| Categorie dei Rischi rischi ICT | relativi ICT (elenco non esaustivo10 ) | Descrizione del rischio | Esempi | |
| informatici dirompenti distruttivi | e | ricatto) che comportano un sovraccarico dei sistemi e della rete, impedendo agli utenti legittimi di accedere ai servizi informatici online. | | Service) hanno l’intento di interrompere il servizio e vengono eseguiti tramite una moltitudine di sistemi informatici su Internet controllati da un hacker, che invia a servizi Internet una grande quantità di richieste di servizio apparentemente legittime (ad es. servizi di e-banking). |
| Rischi di Attacchi sicurezza ICT informatici attacchi ICT | e altri esterni | Attacchi eseguiti attraverso Internet o da reti esterne per scopi diversi (ad es. frode, spionaggio, movimenti militanti /sabotaggio, terrorismo informatico) utilizzando una gamma di tecniche (ad es. social engineering, tentativi di intrusione attraverso lo sfruttamento delle vulnerabilità, utilizzo di software malevoli) per ottenere il controllo dei sistemi ICT interni. Esecuzione di operazioni di pagamento fraudolente da parte di hacker attraverso l’accesso non autorizzato o l’elusione della sicurezza dei servizi di e-banking e di pagamento e/o attaccando e sfruttando le vulnerabilità di sicurezza dei sistemi di pagamento interni dell’ente. Esecuzione di operazioni in titoli fraudolente da parte di hacker attraverso l’accesso non autorizzato o l’elusione della sicurezza dei servizi di e-banking che forniscono anche l’accesso ai conti dei titoli dei clienti. | Diversi • • • • • • • | tipi di attacchi: Attacchi mirati e persistenti (APT, Advanced Persistent Threat) per ottenere il controllo dei sistemi interni o rubare informazioni (ad es. informazioni relative all’identità, informazioni su carte di credito). Software malevolo (ad es. ransomware) che crittografa i dati allo scopo di ricatto. Contagio dei sistemi ICT interni mediante software trojan per commettere azioni malevole sui sistemi in modo celato. Sfruttamento delle vulnerabilità di sistemi ICT e/o applicazioni (web), come SQL injection, per accedere al sistema ICT interno. Attacchi a servizi di e-banking o di pagamento, con l’obiettivo di effettuare operazioni non autorizzate. Creazione e invio di transazioni di pagamento fraudolente da parte dei sistemi di pagamento interni dell’ente (ad es. messaggi SWIFT fraudolenti). Attacchi pump & dump tramite cui gli hacker ottengono l’accesso ai conti titoli e-banking dei clienti ed effettuano acquisti o vendite fraudolenti per influenzare il prezzo di mercato e/o ottenere guadagni in base a posizioni in titoli |
| Categorie dei Rischi rischi ICT | relativi ICT (elenco non esaustivo10 ) | Descrizione del rischio Attacchi su connessioni di comunicazione e conversazioni di tutti i tipi o sistemi ICT con l’obiettivo di raccogliere informazioni e/o commettere frodi. | Esempi • | precedentemente stabilite. Intercettazione della trasmissione non protetta dei dati di autenticazione codificati in testo non crittografato. |
| Insufficiente sicurezza delle | interna ICT | Accesso non autorizzato dall’interno dell’ente a sistemi ICT critici per scopi diversi (ad es. frode, esecuzione e occultamento di attività commerciali illecite, furto di dati, attivismo/sabotaggio) mediante una varietà di tecniche (ad es. abusi e/o sfruttamento di privilegi, furto d’identità, ingegneria sociale, sfruttamento delle vulnerabilità dei sistemi ICT, utilizzo di software malevoli). Utilizzi non autorizzati dell’ICT dovuti a procedure e pratiche di gestione degli accessi inadeguate. Minacce alla sicurezza dovute alla mancanza di responsabilizzazione in materia di sicurezza per cui i dipendenti non comprendono, trascurano o non rispettano le politiche e le procedure di sicurezza ICT. | • • • • • • • • | Installazione di keylogger per rubare ID utente e password e ottenere l’accesso non autorizzato a dati riservati e/o commettere frodi. Decifrare/indovinare password deboli per ottenere diritti di accesso illegittimi o elevati. L’amministratore di sistema utilizza sistemi operativi o servizi di database (per modifiche dirette del database) per commettere frodi. Mancata disattivazione o eliminazione di account non necessari, ad esempio di membri del personale che hanno cambiato funzione e/o hanno lasciato l’ente, inclusi ospiti o fornitori che non hanno più bisogno di accesso, che dà luogo all’accesso non autorizzato ai sistemi ICT. Concessione di diritti e privilegi di accesso eccessivi, consentendo accessi non autorizzati e/o di celare attività illecite. Dipendenti raggirati e portati a fornire assistenza per un attacco (ad es. ingegneria sociale). Cattive pratiche relative alle credenziali: condivisione di password, utilizzo di password “facili” da indovinare, stessa password per diversi scopi, ecc. Archiviazione di dati riservati non crittografati su computer portatili (laptop) e dispositivi portatili di archiviazione dati (ad es. chiavette USB) che possono essere persi o rubati. |
