Le misure includono una combinazione di soluzioni tradizionali ed emergenti basate sul principio del privilegio minimo
In uno scenario in cui il furto di credenziali e la complessità delle frodi stanno aumentando in modo esponenziale, la protezione dei dati e delle identità digitali è diventata una questione critica per il settore finanziario. Secondo un rapporto del FMI, banche, compagnie assicurative e gestori patrimoniali sono stati oggetto di oltre 20 attacchi informatici negli ultimi decenni, con perdite per circa 12 miliardi di dollari.
Le pratiche sempre più sofisticate di phishing, ingegneria sociale e compromissione delle credenziali stanno spingendo le istituzioni a investire costantemente in ulteriori livelli di sicurezza. Un recente studio della Federazione Brasiliana delle Banche (Febraban) ha mappato le tecnologie emergenti più rilevanti per l'identità digitale e la sicurezza per il settore finanziario, come la biometria, il Privacy-Preserving Computation (PPC) e la sicurezza informatica post-quantistica.
In questo contesto, le istituzioni si stanno concentrando anche sull'efficienza. "Strumenti di sicurezza robusti richiedono un elevato volume di elaborazione, quindi è necessario pensare a soluzioni che consentano operazioni sicure senza compromettere l'usabilità", afferma Armando Ferraz, specialista del settore dei pagamenti presso Kryptus, multinazionale brasiliana di crittografia e sicurezza informatica.
Ferraz sottolinea i progressi nel settore della biometria, che si è evoluto dalla semplice verifica delle impronte digitali a una soluzione di riconoscimento facciale, dell'iride e persino comportamentale. "Poiché i dati biometrici sono registrazioni univoche, la tecnologia elimina la necessità di password e migliora l'esperienza utente, promuovendo maggiore sicurezza e praticità", afferma.
Nonostante gli investimenti in tecnologie emergenti siano essenziali per aumentare le difese perimetrali e il controllo degli accessi, molte organizzazioni trascurano ancora di limitare l'uso dei dati gestiti internamente, osserva l'esperto. Spiega che una sicurezza focalizzata esclusivamente sulle barriere esterne è insufficiente, soprattutto nel caso delle credenziali amministrative. "È necessario limitare la capacità di consumo di dati di ciascuna credenziale e adottare una visione orientata ai dati, che deve essere combinata con la protezione perimetrale. In questo modo, anche in caso di compromissione dell'accesso, il potenziale di danno sarà inferiore, poiché la portata dei dati sarà limitata."
L'esperto sottolinea inoltre l'ampia area di esposizione come un rischio elevato per la sicurezza delle credenziali. "Molte aziende terze finiscono per avere accesso alle informazioni e il livello di sicurezza degli utenti è ancora basso, il che li rende vulnerabili alle truffe. Pertanto, le credenziali devono essere limitate in base alle reali esigenze dell'utente amministratore. Una credenziale con privilegi illimitati è uno dei principali vettori di attacco, incluso il ransomware."
Basandosi sul principio del privilegio minimo, l'anonimizzazione dei dati può essere eseguita utilizzando un software in grado di classificare e proteggere le credenziali e i livelli di accesso di ciascun utente. Combinati in un modulo di sicurezza hardware (HSM), i dati vengono classificati, crittografati e protetti a tutti i livelli. Questo approccio, secondo Ferraz, non solo garantisce che i dati sensibili rimangano inaccessibili agli utenti non autorizzati, ma garantisce anche che la crittografia utilizzata per proteggerli sia gestita in modo sicuro, riducendo al minimo il rischio di compromissione.
Le misure interne di protezione dei dati devono inoltre essere guidate dalla conformità ai requisiti normativi, come gli standard PSD2 e PCI DSS, che determinano l'uso di meccanismi avanzati di autenticazione e crittografia; e ISO/IEC 27701, che fornisce linee guida per la gestione delle informazioni sulla privacy, in linea con la legge generale sulla protezione dei dati (LGPD).
La sicurezza informatica post-quantistica diventerà essenziale anche per la protezione dei dati, con l'aumento della diffusione dei computer quantistici che renderà vulnerabili i metodi crittografici tradizionali. "Abbiamo recentemente ottenuto la certificazione NIST CAVP, che convalida la nostra capacità di resistere agli attacchi dei computer post-quantistici per l'HSM kNET, secondo quanto stabilito dal National Institute of Standards and Technology. Ciò significa che abbiamo adottato un approccio ibrido, combinando crittografia tradizionale e post-quantistica per garantire una protezione continua e a lungo termine", aggiunge Ferraz.
Altre tecnologie emergenti, come PPC, che elabora e analizza i dati preservando la riservatezza delle informazioni, e la crittografia omomorfica, che consente di eseguire operazioni sui dati crittografati senza doverli prima decrittografare, saranno altrettanto importanti di fronte alle nuove sfide di sicurezza informatica per banche e società di pagamento.
"Il settore finanziario deve adottare e promuovere un approccio proattivo alla sicurezza informatica, combinando strumenti nuovi e tradizionali, ma concentrandosi principalmente sulle persone e sui processi. Una sicurezza efficace e duratura dipende da un cambio di mentalità e deve partire dall'interno delle istituzioni", conclude.
Segui Kryptus su Google News Fonte: RTM Il mercato finanziario è più esposto a Per saperne di più
Immagine: RTM | Fonte: RTM Un dispositivo che crea un ambiente inaccessibile e a prova di manomissione Per saperne di più