I soldi dei vostri clienti sono al sicuro. I loro dati anche?

DORA si applica direttamente alle entità finanziarie regolamentate — banche, assicurazioni, SIM, SGR, istituti di pagamento — indipendentemente dalla dimensione. Se siete un'agenzia con mandato da una compagnia soggetta a DORA, quella compagnia è obbligata a gestire i rischi ICT della sua catena di distribuzione: potete ricevere requisiti specifici dalla mandante. Il GDPR si applica comunque a prescindere dalla dimensione. Il nostro assessment gratuito chiarisce esattamente la vostra situazione.

BEC (Business Email Compromise) sono truffe in cui l'attaccante compromette o clona una casella email aziendale — spesso quella del direttore o di un cliente — per inviare richieste di bonifico o di cambio IBAN apparentemente legittime. Il settore finanziario è il bersaglio principale perché i trasferimenti di denaro sono abituali e le somme possono essere elevate. La difesa si basa su tre livelli: MFA su tutte le caselle email (rende impossibile l'accesso anche con credenziali rubate), filtri avanzati anti-impersonation, e procedure operative che richiedono conferma telefonica per qualsiasi richiesta di pagamento ricevuta via email.

Sì, perché la responsabilità della sicurezza dei dati dei vostri clienti rimane vostra anche quando il gestionale è in cloud. Dovete verificare che il fornitore abbia misure adeguate (cosa che DORA rende obbligatoria con la gestione del rischio ICT di terze parti), proteggere gli accessi al gestionale con MFA, garantire backup dei dati che non dipende solo dal fornitore, e documentare la gestione del rischio del fornitore per gli audit delle autorità di vigilanza. Noi gestiamo tutte queste componenti in coordinamento con il vostro fornitore.

Dipende dalla vostra categoria. Per gli operatori DORA: pre-notifica all'autorità competente (Banca d'Italia, IVASS, Consob) entro 24 ore per gli incidenti significativi, notifica completa entro 72 ore, report finale entro 30 giorni. Per tutti: notifica al Garante Privacy entro 72 ore se l'incidente comporta violazione di dati personali. Il nostro servizio MSP include un piano di incident response che gestisce queste procedure per voi — compresa la comunicazione con le autorità. Non costruite questo processo durante l'emergenza.

Lavoriamo a livello di infrastruttura locale — PC, rete, server, sicurezza endpoint — senza accedere o modificare le piattaforme della mandante. Proteggiamo i dispositivi da cui vi connettete a quelle piattaforme, rendiamo sicuro l'accesso remoto, e gestiamo i backup dei dati locali. Se la mandante richiede documentazione sulle misure di sicurezza adottate dalla vostra agenzia (sempre più frequente con DORA), siamo in grado di produrla.