Autore: Mario Trinchera, coordinatore tecnico del CERTFin
Mai come in questo momento storico l’Unione Europea e i singoli Stati Membri impiegano risorse nell’aggiornamento o nell’introduzione di nuove norme (si pensi al CyberSecurityAct) e raccomandazioni in grado di rafforzare la protezione di dati, reti e informazioni, non solo attraverso nuove misure tecnologiche e di processo, ma anche attraverso l’incoraggiamento a costruire un vero e proprio governo nazionale di cybersecurity, con ruoli, responsabilità e architetture ben definite.
In questo contesto il mondo finanziario, da sempre tra i settori maggiormente presi di mira, segue con pari attenzione i cambiamenti tecnologici e di business, da un lato, e l’evoluzione del panorama delle minacce, dall’altro, per garantire un’offerta competitiva rispetto ad altri player, essere al passo con i tempi in relazione alle esigenze della clientela e mantenere livelli di sicurezza adeguati in termini di protezione non solo del denaro ma anche delle informazioni.
Nella complessa valutazione dei rischi cyber, guardare però soltanto al proprio perimetro aziendale non è più sufficiente: la sicurezza nel mondo cibernetico non ha confini, per cui il ridisegno degli scenari di rischio deve tenere conto dei nuovi attori dell’ecosistema digitale con cui ogni banca interagisce (come i provider di servizi e facility), spesso collocati anche al di fuori dei confini nazionali. La gestione del cosiddetto «third party risk» è infatti uno dei temi strategici su cui si potrà concentrare l’attenzione del mercato e dei regolatori nei prossimi mesi, con l’obiettivo di trovare modalità comuni di mitigazione e mantenere elevati i livelli di resilienza cyber dell’intero sistema.
Tuttavia, il vero fattore differenziante nella lotta al crimine informatico è rappresentato dalla capacità del settore di agire in maniera strutturata e coordinata, facendo tesoro non dell’esperienza limitata del singolo ma piuttosto dalla continua condivisione delle esperienze da parte di tutti. Su questa base, il 1° gennaio 2017, nasceva il CERTFin – CERT Finanziario Italiano: un’iniziativa cooperativa pubblico-privata finalizzata a innalzare la capacità di gestione dei rischi cyber degli operatori bancari e finanziari e la cyber resilience dell’intero sistema finanziario italiano.
Il CERTFin è co-governato dalla Banca d’Italia e dall’ ABI che, attraverso un Comitato Strategico e un Comitato Direttivo ne indirizzano le attività. La Direzione Operativa è invece responsabile delle attività operative del CERT Finanziario e della gestione segretariale dei Comitati e amministrativa delle partecipazioni. Sotto il profilo operativo, è interessante notare che alcuni membri del CERT Finanziario contribuiscono con proprie risorse al funzionamento dello stesso, partecipando ad un Team Virtuale, secondo un modello organizzativo decentrato, denominato “campus”.
La partecipazione al CERTFin è aperta, su base volontaria, a tutti gli operatori del settore bancario e finanziario nazionale, come: prestatori di servizi di pagamento, intermediari bancari e finanziari, imprese di assicurazione, gestori di infrastrutture di mercato, centri servizi e provider di servizi tecnologici rilevanti per il settore.
Il CERTFin ha diversi filoni operativi di cui è utile fare rapidamente una panoramica:
FINANCIAL INFO SHARING AND ANALYSIS CENTER (FinISAC)
È una della attività core, finalizzata a facilitare lo scambio di informazioni in maniera tempestiva circa potenziali cyber-threatsper il settore. Il CERTFin attinge da diverse fonti e riceve un’enorme mole di informazioni riguardanti attacchi cyber perpetrati in ogni angolo del mondo. Queste informazioni vengono filtrate in modo da selezionare solo gli “IOC” di interesse per il settore finanziario italiano e che sono indicativi di attacchi, magari anche avvenuti in un settore diverso, ma replicabili in quello finanziario.
La condivisione di queste informazioni avviene attraverso una open platform denominata MISP (malware info-sharingplatform) alla quale gli aderenti al CERTFin sono connessi e da cui riescono ad importare automaticamente tali informazioni nei loro rispettivi sistemi di difesa perimetrale.
Con dinamiche simili vengono condivisi anche codici IBAN coinvolti in attività fraudolente, azione questa che permette ai singoli istituti di bloccare tempestivamente transazioni da/verso i conti correnti associati.
Nell’arco di quasi tre anni, ovvero il periodo di operatività del CERTFin, sono stati analizzati oltre 1000 fenomeni, sono state pubblicate circa 1300 segnalazioni e sono stati raccolti circa di 5 milioni di IoC specifici per il settore finanziario.
CYBER KNOWLEDGE AND SECURITY AWARENESS
Si tratta di un vero e proprio osservatorio di ricerca che approfondisce diverse tematiche, non necessariamente attinenti al solo mondo cyber. Sebbene tra le attività principali, ampio spazio sia dedicato all’analisi di minacce informatiche di ogni tipo e al monitoraggio continuo sull’evoluzione dei modelli di attacco, va anche sottolineato che i meeting periodici dell’osservatorio sono occasione di confronto su nuove minacce, su nuovi modelli di attacco, su nuove soluzioni tecnologiche ma anche su interpretazioni normative di cui il settore bancario deve confrontarsi costantemente.
