Rischio tecnologico e igiene informatica

Leggi l’edizione PDF (2 pagine)

I controlli AML/CFT di un titolare di licenza DPT si basano sulla tecnologia, e la MAS disciplina tale tecnologia mediante due notice e un insieme di linee guida che nella prassi sono inseparabili dal programma antiriciclaggio.

La MAS Notice PSN05 on Technology Risk Management impone ai fornitori di servizi di pagamento requisiti giuridicamente vincolanti. L’impresa deve disporre di un quadro per l’individuazione dei sistemi critici. Ciascun sistema critico non può subire più di quattro ore di interruzione non programmata in un qualsiasi periodo mobile di dodici mesi e deve avere un obiettivo di tempo di ripristino (recovery time objective) di quattro ore. La MAS deve essere informata entro un’ora dalla scoperta di un incidente rilevante, con una relazione sulle cause profonde da trasmettere entro quattordici giorni.¹ La MAS Notice PSN06 on Cyber Hygiene impone sei misure di base. Esse consistono nel proteggere gli account amministrativi, applicare tempestivamente le patch di sicurezza, adottare un insieme scritto di standard di sicurezza, implementare difese del perimetro di rete, installare protezioni contro il malware e utilizzare l’autenticazione a più fattori per l’accesso amministrativo e per l’accesso alle informazioni dei clienti.² Le Technology Risk Management Guidelines del gennaio 2021 fissano lo standard, non vincolante ma oggetto di ispezione, per tutto il resto. Esse riguardano la governance, lo sviluppo del software, la gestione dei terzi, la risposta agli incidenti, il controllo degli accessi, la gestione delle chiavi crittografiche e i penetration test.³

Per un’impresa DPT la sezione delle TRM Guidelines sulla gestione delle chiavi ha un peso particolare, perché le chiavi private dell’impresa sono i beni dei suoi clienti. La MAS si attende cerimonie documentate di generazione delle chiavi e moduli di sicurezza hardware (HSM) o soluzioni equivalenti. Si attende la separazione dei compiti, in modo che nessuna singola persona possa movimentare i fondi dei clienti, soluzioni di cold storage per la maggior parte degli asset e procedure di ripristino collaudate. Si tratta anche di requisiti di custodia ai sensi della Parte K, Capitolo II, e la MAS li ispeziona come un unico tema. Un attacco informatico è anche un evento antiriciclaggio. I token rubati escono attraverso i wallet dell’impresa. L’impresa deve essere in grado di tracciarli, segnalarli ai sensi della PSN03 e della s. 45 CDSA e cooperare con la polizia e con altri exchange per congelarli. Un piano di risposta agli incidenti che copra soltanto il ripristino tecnico e non anche le segnalazioni alle autorità e il tracciamento on-chain è incompleto. La Parte Q, Capitolo II contiene una lista di controllo per le prime settantadue ore successive a un attacco informatico.

Note

1. MAS Notice PSN05, Technology Risk Management, emanata ai sensi del Payment Services Act 2019, paragrafi sull’individuazione dei sistemi critici, sul limite massimo di 4 ore di interruzione non programmata, sulla notifica degli incidenti entro 1 ora e sulla relazione sulle cause profonde entro 14 giorni. ↩
2. MAS Notice PSN06, Cyber Hygiene, emanata ai sensi del Payment Services Act 2019, paras 4–9 sui sei requisiti di igiene informatica. ↩
3. MAS, Technology Risk Management Guidelines, 18 gennaio 2021, in particolare la sezione 10 sulla gestione delle chiavi crittografiche e la sezione 12 sul controllo degli accessi. ↩

Solo a scopo informativo generale. Il presente articolo non costituisce consulenza legale o fiscale, non sostituisce la consulenza sul singolo caso e non instaura alcun rapporto tra avvocato e cliente. Riflette la situazione giuridica aggiornata a novembre 2026.