Business Continuity

Il 15 luglio 2010 il Copasir, Comitato Parlamentare per la sicurezza della Repubblica, ha reso noto la sua "Relazione sulla cyber sicurezza e la difesa delle infrastrutture critiche". Il rapporto dedica una sezione ai temi della sicurezza, continuità operativa e Business Continuity in ambito bancario, sezione di seguito riprodotta.

5.1. La protezione delle infrastrutture critiche in Italia

(…)

In linea con quanto indicato dalla Banca Centrale Europea, nel 2007 la Banca d’Italia ha emanato le disposizioni per la continuità operativa per gli operatori finanziari, definiti «processi a rilevanza sistemica», anche in caso di attacco informatico. I nuovi requisiti sono stati applicati con gradualità con l’obiettivo di raggiungere la completa conformità entro 5 anni.

I processi ad alta criticità nel sistema finanziario italiano, se intaccati o manipolati, possono provocare blocchi nei sistemi di pagamento e nelle procedure per l’accesso ai mercati finanziari, sino a colpire l’operatività dell’intera piazza finanziaria nazionale. Si tratta di un complesso strutturato di attività finalizzate all’erogazione dei servizi connessi con i sistemi di regolamento interbancario, compensazione, garanzia e liquidazione degli strumenti finanziari, servizi per l’accesso ai mercati, fino alla erogazione di denaro agli utenti.

Le disposizioni della Banca d’Italia richiedono che le banche o gli istituti finanziari nominino un responsabile per la gestione dei piani di continuità operativa e definiscano gli scenari di rischio rilevanti per la continuità operativa dei processi a rilevanza sistemica, inclusi quelli di attacco informatico, che devono essere documentati e costantemente aggiornati. Le stesse disposizioni richiedono che gli istituti finanziari si dotino di siti di recovery per la gestione di questi processi di rilevanza sistemica, situati a congrua distanza dai siti primari in modo da assicurare un elevato grado di indipendenza tra i due insediamenti. Sono stati anche previsti dei tempi di ripristino in caso di incidente contenuti nelle quattro ore, in modo da ridurre al minimo la perdita di informazioni. Si richiede infine che gli istituti finanziari coinvolti svolgano delle verifiche con frequenza almeno annuale e che partecipino attivamente ai test di sistema promossi dalle autorità, dai mercati e dalle principali infrastrutture finanziarie.