Maturità BCEAO · Sicurezza dei sistemi informativi e gestione dei rischi legati ai SI

La direttiva della BCEAO relativa alla gestione dei rischi legati ai sistemi informativi si applica agli enti creditizi, alle compagnie finanziarie e ai sistemi finanziari decentralizzati dell’Unione monetaria dell’Africa occidentale. Essa richiede un quadro di governance dei SI approvato dall’organo deliberante, una politica di sicurezza dell’informazione, una mappatura degli asset e dei rischi informatici, una funzione di sicurezza identificata e indipendente dai team operativi, il controllo dei fornitori informatici, la gestione degli incidenti con notifica al supervisore, e la continuità delle attività informatiche. Il controllo del rispetto di questi requisiti spetta alla Commission Bancaire dell’UMOA.

In pratica, il dispositivo si governa male perché attraversa più direzioni. La politica di sicurezza esiste spesso, ma la sua declinazione in procedure applicabili e controlli verificabili resta parziale. Le domande concrete ritornano: la mappatura degli asset informatici copre le applicazioni di business ospitate presso terzi, o solo il datacenter interno? Le abilitazioni vengono riviste a scadenza fissa, o solo alla partenza di un collaboratore? Gli incidenti di sicurezza vengono qualificati secondo criteri scritti che permettono di decidere una notifica, o trattati come semplici incidenti operativi?

La crescita dei servizi finanziari digitali nell’Unione ha spostato il baricentro del rischio. La moneta elettronica, l’interoperabilità dei pagamenti e il ricorso crescente a fornitori regionali o internazionali espongono enti la cui organizzazione informatica è stata dimensionata per un modello di filiali. Una confusione frequente merita di essere chiarita: la direttiva non si riduce alla sicurezza tecnica. Essa riguarda la governance del rischio informatico, di cui la sicurezza è solo una componente, accanto alla gestione dei cambiamenti, all’esternalizzazione e alla continuità.

La diagnosi di maturità risponde a una domanda diversa da quella del controllo di conformità. Il controllo chiede se il requisito è soddisfatto, sì o no, e conclude con una constatazione. La diagnosi colloca ogni pratica su una scala progressiva e indica l’azione precisa che fa passare al livello superiore. I due si completano: la diagnosi prepara la missione della Commission Bancaire e l’esame del controllo interno, non lo sostituisce.

In Datamensio, il quadro di riferimento è pronto all’uso e si dispiega così com’è su più entità. Potete anche adattarlo: l’IA regola gli ambiti, riformula le domande secondo la vostra organizzazione, affina i livelli, oppure costruisce una declinazione a partire dalla vostra politica di sicurezza e dalle vostre procedure esistenti.