I ministri delle Finanze e i governatori delle banche centrali del G7 hanno concordato di organizzare esercitazioni congiunte per verificare la risposta ad attacchi informatici potenziati dall’intelligenza artificiale. La decisione, annunciata a Bangkok dalla ministra giapponese Satsuki Katayama, riguarda la resilienza del sistema finanziario e potrà coinvolgere istituzioni private.
Le prove saranno tabletop: scenari simulati nei quali autorità, banche centrali, regolatori e operatori devono prendere decisioni senza colpire sistemi reali. Il formato consente di verificare chi comunica con chi, quali dati vengono condivisi, quando si attivano procedure di emergenza e come si mantiene la continuità dei pagamenti durante una crisi.
L’intelligenza artificiale può rendere gli attacchi più rapidi e adattivi. Strumenti automatici possono cercare vulnerabilità, creare messaggi di phishing credibili, modificare malware e coordinare numerosi tentativi contro identità e servizi esposti. Le stesse tecnologie aiutano i difensori a correlare segnali, individuare anomalie e correggere software, ma richiedono controlli per evitare falsi allarmi o azioni autonome incontrollate.
Il settore finanziario è un obiettivo particolarmente sensibile perché collega banche, mercati, fornitori cloud, reti di pagamento e operatori di telecomunicazioni. Un incidente presso un singolo fornitore può propagarsi a più intermediari. Le esercitazioni servono quindi a valutare dipendenze comuni e tempi di ripristino, non soltanto la protezione di ciascuna banca.
Il G7 dispone già di principi per costruire programmi di esercitazione cyber. La nuova iniziativa aggiunge il rischio specifico dell’IA e dovrebbe produrre indicazioni per aggiornare manuali e protocolli. Reuters riferisce che i test potranno includere società finanziarie private, un passaggio utile perché molte infrastrutture operative non sono gestite direttamente dai governi.
Per banche e assicurazioni europee la conseguenza principale è l’aumento delle aspettative di prova. Nell’Unione europea il regolamento DORA richiede gestione del rischio informatico, segnalazione degli incidenti e test di resilienza. Le simulazioni G7 non sostituiscono gli obblighi europei, ma possono uniformare scenari e coordinamento con Stati Uniti, Canada, Giappone e Regno Unito.
Per i clienti italiani non cambia oggi l’accesso a conti o pagamenti. Nel medio periodo, però, esercitazioni più realistiche possono ridurre i tempi necessari a contenere un incidente e chiarire come informare il pubblico. Una comunicazione imprecisa durante un attacco finanziario può alimentare corse ai prelievi o frodi che sfruttano la confusione.
Un banco di prova importante sarà la gestione dei fornitori esterni. Modelli di IA, servizi cloud e strumenti di sicurezza possono essere condivisi da molte istituzioni. Se un componente comune viene compromesso, la risposta isolata di ciascuna banca non basta. Le autorità devono sapere quali soggetti dipendono dallo stesso servizio e quali alternative possono essere attivate.
Il G7 non ha ancora pubblicato calendario e scenari completi. La qualità dell’iniziativa dipenderà dalla partecipazione, dalla misurazione dei risultati e dall’adozione delle correzioni emerse. Un’esercitazione produce valore soltanto se le lacune individuate vengono assegnate a responsabili, finanziate e verificate in una prova successiva.
Un’esercitazione utile deve produrre risultati misurabili: tempi di rilevazione, qualità delle comunicazioni, continuità dei servizi e velocità di ripristino. Dopo il test, i partecipanti dovranno individuare lacune e responsabilità, proteggendo al tempo stesso informazioni sensibili. Per le imprese europee conteranno soprattutto procedure compatibili fra Paesi e canali di allerta realmente utilizzabili durante un incidente.