Il caso
Allarme Bce: banche vulnerabili per la dipendenza da cloud extra Ue, i rischi per i clienti
Interruzione dell’operatività e timori per i dati degli utenti tra le criticità sollevate dalla Vigilanza Bce in merito all’eccessivo aumento dell’esternalizzazione dei servizi informatici da parte delle banche europee
di Antonio Cardarelli 4 Giugno 2024 11:39
L’eccessiva dipendenza delle banche da servizi di cloud gestiti da società esterne, quasi sempre non europee, mette a rischio i servizi e la sicurezza dei dati. Per questa ragione la Banca Centrale Europea ha avviato una consultazione pubblica sulle nuove linee guida riguardanti l’esternalizzazione dei servizi informatici delle banche. Il faro della Bce si è acceso sull’eccessivo ricorso all’esternalizzazione di questi servizi, con l’obiettivo di mettere a punto regole in grado di elevare lo standard di servizio delle banche.
Nel dettaglio, secondo la Vigilanza bancaria della Bce gli istituti di credito stanno facendo un uso sempre maggiore di servizi cloud forniti da enti terzi. Come si legge nella nota, “la dipendenza da terze parti può anche esporre le banche a rischi, ad esempio su riguardo alla sicurezza di Information Technology e possibili interruzioni di attività”. Per esempio, sottolineano da Francoforte, una banca si troverebbe nell’impossibilità di sostituire un fornitore di servizi cloud in caso di fallimento di quest’ultimo, con tutte le conseguenze per i clienti.
Un altro punto messo in luce dalla Vigilanza Bce è la grande concentrazione del mercato dei servizi cloud. Ciò induce le banche a scegliere spesso servizi che sono localizzati al di fuori dell’Unione europea, come accade per esempio per i servizi forniti da Amazon, Microsoft e Google. Inoltre, la Bce "ha individuato diverse vulnerabilità negli accordi di esternalizzazione delle banche sull'information technology nel corso del processo di revisione e valutazione di vigilanza del 2023. Ne risulta che la gestione del risk management rispetto a terze parti, inclusi i servizi di outsourcing, resta in alto nella lista delle priorità di vigilanza fissate per il periodo 2024-2026".
RICEVI GRATIS LE NOTIZIE IN ANTEPRIMA
A partire da gennaio 2025 le banche europee saranno soggette al Digital Operational Resilience Act (Dora) che prevede nuovi requisiti per i fornitori di servizi informatici strategici. Tuttavia, la Bce non avrà il potere di imporre interventi ma potrà chiedere informazioni e formulare raccomandazioni. Nelle scorse settimane la Bce aveva lanciato un avviso sui rischi legati all’outsourcing di servizi informatici strategici, sottolineando che almeno il 10% dei contratti in essere non è conforme alle normative.
INTERRUZIONE DELLE ATTIVITÀ
Nel dettaglio, secondo la Vigilanza bancaria della Bce gli istituti di credito stanno facendo un uso sempre maggiore di servizi cloud forniti da enti terzi. Come si legge nella nota, “la dipendenza da terze parti può anche esporre le banche a rischi, ad esempio su riguardo alla sicurezza di Information Technology e possibili interruzioni di attività”. Per esempio, sottolineano da Francoforte, una banca si troverebbe nell’impossibilità di sostituire un fornitore di servizi cloud in caso di fallimento di quest’ultimo, con tutte le conseguenze per i clienti.
CONCENTRAZIONE DEL MERCATO CLOUD
Un altro punto messo in luce dalla Vigilanza Bce è la grande concentrazione del mercato dei servizi cloud. Ciò induce le banche a scegliere spesso servizi che sono localizzati al di fuori dell’Unione europea, come accade per esempio per i servizi forniti da Amazon, Microsoft e Google. Inoltre, la Bce "ha individuato diverse vulnerabilità negli accordi di esternalizzazione delle banche sull'information technology nel corso del processo di revisione e valutazione di vigilanza del 2023. Ne risulta che la gestione del risk management rispetto a terze parti, inclusi i servizi di outsourcing, resta in alto nella lista delle priorità di vigilanza fissate per il periodo 2024-2026".
RICEVI GRATIS LE NOTIZIE IN ANTEPRIMANUOVI REQUISITI IN ARRIVO
A partire da gennaio 2025 le banche europee saranno soggette al Digital Operational Resilience Act (Dora) che prevede nuovi requisiti per i fornitori di servizi informatici strategici. Tuttavia, la Bce non avrà il potere di imporre interventi ma potrà chiedere informazioni e formulare raccomandazioni. Nelle scorse settimane la Bce aveva lanciato un avviso sui rischi legati all’outsourcing di servizi informatici strategici, sottolineando che almeno il 10% dei contratti in essere non è conforme alle normative.
