1 CONVEGNO SOCI ANSSAIF settembre 2004 Golg Hotel Acaya (Lecce) Paolo Giudice (CLUSIT, ANSSAIF, CLUSIS, CISCA) Lassicurazione come trasferimento del rischio residuo: una soluzione sia tecnica che economica, in sintonia con le disposizioni di Basilea 2

2 Basilea 2: nuove regole sulla gestione del rischio Basilea 2: azioni da intraprendere Basilea 2: difficoltà di attuazione Quale alternativa? Perdite coperte dallassicurazione Coperture particolari Costi delle coperture: calcolo del premio La valutazione AGENDA

3 Basilea 2: nuove regole sulla gestione del rischio Definizione di indicatori per il calcolo della quota di riserva capitale, correlati al rischio operativo. Rischio operativo rischio di perdite risultanti da inadeguatezza o fallimento di: processi interni persone o sistemi eventi esterni Le Istituzioni Finanziarie devono identificare le fonti del rischio operativo per calcolare la riserva capitale richiesta e valutare lopportunità di trasferire allassicurazione il rischio residuo.

4 Basilea 2: azioni da intraprendere Le Istituzioni Finanziarie devono: Creare il responsabile della sicurezza IT Assegnare ruoli e responsabilità per la gestione del rischio IT Sviluppare soluzioni per la gestione real time del rischio Attivare processi di gestione degli incidenti transazionali Misurare e testare i livelli di sicurezza

5 Basilea 2: difficoltà di attuazione Perchè le Istituzioni Finanziarie hanno difficoltà ad attuare le azioni richieste? Mancanza di skills adeguate Minacce nuove, non prevedibili e non identificabili Sistemi di sicurezza informatica (firewall, antivirus,...) non totalmente sicuri

6 Quale alternativa? Non tutti i rischi possono essere identificati e adeguatamente coperti con una riserva di capitale Valutare lopportunità di trasferire allassicurazione il rischio residuo per coprire: -la frode -le modificazioni e/o perdite di dati e programmi -le spese extra in caso di disaster recovery -linterruzione del servizio a causa di attacchi DoS -la perdita di profitto -le spese di ricostruzione dellimmagine

7 Perdite coperte dallassicurazione (1) Frode informatica (compresa linfedeltà dei dipendenti) somme di denaro sottratte valori di beni mobiliari sottratti spese di analisi e ricerca Modificazioni e/o perdite di dati e programmi ricostituzione dei dati rimessa in funzione dei programmi è coperto il danno dovuto ad errore umano (errata manipolazione), ma non a difetto del software.

8 Perdite coperte dallassicurazione (2) Spese supplementari (compreso disaster recovery) Tutte le spese sostenute per cercare di evitare e/o limitare limpatto del sinistro Interruzione del servizio a causa di attacchi DoS Le spese sostenute per rimettere in funzione i sistemi Perdita di profitto Recupero del mancato utile della Banca Spese di ricostruzione dellimmagine Le spese sostenute dalla Banca per ristabilire la propria immagine nei confronti di clienti e partners (comunicazione)

9 Coperture particolari Conseguenze di Virus (massimali limitati) Conseguenze di azioni ricattatorie (bombe logiche)

10 Costi delle coperture: calcolo del premio Non ci sono sufficienti elementi statistici che consentano di poter stimare il rischio nellambito dei grandi numeri. Lassicuratore calcola il premio e determina i massimali assicurabili e le franchigie, dopo un attenta analisi dei rischi ed un audit di sicurezza.

11 La valutazione La valutazione dellassicuratore tenderà principalmente ad analizzare: Lorganizzazione dei sistemi informatici Il controllo che i sistemi informatici esercitano sullattività della Banca Le politiche di sicurezza della Banca E ciò per valutare la capacità della Banca a: conoscere e comprendere i propri rischi gestire i propri rischi secondo le necessità reagire in modo adeguato a situazioni impreviste ed a nuovi rischi.

12 Grazie! clusit.it