Dal distretto finanziario di Milano alle reti bancarie regionali di tutta Italia, il passaggio delle comunicazioni aziendali al cloud solleva una domanda che il solo contratto con un fornitore non può risolvere: chi rimane responsabile quando qualcosa va storto nella gestione della corrispondenza sensibile? Per le banche che servono clienti in tutta Europa, la risposta coinvolge l’istituto, i suoi fornitori tecnologici e gli accordi operativi che li collegano.
Una pratica di mutuo può passare da un dipendente di filiale a un cliente, a un commercialista e a un consulente legale. Proteggere questo scambio richiede più della sola messa in sicurezza della casella di posta della banca. Contano l’accesso del destinatario, gli allegati, le risposte, la conservazione e la gestione degli incidenti. Sistemi diversi possono svolgere questi compiti, ma la ripartizione delle responsabilità deve restare chiara.
Il regolamento sulla resilienza operativa digitale, noto come DORA, offre un punto di partenza chiaro. L’articolo 28 del regolamento (UE) 2022/2554 stabilisce che le entità finanziarie che utilizzano servizi TIC forniti da terzi restano responsabili del rispetto degli obblighi previsti da DORA e dalla normativa applicabile ai servizi finanziari. Esternalizzare una funzione non significa trasferire tale responsabilità.
L’articolo 30 impone di definire per iscritto i diritti e gli obblighi contrattuali. Le sue disposizioni riguardano, tra l’altro, la descrizione dei servizi, i luoghi di trattamento e conservazione dei dati e l’assistenza in caso di incidenti connessi al servizio fornito. Ulteriori requisiti si applicano ai servizi che supportano funzioni essenziali o importanti. La classificazione del servizio conta quindi quanto la sua presentazione commerciale.
Le autorità di vigilanza italiane hanno individuato le difficoltà pratiche sottese a queste regole. Nel febbraio 2026, la Banca d’Italia ha riferito di un confronto con le associazioni del settore finanziario su concentrazione dei mercati dei fornitori, limitata sostituibilità e complessità delle catene di fornitura. L’accento era posto sulla governance e sulla supervisione consapevole da parte degli organi di gestione, più che sull’acquisto di una specifica categoria di software.
Per una banca, ciò significa stabilire chi possa indagare su un mancato recapito, recuperare le registrazioni pertinenti o ripristinare l’accesso. Se più fornitori gestiscono fasi diverse, i loro contratti e le procedure di assistenza dovrebbero essere coerenti tra loro. Altrimenti, anche un servizio apparentemente completo può lasciare il cliente in attesa mentre i fornitori discutono su quale componente abbia smesso di funzionare.
Rosario Perri, Channel Director di Echoworx, ha descritto l’evoluzione delle aspettative negli acquisti in un recente webinar. «Il mercato ha sempre considerato la crittografia delle email una casella da spuntare», ha affermato Perri. La sua osservazione riguarda il modo in cui gli acquirenti valutano una funzionalità che, inizialmente, può sembrare già inclusa in un pacchetto più ampio di sicurezza della posta elettronica.
Perri ha un interesse commerciale nell’adozione di soluzioni specialistiche di crittografia. I suoi commenti offrono una testimonianza utile dell’esperienza dei fornitori, ma non dimostrano che ogni banca abbia bisogno di un altro prodotto o che i controlli esistenti siano inadeguati. Una valutazione ragionata parte dalle comunicazioni effettive dell’istituto, dalla sensibilità delle informazioni e dalla configurazione in uso.
Alla domanda se avrebbero prevalso i prodotti o gli ecosistemi, Perri ha risposto: «Gli ecosistemi, senza dubbio». Questo approccio comporta un compromesso. Combinare servizi complementari può soddisfare esigenze specifiche, ma introduce anche ulteriori interfacce, dipendenze contrattuali e rapporti di assistenza. Le preoccupazioni della vigilanza sulla complessità delle catene di fornitura restano pertinenti anche quando ogni componente, preso singolarmente, funziona bene.
Microsoft Purview Message Encryption offre una soluzione all’interno dell’ambiente Microsoft. La documentazione di Microsoft descrive l’accesso dei destinatari esterni ai messaggi cifrati tramite account supportati o codici monouso, a seconda della configurazione. Per una banca che utilizza già Microsoft 365, valutare queste funzionalità è un ragionevole punto di partenza. L’istituto dovrebbe accertare quali licenze, regole e modalità di utilizzo per i destinatari siano effettivamente supportate dall’implementazione proposta.
