I rischi insider funzionano in modo fondamentalmente diverso dagli attacchi esterni: i colpevoli interni non devono superare i controlli perimetrali, perché operano con diritti di accesso legittimi, conoscenza dei sistemi e la fiducia dei loro colleghi. La risposta del diritto di vigilanza non sono più i firewall, ma misure di sicurezza relative al personale — in particolare la verifica di affidabilità continuativa, e non solo una tantum, ai sensi del § 6 par. 2 n. 5 GwG, affiancata dal § 25h par. 1 KWG e dai requisiti delle MaRisk sul personale.
Perché i controlli perimetrali non funzionano contro gli insider
L’architettura di sicurezza della maggior parte degli istituti è orientata verso l’esterno: controlli di accesso, segmentazione della rete, rilevamento delle frodi alle interfacce. Un insider si trova già dietro queste linee. Sa quali transazioni attivano il principio dei quattro occhi, quali soglie fanno scattare il monitoraggio e quali processi nessuno controlla — conoscenze che un aggressore esterno dovrebbe procurarsi a fatica. Questo non rende gli incidenti insider più frequenti degli attacchi esterni, ma più difficili da riconoscere e, nel singolo caso, più gravi. Si aggiunge un fattore tempo: poiché nessun allarme scatta al confine esterno, le azioni interne restano spesso a lungo non scoperte — e quanto più lungo è il periodo, tanto maggiore è il danno e tanto più difficile l’elaborazione.
Tipologie di colpevoli — e cosa significano sul piano giuridico
Senza allarmismo si possono distinguere tre costellazioni di base, che rinviano ciascuna a obblighi diversi:
- L’agente intenzionale: persone che utilizzano deliberatamente i diritti di accesso per infedeltà patrimoniale, frode o sostegno al riciclaggio. A questo mira il § 25h par. 1 KWG, che richiede agli istituti adeguate misure interne di sicurezza anche contro altri atti penalmente rilevanti a danno dell’istituto.
- L’infiltrato: candidati o dipendenti che accedono a posizioni sensibili con un percorso professionale falsificato o conflitti di interessi nascosti. Contro questo agisce la verifica di affidabilità ai sensi del § 6 par. 2 n. 5 GwG — all’assunzione e in modo continuativo; le basi sono illustrate nel nostro contributo sulla verifica di affidabilità ai sensi del § 6 GwG.
- L’esposto: dipendenti le cui circostanze di vita cambiano dopo l’assunzione — ad esempio difficoltà finanziarie o intrecci problematici. Proprio per questo la verifica è concepita come misura continuativa e non come atto unico in sede di onboarding.
La risposta del diritto di vigilanza: il personale come parte della gestione dei rischi
Le MaRisk (circolare BaFin 06/2024 (BA)) trattano espressamente il personale in AT 7.1 come risorsa della gestione dei rischi: qualificazione e idoneità dei dipendenti devono corrispondere ai compiti, e i rischi di assenza o di avvicendamento vanno gestiti. Insieme al § 25h par. 1 KWG e al § 6 par. 2 n. 5 GwG ne risulta un quadro coerente: legislatore e autorità di vigilanza si aspettano che gli istituti trattino il fattore umano con la stessa sistematicità dei rischi tecnici e procedurali. Come trasferire alla forza lavoro la sistematica di verifica del lato clienti lo mostra il contributo KYC vs. Know Your Employee.
Cosa distingue un programma di insider risk efficace
I programmi efficaci combinano elementi tecnici e relativi al personale, invece di affidarsi a uno solo di essi; i seguenti elementi si sono dimostrati validi:
- Classificazione basata sul rischio delle posizioni secondo il potenziale di danno e la profondità di accesso,
- verifica di affidabilità prima dell’assunzione con profondità di verifica dipendente dalla posizione,
- riverifica legata a eventi specifici in caso di cambi di ruolo verso funzioni sensibili,
- adeguati cicli di ripetizione per i ruoli chiave,
- documentazione verificabile di ogni verifica per revisione interna e autorità di vigilanza,
- inclusione delle forze esterne con diritti di accesso comparabili — in proposito, approfondimento su Verifica di esterni e interim manager.
Decisivo è l’interazione: i controlli tecnici limitano ciò che un insider può fare; le misure relative al personale riducono la probabilità che una persona inadatta acceda a un ruolo critico o vi permanga. Nessuno dei due elementi sostituisce l’altro.
Raccomandazione operativa
Verificate prima se le vostre misure relative al personale tengono il passo con la profondità di accesso dei vostri ruoli: chi può eludere i controlli, e quando è stata verificata l’ultima volta questa persona? Colmate poi la tipica lacuna tra verifica all’assunzione e occupazione continuativa con occasioni e cicli definiti. Per l’attuazione documentata Indicium fornisce report verificabili con fonti datate e controllo finale umano (art. 22 GDPR); una panoramica dei requisiti specifici per settore si trova in Settori.
Questo articolo non costituisce una consulenza giuridica.