«Appendice VIII

Requisiti relativi alla gestione della sicurezza delle informazioni e alla gestione della business continuity

Gestione della sicurezza delle informazioni

I presenti requisiti sono applicabili a ciascun partecipante, salvo che il partecipante dimostri che un determinato requisito non è applicabile nei suoi confronti. Nel definire l'ambito di applicazione dei requisiti all'interno della propria infrastruttura, il partecipante dovrebbe individuare gli elementi che fanno parte della catena delle operazioni di pagamento (Payment Transaction Chain — PTC). Nello specifico, la PTC inizia da un punto di ingresso (Point-of-Entry — PoE), ossia un sistema coinvolto nella creazione di operazioni (ad esempio postazioni di lavoro, applicazioni front-office e back-office, middleware) e termina presso il sistema responsabile dell'invio del messaggio alla rete SWIFT (ad esempio SWIFT VPN Box) o a internet (quest'ultimo nel caso di accesso via internet).

Requisito 1.1 — Politica in materia di sicurezza delle informazioni

La direzione stabilisce un chiaro orientamento di politica in linea con gli obiettivi aziendali e dimostra di sostenere e impegnarsi a favore della sicurezza delle informazioni attraverso l’emissione, l'approvazione e l’aggiornamento di una politica in materia di sicurezza delle informazioni finalizzata a gestire la sicurezza delle informazioni e la cyber resilience in tutta l'organizzazione in termini di individuazione, valutazione e trattamento dei rischi per la sicurezza e la cyber resilience. La politica dovrebbe contenere come minimo le seguenti sezioni: obiettivi, ambito di applicazione (compresi i settori quali organizzazione, risorse umane, gestione delle risorse, ecc.), principi e attribuzione delle responsabilità.

Requisito 1.2 — Organizzazione interna

È istituito un quadro per la sicurezza delle informazioni per attuare la politica di sicurezza delle informazioni all'interno dell'organizzazione. La direzione coordina e riesamina l'istituzione del quadro per la sicurezza delle informazioni al fine di garantire l'attuazione della politica in materia di sicurezza delle informazioni (come da requisito 1.1) in tutta l’organizzazione, compresa l'attribuzione di risorse sufficienti e l'assegnazione di responsabilità in materia di sicurezza a tal fine.

Requisito 1.3 — Soggetti esterni

L'introduzione di uno o più soggetti esterni o prodotti/servizi forniti da questi ultimi o la dipendenza da tali soggetti esterni o da prodotti/servizi forniti da questi ultimi non dovrebbe compromettere la sicurezza delle informazioni e delle strutture di elaborazione delle informazioni dell'organizzazione. Qualsiasi accesso alle strutture di elaborazione delle informazioni dell'organizzazione da parte di soggetti esterni deve essere oggetto di controlli. Quando soggetti esterni o prodotti/servizi di soggetti esterni devono accedere alle strutture di elaborazione delle informazioni dell'organizzazione, è effettuata una valutazione del rischio per definire le implicazioni per la sicurezza e i requisiti di controllo. I controlli sono concordati e definiti in un accordo con ciascun soggetto esterno interessato.

Requisito 1.4 — Gestione delle risorse

Tutte le risorse informative, i processi operativi e i sistemi informatici sottostanti, come i sistemi operativi, le infrastrutture, le applicazioni commerciali, i prodotti standardizzati, i servizi e le applicazioni sviluppate dagli utenti, nell'ambito della catena delle operazioni di pagamento (Payment Transaction Chain) sono contabilizzati e hanno un proprietario designato. La responsabilità della manutenzione e dell’esecuzione di controlli appropriati nei processi operativi e nelle relative componenti informatiche per la salvaguardia delle risorse informative deve essere assegnata. Nota bene: il proprietario può, se del caso, delegare l’esecuzione di controlli specifici, ma rimane responsabile dell’adeguata protezione delle risorse.

Requisito 1.5 — Classificazione delle risorse informative

Le risorse informative sono classificate in base alla loro criticità per la regolare prestazione del servizio da parte del partecipante. La classificazione indica la necessità, le priorità e il grado di protezione richiesto nel trattamento della risorsa informativa nei pertinenti processi operativi e deve altresì considerare le componenti informatiche soggiacenti. Deve essere utilizzato un sistema di classificazione delle risorse informative approvato dalla direzione per definire una serie adeguata di controlli di protezione durante l'intero ciclo di vita delle informazioni (incluse la rimozione e la distruzione delle informazioni) e per comunicare la necessità di misure di trattamento specifiche.