Su richiesta dei partecipanti, vi è la possibilità di approfondire tematiche che indirettamente risultano essere connesse con i filoni di ricerca e spesso sono trattati da ospiti provenienti da settori diversi: ad esempio, recentemente il Poligrafico ha illustrato i dettagli e i requisiti di sicurezza del progetto sulla nuova Carta di Identità Elettronica, l’unità di crisi dell’Esercito che ha descritto i propri processi di Crisis Communication Management, fino ad un imminente coinvolgimento di un’azienda del settore del lusso che tratterà tempi relativi alla gestione delle terze parti.
CENTRALE OPERATIVA DI GESTIONE DELLE EMERGENZE CYBER
Può capitare che un incidente di sicurezza colpisca un membro della Constituency; in questi casi il CERTFin fornisce supporto all’organizzazione colpita e facilita il processo di resolution, collabora con i singoli presidi di sicurezza, condivide le lesson learned al fine di prevenire ulteriori incidenti in altre organizzazioni. Ovviamente funge da punto di coordinamento centralizzato quando l’incidente è sistemico, cioè coinvolge più soggetti.
THREAT INTELLIGENCE AND LANDSCAPE SCENARIO
Il CERTFin, attraverso una propria piattaforma di Threat Intelligence, mira a prevenire l’insorgere di nuove minacce analizzando fonti aperte e fonti chiuse, nonché attingendo alla propria knowledge base. Il programma GTI (GenericThreat Intelligence) è finalizzato a produrre un cyber-threat scenario per il settore finanziario italiano, chiamato anche GenericThreat Scenario e che sarà pubblicato dal CERTFin con frequenza semestrale a partire dalla seconda metà del 2019. Lo scenario si concentra sull’identificazione delle minacce informatiche nazionali e settoriali e la sua realizzazione si basa sulla correlazione tra eventi malevoli, IoC, vulnerabilità e modelli di attacco.
AWARENESS
La protezione del cliente finale è considerata un punto chiave. Per questo motivo il CERTFin organizza periodicamente (con il supporto dell’ ABI, della Banca d’Italia e della Polizia Postale) delle campagne di awareness rivolte al pubblico e specificatamente pensate per aumentare la consapevolezza di quanti utilizzano strumenti tecnologici potenzialmente esposti al rischio cyber e promuovere la cultura della security. Le campagne vengono veicolate attraverso noti siti web ma anche acquistando spazi dedicati su quotidiani nazionali di primaria rilevanza.
Quest’anno la campagna, presentata al pubblico nel mese di maggio, durante il convegno Banche&Sicurezza, è stata denominata “OcchioAlClic” (http://www. certfin.it/occhio-al-clic.html) e ha l’obiettivo di fornire suggerimenti e consigli su come proteggersi dalle frodi ed utilizzare al meglio gli strumenti digitali.
ATTIVITA’ INTERNAZIONALI
Infine, il CERTFin è fortemente coinvolto in numerose attività internazionali. Partecipa, infatti, stabilmente a 11 tavoli di lavoro (Europol, FS-ISAC, G7-CEG, EBFCSWG, Swift, etc…) ed attualmente partecipa attivamente a 3 progetti finanziati dalla Commissione Europea.
I progetti in questione trattano argomenti estremamente diversi, ed in particolare:
REDFin – Mira alla definizione di metodologie e modelli operativi per l’identificazione di scenari di minacce cyber e per la preparazione ed esecuzione di testdi tipo TableTop e RedTeaming. Grazie alla consolidata collaborazione tra CERTFin e Banca d’Italia, i deliverable prodotti durante l’esecuzione del progetto ambiscono a contribuire alla definizione del nascente testing framework nazionale in ambito finanziario (TIBER IT).
CYBERSEC4EU – Il progetto, tra le cui finalità è prevista la realizzazione di un network europeo di centri di competenza cyber, non solo finanziari, coinvolge il CERTFin per la produzione di un threat assessment sull’Open Banking. Il
compito sarà quello di affrontare le criticità di sicurezza associati all’entrata in vigore della PSD2, focalizzando l’attenzione sugli elementi tecnici e funzionali che sono collegati al paradigma Open API.
eIB – Il regolamento eIDAS (identificazione, autenticazione e firma digitale) fornisce una base normativa a livello UE per i servizi fiduciari e i mezzi di identificazione elettronica degli Stati membri.
Il progetto, sfruttando le peculiarità del Regolamento, mira a realizzare un processo di riconoscimento da remoto tra paesi membri che consenta agli utenti di interagire attraverso una piattaforma e-marketplace sviluppata ad hoc. Il CERTFin contribuirà a definire il processo nel settore bancario, svolgendo analisi tecniche e funzionali soprattutto in merito alle problematiche di sicurezza.
Nonostante le numerose e rilevanti attività già in corso, sono in programma ulteriori azioni per migliorare i servizi esistenti e crearne di nuovi, come ad esempio potenziare i flussi informativi verso la MISP, estendere le campagne di awareness anche ai canali televisivi, realizzare servizi dedicati al settore assicurativo.
Tutto ciò fa del CERTFin un caso praticamente isolato in Europa (esiste un Nordic Financial CERT ma con un set di attività molto più limitato) ed uno dei pochissimi al mondo.
