Quando acquisti tramite i link sul nostro sito potremmo guadagnare una commissione di affiliazione, senza alcun costo aggiuntivo per l’utente.
Banche italiane e crittografia: chi controlla davvero le chiavi? Scopriamo insieme tutti i dettagli in questo nostro articolo dedicato
Si immagini una banca italiana che invia a un avvocato esterno un fascicolo relativo a un finanziamento aziendale. L’allegato contiene bilanci, documenti d’identità degli amministratori e corrispondenza commercialmente sensibile. Cifrare il messaggio lo protegge da determinate forme di intercettazione. Non dimostra però, di per sé, che il destinatario sia autorizzato, che il mittente sia autentico o che l’accesso possa essere revocato al termine del rapporto.
Le conseguenze possono protrarsi oltre la trasmissione. Un file cifrato inviato alla persona sbagliata può esporre le informazioni finanziarie di un cliente, se il destinatario non previsto riesce ad aprirlo. Un accesso lasciato attivo dopo la conclusione di un incarico crea rischi di divulgazione. Se i registri non permettono di stabilire chi abbia ottenuto le informazioni, la banca può incontrare difficoltà nel contenere l’incidente o nel ricostruirne la portata.
Che cosa richiede davvero la normativa
Il regolamento sulla resilienza operativa digitale, noto come DORA, si applica dal 17 gennaio 2025. Le sue disposizioni collocano la crittografia in un quadro più ampio di gestione del rischio tecnologico. L’articolo 9 riguarda la disponibilità, l’autenticità, l’integrità e la riservatezza dei dati. Richiede inoltre un’autenticazione forte, la protezione delle chiavi crittografiche e misure di cifratura basate sulla classificazione dei dati approvata e sulla valutazione del rischio informatico.
Acquistare una soluzione di cifratura non basta a dimostrare la conformità. Una banca può dover rispondere alle autorità di vigilanza anche quando la cifratura ha funzionato. «Devono rispondere alle proprie autorità di vigilanza, dimostrando una trasparenza ancora maggiore», ha dichiarato Derek Christiansen, specialista di sicurezza informatica presso Echoworx, riferendosi agli istituti finanziari nel webinar 2026 Encryption Trends. La sua osservazione ribadisce un’esigenza concreta: conservare evidenze dell’efficacia di controlli proporzionati.
L’esternalizzazione non elimina questa responsabilità. Ai sensi dell’articolo 28, le entità finanziarie che utilizzano servizi informatici di terzi restano pienamente responsabili dell’adempimento dei propri obblighi. Per gli istituti italiani, le rassicurazioni di un fornitore vanno quindi verificate alla luce dei diritti contrattuali, dell’architettura tecnica e delle evidenze operative.
Il controllo delle chiavi è una questione concreta
La cifratura trasforma informazioni leggibili in una forma che richiede la chiave crittografica appropriata per recuperarle. L’algoritmo conta, ma conta anche l’intero sistema che lo circonda: come le chiavi vengono generate, conservate, utilizzate, sostituite e infine distrutte. Una serratura robusta rassicura poco se nessuno sa spiegare chi possieda una chiave funzionante.
Il controllo delle chiavi da parte del cliente può aiutare una banca a definire più chiaramente chi abbia autorità sugli accessi. Va però valutato nella sua attuazione concreta, senza fermarsi a un’etichetta. Il cliente controlla soltanto le autorizzazioni o anche il materiale crittografico? Il servizio può decifrare le informazioni durante le normali operazioni? Quali amministratori possono modificare le regole e le loro azioni sono registrate in modo indipendente?
La localizzazione è un tema distinto. Conservare i dati in Europa non ne garantisce, da solo, il controllo esclusivo. La banca deve comunque comprendere la struttura societaria del fornitore, i subfornitori, le modalità di assistenza e l’esposizione giuridica pertinente. Custodia delle chiavi, localizzazione dei dati e giurisdizione rispondono a domande diverse.
Anche la revoca dell’accesso ha dei limiti. Disabilitare una chiave può impedire successive decifrature all’interno di un determinato servizio, ma non consente di recuperare in modo affidabile dati in chiaro già scaricati da un destinatario autorizzato. Qualsiasi dichiarazione sulla revoca deve precisare quali copie e modalità di consegna restino effettivamente sotto controllo.