Requisito 1.6 — Sicurezza delle risorse umane

Le responsabilità in materia di sicurezza devono essere affrontate prima dell'assunzione attraverso adeguate descrizioni delle mansioni e attraverso termini e condizioni di impiego. Tutti i candidati all’assunzione, gli appaltatori e gli utenti terzi sono sottoposti a screening adeguato, in particolare per i posti di lavoro sensibili. I dipendenti, gli appaltatori e gli utenti terzi delle strutture di elaborazione delle informazioni sottoscrivono un accordo sui rispettivi ruoli e responsabilità in materia di sicurezza. È garantito un adeguato livello di sensibilizzazione tra tutti i dipendenti, gli appaltatori e gli utenti terzi, e sono offerti insegnamento e formazione in materia di procedure di sicurezza e il corretto utilizzo delle strutture di elaborazione delle informazioni per ridurre al minimo i possibili rischi per la sicurezza. È istituito per i dipendenti un procedimento disciplinare formale per la gestione delle violazioni in materia di sicurezza. Sono stabilite responsabilità per garantire che quando un dipendente, un appaltatore o un terzo utente lasciano l'organizzazione o sono trasferiti all’interno dell’organizzazione stessa, tale processo sia gestito e si realizzi la restituzione di tutte le attrezzature e la rimozione di tutti i diritti di accesso.

Requisito 1.7 — Sicurezza fisica e dell'ambiente

Le strutture critiche o sensibili per l'elaborazione delle informazioni sono alloggiate in aree sicure, protette da perimetri di sicurezza definiti, con adeguate barriere di sicurezza e controlli d’accesso. Esse devono essere protette fisicamente da qualsiasi accesso non autorizzato, danneggiamento e interferenza. L'accesso è consentito esclusivamente alle persone che rientrano nell’ambito di applicazione del requisito 1.6. Sono stabilite procedure e norme per proteggere i supporti fisici contenenti risorse informative durante il trasporto.

Le apparecchiature sono protette dalle minacce fisiche e ambientali. La protezione delle apparecchiature (comprese le apparecchiature utilizzate fuori sede) e contro la rimozione di beni è necessaria per ridurre il rischio di accesso non autorizzato alle informazioni e per proteggere dalla perdita di apparecchiature o informazioni o da danni alle stesse. Possono essere necessarie misure speciali per proteggere le strutture di supporto, quali l'alimentazione elettrica e l'infrastruttura di cablaggio, da minacce fisiche e per salvaguardarle.

Requisito 1.8 — Gestione delle operazioni

Sono stabilite responsabilità e procedure per la gestione e il funzionamento delle strutture di elaborazione delle informazioni che comprendano tutti i sistemi sottostanti della catena delle operazioni di pagamento end-to-end.

Per quanto riguarda le procedure operative, compresa l'amministrazione tecnica dei sistemi informatici, si provvede, se del caso, alla separazione delle funzioni per ridurre il rischio di uso improprio doloso o colposo del sistema. Nei casi in cui la separazione delle funzioni non possa essere attuata per ragioni obiettive e documentate, sono effettuati controlli compensativi a seguito di un’analisi formale dei rischi. Sono istituiti controlli per prevenire e individuare l'introduzione di codici maligni (malware) per i sistemi nella catena delle operazioni di pagamento. Sono inoltre istituiti controlli (tra cui la sensibilizzazione degli utenti) per prevenire, individuare e rimuovere il codice malevolo. Il codice remoto eseguito localmente deve essere utilizzato solo quando proveniente da fonti affidabili (ad esempio, componenti firmate digitalmente “Microsoft COM” e Applet Java). La configurazione del browser (ad esempio l'uso di estensioni e plugin) deve essere rigorosamente controllata.

La direzione dà attuazione a politiche in materia di backup e ripristino dei dati; tali politiche in materia di recupero includono un piano per il processo di ripristino sottoposto a test ad intervalli regolari almeno una volta l’anno.

I sistemi che sono critici per la sicurezza dei pagamenti sono monitorati e gli eventi rilevanti per la sicurezza delle informazioni sono registrati. È utilizzato il registro di esercizio per garantire l'individuazione di problemi relativi al sistema di informazione. Il registro di esercizio è riesaminato periodicamente a campione in base alla essenzialità delle operazioni. Il monitoraggio del sistema è utilizzato per verificare l'efficacia dei controlli ritenuti essenziali per la sicurezza dei pagamenti e per verificare la conformità a un modello di politica di accesso.

