Test di resilienza e gestione degli incidenti: le due facce della stessa medaglia

Il rischio cyber oggi è in costante crescita, con un aumento degli attacchi informatici del +23% nel 2024 rispetto allo stesso periodo del 2023. Le aziende, soprattutto quelle del settore finanziario, sono esposte a rischi significativi che possono impattare su:

Costi di ripristino delle infrastrutture compromesse
Richieste di riscatto
Danni reputazionali che compromettono la fiducia di clienti e partner
Mancata operatività che può bloccare interi ecosistemi, coinvolgendo privati, aziende, fornitori e persino l’economia nazionale

DORA @ a glance

Test di resilienza e gestione degli incidenti

Il Regolamento DORA (Digital Operational Resilience Act), insieme alla Direttiva NIS2, stabilisce requisiti specifici per rafforzare la resilienza operativa digitale delle organizzazioni finanziarie.

Un incidente di sicurezza può accadere indipendentemente dall’efficienza dei nostri presidi difensivi. Ogni azienda dovrebbe avere la capacità tecnica e organizzativa per rilevare gli incidenti e soprattutto possedere internamente procedure, testate e funzionanti, da attivare in caso di emergenza. DORA pone l’accento sui cosiddetti Incidenti Gravi ovvero, quegli incidenti che interessano una o più Funzioni Critiche.

Principali obblighi previsti da DORA

1. Gestione degli incidenti ICT

Un Incidente grave deve essere comunicato all’autorità di vigilanza con le seguenti tempistiche:

Prima notifica entro 4 ore dalla classificazione dell’incidente come grave e notificato non oltre 24 ore dall’identificazione.
Report intermedio entro 72 ore, anche in assenza di aggiornamenti.
Report finale entro un mese.
Se i tempi non possono essere rispettati, è necessario notificare comunque entro le scadenze previste.

Riferimenti normativi: Art. 2, 3, 4, 5 del documento RTS-definitive-ESAs-sulla-segnalazione-di-incidenti-gravi.

Cosa fare?

Definire un piano di risposta agli incidenti, o integrare il piano esistente, recependo le indicazioni di DORA (art. 17)
- Classificazione degli incidenti (art. 18)
- Descrizione dell’incidente (art. 2, 3, 4, 5)
- Modo e forma della comunicazione all’autorità di controllo (art. 19)
- Modo e forma della comunicazione alle entità interessate (art. 14)
- Tempi delle notifiche (art. 6)
Testare il piano con attività di tipo Table Top Exercise
Verificare l’implementazione di sistemi per la rilevazione di incidenti (SOC, SIEM, Audit log, Intelligence)
Testare l’efficacia dei sistemi implementati tramite simulazioni di attacco: Test TLPT
Definire un piano di formazione al personale che integri le modalità per la segnalazione di anomalie

2. Test di resilienza operativa (Art. 25 e 26)

DORA richiede alle organizzazioni di testare regolarmente la resilienza dei propri sistemi e processi TIC (Tecnologie dell’Informazione e Comunicazione) attraverso:

Valutazione e scansione delle vulnerabilità
Penetration Test su sistemi critici
Analisi della sicurezza delle reti e del codice sorgente
Test di compatibilità, prestazione ed esami di sicurezza fisica

Test TLPT (Threat-Led Penetration Test)

Sono simulazioni di attacchi reali basati su scenari plausibili definiti tramite attività di Threat Intelligence.

Chi sono i soggetti interessati?
- Istituzioni finanziarie con impatto significativo sulla stabilità nazionale o europea.
Quando?
- Ogni 3 anni, con test obbligatori condotti da soggetti esterni qualificati o interni in assenza di conflitti di interesse.
- Dopo 3 cicli di test interni, è necessario rivolgersi a un fornitore esterno.
Dove?
- Su sistemi e applicazioni TIC che supportano funzioni critiche.
Chi lo deve effettuare?
- Soggetti indipendenti esterni, o anche interni, se l’ente sceglie di effettuare i test con personale interno, comunque ogni 3 test bisogna coinvolgere soggetti esterni.

La simulazione TLPT deve essere condotta in un ambiente di produzione reale, senza pre-allertare il personale operativo, fatta eccezione per un ristretto White Team responsabile del coordinamento.

Al termine della simulazione, è prevista una Purple Team Session, ovvero un confronto tra il team che ha condotto l’attacco (Red Team) e il team responsabile della difesa (Blue Team), per valutare le vulnerabilità emerse e definire le azioni correttive.

Framework di riferimento:
Il modello per i TLPT è il TIBER-IT, adottato da BCE, Banca d’Italia, IVASS e Consob, che prevede:

Fase preparatoria di massimo 6 mesi per definire gli obiettivi e gli ambiti di test.
Fase di testing (circa 12 settimane) per pianificare, condurre i test e raccogliere i risultati.
Fase di chiusura con la documentazione finale, la sessione Purple Team e la definizione delle azioni di remediation.

3. Gestione del rischio da terze parti

DORA sottolinea l’importanza di monitorare i fornitori esterni e i servizi terzi critici per evitare che una vulnerabilità nella supply chain comprometta l’operatività aziendale.

4. Condivisione delle informazioni

Le organizzazioni devono implementare sistemi che facilitino la raccolta, l’analisi e la condivisione delle informazioni sugli incidenti, favorendo una collaborazione tra istituzioni per mitigare i rischi futuri

Cosa bisogna fare?

Questo è il momento di agire sì, ma con razionalità. Il nostro consiglio?

Definire un piano di risposta agli incidenti
Integrare la classificazione degli incidenti
Pianificare test di resilienza operativa e simulazioni TLPT su base regolare.
Formare il personale per garantire la corretta segnalazione e gestione delle anomalie.
Implementare un sistema di monitoraggio continuo tramite SOC, SIEM e Cyber Threat Intelligence.

Non bisogna lasciare che la sensazione di urgenza guidi le decisioni strategiche, ma è necessario iniziare a costruire fin da oggi una roadmap che renda le aziende non solo conformi, ma davvero resilienti e competitive nel lungo periodo.

#CyberSecurity #DORA #NIS2 #ResilienzaOperativa #Compliance #RiskManagement #Strategia #SicurezzaInformatica #DigitalTransformation