| Categorie dei Rischi rischi ICT | relativi ICT (elenco non esaustivo10 ) | Descrizione del rischio Archiviazione o trasferimento non autorizzato di informazioni riservate all’esterno dell’ente. | Esempi • | Persone che ottengono indebitamente, comunicano deliberatamente o forniscono illegalmente informazioni riservate a persone non autorizzate o al pubblico. |
| Insufficiente sicurezza ICT | fisica | Uso improprio o furto di componenti ICT tramite accesso fisico che provochi danni, perdita di beni o dati o altre possibili minacce. Eventuali danni materiali alle componenti ICT, accidentali o volontari, causati da terrorismo, incidenti o manomissioni fatali/erronee da parte del personale dell’ente e/o di terzi (fornitori, personale della manutenzione). Protezione fisica insufficiente contro le catastrofi naturali risultante nella distruzione parziale o totale di sistemi ICT /centri dati a seguito di catastrofi naturali. | • • • • | Irruzione fisica in uffici e/o centri dati per appropriarsi indebitamente delle apparecchiature ICT (ad es. computer, computer portatili, soluzioni di archiviazione) e/o per copiare dati accedendo fisicamente ai sistemi ICT. Terrorismo (ad es. bombe terroristiche) o sabotaggio di beni ICT. Distruzione del centro dati in seguito a incendi, perdite d’acqua o altri fattori. Terremoti, calore estremo, tempeste di vento, forti tempeste di neve, inondazioni, incendi, fulmini. |
| Rischi relativi ai Controlli cambiamenti inadeguati ICT rispetto cambiamenti sistemi sviluppo | a dei ICT e di ICT | Incidenti causati da errori o vulnerabilità non rilevati a seguito di un cambiamento di, ad esempio, software, sistemi e dati ICT (ad es. effetti imprevisti di un cambiamento o di un cambiamento gestito in modo errato a causa di mancanza di test o di pratiche di gestione del cambiamento improprie). | • • • • • | Messa in produzione di software insufficientemente testati o modifiche di configurazione con effetti negativi imprevisti sui dati (ad es. corruzione, cancellazione) e/o sulle prestazioni del sistema ICT (ad es. guasto, degrado delle prestazioni). Cambiamenti incontrollati dei sistemi ICT o dei dati nell’ambiente di produzione. Messa in produzione di sistemi informatici e applicazioni Internet non sicuri, che creano opportunità per gli hacker di attaccare i servizi Internet forniti e/o di violare i sistemi ICT interni. Cambiamenti incontrollati del codice sorgente del software sviluppato internamente. Test insufficienti a causa dell’assenza di ambienti di |
| Categorie dei Rischi rischi ICT | relativi ICT (elenco non esaustivo10 ) | Descrizione del rischio | Esempi | prova adeguati. |
| Architettura inadeguata | ICT | Una debole gestione delle architetture ICT in fase di progettazione, costruzione e manutenzione dei sistemi ICT (ad es. software, hardware, dati) può portare, nel tempo, a sistemi ICT poco flessibili e complessi, difficili e costosi in termini di gestione, che non sono più sufficientemente allineati alle esigenze aziendali e ai requisiti di gestione dei rischi in vigore. | • • | Modifiche a sistemi, software e/o dati ICT gestite in modo inadeguato per un lungo periodo di tempo, che portano a sistemi e architetture ICT poco flessibili e complessi, eterogenei e difficili da gestire, causando impatti negativi sulle attività aziendali e sulla gestione del rischio (ad es. mancanza di flessibilità e agilità, incidenti e guasti ICT, costi operativi elevati, indebolimento di sicurezza e resilienza ICT, riduzione della qualità dei dati e capacità di segnalazione). Eccessiva personalizzazione ed estensione dei pacchetti software commerciali con software sviluppato internamente, che impedisce di utilizzare versioni successive e aggiornamenti del software commerciale, generando il rischio di non essere più supportati dal fornitore. |
| Gestione inadeguata ciclo delle | del di vita e patch | Mancanza di un adeguato inventario di tutti i beni ICT a supporto di (e unitamente alle) pratiche di gestione del ciclo di vita e della corretta gestione delle patch. Ciò porta a sistemi ICT con patch insufficienti (e quindi più vulnerabili) e obsoleti che potrebbero non supportare le esigenze aziendali e di gestione dei rischi. | • | Sistemi informatici non aggiornati e obsoleti che possono causare impatti negativi sulle attività aziendali e sulla gestione del rischio (ad es. mancanza di flessibilità e agilità, interruzioni ICT, indebolimento di sicurezza e resilienza ICT). |