Gli scambi di informazioni tra le organizzazioni si basano su una politica di scambio formale, sono effettuati in linea con gli accordi di scambio tra le parti interessate e sono conformi alla legislazione pertinente. I componenti software di terze parti impiegati nello scambio di informazioni con TARGET2 (come il software ricevuto da un Service Bureau nello scenario 2 della sezione dedicata all’ambito di applicazione nel documento relativo all’accordo di autocertificazione TARGET2) devono essere utilizzati in conformità a un accordo formale con il terzo.

Requisito 1.9 — Controllo degli accessi

L'accesso alle risorse informatiche è giustificato sulla base delle esigenze delle imprese [cd. “need-to-know” (1)] e in conformità al quadro di politiche aziendali stabilito (tra cui la politica in materia di sicurezza delle informazioni). Sono definite norme chiare in materia di controllo degli accessi sulla base del principio del minimo privilegio (2), per rispecchiare fedelmente le esigenze dei corrispondenti processi operativi e informatici. Se del caso (ad esempio per la gestione di backup), il controllo logico degli accessi dovrebbe essere coerente con il controllo fisico degli accessi, salvo che sussistano adeguati controlli compensativi (ad esempio cifratura, anonimizzazione dei dati personali).

Sono predisposte procedure formali e documentate per controllare l’attribuzione dei diritti di accesso ai sistemi informatici e ai servizi informatici che rientrano nell'ambito di applicazione della catena delle operazioni di pagamento. Le procedure riguardano tutte le fasi del ciclo di vita dell’accesso degli utenti, dalla registrazione iniziale dei nuovi utenti alla cancellazione definitiva degli utenti che non hanno più necessità di accedere.

Si presta particolare attenzione, se del caso, all'attribuzione dei diritti di accesso la cui criticità è tale che l'abuso di tali diritti di accesso potrebbe avere gravi ripercussioni negative sulle operazioni del partecipante (ad esempio, diritti di accesso che consentono l’amministrazione del sistema, il superamento dei controlli del sistema, l’accesso diretto ai dati aziendali).

Sono predisposti controlli adeguati per identificare, autenticare e autorizzare gli utenti in punti specifici della rete dell'organizzazione, ad esempio per l'accesso locale e in remoto ai sistemi della catena delle operazioni di pagamento. Gli account personali non sono condivisi per garantire l’attribuzione di responsabilità.

Per le password, sono stabilite e applicate regole mediante controlli specifici per garantire che le password non possano essere facilmente intuite, ad esempio norme sulla complessità e validità limitata nel tempo. È istituito un protocollo sicuro di recupero e/o reimpostazione della password.

È elaborata e attuata una politica sull'uso dei controlli crittografici per proteggere la riservatezza, l’autenticità e l’integrità delle informazioni. È istituita una politica di gestione delle chiavi per supportare l'uso di controlli crittografici.

Per ridurre il rischio di accesso non autorizzato, è prevista una politica in materia di visualizzazione di informazioni riservate su schermo o su carta (ad esempio, una politica di ccdd “clear screen” e “clear desk”).

In caso di lavoro in remoto, sono presi in considerazione i rischi di lavoro in un ambiente non protetto e si applicano adeguati controlli tecnici e organizzativi.

Requisito 1.10 — Acquisizione, sviluppo e manutenzione dei sistemi informatici

I requisiti di sicurezza sono individuati e concordati prima dello sviluppo e/o dell'implementazione dei sistemi informatici.

Nelle applicazioni, comprese quelle sviluppate dagli utenti, sono introdotti controlli adeguati per garantire una corretta elaborazione. Tali controlli includono la convalida dei dati di input, dell'elaborazione interna e dei dati di output. Possono essere necessari controlli supplementari per i sistemi che elaborano informazioni sensibili, preziose o essenziali o che hanno un impatto su tali tipi di informazioni. Tali controlli sono determinati sulla base dei requisiti di sicurezza e della valutazione del rischio conformemente alle politiche stabilite (ad esempio, politica in materia di sicurezza delle informazioni, politica di controllo crittografico).

