L’IVASS ha diffuso una comunicazione al mercato in materia di resilienza operativa digitale e modelli avanzati di intelligenza artificiale, richiamando le imprese assicurative e riassicurative alla necessità di rafforzare rapidamente presidi di cybersicurezza e continuità operativa in un contesto tecnologico in forte evoluzione. L’Istituto evidenzia come i sistemi di AI di ultima generazione siano in grado di individuare vulnerabilità software e generare automaticamente le relative modalità di sfruttamento in tempi estremamente ridotti, riducendo il margine temporale tra scoperta e attacco e aumentando il rischio di cyber incidenti efficaci.
La comunicazione sottolinea che le nuove tecnologie di AI possono accentuare l’asimmetria tra attaccanti e difensori, a sfavore di questi ultimi, rendendo indispensabile un rapido adattamento da parte delle imprese. In questo scenario, la resilienza operativa digitale non è più solo un tema di conformità, ma una condizione essenziale per garantire continuità aziendale e affidabilità dei servizi assicurativi e finanziari. IVASS richiama espressamente il quadro del Digital Operational Resilience Act (DORA), ribadendo che i suoi requisiti mantengono piena valenza anche rispetto ai rischi emergenti legati all’AI.
L’Istituto indica alcune aree prioritarie di intervento. Sul piano della governance, gli organi amministrativi devono rivedere RAF e strategia di rischio per includere in modo coerente i rischi derivanti dalle tecnologie di frontiera, allineando decisioni su investimenti ICT e allocazione delle risorse, rafforzando i sistemi di governo e controllo e la chiara attribuzione di responsabilità, inclusa la gestione e sicurezza dei dati. Viene richiesto inoltre un presidio più rigoroso sui fornitori di servizi informatici, tramite requisiti contrattuali adeguati, monitoraggio della sicurezza, gestione degli aggiornamenti e criteri stringenti di selezione, oltre alla presenza in Consiglio di competenze tecnologiche e di AI con budget dedicato alla formazione continua.
Sul versante tecnico, IVASS invita a consolidare l’igiene informatica e la difesa in profondità, con autenticazione e autorizzazione rigorose, gestione granulare degli accessi, monitoraggio costante delle attività e segmentazione di reti e ambienti operativi per limitare la propagazione delle compromissioni. Viene richiesto un inventario completo e aggiornato delle risorse informatiche, utile sia per gestire le vulnerabilità sia per mappare la superficie di attacco, tenendo conto di esposizione diretta a internet e uso di infrastrutture cloud, e spingendo sulla modernizzazione delle infrastrutture e sulla sostituzione di tecnologie “legacy”. In tema di vulnerabilità e patch, l’Istituto sollecita tecniche di scansione più evolute – anche basate su AI – e processi più tempestivi di remediation, con priorità ai software open source e ai sistemi accessibili dall’esterno, in particolare per le vulnerabilità zero‑day.
La comunicazione insiste inoltre sul rafforzamento del monitoraggio e delle difese, chiedendo sistemi più robusti per controllare applicazioni, accessi e traffico di rete, inclusi i flussi da e verso fornitori terzi, eventualmente integrati con strumenti di AI capaci di analizzare grandi volumi di dati e individuare anomalie in tempo reale, soprattutto sulle risorse critiche. Viene richiesto che tali sistemi siano sincronizzati con l’inventario delle risorse per assicurare un monitoraggio coerente con la loro classificazione di criticità. In ambito test, IVASS chiede di intensificare le prove di resilienza digitale, di risposta e recupero, e di gestione delle crisi, con scenari realistici e via via più complessi, in linea con DORA, in un contesto in cui la probabilità di incidenti ICT è considerata in aumento.
Un passaggio specifico riguarda il crescente ricorso a fornitori esterni e le vulnerabilità di catene di fornitura complesse e concentrate, che possono trasformare criticità locali in problemi sistemici, con l’invito a considerare che anche tali fornitori condividono responsabilità sulla salvaguardia e continuità dei sistemi. Sul piano operativo e di vigilanza, IVASS si attende che il Consiglio di amministrazione, in seduta congiunta con il Collegio sindacale, esamini la comunicazione e avvii la redazione di una Relazione che, per ciascuna area indicata, descriva livello di esposizione, adeguatezza dei presidi, carenze, priorità di intervento e un piano di lavoro con azioni, tempi, investimenti e modalità di monitoraggio da parte del CdA, proporzionato al profilo di rischio e alla complessità dell’impresa. Ogni impresa dovrà individuare un punto di responsabilità aziendale (ad esempio la funzione di controllo dei rischi ICT di secondo livello) e trasmettere Relazione e piano all’Istituto entro il 31 dicembre 2026.
© Riproduzione riservata