BCE concede alle banche dell'Eurozona quattro mesi per contrastare i rischi dell'IA

La Banca centrale europea (BCE) ha concesso alle banche dell'Eurozona quattro mesi per elaborare piani volti a contrastare le minacce informatiche abilitate dall'intelligenza artificiale (IA) che potrebbero minare la fiducia nel sistema finanziario e interrompere le reti di pagamento.

La direttiva, emessa martedì, riflette la crescente preoccupazione tra i regolatori europei per le crescenti capacità in ambito cyber dei modelli avanzati di IA.

Secondo la BCE, gli sviluppi dell'IA hanno raggiunto una fase in cui alcuni modelli sono diventati così potenti che il loro accesso è stato limitato. La banca centrale ha osservato che tale restrizione attualmente non riguarda le banche dell'Eurozona.

La BCE evidenzia i rischi per i sistemi ICT delle banche

In una lettera indirizzata agli amministratori delegati delle banche, la BCE ha avvertito che i progressi dell'IA potrebbero avere conseguenze significative per la sicurezza e la resilienza dell'infrastruttura tecnologica bancaria.

"Questi sviluppi hanno implicazioni potenzialmente profonde per la riservatezza, l'integrità e la resilienza dei sistemi informativi e di comunicazione delle banche", ha detto la BCE nella lettera.

La banca centrale ha ordinato agli istituti di dare priorità alla protezione dei sistemi esposti a Internet e di altri asset tecnologici più vulnerabili ai rischi informatici.

Ha inoltre chiesto alle banche di rafforzare la sicurezza del software di terze parti e dei componenti open-source, accelerare la correzione delle vulnerabilità identificate e migliorare le capacità di monitoraggio.

Oltre alle misure di sicurezza immediate, la BCE ha sollecitato le banche a modernizzare le infrastrutture tecnologiche obsolete e a migliorare l'igiene informatica complessiva.

Il supervisore bancario ha inoltre invitato gli istituti a rafforzare i quadri di gestione delle crisi, i piani di ripristino e i meccanismi di condivisione delle informazioni per migliorare la prontezza in caso di potenziali incidenti informatici.

Le banche hanno tempo fino al 31 ottobre per presentare i loro piani d'azione per la cybersecurity alla BCE.

Per aiutare le istituzioni a concentrarsi su queste priorità, la banca centrale ha dichiarato di aver rinviato un'indagine separata sulle tecnologie dell'informazione.

Ha inoltre indicato che potrebbe adeguare le ispezioni pianificate e altre attività di vigilanza per liberare risorse a favore delle nuove iniziative sulla cybersecurity.

L'ESRB avverte dei rischi sistemici per la stabilità finanziaria

Parallelamente alla comunicazione della BCE, il European Systemic Risk Board (ESRB) ha pubblicato un avviso che evidenzia i più ampi rischi per la stabilità finanziaria posti da incidenti informatici su larga scala.

L'ESRB ha affermato che diffuse interruzioni informatiche potrebbero indebolire la fiducia del pubblico nelle istituzioni finanziarie e, nei casi più gravi, scatenare corse agli sportelli verso società o persino paesi percepiti come meno resilienti dal punto di vista cyber.

"L'ESRB considera questi sviluppi una fonte di rischi sistemici per il sistema finanziario", ha detto l'organismo.

Gli incidenti informatici potrebbero propagarsi nel settore finanziario

Per illustrare l'impatto potenziale, l'ESRB ha delineato diversi possibili scenari che coinvolgono minacce informatiche abilitate dall'IA.

Questi andavano da un graduale deterioramento della fiducia nelle banche più piccole a campagne di spionaggio sostenute da stati e ad attacchi coordinati mirati ai sistemi di pagamento, di compensazione e di regolamento.

Il board ha inoltre avvertito che campagne di disinformazione potrebbero amplificare gli effetti di tali incidenti aumentando l'incertezza e minando la fiducia pubblica.

L'ESRB ha inoltre osservato che gli incidenti informatici potrebbero propagarsi rapidamente tramite fornitori tecnologici condivisi e software di uso comune nel settore finanziario, aumentando il rischio di interruzioni su vasta scala.

L'ultima direttiva della BCE e l'avvertimento dell'ESRB sottolineano l'attenzione crescente dei regolatori sul rafforzamento della resilienza informatica, mentre i progressi dell'IA continuano a rimodellare il panorama della cybersecurity.

Con le banche ora alle prese con la scadenza del 31 ottobre, le autorità europee cercano di garantire che le istituzioni finanziarie siano più preparate a rispondere a minacce informatiche sempre più sofisticate, tutelando al contempo la fiducia nel sistema finanziario.