I requisiti operativi dei nuovi sistemi sono stabiliti, documentati e verificati prima della loro accettazione e utilizzo. Per quanto riguarda la sicurezza della rete, dovrebbero essere effettuati controlli adeguati, tra cui segmentazione e gestione sicura, sulla base della criticità dei flussi di dati e del livello di rischio delle zone di rete nell'organizzazione. Sono previsti controlli specifici per proteggere le informazioni sensibili che passano attraverso reti pubbliche.

L'accesso ai file di sistema e al codice sorgente del programma è controllato e i progetti informatici e le attività di supporto sono condotti in modalità sicura. Occorre prestare attenzione a evitare l'esposizione di dati sensibili negli ambienti di test. Gli ambienti di progetto e di supporto devono essere rigorosamente controllati. L'introduzione di cambiamenti nella produzione deve essere rigorosamente controllata. È effettuata una valutazione dei rischi relativi a cambiamenti rilevanti da introdurre nella produzione.

Anche le attività periodiche di test di sicurezza dei sistemi in produzione sono condotte secondo un piano predeterminato basato sull'esito di una valutazione del rischio e i test di sicurezza comprendono come minimo valutazioni di vulnerabilità. Tutte le carenze evidenziate durante le attività di test di sicurezza sono valutate e sono predisposti piani d'azione per colmare le lacune individuate cui è dato seguito tempestivamente.

Requisito 1.11 — Sicurezza delle informazioni nelle relazioni con i fornitori (3)

Per garantire la protezione dei sistemi informatici interni del partecipante accessibili ai fornitori, i requisiti in materia di sicurezza delle informazioni per attenuare i rischi associati all'accesso del fornitore sono documentati e concordati formalmente con il fornitore.

Requisito 1.12 — Gestione degli incidenti in materia di sicurezza delle informazioni e miglioramenti

Per garantire un approccio coerente ed efficace alla gestione degli incidenti relativi alla sicurezza delle informazioni, compresa la comunicazione su eventi e debolezze in materia di sicurezza, i ruoli, le responsabilità e le procedure, a livello operativo e tecnico, sono stabiliti e testati per garantire un recupero rapido, efficace, ordinato e sicuro recupero dagli incidenti di sicurezza delle informazioni, compresi gli scenari collegati alla cibersicurezza (ad esempio una frode perpetrata da un aggressore esterno o da un insider). Il personale coinvolto in tali procedure deve essere adeguatamente formato.

Requisito 1.13 — Verifica della conformità tecnica

I sistemi informatici interni di un partecipante (ad esempio sistemi di back office, le reti interne e la connettività di rete esterna) sono valutati periodicamente per verificarne la conformità con il quadro di politiche stabilito dall'organizzazione (ad esempio, politica in materia di sicurezza dell'informazione, politica di controllo crittografico).

Requisito 1.14 — Virtualizzazione

Le macchine virtuali ospiti devono rispettare tutti i controlli di sicurezza previsti per l'hardware e i sistemi fisici (ad esempio temporizzazione, registrazione). I controlli relativi agli hypervisor devono comprendere: temporizzazione dell’hypervisor e del sistema operativo ospitante, applicazione periodica di patch, rigida separazione di ambienti diversi (ad esempio, produzione e sviluppo). La gestione centralizzata, la registrazione e il monitoraggio nonché la gestione dei diritti di accesso, in particolare per gli account con privilegi elevati, sono attuati sulla base di una valutazione del rischio. Le macchine virtuali ospiti gestite dallo stesso hypervisor hanno un profilo di rischio simile.

Requisito 1.15 — Cloud computing

L'utilizzo di soluzioni cloud pubbliche e/o ibride nella catena delle operazioni di pagamento deve basarsi su una valutazione formale del rischio, tenendo conto dei controlli tecnici e delle clausole contrattuali relative alla soluzione cloud.

Se si utilizzano soluzioni di cloud ibride, resta inteso che il livello di criticità del sistema nel suo complesso è quello più elevato tra i sistemi connessi. Tutte le componenti locali delle soluzioni ibride devono essere separate dagli altri sistemi locali.

Gestione della business continuity (applicabile solo ai partecipanti critici)

I seguenti requisiti (da 2.1 a 2.6) riguardano la gestione della business continuity. Ogni partecipante a TARGET2 classificato dall'Eurosistema come critico per il regolare funzionamento del sistema TARGET2 deve disporre di una strategia di business continuity comprendente i seguenti elementi.