attività essenziali dell’ente.

A tal fine, le autorità competenti dovrebbero esaminare la metodologia e i processi applicati dall’ente per identificare sistemi e servizi ICT critici, considerando che alcuni di questi possono essere considerati critici da parte dell’ente dal punto di vista della continuità e della disponibilità operativa, della sicurezza (ad es. la prevenzione delle frodi) e/o della riservatezza (ad es. dati riservati). Durante la revisione, le autorità competenti dovrebbero considerare che i sistemi e servizi ICT critici devono soddisfare almeno una delle seguenti condizioni:

• a. supportare le principali operazioni di business e i principali canali di distribuzione (ad es. bancomat, Internet e mobile banking) dell’ente;
• b. supportare i processi fondamentali di governance e le funzioni aziendali, compresa la gestione dei rischi (ad es. sistemi di gestione dei rischi e della tesoreria);
• c. rispondere a requisiti legali o regolamentari specifici (se del caso) che impongono maggiori requisiti di disponibilità, resilienza, riservatezza o sicurezza (ad es. legislazione in materia di protezione dei dati o eventuali obiettivi in materia di tempi di ripristino (Recovery Time Objectives - RTO - tempo massimo entro il quale deve essere ripristinato un sistema o un processo dopo un incidente) e obiettivi in materia di punti di ripristino (Recovery Point Objective - RPO - periodo di tempo massimo durante il quale i dati possono essere persi in caso di incidente) per alcuni servizi di importanza sistemica (laddove applicabili);
• d. elaborare o conservare dati riservati o sensibili per i quali l’accesso non autorizzato potrebbe avere un impatto significativo sulla reputazione dell’ente, sui risultati finanziari o sulla solidità e continuità della propria attività (ad es. database contenente dati sensibili del cliente);
• e. fornire funzionalità di base fondamentali per il corretto funzionamento dell’ente (ad es. servizi di telecomunicazione e connettività, sicurezza ICT e cyber).

3.2.3 Identificazione dei rischi rilevanti relativi ai sistemi e ai servizi ICT critici

Tenendo conto delle analisi condotte sul profilo di rischio ICT dell’ente e dei sistemi e servizi ICT critici sopra esposti, le autorità competenti dovrebbero formulare un parere sui rischi ICT rilevanti che, secondo la loro valutazione prudenziale, possono avere un impatto prudenziale significativo sui sistemi e servizi ICT critici.

Per la valutazione dell’impatto potenziale dei rischi ICT sui sistemi e sui servizi ICT critici di un ente, le autorità competenti dovrebbero considerare:

• a. l’impatto finanziario, compresi (ma non limitatamente a) la perdita di fondi o attività, la possibile compensazione del cliente, i costi legali e di riparazione, i danni contrattuali, i mancati profitti;
• b. il potenziale impatto per l’interruzione dell’operatività, considerando (ma non limitatamente a) la criticità dei servizi finanziari interessati, il numero di clienti e/o filiali e dipendenti potenzialmente interessati;
• c. il potenziale impatto sulla reputazione dell’ente, sulla base dell’importanza del servizio bancario o dell’attività operativa interessata (ad es., furto di dati dei clienti); il profilo esterno/la visibilità dei sistemi ICT e dei servizi interessati (ad es. sistemi di mobile banking o online banking, punti vendita, bancomat o sistemi di pagamento);
• d. l’impatto normativo, comprese la possibile censura pubblica da parte del regolatore, multe o addirittura modifica delle autorizzazioni.
• e. L’impatto strategico sull’ente, ad esempio se i piani strategici di prodotto o quelli operativi vengono compromessi o sottratti.

Le autorità competenti dovrebbero pertanto effettuare una mappatura dei rischi ICT considerati rilevanti nelle seguenti categorie di rischio, per le quali ulteriori descrizioni ed esempi dei rischi sono riportati nell’allegato. Le autorità competenti dovrebbero considerare i rischi ICT di cui all’allegato nell’ambito della valutazione di cui al titolo 3:

• a. rischio di disponibilità e continuità ICT
• b. rischio di sicurezza ICT
• c. rischio relativo ai cambiamenti ICT
• d. rischio di integrità dei dati ICT
• e. rischio di esternalizzazione ICT

La mappatura aiuta le autorità competenti a determinare quali rischi sono rilevanti (se presenti) e dovrebbero quindi essere oggetto di un’analisi più dettagliata e/o approfondita secondo le seguenti fasi di valutazione.