Proofpoint Encryption prevede una protezione basata su regole che può applicare automaticamente la cifratura, insieme a Secure Reader, accessibile via web, e a controlli sui messaggi quali scadenza e revoca. Queste funzionalità meritano attenzione quando l’applicazione coerente delle regole alle comunicazioni in uscita è una priorità. Gli acquirenti dovrebbero verificare lo specifico servizio offerto, i requisiti di integrazione e il funzionamento del percorso del destinatario mediante prove proprie.
Mimecast Secure Messaging adotta un approccio basato su portale: i destinatari ricevono una notifica e accedono ai contenuti protetti tramite browser. La documentazione descrive un recapito avviato dall’utente o attivato da regole, oltre a controlli sull’accesso ai messaggi. Questo modello può essere adatto agli scambi per i quali è utile mantenere i contenuti all’interno di un portale controllato. Le prove dovrebbero accertare che clienti e consulenti riescano a completare gli scambi senza ricorrere inutilmente all’assistenza.
Echoworx descrive funzionalità di recapito basate su regole, metodi alternativi di autenticazione dei destinatari e gestione automatizzata di chiavi e certificati. Tali funzionalità possono essere pertinenti quando una banca presenta diverse esigenze di comunicazione sicura. Come per gli altri fornitori, tuttavia, le caratteristiche dichiarate non dimostrano che una determinata configurazione soddisfi le necessità dell’istituto. L’impegno richiesto per l’integrazione, le responsabilità operative, i costi e gli obblighi contrattuali richiedono un esame distinto.
Si tratta di esempi di approcci concorrenti, non di una classifica o di un elenco esaustivo. La documentazione dei prodotti descrive funzionalità, non risultati misurati in modo indipendente. Le banche dovrebbero confrontare le offerte attuali utilizzando gli stessi scenari e ottenere conferma scritta del soddisfacimento dei requisiti essenziali. Un servizio specialistico si giustifica in presenza di una lacuna dimostrata, non semplicemente perché esiste un fornitore specializzato.
Una banca italiana può rendere concreta la valutazione simulando un’operazione con un cliente: inviare un documento sensibile a un indirizzo esterno, autenticare il destinatario previsto e richiedere una risposta protetta. Poi dovrebbe verificare cosa accade con un link scaduto, un indirizzo inserito in modo errato e un cliente che non riesce a utilizzare il metodo di autenticazione proposto.
L’esercitazione dovrebbe coinvolgere anche personale estraneo all’IT. I team di filiale conoscono le pressioni legate ai documenti urgenti; l’assistenza clienti riscontra i problemi di accesso; gli uffici legali e di conformità possono esaminare gli obblighi contrattuali. L’accessibilità e istruzioni chiare in italiano dovrebbero rientrare nei criteri di accettazione, insieme alle altre lingue necessarie alla clientela della banca.
Un portale bancario sicuro potrebbe già costituire un canale adatto per alcuni scambi. Migliorare gli strumenti esistenti, la configurazione o le istruzioni al personale può talvolta essere preferibile all’aggiunta di un altro servizio. Per contro, un portale che i clienti non riescono a utilizzare può creare ritardi e spingerli verso canali alternativi. Né un maggior numero di software né un minor numero di fornitori garantiscono automaticamente un controllo migliore.
Il confronto economico dovrebbe includere i costi di amministrazione, assistenza clienti, migrazione ed eventuale uscita dal servizio, oltre ai canoni di abbonamento. Un prezzo iniziale più basso può nascondere attività trasferite ai dipendenti o ai clienti. Allo stesso modo, un servizio più costoso deve dimostrare un beneficio pratico verificabile dalla banca.
I responsabili degli acquisti dovrebbero concludere con domande a cui ogni offerente deve rispondere: chi controlla gli accessi, chi gestisce le chiavi, chi indaga sugli incidenti e quali registrazioni può ottenere la banca? Dovrebbero inoltre accertare come proseguono le comunicazioni in caso di interruzioni e come l’istituto possa lasciare il servizio. Per le banche italiane, il controllo si dimostra attraverso queste risposte e procedure collaudate, più che con il logo sul contratto.
commenti 0****