La riservatezza non prova l’identità
Un’istruzione fraudolenta può viaggiare attraverso un canale cifrato. La cifratura può funzionare perfettamente mentre protegge un messaggio inviato da un impostore o da un account compromesso. La riservatezza va quindi valutata insieme all’autenticazione del mittente, alla verifica del destinatario e alle procedure di autorizzazione.
Le firme crittografiche possono contribuire a verificare l’integrità del messaggio e l’identità associata a un certificato di firma. Non provano che il firmatario fosse autorizzato a disporre un pagamento, né che ogni affermazione contenuta nel messaggio sia vera. Analogamente, una firma di dominio DKIM valida non dimostra l’identità personale o i poteri di un singolo mittente.
Per gli scambi bancari sensibili, la risposta pratica richiede più livelli di controllo. Occorre verificare il destinatario prima di rilasciare documenti, applicare un’autenticazione più robusta quando il rischio lo giustifica e confermare istruzioni finanziarie insolite attraverso un canale stabilito in modo indipendente. Un nome visualizzato familiare non deve mai sostituire una verifica affidabile.
La modalità di consegna cambia il rischio
La corrispondenza bancaria raramente segue un unico schema tecnico. Una controparte può supportare email cifrate basate su certificati; un’altra può aver bisogno di un portale sicuro. La cifratura del trasporto protegge una connessione, mentre quella del messaggio può tutelarne il contenuto oltre la singola connessione. La distinzione incide su ciò che accade quando i messaggi raggiungono sistemi intermedi o caselle dei destinatari.
Echoworx rappresenta un esempio di questa categoria di infrastrutture basate su regole: la sua piattaforma supporta la consegna tramite TLS, S/MIME, PGP, portali sicuri e documenti cifrati, oltre a opzioni di gestione delle chiavi da parte del cliente attraverso AWS Key Management Service. Per una banca che valuta questi sistemi, il confronto rilevante riguarda il modo in cui ciascun canale gestisce identità, accesso, conservazione ed evidenze.
«Deve essere incentrato sull’utente in ogni fase, altrimenti nessuno lo userà», ha osservato Christiansen nella stessa discussione. Se i destinatari non riescono ad aprire tempestivamente documenti legittimi, il personale può ricorrere a canali improvvisati. I test devono coinvolgere consulenti e clienti, allegati realistici, credenziali scadute e tentativi di autenticazione non riusciti.
Prima le evidenze, poi le rassicurazioni
La verifica più istruttiva in fase di acquisto è una dimostrazione costruita su un processo bancario reale. Si chieda al fornitore di inviare un file sensibile, modificare l’accesso del destinatario, sostituire una chiave pertinente e ricostruire la sequenza attraverso i registri disponibili. Occorre individuare quali eventi vengano registrati, chi possa alterarne le registrazioni e per quanto tempo queste restino disponibili.
I contratti devono inoltre distinguere una traccia di audit dalla sorveglianza senza limiti. I registri possono contenere dati personali o informazioni commercialmente sensibili: accesso e conservazione meritano quindi attenzione. La registrazione dell’apertura di un messaggio sul portale documenta un evento del sistema; non prova in modo conclusivo che la persona prevista ne abbia letto e compreso il contenuto. Gli uffici legali devono evitare di attribuire alle marcature temporali un valore probatorio superiore a quello effettivamente supportato dal sistema.
Occorre poi simulare i guasti. Che cosa succede se il servizio di gestione delle chiavi non è disponibile, un certificato scade o termina il rapporto con un fornitore? La banca può conservare la documentazione necessaria senza mantenere gli accessi a tempo indeterminato? Le esigenze di ripristino, conservazione e cancellazione vanno conciliate prima che un incidente renda urgente il conflitto.
Per le banche italiane, il governo della crittografia deve reggere alle verifiche: la persona giusta ha ricevuto il materiale corretto a condizioni definite, e l’istituto può dimostrare come i controlli abbiano funzionato nella pratica, anche sotto pressione.
Lascia un commento