Maturità sicurezza dei sistemi informativi · Regolamento COBAC sicurezza SI

Il regolamento COBAC sulla sicurezza dei sistemi informativi impone agli istituti assoggettati della zona CEMAC un dispositivo formalizzato di controllo del rischio informatico. Copre la governance del SI e la responsabilità dell’organo deliberante, la politica di sicurezza, la classificazione degli asset e dei dati, la gestione degli accessi e delle abilitazioni, la sicurezza delle infrastrutture e delle applicazioni, la continuità e il ripristino operativo, la gestione degli incidenti e la loro notifica alla Commissione Bancaria, nonché la regolamentazione dei fornitori informatici. Il controllo periodico e il reporting al supervisore completano il dispositivo.

In pratica, il requisito è più semplice da enunciare che da governare. Gli istituti della sotto-regione combinano spesso un core banking datato, servizi di monetica esternalizzati, canali di banca digitale recenti e filiali con collegamenti eterogenei. Tre domande ricorrono sistematicamente. La politica di sicurezza è realmente applicata nelle filiali e nelle agenzie, o solo approvata in sede centrale? Le abilitazioni vengono riviste a scadenza fissa, inclusi gli account dei fornitori e gli account privilegiati? Il piano di continuità è stato testato su uno scenario reale, con un verbale utilizzabile dal controllo periodico?

Due confusioni meritano di essere chiarite. La prima consiste nell’assimilare la conformità al regolamento all’esistenza di un budget informatico e di un firewall: il testo riguarda un dispositivo di controllo, quindi ruoli, procedure, prove e revisioni, non un inventario di apparecchiature. La seconda consiste nel trattare la sicurezza SI come un tema puramente tecnico, mentre il regolamento coinvolge l’organo deliberante e si articola con i dispositivi di controllo interno, di rischio operativo e di esternalizzazione già richiesti dalla COBAC. La mappatura dei rischi informatici deve leggersi all’interno della mappatura dei rischi dell’istituto.

Un audit di conformità si conclude con un riscontro binario: il requisito è soddisfatto oppure no. La diagnosi di maturità risponde a un’altra domanda. Colloca ogni pratica su una scala progressiva, dal gesto occasionale al dispositivo governato e rivisto, e indica l’azione precisa che consente di passare al livello superiore. Questa lettura è quella di cui ha bisogno una direzione generale che deve arbitrare tra più cantieri in un esercizio e giustificare le proprie priorità davanti al comitato di audit.

Il quadro di riferimento è pronto all’uso in Datamensio e resta adattabile. L’IA adegua gli ambiti, le domande e i livelli al vostro profilo, banca commerciale, istituto di microfinanza o istituto di pagamento, oppure costruisce una declinazione a partire dalla vostra politica di sicurezza e dai vostri rapporti di controllo. Gli scostamenti riscontrati alimentano direttamente un piano d’azione prioritizzato, consolidabile su più entità del gruppo.