| Rischi di Trattamento integrità dei gestione dati ICT inadeguati dati | o dei ICT | A causa di errori o guasti di sistema, di comunicazione e/o di applicazione o errori di estrazione, trasferimento e caricamento (ETL) di dati, questi potrebbero essere danneggiati o persi. | • • • | Errore del sistema IT nel trattamento dei batch, che genera saldi non corretti nei conti bancari dei clienti. Query eseguite in modo errato. Perdita di dati dovuta all’errore di replica (backup) dei dati. |
| Controlli validazione | di dei | Errori causati da mancanti o inefficaci controlli automatizzati di alimentazione e di accettazione dei | • | Formattazione/convalida insufficiente o invalida degli input dei dati nelle applicazioni e/o nelle |
| Categorie dei Rischi rischi ICT | relativi ICT (elenco non esaustivo10 ) | Descrizione del rischio | Esempi | |
| dati modo per | progettati in inadeguato i sistemi ICT | dati (ad es. dati utilizzati da terze parti), di trasferimento, di elaborazione e output di dati nei sistemi ICT (ad es. controlli di validità degli input, riconciliazione dei dati). | • • • | interfacce utente. Assenza di controlli di riconciliazione dei dati sugli output Assenza di controlli sui processi di estrazione dei dati eseguiti (ad es. query di database) che generano dati errati. Utilizzo di dati esterni difettosi. |
| Modifiche dati adeguatamente controllate sistemi produzione Architettura dati, modelli dizionari progettati gestiti inadeguato Rischi di Resilienza esternalizzazion insufficiente e ICT servizi altri gruppo Organizzazione inadeguata dell’esternalizzazi one | dei non nei ICT in di flussi di dati, di dati o di dati e/o in modo di di terzi o di enti del | Errori sui dati causati dalla mancanza di controlli sulla correttezza e sulla legittimità delle manipolazioni dei dati in produzione nei sistemi ICT. Le architetture, i modelli, i flussi o i dizionari di dati gestiti in modo inadeguato possono creare più versioni degli stessi dati nei sistemi ICT che non sono più coerenti a causa di modelli di dati o definizioni dei dati applicati in modo diverso e/o delle differenze nel processo di generazione e modifica dei dati sottostanti. La mancata disponibilità di servizi ICT critici esternalizzati, servizi di telecomunicazione e utenze. Perdita o corruzione di dati fondamentali/sensibili affidati al fornitore di servizi Grave degrado o interruzione dei servizi dovuti a processi di preparazione o di controllo inefficienti da parte del fornitore dei servizi esternalizzati. Un’inefficace organizzazione dell’esternalizzazione può provocare una mancanza di adeguate competenze e capacità per identificare, valutare, mitigare e | • • • • • • • | Sviluppatori o amministratori di database che accedono e modificano i dati direttamente nei sistemi ICT di produzione in modo non controllato, ad esempio nel caso di un incidente ICT. Esistenza di diversi database clienti per ogni prodotto o unità di business con diverse definizioni e campi di dati, che genera dati dei clienti inadeguati e difficili da confrontare e integrare a livello globale dell’ente o del gruppo finanziario. Mancata disponibilità dei servizi di base a causa di errori in sistemi o applicazioni ICT (esternalizzati) dei fornitori. Interruzione dei collegamenti di telecomunicazione. Interruzione dell’alimentazione elettrica. Procedure inadeguate di gestione degli incidenti, meccanismi di controllo contrattuali e garanzie integrate nell’accordo per la fornitura dei servizi che aumentano la dipendenza da terzi e fornitori. Controlli di gestione del cambiamento inadeguati relativi all’ambiente ICT del fornitore di servizi |
| Categorie dei Rischi rischi ICT | relativi ICT (elenco non esaustivo10 ) | Descrizione del rischio monitorare completamente i rischi ICT e può limitare le capacità operative degli enti. | Esempi | possono causare un degrado o un’interruzione del servizio. |
| Insufficiente sicurezza o altri gruppo | di terzi enti del | L’attacco informatico ai sistemi ICT dei fornitori di servizi, con un impatto diretto sui servizi esternalizzati o sui dati fondamentali/riservati archiviati presso il fornitore del servizio. Personale del fornitore di servizi che ha ottenuto l’accesso non autorizzato a dati fondamentali/sensibili memorizzati presso il fornitore di servizi. | • • | L’attacco informatico ai fornitori di servizi da parte di criminali o terroristi, come punto di accesso ai sistemi ICT degli enti o per accedere/distruggere i dati fondamentali o sensibili archiviati presso il fornitore dei servizi. Soggetti malintenzionati, operanti presso il fornitore di servizi, tentano di appropriarsi indebitamente e vendere dati sensibili. |